Posredovanje podatkov za povabilo starejših občanov na srečanje v okviru socialnega programa

Datum

22.09.2025

Številka

07120-1/2025/418

Kategorije

Občine, Pravne podlage, Pridobivanje OP iz zbirk

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da Rdeči križ Slovenije - Zveza združenj kot humanitarna organizacija preko svojih območnih združenj v sodelovanju z občinami izvaja socialne programe za starejše, med njimi tudi tradicionalna srečanja, ki spodbujajo socialno vključenost, druženje in preprečujejo osamljenost. Za izvedbo teh programov, ki se financirajo iz občinskih sredstev, imate z občinami sklenjene pogodbe, pri čemer se starejšim pošiljajo osebna vabila, saj se je izkazalo, da je to najbolj učinkovit in spoštljiv način obveščanja.

Zavedate se, da je IP občinam prepovedal paketno pridobivanje podatkov iz CRP, vendar menite, da za posredovanje podatkov v konkretnem primeru obstaja pravna podlaga v 21. členu Zakona o lokalni samoupravi in točki e prvega odstavka 6. člena Splošne uredbe o varstvu podatkov (GDPR). Glede na to prosite, da vam IP za izvedbo tradicionalnih srečanj starejših tudi v prihodnje omogoči posredovanje osebnih podatkov občanov, ki izpolnjujejo starostni kriterij, v obsegu ime in priimek, naslov in letnica oziroma datum rojstva.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Odločba IP o prepovedi paketnega pridobivanja podatkov iz CRP še nikakor ne pomeni, da občina ali Rdeči križ Slovenije nista upravičena do pridobitve osebnih podatkov, ki so nujni za izvajanje nalog iz njunih pristojnosti. Pravna podlaga za pridobitev teh podatkov izhaja iz Splošne uredbe in ZVOP-2 v zvezi z ZLS oziroma ZRKS.

Ob tem pa je treba konkretno presoditi vlogo RKS, torej ali v posameznem primeru deluje kot samostojni oziroma skupni upravljavec ali zgolj kot obdelovalec, saj je od tega odvisna pravna podlaga in posledično zakonitost obdelave osebnih podatkov.

IP v mnenju ne more vnaprej dopustiti oziroma odobriti predlaganega pridobivanja osebnih podatkov občanov.

Obrazložitev

Uvodoma poudarjamo, da IP izven nadzornega postopka ne more presojati zakonitosti obdelave osebnih podatkov v konkretnem primeru. To pomeni, da IP v okviru mnenja ne more vnaprej dopustiti oziroma odobriti predlaganega pridobivanja osebnih podatkov občanov, temveč lahko zgolj opozori na relevantne pravne podlage in pogoje, ki morajo biti izpolnjeni, da je obdelava osebnih podatkov zakonita.

Vsak upravljavec mora imeti za obdelavo osebnih podatkov, vključno z njihovim zbiranjem in uporabo, zakonito in ustrezno pravno podlago iz prvega odstavka 6. in 9. člena Splošne uredbe (6. člen ZVOP-2). Izbira pravne podlage je odvisna od konkretnih okoliščin, odgovornost zanjo pa nosi upravljavec.

Za občine je bistven področni predpis Zakon o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; v nadaljevanju ZLS), ki v 21. členu opredeljuje izvirne naloge občine, v 21.a členu pa ureja pridobivanje in obdelavo osebnih podatkov, ki jih občina potrebuje za opravljanje nalog iz svoje pristojnosti. ZLS izrecno navaja vrste osebnih podatkov, ki jih lahko občina pridobiva in obdeluje (med drugim enotno matično številko, osebno ime, naslov stalnega ali začasnega prebivališča ter datum in kraj rojstva), prav tako pa 21.a člen v šestem odstavku določa možnost posredovanja pridobljenih podatkov fizičnim in pravnim osebam v okviru izvajanja pristojnosti občine in ob upoštevanju namenov ter pogojev, določenih v zakonu. Na tej podlagi lahko občina, kadar je to potrebno za izvajanje njenih zakonskih nalog, pridobi osebne podatke tudi iz CRP.

Položaj Rdečega križa Slovenije ureja Zakon o Rdečem križu Slovenije (Uradni list RS, št. 7/93 in 79/10; v nadaljevanju ZRKS), ki ga opredeljuje kot neodvisno humanitarno organizacijo nacionalnega pomena, ki deluje v skladu s predpisi o društvih in hkrati opravlja določene naloge z javnim pooblastilom. ZRKS v 11. in 12. členu ureja zbirke podatkov, ki jih RKS vodi, pri čemer vse zbirke vsebujejo naslednje osebne podatke:

-priimek in ime,

-datum in kraj rojstva,

-stalno ali začasno prebivališče.

Tretji odstavek 12. člena ZRKS določa, da Rdeči križ Slovenije zbira osebne podatke, določene v tem členu, neposredno od posameznikov ter jih shranjuje in uporablja le toliko časa, kot je to potrebno za dosego namena, zaradi katerega so bili zbrani. Osebne podatke o socialno ogroženih osebah lahko pridobiva tudi iz drugih uradnih zbirk.

Če gre v primeru pogodb o financiranju, ki jih izpostavljate, za posredovanje podatkov v zvezi z nalogami iz pristojnosti občine, ki jih je ta prenesla na območna združenja RKS, je posredovanje osebnih podatkov v takšnem okviru lahko dopustno, vendar IP v svojem mnenju ne more podati dokončne presoje o zakonitosti posredovanja v konkretni situaciji. Pri tem je treba glede razmerja med občino in RKS skrbno presoditi, ali RKS obdeluje osebne podatke izključno v imenu in za račun občine (pogodbena obdelava), kar zahteva sklenitev pogodbe o obdelavi osebnih podatkov z vsemi elementi iz 28. člena Splošne uredbe, ali pa gre za soupravljavstvo, ko občina in RKS skupaj določata namene in sredstva obdelave in je v skladu s 26. členom Splošne uredbe potreben dogovor o skupnem upravljanju. V primeru, da RKS izvaja socialni program v svojem imenu in za svoj račun (npr. v okviru lastnih humanitarnih dejavnosti ali na podlagi javnega pooblastila), pa lahko za obdelavo črpa lastno pravno podlago denimo iz točke e prvega odstavka 6. člena Splošne uredbe v zvezi z drugim oziroma četrtim odstavkom ZVOP-2 ter ZLS oziroma ZRKS. Pri tem je treba opozoriti, da za isto dejavnost obdelave RKS ne more hkrati nastopati kot pogodbeni obdelovalec in upravljavec, četudi gre morda za iste osebe podatke. Če je torej RKS z občino za izvedbo tradicionalnih srečanj starejših sklenil pogodbo, morate primarno presoditi, v kakšni vlogi RKS nastopa pri obdelavi osebnih podatkov, saj je od tega odvisna pravna podlaga in posledično zakonitost obdelave osebnih podatkov.

Pri tem IP posebej poudarja, da mora biti obseg posredovanih osebnih podatkov omejen na tiste, ki so nujno potrebni za izvedbo srečanj, v okvir česar najverjetneje sodi ime in priimek, naslov prebivališča ter datum oziroma letnica rojstva, če je to potrebno za preverjanje starostnega kriterija. Vsako posredovanje podatkov mora biti ustrezno dokumentirano, zagotovljeni pa morajo biti tudi vsi ukrepi varnosti in sledljivosti, skladno z zahtevami Splošne uredbe in ZVOP-2.

IP je na podobna vprašanja v preteklosti že odgovarjal, npr. v mnenju št. 07121-1/2023/1262 z dne 6. 10. 2023 ter v mnenju št. 07121-1/2020/208 z dne 16. 2. 2020, ki so dostopna na https://www.ip-rs.si/mnenja-zvop-2/. Za konec pa še poudarjamo, da odločba IP o prepovedi paketnega pridobivanja podatkov iz CRP, na katero opozarjate, še nikakor ne pomeni, da občina ali RKS nista upravičena do pridobitve teh podatkov za izvajanje svojih nalog, če so podatki pridobljeni na zakonit način in se pri njihovi obdelavi dosledno spoštujejo vsa druga pravila varstva osebnih podatkov.

Lepo vas pozdravljamo.

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka