Pridobivanje osebnih podatkov iz CRP za potrebe izpolnjevanja zakonskih zahtev po ZSPVZZ

Datum

28.05.2024

Številka

07121-1/2024/620

Kategorije

EMŠO in davčna, Posredovanje osebnih podatkov, Pravne podlage, Pridobivanje OP iz zbirk, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš zgoraj naveden dopis, v katerem prosite za mnenje glede zakonitosti pridobivanja in ažuriranja osebnih podatkov upravičencev po Zakonu o statusnem preoblikovanju Vzajemne zdravstvene zavarovalnice d.v.z. (Uradni list RS št. 131/23, v nadaljevanju zakon ali ZSPVZZ) iz Centralnega registra prebivalstva (v nadaljevanju CRP) oz. od ZZZS. Kot navajate, osebne podatke potrebujete zaradi potrebe po ažuriranju celotne baze podatkov upravičencev, ki bo služila za namen določitve deležev ter obveščanje upravičencev do njihovega deleža pri preoblikovanju o višini in vrednosti njihovih deležev, kot vam to nalaga 6. in 8. člen ZSPVZZ. Kot navajate, so točnost, celovitost in enoznačna določitev upravičencev ter njihovi ažurni naslovi nujni predpogoj za izvedbo vseh zahtevanih aktivnosti po ZSPVZZ, zaradi česar bi potrebovali podatke neposredno  iz CRP oz. od ZZZS.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju: ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi zgoraj navedenimi vprašanji.

1.Posredovanje osebnih podatkov, ki ga izvajajo osebe javnega sektorja, med katere med drugim sodita tudi Ministrstvo za notranje zadeve (MNZ) kot upravljavec CRP ter ZZZS, ureja 39. člen ZVOP-2, postopek posredovanja osebnih podatkov pa je predpisan v 41. členu ZVOP-2.

2.Osebe javnega sektorja lahko posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom tega zakona, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon ne določa drugače.

3.MNZ oz. ZZZS vam lahko skladno z določbo prvega odstavka 39. člena ZVOP-2 posredujeta osebne podatke iz svojih zbirk pod pogojem, da je za takšno posredovanje dana pravna podlaga v skladu s 6. členom tega zakona ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon ne določa drugače. Navedeno pomeni, da morata biti za posredovanje osebnih podatkov, ki ga izvedejo osebe javnega sektorja, kumulativno izpolnjena dva pogoja, in sicer:

-da za posredovanje osebnih podatkov obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (v primeru, ko gre za t.i. posebne vrste osebnih podatkov, mora biti za njihovo posredovanje dodatno izpolnjen tudi pogoj iz drugega odstavka 9. člena Splošne uredbe);                 - da vlagatelj na upravljavca naslovi zahtevo za posredovanje osebnih podatkov, ki mora vsebovati vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, med katere poleg podatkov o vlagatelju zahteve med drugim sodi tudi navedba pravne podlage za pridobitev zahtevanih osebnih podatkov, navedba namena njihove obdelave oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve, navedba vrst osebnih podatkov, ki naj se posredujejo ter navedba oblike in načina pridobitve zahtevanih osebnih podatkov.

4.Upravljavec mora vlagatelju zahteve za posredovanje osebnih podatkov, če drug zakon ne določa drugače, zahtevane osebne podatke posredovati v 15 dneh od prejema popolne vloge ali pa ga v tem roku pisno obvestiti o razlogih, zaradi katerih mu zahtevanih podatkov ne bo posredoval.

5.Pri posredovanju osebnih podatkov iz CRP je treba poleg 39. in 41. člena ZVOP-2 upoštevati še določbe Zakona o centralnem registru prebivalstva (ZCRP) ter Uredbe o vodenju in vzdrževanju centralnega registra prebivalstva ter postopku za pridobivanje in posredovanje podatkov.

6.Kot izhaja iz vašega dopisa, se vaše zaprosilo za mnenje nanaša na posredovanje oziroma pridobivanje osebnih podatkov iz uradnih evidenc. IP v postopku na zahtevo za posredovanje osebnih podatkov iz uradnih evidenc in javnih knjig lahko nastopa kot pritožbeni organ, zaradi česar IP v mnenju ne more presojati oziroma se ne sme opredeliti o tem, ali je v ZSPVZZ ali v kakšnem drugem zakonu (npr. v Zakonu o zavarovalništvu) podana pravna podlaga za posredovanje oziroma pridobivanje osebnih podatkov. IP vam zato predlaga, da na MNZ kot upravljavca CRP in/ali na ZZZS naslovite zahtevo za posredovanje osebnih podatkov, ki bo vsebovala vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, in v kateri bo jasno opredeljena zlasti pravna podlaga za pridobivanje zahtevanih osebnih podatkov, namen obdelave osebnih podatkov, opis oziroma vrste osebnih podatkov, ki jih potrebujete, razlogi, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve, ter oblika in način pridobitve zahtevanih osebnih podatkov. Na podlagi tako vložene zahteve vam bosta morala MNZ in/ali ZZZS zahtevane osebne podatke posredovati v 15 dneh od prejema popolne zahteve ali pa vas v tem roku pisno obvestiti o razlogih, zaradi katerih vam zahtevanih osebnih podatkov ne bosta posredovala.

Obrazložitev

IP uvodoma poudarja, da izven nadzornega ali drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov in podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov. V okviru neobvezujočega mnenja IP ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje osebnih podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju še zlasti ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. IP namreč skladno s četrtim odstavkom 41. člena ZVOP-2 v primeru zavrnitve zahteve za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig lahko nastopa kot pritožbeni organ, če specialni predpis za posamezne primere ne določa drugače.

Posredovanje osebnih podatkov, ki ga izvajajo osebe javnega sektorja, med katere se po 3. točki drugega odstavka 5. člena ZVOP-2 uvrščata tudi MNZ in ZZZS, ureja 39. člen ZVOP-2, ki v prvem odstavku določa, da osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom tega zakona, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon ne določa drugače. V drugem odstavku 39. člena ZVOP-2 je nadalje še določeno, da je posredovanje posebnih vrst osebnih podatkov ter osebnih podatkov iz 10. člena tega zakona dovoljeno, če so izpolnjeni pogoji iz prejšnjega odstavka in je to v skladu z drugim odstavkom 9. člen Splošne uredbe ali drugim zakonom.

Iz citiranih določb 39. člena ZVOP-2 tako izhaja, da morata biti za posredovanje osebnih podatkov, ki ga izvedejo osebe javnega sektorja, kumulativno izpolnjena dva pogoja, in sicer:

1.da za posredovanje osebnih podatkov obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (v primeru, ko gre za t.i. posebne vrste osebnih podatkov, mora biti za njihovo posredovanje dodatno izpolnjen tudi pogoj iz drugega odstavka 9. člena Splošne uredbe);

2.da vlagatelj na upravljavca naslovi zahtevo za posredovanje osebnih podatkov, ki mora vsebovati vse formalne elemente, določene v  prvem odstavku 41. člena ZVOP-2.

Splošne pravne podlage za obdelavo osebnih podatkov so določene v prvem odstavku 6. člena Splošne uredbe, kjer je določeno, da je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Točka (f) se ne uporablja za obdelavo osebnih podatkov s strani javnih organov pri opravljanju njihovih nalog.

Osebni podatki se po določbi prvega odstavka 6. člena ZVOP-2 lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. V drugem odstavku istega člena je nadalje še določeno, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.

V primeru vaše opisane potrebe po pridobitvi osebnih podatkov, ki so potrebni za namene zagotavljanja točnosti in ažurnosti osebnih podatkov, enolične identifikacije upravičencev ter s tem povezane določitve deležev ustanovitelja in deležev vseh posameznih upravičencev ter za namene obveščanja in poplačila upravičencev, kot to ustanovitelju in Vzajemni d.v.z. nalagata 6. in 8. člen ZSPVZZ, bi lahko šlo za obdelavo osebnih podatkov, ki je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali za obdelavo, ki je potrebna za opravljanje naloge v javnem interesu. Zaradi tega bi v takšnem primeru kot pravna podlaga za pridobivanje in posredovanje oziroma obdelavo osebnih podatkov lahko prišla v poštev pravna podlaga iz točke (c) ali (e) prvega odstavka 6. člena Splošne uredbe v povezavi ZSPVZZ ali kakšnim drugim zakonom, ki upravljavcem nalaga takšno nalogo ali obveznost, pri čemer pa IP meni, da bi moral biti ob tem izpolnjen tudi pogoj iz zgoraj citiranega drugega odstavka 6. člena ZVOP-2.

Kadar je za posredovanje osebnih podatkov drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam podana pravna podlaga v skladu s 6. členom ZVOP-2, je posredovanje osebnih podatkov dopustno na podlagi zahteve iz prvega odstavka 41. člena ZVOP-1. V vašem primeru to pomeni, da morate na upravljavca javnega sektorja, od katerega želite pridobiti določene osebne podatke, nasloviti zahtevo za posredovanje osebnih podatkov, ki mora vsebovati vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, kjer je določeno, da mora zahteva, če drug zakon ne določa drugače, vsebovati naslednje podatke:

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Po določbi drugega odstavka 41. člena ZVOP-2 upravljavec vlagatelju zahteve, če drug zakon ne določa drugače, zahtevane osebne podatke posreduje najpozneje v 15 dneh od prejema popolne zahteve ali pa ga v tem roku pisno obvesti o razlogih, zaradi katerih mu zahtevanih podatkov ne bo posredoval. Upravljavec in vlagatelj zahteve se v roku iz prejšnjega stavka lahko dogovorita za njegovo podaljšanje. Če upravljavec ne ravna v skladu z navedenim odstavkom, se šteje, da je zahteva zavrnjena.

V četrtem odstavku 41. člena ZVOP-2 je nadalje določeno, da, če je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ (IP). Kadar ta zavrne zahtevo ali kadar na prvi stopnji odloča nadzorni organ sam, lahko vlagatelj zahteva sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek.

V primeru, ko se zahteva za posredovanje osebnih podatkov nanaša na osebne podatke, ki se vodijo v CRP, je treba poleg 39. in 41. člena ZVOP-2 upoštevati še določbe Zakona o centralnem registru prebivalstva (Uradni list RS, št. 72/06-UPB1, s sprem., v nadaljevanju ZCRP) ter Uredbo o vodenju in vzdrževanju centralnega registra prebivalstva ter postopku za pridobivanje in posredovanje podatkov (Uradni list RS, št. 70/00 in 28/02).

ZCRP posredovanje oziroma pridobivanje podatkov iz CRP določa v 23. členu, ki določa:

(1)Uporabniki, ki uporabljajo CRP za vzpostavitev novih zbirk oziroma za tekoče vodenje in vzdrževanje z zakonom predpisanih zbirk, so upravljavci zbirk podatkov iz prvega odstavka 9. člena tega zakona in drugi, ki imajo za to zakonsko podlago.

(2)Uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov in uporabniki, ki so pooblaščeni z osebno pisno privolitvijo posameznika, na katerega se podatki nanašajo, pa v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, imajo pravico iz CRP dobiti naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča.

(3)Uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov, pa v zakonu nimajo opredeljenega pridobivanja ali uporabe podatka o naslovu za vročanje, ki je vzpostavljen na podlagi zakona, ki ureja prijavo prebivališča, lahko ta podatek pridobivajo na podlagi tega zakona, če ga potrebujejo za opravljanje predpisanih nalog.

(4)Zahtevek za pridobitev podatkov mora vsebovati: obvezno navedbo pravne podlage in namena, za katerega zahteva podatke, opis podatkov in časovni okvir, v katerem jih potrebuje. Glede na namen in rok mora zahtevek poslati v ustreznem času, ki omogoča izvedljivost priprave podatkov.

(5)V primeru, da je za določeno vrsto podatka potrebno obsežnejše urejanje ali usklajevanje, ki bi utegnilo ogroziti kakovost posredovanih podatkov, sme upravljavec CRP zahtevek uporabnika začasno zadržati, ob tem pa mu je dolžan dati ustrezno pojasnilo in sporočiti rok, v katerem bo podatke posredoval.

Kot izhaja iz vašega dopisa, se vaše zaprosilo za mnenje nanaša na posredovanje oziroma pridobivanje osebnih podatkov iz CRP in evidenc ZZZS, to je iz uradnih evidenc. IP v postopku na zahtevo za posredovanje osebnih podatkov iz uradnih evidenc in javnih knjig lahko nastopa kot pritožbeni organ, zaradi česar IP v mnenju ne more presojati oziroma se ne sme opredeliti o tem, ali je v ZSPVZZ ali v kakšnem drugem zakonu (npr. v Zakonu o zavarovalništvu) podana pravna podlaga za posredovanje oziroma pridobivanje osebnih podatkov. IP vam zato predlaga, da na MNZ kot upravljavca CRP in/ali na ZZZS naslovite zahtevo za posredovanje osebnih podatkov, ki bo vsebovala vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, in v kateri bo jasno opredeljena zlasti pravna podlaga za pridobivanje zahtevanih osebnih podatkov, namen obdelave osebnih podatkov, opis oziroma vrste osebnih podatkov, ki jih potrebujete, razlogi, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve, ter oblika in način pridobitve zahtevanih osebnih podatkov. Na podlagi tako vložene zahteve vam bosta morala MNZ in/ali ZZZS zahtevane osebne podatke posredovati v 15 dneh od prejema popolne zahteve ali pa vas v tem roku pisno obvestiti o razlogih, zaradi katerih vam zahtevanih osebnih podatkov ne bosta posredovala. Če bo vaša zahteva za posredovanje osebnih podatkov iz uradnih evidenc ali javne knjige delno ali v celoti zavrnjena, boste lahko zahtevali, da o vaši vlogi najprej odloči IP, v primeru, da bi potem vašo zahtevo zavrnil še IP, pa boste lahko zahtevali še sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. 

Lepo vas pozdravljamo,

Pripravil

Jože Bogataj, namestnik informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka