Posredovanje osebnih podatkov s strani knjižnice v namen izterjave

Datum

22.12.2023

Številka

07121-1/2023/1607

Kategorije

Informiranje posameznika, Pogodbena obdelava podatkov, Pravica do seznanitve z lastnimi osebnimi podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da so vam iz knjižnice sporočili, da nimate poravnanih obveznosti in da so vaše podatke posredovali svojemu pogodbeniku za izterjavo, ki bi vas naj trikrat med letom kontaktiral. Ne veste, katere podatke so mu posredovali in če ste kdaj v to privolili. V knjižnico ste se včlanili pred začetkom veljavnosti Splošne uredbe, kar pomeni, da niste izrecno pristali na posredovanje tretji osebi in bi vas po vašem mnenju knjižnica morala o tem obvestiti.

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Knjižnica kot upravljavec mora imeti za obdelavo osebnih podatkov članov ustrezno pravno podlago, ki načeloma izhaja iz Zakona o knjižničarstvu.

Pri najemanju pogodbenika v namen izterjave bi lahko šlo za najetje storitev pogodbenega obdelovalca, kar pomeni, da pogodbena stranka obdeluje osebne podatke v imenu, za račun in po navodilih upravljavca osebnih podatkov (torej knjižnice). Pravno podlago za obdelavo osebnih podatkov pogodbeni obdelovalec črpa iz upravičenj upravljavca. Za angažma pogodbenega obdelovalca upravljavec tudi ne potrebuje posebne pravne podlage (npr. soglasja posameznika v ta namen). Upravljavec je odgovoren za zakonito obdelavo osebnih podatkov in mora s pogodbenim obdelovalcem skleniti pogodbo o obdelavi osebnih podatkov.

Upravljavec mora posameznikom ob pridobitvi njihovih podatkov zagotoviti informacije o obdelavi osebnih podatkov. Lahko pa uveljavljate pravico dostopa po 15. členu Splošne uredbe in med drugim prejmete podatek o uporabnikih oz. kategorijah uporabnikov, ki so jim bili oz. jim bodo razkriti vaši osebni podatki.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Uvodoma pojasnjujemo, da mora za zakonito obdelavo osebnih podatkov obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Pri tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Knjižnica lahko zbira in obdeluje osebne podatke članov, kot je to določeno z Zakonom o knjižničarstvu (Uradni list RS, št. 87/01, 96/02 – ZUJIK in 92/15, ZKnj-1). Tretji odstavek 15. člena ZKnj-1 določa, da imajo knjižnice za potrebe izvajanja svoje dejavnosti, zavarovanja knjižničnega gradiva ter nudenja posebnih ugodnosti določenim kategorijam članov pravico, da v skladu s predpisi o varstvu osebnih podatkov zbirajo in obdelujejo naslednje osebne podatke svojih članov: ime in priimek, datum in kraj rojstva, naslov stalnega oziroma začasnega bivališča, kategorijo člana, podatke za obveščanje (telefonska številka oziroma naslov elektronske pošte). Z osebno privolitvijo člana lahko zbirajo tudi podatek o izobrazbeni ravni, ki ga uporabljajo za potrebe načrtovanja nabave knjižničnega gradiva ter organizacije storitev za ciljne skupine članov. Pravna podlaga za obdelavo osebnih podatkov članov je torej ZKnj-1 v povezavi z zgoraj citirano točko (c) prvega odstavka 6. člena Splošne uredbe oz. privolitev, kadar gre za podatek o izobrazbeni ravni.

Upravljavec mora skladno s 13. členom Splošne uredbe posameznike obveščati o obdelavi njihovih osebnih podatkov in sicer ob njihovi pridobitvi (npr. o namenu, pravni podlagi za obdelavo osebnih podatkov, uporabnikih oz. kategorijah uporabnikov osebnih podatkov, itd.). Dodatno vam pojasnjujemo, da lahko pri upravljavcu uveljavljate tudi pravico dostopa po 15. členu Splošne uredbe. Posameznik ima pravico od upravljavca pridobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in v teh primerih tudi dostop do osebnih podatkov ter informacije o obdelavi osebnih podatkov, med drugim uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah. Upravljavec vam mora zagotoviti tudi brezplačno kopijo osebnih podatkov, ki jih o vas obdeluje. Več o tem lahko preberete na: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.

Nadalje pojasnjujemo, da pomeni skladno s 4. členom Splošne uredbe »upravljavec« fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, »obdelovalec« pa fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

V primeru, ki ga navajate, in sicer najemanje pogodbenika v namen izterjave bi lahko šlo za najetje storitev pogodbenega obdelovalca, kar pomeni, da pogodbena stranka obdeluje osebne podatke v imenu, za račun in po navodilih upravljavca osebnih podatkov (torej knjižnice). Pravno podlago za obdelavo osebnih podatkov pogodbeni obdelovalec črpa iz upravičenj upravljavca. Gre torej za razmerje med upravljavcem in obdelovalcem osebnih podatkov, ki mora biti po Splošni uredbi urejeno s pogodbo oz. drugim pravnim aktom. V 28. členu je predpisan minimalni obseg sestavin pogodbe ali drugega pravnega akta, ki mora zlasti določati npr. da lahko obdelovalec osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca; da zagotovi, da so osebe, ki so pooblaščene za obdelavo osebnih podatkov, zavezane k zaupnosti; da sprejme ukrepe za varnost osebnih podatkov (ukrepe opiše v internem pravilniku o varnosti osebnih podatkov), itd. Pri tem je pomembno, da upravljavec skladno z načelom najmanjšega obsega podatkov pogodbenemu obdelovalcu posreduje zgolj tiste osebne podatke, ki so za dosego cilja (torej izterjavo) nujno potrebni. Več informacij glede pogodbene obdelave lahko preberete v Smernicah o pogodbeni obdelavi osebnih podatkov, ki so dosegljive na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf.

Za angažma pogodbenega obdelovalca upravljavec ne potrebuje posebne pravne podlage (npr. soglasja posameznika v ta namen). Upravljavec je odgovoren za zakonito in varno obdelavo osebnih podatkov in za izbor pogodbenega obdelovalca, ki bo izpolnjeval svoje obveznosti, ki so določene v 28. členu Splošne uredbe. Iz zakonodaje tudi ne izhaja zaveza, da bi upravljavec moral v okviru informiranja posameznikov po 13. členu oz. v okviru pravice dostopa po 15. členu Splošne uredbe natančno navesti imena vseh pogodbenih obdelovalcev. Kot smo pojasnili zgoraj, bi lahko pojasnil zgolj, katere so kategorije uporabnikov osebnih podatkov (zadoščala bi npr. navedba, da se osebni podatki posredujejo pogodbenem obdelovalcu).

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo