Načelo najmanjšega obsega osebnih podatkov pri vodenju upravnega postopka

Datum

20.06.2024

Številka

07120-1/2024/237

Kategorije

Občine, Upravni postopki, Uradni postopki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem se na nas obračate z vprašanjem glede zakonitega postopanja v povezavi z vodenjem upravnih postopkov (konkretno vročanja prek javnega naznanila in s tem povezane objave osebnih podatkov na portalu eUprava) na področju odločanja o prekopu posmrtnih ostankov pokojnika. Konkretno se sklicujete na naša navodila in nas prosite za konkretnejšo razlago načela »najmanjšega obsega podatkov« v zvezi z vašim konkretnim primerom.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.1. IP ni pristojen za nadzor nad zakonitostjo vodenja upravnih in drugih postopkov občine ter se posledično ne more opredeljevati do posameznih faz vodenja upravnega postopka v konkretnem primeru.

2.2. Uresničevanje načela najmanjšega obsega podatkov je v praksi vselej odvisna od posebnih okoliščin vsakega konkretnega primera, zato ni mogoče vnaprej podajati splošne in konkretne opredelitve tega načela. Odločitev o tem, kako to načelo upoštevati v posameznem primeru, lahko sprejme izključno organ, ki konkreten postopek vodi. Upravljavec je za to presojo, kot to velja nasploh za zagotavljanje zakonite obdelave osebnih podatkov, odgovoren sam.

Obrazložitev

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni vsi pogoji za obdelavo osebnih podatkov. Konkretno presojo zakonitosti obdelave v posameznem primeru bi IP lahko opravil le v okviru inšpekcijskega ali drugega upravnega postopka. IP prav tako ni pristojen za nadzor nad zakonitostjo vodenja upravnih in drugih postopkov občine ter se posledično ne more opredeljevati do posameznih faz vodenja upravnega postopka v konkretnem primeru (npr. vročanja poziva stranskim udeležencem prek portala eUprava), s tem pa je zadevno mnenje IP le načelno in zato zgolj splošno. Tudi tako IP poudarja, da skladno s sodbo Ustavnega sodišča RS, št. U‑I‑92/12‑13 z dne 10. 10. 2013, ni pristojen posegati v vodenje uradnih (upravnih) postopkov, za katere so pristojni drugi organi.

Če imate vprašanja ali potrebujete pomoč glede pravilnega vodenja upravnega postopka, vključno z ustreznim načinom vabljenja morebitnih stranskih udeležencev prek portala eUprava, vam priporočamo, da se z vašimi vprašanji obrnete na resorno ministrstvo; natančneje na Ministrstvo za javno upravo.

Kljub zgoraj omenjenemu, IP vseeno poudarja, da mora vsak upravljavec (t.j. subjekt, ki osebne podatke obdeluje) skrbeti za upoštevanje vseh načel in pravil varstva osebnih podatkov izhajajoč iz Splošne uredbe o varstvu podatkov in ZVOP-2, pri vsakem posameznem koraku vodenja upravnih postopkov. Predvsem je pomembno upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Uresničevanje tega načela v praksi je torej vselej odvisna od posebnih okoliščin vsakega konkretnega primera, zato ni mogoče vnaprej podajati splošne in konkretne opredelitve tega načela. Odločitev o tem, kako to načelo upoštevati v posameznem primeru, lahko sprejme izključno organ, ki konkreten postopek vodi. Upravljavec pa je za to presojo, kot to velja nasploh za zagotavljanje zakonite obdelave osebnih podatkov, odgovoren sam.

Kljub navedenemu pa velja poudariti, da sistemska in splošna praksa objave vsakega poziva na portalu eUprava ne bo ustrezna, če se v konkretnem primeru ne bo izkazala ustreznost, relevantnost in potrebnost objave teh podatkov za zasledovane namene.

Poleg določb Splošne uredbe in ZVOP-2 tudi Zakon o splošnem upravnem postopku (Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, 105/06 – ZUS-1, 126/07, 65/08, 8/10, 82/13, 175/20 – ZIUOPDVE in 3/22 – ZDeb; v nadaljevanju ZUP) vsebuje določbe, ki omogočajo, da upravni organ pridobiva osebne podatke v zvezi s postopkom, ki ga vodi (glej določbe 34.a člena in 139. člena ZUP).

V zvezi s tem velja opozoriti, da je način kako in iz katerih zbirk organ te podatke pridobiva, vedno odvisen od konkretnega postopka, pri čemer ustreznost takšnega postopanja IP namesto organa ne more, niti ne sme vsebinsko presojati. Če organ po skrbni presoji konkretnega primera, z vidika načel in pravil varstva osebnih podatkov upoštevaje potrebe posameznega upravnega postopka, vseeno presodi, da je javna objava takšnega poziva edini ustrezen način, za opravljeno presojo in s tem obdelavo osebnih podatkov, tudi odgovarja. Odgovornost za zakonito obdelavo osebnih podatkov je namreč na upravnem organu in se je kot take ne sme prelagati na IP.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka