Obdelava OP v društvu

Datum

24.10.2024

Številka

07121-1/2024/1236

Kategorije

Društva, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo 8. 10. 2024 prejeli vaše zaprosilo za mnenje glede obdelovanja osebnih podatkov članov društva. Zanima vas, katere osebne podatke članov je društvo upravičeno zbirati, na kakšen način je treba te podatke zavarovati, ali imajo člani društva pravico do vpogleda v osebne podatke ostalih članov in pa ali so imena in priimki članov, ki prisostvujejo občnim zborom, lahko dostopni širši javnosti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za zakonito obdelavo osebnih podatkov mora vsak upravljavec izkazati eno izmed pravnih podlag iz 6. člena Splošne uredbe. Za izvajanje dejavnosti društva bo obdelava osebnih podatkov praviloma potekala na podlagi točke (b) oziroma točke (f) prvega odstavka 6. člena Splošne uredbe.

Društvo s temeljnim aktom določi način sodelovanja članov društva pri upravljanju društva ter njihove posebne pravice in dolžnosti. Priporočljivo je, da društva v svojih internih aktih čim bolj natančno predpišejo, katere osebne podatke članov bodo obdelovala in za kakšen namen.

Upravljavec mora z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotoviti ustrezno raven varnosti glede na tveganje. Pri tem mora upoštevati mora upoštevati naravo, obseg, okoliščine in namene obdelave.

Katere osebe lahko dostopajo do osebnih podatkov drugih članov, je odvisno od nalog in s tem povezanih pravic in dolžnosti posameznih članov, ki so določene v internih aktih društva.

Imena in priimki članov društev načeloma niso javni podatki.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov oziroma podajati konkretnih presoj glede ukrepov zavarovanja in pooblaščenih oseb za dostop, saj je to izključna naloga in odgovornost upravljavca. V nadaljevanju IP zato podaja zgolj splošna pojasnila.

Pojasnjujemo, da se po prvem odstavku 6. člena ZVOP-2 lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Pravna podlaga je lahko:

•privolitev posameznika (točka (a)),

•sklenitev ali izvajanje pogodbe (točka (b)),

•izpolnitev zakonske obveznosti (točka (c)),

•zaščita življenjskih interesov posameznika (točka (d)),

•izvajanje javne naloge (točka (e) v zvezi s drugim in četrtim odstavkom 6. člena ZVOP-2)

•zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka (f)).

V zvezi s pravno podlago (b) pogodba oz. pogodbeno razmerje ter (f) zakoniti interesi, IP pojasnjuje, da je za obdelavo osebnih podatkov v društvih že sprejel tolmačenje, da kadar društva izvajajo dejavnosti, ki jih določajo pravila delovanja društva, potem obdelava osebnih podatkov poteka na podlagi točke b) oziroma točke f) člena 6(1) Splošne uredbe (odvisno od danih okoliščin konkretnega primera). Navedeni pravni podlagi prideta v poštev zlasti v povezavi s pravili delovanja društva, ki jih določajo temeljni (npr. statut društva) ter drugi akti, Zakon o društvih in drugi predpisi (v nadaljevanju: pravila za delovanje društva). IP namreč članstvo v društvu razume kot skupek pravic in obveznosti, ki jih član sprejme z včlanitvijo, pravice in obveznosti pa določajo prej navedena pravila za delovanje društva, ki veljajo za člane. Pravno razmerje med članom in društvom je za potrebe varstva osebnih podatkov treba razumeti kot pogodbeno razmerje oziroma razmerje, preko katerega se uresničuje zakoniti interes za delovanje društva.

Glede osebnih podatkov, ki jih društvo lahko zbira, pojasnjujemo, da si v skladu z Zakonom o društvih (Uradni list RS, št. 64/11 – uradno prečiščeno besedilo in 21/18 – ZNOrg; v nadaljevanju: ZDru-1) društvo samo določi namen in cilje, dejavnost oziroma naloge ter način delovanja, odločitve o upravljanju društva pa neposredno ali posredno sprejemajo člani društva. Ta vprašanja mora urejati temeljni akt društva, posameznik pa lahko postane član društva pod pogoji, ki jih društvo določi v temeljnem aktu. S temeljnim aktom torej društvo določi način sodelovanja članov društva pri upravljanju društva ter njihove posebne pravice in dolžnosti. Obvezno vsebino temeljnega akta opredeljuje 9. člen ZDru-1, ki v prvem odstavku določa, kaj mora določati temeljni akt društva (med drugim tudi pogoje in način včlanjevanja ter prenehanja članstva), v tretjem odstavku pa določa, da lahko društvo s temeljnim aktom uredi tudi druga vprašanja, pomembna za upravljanje in delovanje društva. ZDru-1 nadalje v prvem odstavku 12. člena določa, da člani društva ter pooblaščene osebe pravnih oseb, članic društva, sodelujejo pri upravljanju društva neposredno ali posredno po predstavnikih, izvoljenih organih oziroma zastopniku društva na način, določen s temeljnim aktom. Priporočljivo je torej, da društva v svojih internih aktih čim bolj natančno predpišejo, katere osebne podatke članov bodo obdelovala in za kakšen namen. Z akti morajo biti na primeren način obveščeni tudi člani.

Glede načina varovanja osebnih podatkov splošno pojasnjujemo, da področje varnosti obdelave osebnih podatkov ureja 32. člen Splošne uredbe, ki določa, da mora upravljavec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotoviti ustrezno raven varnosti glede na tveganje, pri čemer mora upoštevati mora upoštevati naravo, obseg, okoliščine in namene obdelave. Upravljavec mora torej poskrbeti, da obdelava osebnih podatkov poteka na način, da se med drugim preprečuje nepooblaščen dostop do osebnih podatkov. Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani.

Glede vašega vprašanja, katere osebe lahko dostopajo do osebnih podatkov drugih članov, pojasnjujemo, da je to odvisno od nalog in s tem povezanih pravic in dolžnosti posameznih članov, ki so določene v pravilih za delovanje društva in je zato to predmet notranje organizacije društva. Društvo mora v internih aktih oziroma pravilih za delovanje društva samo določiti, kateri člani so odgovorni za posamezne zbirke osebnih podatkov in kateri člani imajo zaradi narave njihovega dela oziroma opravljanja njihovih nalog dostop do določenih zbirk in osebnih podatkov.

Nazadnje pojasnjujemo še, da imena in priimki članov društev niso javni podatki, v kolikor ne obstajajo neke posebne okoliščine in s tem povezane pravne podlage.

V pomoč vam pošiljamo še povezavo do Smernic IP v zvezi z društvi in varstvom osebnih podatkov: Smernice – Društva in varstvo OP.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka