Sum neupravičenega posredovanja osebnih podatkov z elektronsko pošto

Datum

25.04.2024

Številka

07121-1/2024/494

Kategorije

Elektronska pošta, Občine, Pravne podlage, Uradni postopki

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Pojasnjujete, da ste na medobčinsko upravo kot pristojni organ naslovili vprašanje glede ustreznosti zaračunavanja določenih pogrebnih storitev, vašo elektronsko pošto pa je vodja medobčinske inšpekcije preposlal občini kot nepristojnemu organu, saj slednja nima posebnih pooblastil za nadzor po predpisih, ki urejajo pogrebno dejavnost. Na občini vašo korespondenco in s tem osebne podatke posredovali naprej direktorju komunalne družbe, ki je opravila pogrebne storitve in izdala sporen račun. S tem so posredovali tudi vaše osebne podatke, s čimer niste soglašali. Na medobčinski inšpekciji so vam pojasnili, da je podlaga za razkritje vsebine vašega pisanja in s tem osebnih podatkov direktorici občinske uprave v točki e 6. člena Splošne uredbe o varstvu osebnih podatkov. Ker menite, da navedena podlaga ne daje možnosti za tovrstno obdelavo, vas zanima mnenje IP glede ustreznosti ravnanja z vašimi osebnimi podatki ter kaj lahko storite.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP pojasnjuje, da je pristojen zgolj za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov. S posredovanjem vsebine elektronske pošte pa se lahko krši tudi pravica do komunikacijske zasebnosti, za varstvo katere IP ni pristojen.

Določba točke e prvega odstavka 6. člena Splošne uredbe sama po sebi ne pomeni pravne podlage za obdelavo osebnih podatkov, saj praviloma zahteva ustrezno pravno podlago v zakonu. Ta je odvisna od namena obdelave. Medobčinski inšpektorat kot del medobčinske uprave in občina lahko osebne podatke obdelujeta na primer na podlagi določb ZIN, ZUP, ZLS ali druge specialne zakonodaje.

V mnenju IP ne more presojati, je v konkretnem primeru prišlo do nezakonitega posredovanja osebnih podatkov, saj bi to lahko ugotavljal le v okviru nadzornega postopka.

Obrazložitev

IP pojasnjuje, da je pristojen zgolj za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave RS. Primer, ki ga opisujete, pa bi se lahko nanašal tudi na pravico iz 37. člena Ustave RS, ki zagotavlja tajnost pisem in drugih občil kot posebno kategorijo pravice do zasebnosti. Pravica do komunikacijske zasebnosti spada v pristojnost sodišč in je varovana z instituti civilnega ter kazenskopravnega varstva. Prav tako IP izpostavlja, da izven nadzornega postopka ne more presojati zakonitosti konkretnih obdelav osebnih podatkov in dokončno odločati o ustreznosti ravnanja določenega upravljavca. Zato vam v nadaljevanju podajamo splošna pojasnila in pravna izhodišča, ki se nanašajo na varstvo osebnih podatkov.

Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju je zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c in e prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. Ne glede na te določbe pa se za izvrševanje točke e prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

Določba točke e prvega odstavka 6. člena Splošne uredbe sama po sebi ne pomeni pravne podlage za obdelavo osebnih podatkov, ampak praviloma zahteva ustrezno pravno podlago v zakonu. Pri izbiri ustrezne pravne podlage za obdelavo osebnih podatkov pa je treba upoštevati njen namen. IP v konkretni zadevi ne pozna namena, zaradi katerega je vodja medobčinske inšpekcije vašo elektronsko pošto preposlal direktorici občinske uprave, ta pa dalje direktorju komunalne družbe, ki je opravilo pogrebne storitve in izdalo sporen račun. Kot je razbrati iz vašega opisa, pa je šlo za obravnavanje vašega vprašanja v zvezi z obračunom pogrebnih storitev.

IP je že večkrat zavzel stališče, da imajo organi v okviru postopkov, ki jih vodijo na podlagi svojih pristojnosti, načeloma pravno podlago za obdelavo tistih osebnih podatkov, ki jih v konkretnem postopku potrebujejo za to, da lahko sprejmejo obrazloženo odločitev. V tem okviru ni izključeno, da je potrebno posredovanje oziroma pridobivanje določenih osebnih podatkov med upravljavci. Medobčinski inšpektorat kot del medobčinske uprave in občina lahko osebne podatke obdelujeta na primer na podlagi določb Zakona o inšpekcijskem nadzoru (ZIN; Uradni list RS, št. 43/07 – uradno prečiščeno besedilo in 40/14), Zakona o splošnem upravnem postopku (ZUP; Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, s spremembami in dopolnitvami) ali podlagi 21.a v zvezi z 21. členom Zakona o lokalni samoupravi (ZLS; Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, s spremembami in dopolnitvami). Za obravnavano situacijo je lahko v tem kontekstu pomembno tudi dejstvo, da so občine ustanovile medobčinsko upravo za skupno opravljanje določenih nalog, tudi za občinsko inšpekcijsko nadzorstvo, ter da komunalno podjetje najverjetneje izvršuje pogrebne storitve kot lokalne zadeve javnega pomena.

Glede na obrazloženo na podlagi vašega opisa dogodkov ter v okviru mnenja IP ne more presojati, ali je v konkretnem primeru prišlo do nezakonitega posredovanja osebnih podatkov. Če menite, da je prišlo do kršitve varstva osebnih podatkov, lahko pri IP vložite prijavo. Uporabite lahko obrazec »Enotna vloga zaradi kršitve varstva osebnih podatkov« (Obrazec VOP prijava), ki je objavljen na povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Več informacij o nadzornih postopkih pri IP je objavljenih na povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/in%C5%A1pekcijski-nadzor/.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka