Obdelava podatkov o povzročiteljih družinskega nasilja ter kontaktiranje žrtev v okviru vodenja programa društva

Datum

09.07.2024

Številka

07121-1/2024/784

Kategorije

Društva, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem se v svojstvu društva za nenasilno komunikacijo obračate na nas z vprašanji, ali lahko od uporabnika, ob vključitvi v program za delo s povzročitelji nasilja, zahtevate, da ta deli imena svoje partnerke, do katere je bil nasilen, njenih otrok, morebitne nove partnerke in njenih otrok. Zanima vas, ali lahko to zahtevo vključite v dogovor kot pogoj za vključitev v program. Zanima vas tudi, ali lahko v okviru programa neposredno kontaktirate tudi žrtve nasilja in nove partnerke?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

Za zakonito obdelavo osebnih podatkov vsak upravljavec potrebuje izkazati eno izmed pravnih podlag iz 6. člena Splošne uredbe (za izvajanje dejavnosti društva bo praviloma obdelava osebnih podatkov potekala na podlagi točke b) oziroma točke f) člena 6(1) Splošne uredbe)

Obdelava osebnih podatkov v društvu se šteje za zakonito, če se osebni podatki obdelujejo za namene zakonitega delovanja društva in je torej odvisna od nalog in dejavnosti, ki jih določajo pravila za delovanje društva.

Upravljavec mora pri izvajanju svojih nalog, kakor tudi pri snovanju svojih internih pravil, zagotoviti spoštovanje vseh pravil in načel varstva osebnih podatkov (načelo zakonitosti, poštenosti, preglednosti, omejitve namena, najmanjšega obsega podatkov itd.).

Društvo bo moralo izkazati, zakaj je za dosego namena obdelave (izvajanje programa društva) potrebna obdelava vsakega posameznega podatka (imen bivših partnerjev, otrok, novih partnerjev itd.), ki ga želi zbrati za ta namen.

Obrazložitev

IP uvodoma poudarja, da lahko podaja zgolj neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP ob tem tudi ne nudi storitve pregleda ali vnaprejšnje odobritve različnih načinov notranjega poslovanja, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti predvidenega poslovanja vašega društva, ki ste ga na kratko opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov. V nadaljevanju vam zato podajamo zgolj naša splošna pojasnila.

IP splošno pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe in ZVOP-2. Splošna uredba v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

V zvezi s pravno podlago (b) pogodba oz. pogodbeno razmerje ter (f) zakoniti interesi, IP še pojasnjuje, da je za obdelavo osebnih podatkov v društvih že sprejel tolmačenje, da kadar društva izvajajo dejavnosti, ki jih določajo pravila delovanja društva, potem obdelava osebnih podatkov poteka na podlagi točke b) oziroma točke f) člena 6(1) Splošne uredbe (odvisno od danih okoliščin konkretnega primera). Navedeni pravni podlagi prideta v poštev zlasti v povezavi s pravili delovanja društva, ki jih določajo temeljni (npr. statut društva) ter drugi akti, Zakon o društvih in drugi predpisi (v nadaljevanju: pravila za delovanje društva). IP namreč članstvo v društvu razume kot skupek pravic in obveznosti, ki jih član sprejme z včlanitvijo, pravice in obveznosti pa določajo prej navedena pravila za delovanje društva, ki veljajo za člane. Pravno razmerje med članom in društvom je za potrebe varstva osebnih podatkov treba razumeti kot pogodbeno razmerje oziroma razmerje, preko katerega se uresničuje zakoniti interes za delovanje društva.

Če določeno dejanje obdelave osebnih podatkov v društvu pomeni izvajanje dejavnosti društva (npr. zbiranje podatkov o članih za izvajanje programov društva), ki je v skladu s pravili delovanja društva, potem je praviloma zagotovljena tudi pravna podlaga za obdelavo v skladu z navedenima določbama 6(1)(b) ali 6(1)(f) Splošne uredbe, ali povedano drugače, obdelava osebnih podatkov v društvu se šteje za zakonito, če se osebni podatki obdelujejo za namene zakonitega delovanja društva in je torej odvisna od nalog in dejavnosti, ki jih določajo pravila za delovanje društva.

Dodatno utemeljitev glede pravnih podlag za obdelavo osebnih podatkov za namene delovanja društev po Splošni uredbi je IP zapisal podrobneje tudi v svojem mnenju št. 0712-1/2018/622 z dne 18. 3. 2019, ki je dostopno na naslednji povezavi: https://www.ip-rs.si/mnenja-zvop/splo%C5%A1no-glede-obdelave-osebnih-podatkov-v-dru%C5%A1tvih.

Pri tem pa velja opozoriti, da mora društvo tako pri izvajanju svojih nalog, kakor tudi pri snovanju svojih internih pravil, zagotoviti spoštovanje vseh pravil in načel varstva osebnih podatkov (slednja so določena v 5. členu Splošne uredbe). Osebni podatki morajo biti obdelano zakonito, pošteno in na pregleden način (načelo zakonitosti, poštenosti in preglednosti), zbrani pa morajo biti za določene, izrecne in zakonite namene, ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načelo omejitve namena).

Predvsem je pomembno upoštevati tudi načelo najmanjšega obsega podatkov, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Uresničevanje tega načela v praksi je torej vselej odvisna od posebnih okoliščin vsakega konkretnega primera, zato ni mogoče vnaprej podajati splošne in konkretne opredelitve tega načela. Navedeno načelo v svojem temelju pomeni, da je potrebno obdelovati samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru. V konkretnem primeru bi moral torej upravljavec (vaše društvo) izkazati, zakaj je za dosego namena obdelave (izvajanje programa društva) potrebna tudi obdelava vsakega posameznega podatka (imen bivših partnerjev, otrok, novih partnerjev itd.), ki ga želi zbrati za ta namen.

IP na podlagi navedenega še pojasnjuje, da je vsak upravljavec odgovoren za svoje poslovanje in s tem zakonitost ter sorazmernost obdelav osebnih podatkov, ki se izvajajo v okviru njegovega delovanja. V skladu s tem mora vsak upravljavec znati celovito presoditi, ali je za dosego želenega cilja oziroma namena obdelave nujno potrebna obdelava vseh navedenih podatkov, ki se predvidevajo v okviru konkretnega programa oz. nasploh poslovanja društva. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je torej primarno vedno na upravljavcu osebnih podatkov. Za izvedbo takšne presoje in s tem povezano zakonito obdelavo osebnih podatkov odgovarja namreč upravljavec sam in je kot take ne more prelagati na IP.

Glede ostalih vaših vprašanj (torej, ali zahtevo za pridobivanje zadevnih podatkov lahko vključite v pristopni dogovor s članom oz. ali lahko v okviru programa kontaktirate žrtve nasilja) pa IP poudarja, da na ta vprašanja ni pristojen odgovarjati. IP namreč ne sme posegati v pristojnost vodenja in poslovanja upravljavcev (npr. društva) izven področji za katere je izrecno pristojen (glej prvi odstavek 2. člena ZInfP). Za vprašanja ustreznosti poslovanja in zakonitega delovanja društva predlagamo, da se obrnete na vaše resorno ministrstvo, konkretno na Ministrstvo za notranje zadeve oz. na pravnega zastopnika.

IP še pojasnjuje, da je v zvezi z obdelavo osebnih podatkov v društvih izdal smernice »Društva in varstvo osebnih podatkov«, ki so objavljene na spletnih straneh IP, na naslovu: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/. Poleg smernic je IP v zvezi z obdelavo osebnih podatkov v društvih izdal tudi več mnenj, ki so skupaj z ostalimi mnenji objavljena na naših spletnih straneh: https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-mnenjih (mnenja lahko poiščete z iskalnikom po ključni besedi »društvo«).

V upanju, da ste dobili odgovore na vaša vprašanja, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka