Dostop do podatkov iz CRP

Datum

03.11.2023

Številka

07120-1/2023/479

Kategorije

Občine, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dostopa do določenih osebnih podatkov s strani javnega podjetja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito.

Upravljavec CRP lahko posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdrževanje registrov in uradnih evidenc državnim organom in drugim uporabnikom, za izvrševanje njihovih, z zakonom določenih nalog.

ZLS ne vsebuje pravne podlage za neposredno pridobivanje podatkov iz posameznih uradnih evidenc (v konkretnem primeru CRP), ki jih vodijo državni organi, s strani fizičnih in pravnih oseb (koncesionarjev), ampak določa, da te podatke slednji lahko pridobijo le preko občine.

Upravljavci registra stalnega prebivalstva, matičnega registra, evidence registriranih vozil in centralnega registra prebivalstva na način, ki je določen za izdajo potrdila, posredujejo upravičencu, ki izkaže zakoniti interes za uveljavljanje pravic pred osebami javnega sektorja, naslednje osebne podatke: osebno ime in naslov stalnega ali začasnega prebivališča oziroma stalni ali začasni naslov prebivališča v drugi državi, navedba lastnika ali uporabnika vozila, naslov za vročanje ali datum smrti posameznika, zoper katerega ali v zvezi s katerim uveljavlja svoje pravice.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Poleg tega ZVOP-2 vsebuje tudi posebne določbe glede posredovanja osebnih podatkov (39. - 41. člen). Skladno s prvim odstavkom 39. člena ZVOP-2 lahko osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom ZVOP-2, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon določa drugače. Prejemnik podatkov sme osebne podatke obdelovati samo za namen, za uresničevanje katerega se mu posredujejo. Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

IP dodaja, da Zakon o centralnem registru prebivalstva (ZCRP; Uradni list RS, št. 72/06 – UPB, 3/22 - ZDeb) v drugem odstavku 12. člena določa, da lahko upravljavec CRP posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdrževanje registrov in uradnih evidenc državnim organom in drugim uporabnikom, za izvrševanje njihovih, z zakonom določenih nalog. V skladu z drugim odstavkom 23. člena ZCRP uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov, in uporabniki, ki so pooblaščeni z osebno pisno privolitvijo posameznika, na katerega se podatki nanašajo, lahko iz CRP pridobivajo le v zakonu oziroma osebni privolitvi navedene osebne podatke. Če v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, lahko iz CRP dobijo naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča. Vsekakor pa je ob tem treba upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Iz navedenega izhaja, da morajo imeti uporabniki konkretno zakonsko podlago za pridobivanje podatkov iz CRP, obenem pa mora ta zakonska podlaga tudi izrecno predpisovati kategorije podatkov, do katerih je uporabnik upravičen. Ob odsotnosti izrecne navedbe kategorij podatkov v zakonu (ali po moči zakonu vsaj enakovrednemu predpisu, npr. evropska uredba), lahko uporabniki, ki sicer imajo zakonsko podlago, torej dostopajo do imena in priimka, kraja rojstva, leta rojstva, spola, državljanstva, prebivališča in vrste prebivališča. IP ob tem pojasnjuje, da po njegovem mnenju odlok občine ne predstavlja ustrezne pravne podlage v smislu zgornjih pojasnil.

IP nadalje pojasnjuje, da Zakon o lokalni samoupravi (ZLS; Uradni list RS, št. 94/07 - UPB, 76/08, 79/09, 51/10, 40/12 - ZUJF, 14/15 - ZUUJFO, 11/18 - ZSPDSLS-1, 30/18, 61/20 - ZIUZEOP-A, 80/20 - ZIUOOPE) v 61. členu določa, da občina zagotavlja opravljanje javnih služb, ki jih v skladu z zakonom določi s svojim splošnim aktom, in javnih služb, za katere je tako določeno z zakonom (lokalne javne službe). Opravljanje lokalnih javnih služb zagotavlja občina na več načinov, in sicer neposredno v okviru občinske uprave, z ustanavljanjem javnih zavodov in javnih podjetij, z dajanjem koncesij ali na drug način, določen v skladu z zakonom.

Pooblastila občine glede obdelave osebnih podatkov ZLS opredeljuje v 21.a členu v povezavi z 21. členom ZLS. Občina v skladu z 21. členom ZLS samostojno opravlja lokalne zadeve javnega pomena (izvirne naloge), ki jih določi s splošnim aktom občine ali so določene z zakonom. V skladu z 21.a členom ZLS občina pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe. Občina pridobiva in obdeluje o posameznikih naslednje osebne podatke: EMŠO, osebno ime, naslov stalnega ali začasnega prebivališča, datum in kraj rojstva oziroma datum smrti, podatke o osebnih vozilih, podatke o nepremičninah ter druge osebne podatke v skladu z zakonom. Občina pridobiva osebne podatke neposredno od posameznika, na katerega se podatki nanašajo, lahko pa jih na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. Upravljavec zbirke podatkov mora občini omogočiti dostop tudi do drugih podatkov iz zbirke, če je to določeno z zakonom in če te podatke občina potrebuje za izvajanje svojih z zakonom določenih pristojnosti. Navedene določbe predstavljajo izrecno zakonsko podlago za pridobivanje osebnih podatkov s strani posamezne občine, ki jih potrebuje za izvajanje katere od zakonsko dodeljenih nalog.

Način in pravna podlaga, na podlagi katerih smejo koncesionarji pridobivati osebne podatke, ki jih potrebujejo za opravljanje javne službe, sta opredeljena v 6. odstavku 21.a člena ZLS, kjer je določeno, da občina lahko, zaradi izvajanja nalog iz svoje pristojnosti v skladu z nameni in pod pogoji določenimi v zakonu, posreduje pridobljene podatke fizičnim in pravnim osebam. ZLS torej ne vsebuje pravne podlage za neposredno pridobivanje podatkov iz posameznih uradnih evidenc (v konkretnem primeru CRP), ki jih vodijo državni organi, s strani fizičnih in pravnih oseb (koncesionarjev), ampak določa, da te podatke slednji lahko pridobijo le preko občine. Občina, ki je dolžna zagotavljati opravljanje obvezne lokalne javne službe, mora torej koncesionarju, ki opravlja storitve v zvezi s to javno službo namesto nje, posredovati osebne podatke, ki so za to potrebni in primerni.

IP pa ob tem pojasnjuje tudi, da ZVOP-2 v četrtem odstavku 39. člena določa, da ne glede na določbe prejšnjih odstavkov istega člena ZVOP-2 upravljavci registra stalnega prebivalstva, matičnega registra, evidence registriranih vozil in centralnega registra prebivalstva na način, ki je določen za izdajo potrdila, posredujejo upravičencu, ki izkaže zakoniti interes za uveljavljanje pravic pred osebami javnega sektorja, naslednje osebne podatke: osebno ime in naslov stalnega ali začasnega prebivališča oziroma stalni ali začasni naslov prebivališča v drugi državi, navedba lastnika ali uporabnika vozila, naslov za vročanje ali datum smrti posameznika, zoper katerega ali v zvezi s katerim uveljavlja svoje pravice. Posredovanje je torej dopustno le v primeru izkaza zakonitega interesa za uveljavljanje pravic pred osebami javnega sektorja. Prosilec mora tako izkazati, zakaj (za uveljavljanje katerih pravic) potrebuje zahtevane osebne podatke in pred katerimi organi javnega sektorja bo uveljavljal svoje pravice. V primeru izkaza takega interesa se upravičencu lahko posreduje le taksativno določen nabor osebnih podatkov: osebno ime in naslov stalnega ali začasnega prebivališča oziroma stalni ali začasni naslov prebivališča v drugi državi, navedba lastnika ali uporabnika vozila, naslov za vročanje ali datum smrti posameznika, zoper katerega ali v zvezi s katerim uveljavlja svoje pravice. Ta določba bi eventualno lahko predstavljala pravno podlago za neposredno pridobivanje podatkov iz CRP s strani javnega podjetja ali drugih koncesionarjev, ki izvajajo gospodarsko javno službo. Koncesionarji, ki bi torej izkazali zakoniti interes za uveljavljanje pravic pred osebami javnega sektorja, bi lahko neposredno od upravljavca (MNZ RS) pridobivali podatke iz CRP, vendar v skladu z navedeno zakonsko določbo izključno taksativno določen nabor osebnih podatkov.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. IP namreč skladno s četrtim odstavkom 41. člena ZVOP-2 v primeru zavrnitve zahteve za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig nastopa kot pritožbeni organ, če specialni predpis za posamezne primere ne določa drugače.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka