Povezovanje zbirk in uporaba povezovalnega znaka

Datum

07.03.2023

Številka

07120-1/2023/109

Kategorije

Posredovanje osebnih podatkov, Pravne podlage, Pridobivanje OP iz zbirk, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zgoraj navedeno zaprosilo za mnenje glede uporabe povezovalnega znaka. Kot navajate, Zakon o varstvu okolja (Uradni list RS, št. 44/2022 in 18/23, v nadaljevanju: ZVO-2) v prvem odstavku 221. člena določa, da Eko sklad, Slovenski okoljski javni sklad (v nadaljnjem besedilu: Eko sklad) lahko za namen odločanja o dodelitvi pravice do dodelitve spodbude ali izplačila spodbude ali v postopku spremljanja in nadzora dodeljenih spodbud, brezplačno pridobiva in med seboj povezuje tudi podatke iz centralne zbirke podatkov o denarnih socialnih pomočeh in varstvenem dodatku, ki jo vodi ministrstvo, pristojno za socialno varstvo, na podlagi davčne številke: osebno ime, prebivališče, EMŠO, podatke o družinskih članih in podatke, ki se nanašajo na družinska razmerja, podatke o upravičenosti do denarne socialne pomoči in do varstvenega dodatka.

Ministrstvo za delo, družino, socialne zadeve in enake možnosti (v nadaljnjem besedilu: MDDSZ), kot upravljavec zbirke podatkov po enajsti točki prvega odstavka 221. člena ZVO-2 mora skladno s četrtim odstavkom 295. člena ZVO-2 Eko skladu zagotoviti tehnično povezavo do zgoraj navedene zbirke podatkov.

Eko Sklad ima na podlagi 1. odstavka 221. člena ZVO-2 pravno podlago za pridobitev osebnih podatkov iz 2. in 3. odstavka 49. člena Zakona o uveljavljanju pravic iz javnih sredstev (Uradni list RS, št. 62/10, s sprem., v nadaljevanju: ZUPJS), s katerimi MDDSZ razpolaga in jih Eko Skladu lahko posreduje v okviru njihove zakonske podlage. Vendar pa ima Eko Sklad kot povezovalni znak za pridobitev slednjih podatkov, določeno davčno številko (v nadaljnjem besedilu: DŠ), s podatkom o DŠ pa MDDSZ v okviru upravljanja centralne zbirke podatkov ne razpolaga, pač pa jo od upravljavcev zbirk na podlagi 51. člena ZUPJS pridobi za potrebe odločanja o pravicah oz. dovoljene namene obdelave po 52. členu ZUPJS in tega podatka ne vodi v centralni zbirki podatkov.

1.1. V zvezi z navedenim se sprašujete, ali je pravna podlaga ZVO-2 dovolj, da sme MDDSZ Eko Skladu posredovati podatke iz centralne zbirke na podlagi DŠ.

2.2. Pri tem MDDSZ pojasnjuje, da brez izvedbe določenih dodatnih del v informacijskem sistemu IS CSD trenutno ne more na podlagi DŠ osebe zagotoviti osebnih podatkov iz centralne zbirke podatkov, ki jih zahteva Eko Sklad. Šele po izvedbi določenih dodatnih povezav (del) v informacijskem sistemu, bi se to sicer lahko Eko Skladu zagotovilo. V zvezi s tem se sprašujete, kolikor je odgovor na prejšnje vprašanje pritrdilen, ali je MDDSZ za zagotavljanje posredovanja podatkov Eko Skladu dolžno izvesti tudi takšne nadgradnje v sistemu, saj so s tem povezani dodatni stroški, ki bodo bremenili MDDSZ.

3.3. MDDSZ je mnenja, da bi zahtevane podatke Eko Skladu lahko posredovalo na podlagi povezovalnega znaka EMŠO številke osebe, ki se sicer vodi v okviru centralne zbirke, sprašujete pa se, ali lahko Eko Sklad zahteva pridobitev podatkov na podlagi EMŠO številke, čeprav ZVO-2 določa kot povezovalni znak DŠ.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju: ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi zgoraj navedenimi vprašanji.

1.1. Določba 11. točke prvega odstavka 221. člena ZVO-2 se z vidika 6. člena Splošne uredbe ter 6. in 87. člena ZVOP-2 šteje kot ustrezna pravna, na podlagi katere lahko MDDSZ Eko skladu za namen odločanja o dodelitvi pravice do dodelitve spodbude ali izplačila spodbude ali v postopku spremljanja in nadzora dodeljenih spodbud, na podlagi davčne številke omogoči dostop oziroma povezavo do sledečih osebnih podatkov vlagatelja iz centralne zbirke podatkov iz 49. člena ZUPJS: osebno ime, prebivališče, EMŠO, podatke o družinskih članih in podatke, ki se nanašajo na družinska razmerja, podatke o upravičenosti do denarne socialne pomoči in do varstvenega dodatka.

2.2. Splošna uredba in ZVOP-2 upravljavcu osebnih podatkov ne nalagata izvedbe takšnih nadgradenj informacijskega sistema, s katerimi bi se drugemu upravljavcu oziroma uporabniku osebnih podatkov omogočalo pridobivanje določenih osebnih podatkov iz zbirke in ne določata, kdo mora kriti stroške za takšno nadgradnjo. V kolikor bi se takšna nadgradnja izvedla, bi moral upravljavec, ki posreduje osebne podatke, skladno z določbami Splošne uredbe in ZVOP-2 pri takšni nadgradnji zagotoviti varnost osebnih podatkov, kot mu to nalaga 5., 25. in 32. člen Splošne uredbe ter zagotoviti dnevnike obdelave, kot mu to nalaga 22. člen ZVOP-2, smiselno enako pa velja tudi za upravljavca, ki bi na takšen način pridobival osebne podatke. V primeru nadgradnje informacijskega sistema, ki bi omogočal povezavo s centralno zbirko podatkov iz 49. člena ZUPJS, katera vsebuje tudi podatke o uveljavljanju pravic iz javnih sredstev, bi morala upravljavca pred začetkom povezovanja izdelati tudi oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom (IP) po 36. členu Splošne uredbe.

3.3. IP meni, da se lahko povezava med centralno zbirko podatkov iz 49. člena ZUPJS in zbirko Eko sklada glede na obstoječe določbe prvega in tretjega odstavka 221. člena ZVO-2 izvede le na način, da se kot povezovalni znak uporabi davčna številka.

Obrazložitev

IP uvodoma pojasnjuje, da izven nadzornega ali drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov in podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov ter da je odgovornost za zakonito in pošteno obdelavo osebnih podatkov vedno na upravljavcu osebnih podatkov.

Osebni podatki se skladno s 6. členom ZVOP-2 lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. V primeru posredovanja oziroma pridobivanja osebnih podatkov iz centralne zbirke podatkov iz 49. člena ZUPJS na podlagi 221. člena ZVO-2 gre za obdelavo osebnih podatkov, ki se izvaja za opravljanje naloge v javnem interesu in pri izvajanju javne oblasti iz točke e) prvega odstavka 6. člena splošne uredbe, zato je takšna obdelava zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. V konkretnem primeru je obdelava osebnih podatkov določena v ZVO-2, kjer je v prvem odstavku 221. člena določeno, da lahko Eko sklad za namen odločanja o dodelitvi pravice do dodelitve spodbude ali izplačila spodbude ali v postopku spremljanja in nadzora dodeljenih spodbud brezplačno pridobiva in med seboj povezuje med drugim tudi naslednje podatke: 11. iz centralne zbirke podatkov o denarnih socialnih pomočeh in varstvenem dodatku, ki jo vodi ministrstvo, pristojno za socialno varstvo, na podlagi davčne številke: osebno ime, prebivališče, EMŠO, podatke o družinskih članih in podatke, ki se nanašajo na družinska razmerja, podatke o upravičenosti do denarne socialne pomoči in do varstvenega dodatka. V citirani določbi 11. točke prvega odstavka 221. člena ZVO-2 so tako določene vrste osebnih podatkov, ki se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, ter namen njihove obdelave, poleg tega pa so določeni tudi pogoji za obdelavo osebnih podatkov, in sicer je določeno, da se osebni podatki pridobijo na podlagi davčne številke. V tretjem odstavku 221. člena ZVO-2 je dodatno še določeno, da lahko Eko sklad pridobljene podatke iz prvega odstavka tega člena hrani v posebni zbirki podatkov ter jih obdeluje za potrebe posameznega postopka odločanja o dodelitvi pravice do spodbud, dodeljevanja spodbud, odvzema spodbud, izplačila spodbud ali za izvrševanja nadzora in spremljanja stanja tega postopka, rok hrambe osebnih podatkov v zbirki pa ni dovolj jasno določen zato v zvezi z rokom hrambe osebnih podatkov v zbirki Eko sklada treba upoštevati načelo omejitve shranjevanja iz 5. člena Splošne uredbe, po kateri so lahko osebni podatki v obliki, ki dopušča identifikacijo posameznikov, hranjeni le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.

V četrtem odstavku 295. člena ZVO-2 je še določeno, da upravljavec zbirk podatkov iz prvega odstavka 221. člena tega zakona (med drugim je to tudi MDDSZ) zagotovi Eko skladu, tehnično povezavo do posamezne zbirke podatkov iz 221. člena tega zakona najkasneje v osmih mesecih po uveljavitvi tega zakona, do vzpostavitve take povezave pa Eko sklad podatke iz teh zbirk pridobiva po uradni dolžnosti.

Kot izhaja iz prvega odstavka 221. člena, lahko Eko sklad z vzpostavitvijo tehnične povezave osebne podatke iz zbirk pridobiva in med sabo povezuje ter hrani v svoji posebni zbirki, torej bo z vzpostavitvijo tehnične povezave najverjetneje šlo za povezavo zbirk osebnih podatkov, ki v skladu z 12. točko drugega odstavka 5. člena ZVOP-2 pomeni avtomatsko in elektronsko povezovanje zbirk, ki jih upravljajo upravljavci za različne namene ali po različnih pravnih podlagah, in sicer tako, da se določeni osebni podatki samodejno prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk, tudi če se izvaja le enosmeren pretok osebnih podatkov; zbirke so povezane, če se določeni osebni podatki iz ene zbirke neposredno vključijo v drugo zbirko in se tako druga zbirka poveča ali posodobi ali pa se osebni podatki v njej zaradi točnosti spremenijo. Povezovanje se torej izvede tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko.

Povezavo zbirk osebnih podatkov ureja 87. člen ZVOP-2, ki v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

Centralna zbirka podatkov iz 49. člena ZUPJS vsebuje med drugim tudi podatke o premoženju posameznika, ki se obdelujejo v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev (ZUPJS), zaradi česar je povezava takšne zbirke z drugimi zbirkami skladno z določbami 87. člena ZVOP-1 dopustna samo v primeru, če takšno povezavo izrecno določa zakon. IP meni, da se zgoraj citirane določbe 221. člena ZVO-2 lahko štejejo kot določbe, ki izrecno določajo oziroma dopuščajo povezavo centralne zbirke podatkov iz 49. člena ZUPJS s posebno zbirko, ki jo na podlagi tretjega odstavka 221. člena ZVO-2 vodi Eko sklad, vendar pa mora biti takšna povezava izvedena pod pogoji, ki jih v zvezi s takšno obdelavo določajo ZVOP-2, Splošna uredba in ZVO-2. Da bi zadostili tem pogojem, je treba zagotoviti, da se bodo v okviru povezave pridobivale oziroma obdelovale le tiste vrste osebnih podatkov, ki jih določa zakon, ter da se bo povezava izvedla na način in z uporabo povezovalnega znaka, ki ga določa zakon. Poleg tega je treba poskrbeti tudi za varnost osebnih podatkov, kot to upravljavcem in obdelovalcem nalaga 5., 25. in 32. člen Splošne uredbe ter zagotoviti dnevnike obdelave, ki morajo skladno z 22. členom ZVOP-2 za dejanja obdelave, kot so zbiranje, spreminjanje, vpogled, razkritje, vključno s prenosi, izbris ter druga dejanja obdelave, ki so določena v področnem zakonu, vsebovati vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov.

Kadar gre za povezavo zbirke, v kateri se obdelujejo osebni podatki iz prvega odstavka 87. člena ZVOP-2, med katere se uvršča tudi centralna zbirka podatkov iz 49. člena ZUPJS, v kateri se med drugim vodijo tudi podatki o premoženju posameznika, o upravičenosti do denarne socialne pomoči in do varstvenega dodatka, ter drugi podatki, ki se pridobijo in vodijo na podlagi 49., 51. in 52. člena ZUPJS, mora upravljavec takšne zbirke, skupaj z upravljavcem zbirke, v katero se bodo osebni podatki prenašali, pred pričetkom povezovanja izdelati tudi oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom (IP) po 36. členu Splošne uredbe.

IP v zvezi z dostopom do podatkov iz centralne zbirke podatkov iz 49. člena ZUPJS na koncu še dodaja, da po določbi osmega odstavka 50. člena ZUPJS način in pogoje dostopa do podatkov iz centralne zbirke podatkov podrobneje določi minister, pristojen za socialno varstvo, ki mora pred uveljavitvijo pravilnika pridobiti soglasje IP.

Lepo vas pozdravljamo.

Pripravil

Jože Bogataj, namestnik informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka