Obdelava podatkov o žrtvi nasilja v družini

Datum

25.04.2025

Številka

07121-1/2025/519

Kategorije

Društva, Obdelava osebnih podatkov otrok in mladoletnih, Pravne podlage

pri Informacijskem pooblaščencu (IP) smo prejeli vaš dopis, v katerem se v svojstvu društva s statusom nevladne organizacije v javnem interesu obračate na nas z vprašanjem glede obdelave (zbiranja in uporabe) telefonske številke žrtve nasilja v družini. Zanima vas, na kateri pravni podlagi lahko od uporabnika ob vključitvi v program treninga socialnih veščin zberete njemu znano telefonsko številko (nekdanje) partnerke, ki je bila žrtev njegovega nasilja, zato da bi društvo (nekdanjo) partnerko kot žrtev nasilja informiralo o potrebnih in možnih ukrepih za zagotovitev njene varnosti in varnosti otrok. Menite, da bi obdelava lahko bila utemeljena na sledečih podlagah: (I) 6(1)(c) Splošne uredbe v povezavi s členi 9b, 17 in 19a ZPND – zakonska obveznost, (II) 6(1)(d) Splošne uredbe – življenjski interesi, (III) 6(1)(e) Splošne uredbe – naloge v javnem interesu, ker ima društvo status nevladne organizacije v javnem interesu in (IV) 6(1)(f) Splošne uredbe – zakoniti interesi, ter zaprošate za mnenje IP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec (nevladna organizacija), bi zbiranje telefonske številke (nekdanje) partnerke, ki je bila žrtev nasilja, od uporabnika programa, lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi moral upravljavec izkazati, da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo (žrtve nasilja) – upravljavec mora opraviti t. i. test tehtanja. Zakoniti interes lahko predstavlja informiranje in zaščita žrtve, k čemur napotujejo tudi določbe ZPND.

Zakoniti interes bi upravljavec lahko imel za prvi telefonski kontakt z žrtvijo za namen njenega informiranja in zagotovitve njene varnosti in varnosti njenih otrok, ne pa tudi za nadaljnjo hrambo telefonske številke; za hrambo le-te bi bilo po mnenju IP potrebno pridobiti žrtvino privolitev (točka (a) prvega odstavka 6. Splošne uredbe).

Zgolj izjemoma, če bi iz razpoložljivih informacij (in ne avtomatično za vse primere) društvo presodilo, da gre v konkretnem primeru glede na vse okoliščine za takšno situacijo, da bi bilo treba žrtev nasilja nujno kontaktirati s ciljem zaščite njenih življenjskih interesov ali življenjskih interesov druge fizične osebe (npr. otrok), bi eventualno obdelava lahko temeljila na točki (d) prvega odstavka 6. člena Splošne uredbe.

Upravljavec mora posamezniku, na katerega se nanašajo osebni podatki, zagotoviti informacije glede obdelave v skladu s 14. členom Splošne uredbe.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP uvodoma pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe in ZVOP-2. Splošna uredba v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Splošna uredba v drugem odstavku 6. člena nadalje določa, da lahko države članice ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e) prvega odstavka 6. člena, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave. V skladu s tretjim odstavkom istega člena je podlaga za obdelavo iz točk (c) in (e) prvega odstavka določena v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca. ZVOP-2 v drugem odstavku 6. člena določa zahtevo glede vsebin, ki jih mora zakon določati v primerih, ko obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju poteka zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk (c) in (e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe. Takšna obdelava je zakona le, če:

-obdelavo osebnih podatkov,

-vrste osebnih podatkov, ki naj se obdelujejo,

-kategorije posameznikov, na katere se ti osebni podatki nanašajo,

-namen njihove obdelave, in

-rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi,

določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. IP še pojasnjuje, da morajo zakoni, ki urejajo obdelavo osebnih podatkov, biti hkrati jasni in določni do te mere, da ni dvoma, katere obdelave, katerih posameznikov, katerih vrst osebnih podatkov in za katere namene urejajo.

Zakon o preprečevanju nasilja v družini (Uradni list RS, št. 16/08, 68/16, 54/17 – ZSV-H in 196/21 – ZDOsk; ZPND) vsebuje posebne določbe o obdelavi osebnih podatkov s strani centrov za socialno delo (členi 30-33). V 30. členu določa, da centri za socialno delo obdelujejo osebne podatke in vodijo zbirke podatkov oseb, ki so jih obravnavali kot žrtve in kot povzročitelje nasilja po tem zakonu za potrebe pomoči žrtvi, obravnavanja povzročitelja nasilja, izdelave načrta pomoči žrtvi, njegovega izvajanja in spremljanja, za znanstveno-raziskovalne namene in za statistične namene. ZPND obdelave osebnih podatkov za nevladne organizacije posebej ne ureja, zato se za obdelavo osebnih podatkov s strani nevladnih organizacij uporablja Splošna uredba in ZVOP-2. Drži, kot pojasnjujete v vašem dopisu, da ZPND določa tudi dolžnost nevladnih organizacij po informiranju žrtve (9.b člen), vlogo nevladnih organizacij pri nudenju zaščite in psihosocialne pomoči žrtvam (17. člen) in ukrepe sodišča zaradi nasilnih dejanj, ki vključujejo tudi napotitev povzročitelja nasilja v ustrezne programe, ki jih izvajajo tudi nevladne organizacije. Vendar pa omenjene določbe, po mnenju IP, nevladni organizaciji ne dajejo podlage (v smislu člena 6(1)(c) Splošne uredbe) za obdelavo telefonske številke žrtve, ki ni vključena v program nevladne organizacije. Iz vašega dopisa namreč izhaja, da bi od uporabnika ob vključitvi v program treninga socialnih želeli zbrati njemu znano telefonsko številko (nekdanje) partnerke, ki je bila žrtev njegovega nasilja in ki torej v program sama ni vključena. Po mnenju IP iz istega razloga zbiranje in nadaljnja obdelava kontaktne številke (nekdanje) partnerke udeleženca programa tudi ne bi bilo utemeljeno na podlagi člena 6(1)(e) Splošne uredbe. IP na tem mestu še opozarja na zgoraj omenjeno določbo drugega odstavka 6. člena ZVOP-2 glede zahtev, ki jih mora zakon določati v primerih, ko obdelava osebnih podatkov [v javnem sektorju in] v zasebnem sektorju poteka zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk (c) in (e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe – določbe ZPND, ki jih omenjate v vašem dopisu, tem zahtevam ne zadostijo.

V skladu s členom 6(1)(d) Splošne uredbe je obdelava osebnih podatkov zakonita, če je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe. Uvodna določba 46 opiše »življenjski interes« kot takšnega, ki je »bistven za življenje posameznika, na katerega se nanašajo osebni podatki, ali za življenje druge fizične osebe«. To lahko vključuje obdelavo, kadar je ta »potrebna v humanitarne namene, tudi za spremljanje epidemij in njihovega širjenja ali v izrednih humanitarnih razmerah, zlasti pri naravnih nesrečah in nesrečah, ki jih povzroči človek«. Obdelava osebnih podatkov na podlagi »življenjskega interesa« zahteva, da obstaja konkretna in neposredno grozeča nevarnost za posameznika, na katerega se nanašajo osebnih podatki, ali za tretjo (fizično) osebo. V skladu z uvodno določbo 46 bi se obdelava osebnih podatkov na podlagi »življenjskih interesov« druge fizične osebe načeloma lahko izvajala le, kadar obdelave ni mogoče očitno izvesti na drugi pravni podlagi – tj. ko obdelava ne bi bila mogoča na podlagi člena 6(1)(a), (c), (e) ali (f) Splošne uredbe. Obdelavo osebnih podatkov bo na podlagi člena 6(1)(d) Splošne uredbe mogoče utemeljevati v izjemnih primerih, ko obstaja konkretna in neposredno grozeča nevarnost za posameznika, na katerega se nanašajo osebni podatki, ali za tretjo fizično osebo – npr. v nujnih zdravstvenih situacijah, humanitarni ukrepi v kriznih razmerah (naravne nesreče, epidemije ipd.) ipd. Glede na navedeno, po mnenju IP, »življenjski interesi« ni primerna podlaga za redno obdelavo osebnih podatkov (telefonske številke) vsake pretekle žrtve nasilja v družini, ki ga opisujete v vašem dopisu, saj v teh primerih ne gre za obdelavo osebnih podatkov za preprečitev resne in neposredno grozeče nevarnosti za življenje osebe. Zgolj izjemoma, če bi iz razpoložljivih informacij (in ne avtomatično za vse primere) društvo presodilo, da gre v konkretnem primeru glede na vse okoliščine za takšno situacijo, da bi bilo treba žrtev nasilja npr. zaradi neposredne življenjske ogroženosti nujno kontaktirati s ciljem zaščite njenih življenjskih interesov ali življenjskih interesov druge fizične osebe (npr. otrok), bi eventualno obdelava lahko temeljila na točki (d) prvega odstavka 6. člena Splošne uredbe.

Glede na opis iz vašega dopisa, IP meni, da bi upravljavec (nevladna organizacija), zbiranje telefonske številke (nekdanje) partnerke, ki je bila žrtev nasilja, od uporabnika programa, lahko utemeljeval na podlagi zakonitih interesov po točki (f) prvega odstavka 6. člena Splošne uredbe, pri čemer bi moral upravljavec izkazati da je to nujno potrebno zaradi uresničevanja zakonitih interesov upravljavca (nevladne organizacije) in da nad temi interesi ne prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se osebni podatki nanašajo (žrtve nasilja) – upravljavec mora opraviti t. i. test tehtanja. V skladu z drugim odstavkom 5. člena Splošne uredbe (načelo odgovornosti) mora upravljavec izvedbo testa tehtanja tudi dokumentirati. Zakoniti interes lahko predstavlja informiranje in zaščita žrtve, k čemur napotujejo tudi določbe ZPND. Presoja, kaj je »nujno« vključuje ugotavljanje, ali v praksi zakonitega interesa za obdelavo podatkov, ki ga zasleduje upravljavec, ni mogoče razumno enako učinkovito doseči z drugimi sredstvi, ki manj posegajo v temeljne svoboščine in pravice posameznikov, na katere se nanašajo osebni podatki, zlasti v pravici do spoštovanja zasebnega življenja in varstva osebnih podatkov. Če obstajajo razumna, enako učinkovita, a manj invazivna sredstva, obdelave ni mogoče šteti za »nujno«. V tem okviru je Sodišče EU izrecno poudarilo, da je treba pogoj glede nujnosti obdelave presojati skupaj z načelom »najmanjšega obsega podatkov« iz člena 5(1)(c) Splošne uredbe. Sodišče je prav tako poudarilo, da se obdelava lahko izvaja »le v mejah nujno potrebnega« za uresničitev zakonitega interesa, ki je bil opredeljen. Glede na navedeno, bi po mnenju IP, v konkretnem primeru upravljavec lahko imel zakoniti interes za prvi telefonski kontakt z žrtvijo za namen njenega informiranja in zagotovitve njene varnosti in varnosti njenih otrok, ne pa tudi za nadaljnjo hrambo telefonske številke; za hrambo le-te bi bilo po mnenju IP potrebno pridobiti žrtvino privolitev (člen 6(1)(a) Splošne uredbe).

Na koncu IP še opozarja na obveznost upravljavca do informiranja posameznika, na katerega se nanašajo osebni podatki, v skladu s 14. členom Splošne uredbe (Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo osebni podatki) in še posebej na določbo točke (b) drugega odstavka 14. člena, v skladu s katero mora upravljavec posamezniku zagotoviti tudi informacijo o zakonitih interesih, za uveljavljanje katerih si upravljavec prizadeva, kadar obdelava temelji na točki (f) člena 6(1).

Lepo vas pozdravljamo.

Pripravila

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik,

informacijska pooblaščenka

---

[1]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 108.

[2]Ibid.

[3]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 109.

[4]Sodba sodišča EU, z dne 4. julija 2023, v zadevi C-252/21, Meta v. Bundeskartellamt (ECLI:EU:C:2023:537), odst. 126.

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.