Posredovaje dodatnih identifikacijskih osebnih podatkov prejemnikov pomoči ob poplavah ministrstvu

Datum

18.04.2024

Številka

07120-1/2024/154

Kategorije

Posredovanje osebnih podatkov, Pravne podlage, Pridobivanje OP iz zbirk, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem navajate, da je Slovenska Karitas po sklepu Vlade RS septembra 2023 razdelila 5.000.000,00 EUR pomoči iz javnih sredstev gospodinjstvom, prizadetim ob poplavah v avgustu 2023. Služba Vlade RS za obnovo po poplavah in plazovih vas je pozvala, da ji posredujete podatke o imenu in priimku, naslovu in znesku pomoči za vsakega upravičenca, z namenom javne objave v skladu z Zakonom o interventnih ukrepih za odpravo posledic poplav in zemeljskih plazov. Dopustni in potrebni osebni podatki prejemnikov pomoči iz javnih sredstev, ki ste jim jih poslali skladno z mnenjem IP št. 07121-1/2023/1387 z dne 7. 11. 2023, so sedaj v javno objavljeni na vladni spletni strani.

Dne 2. 4. 2024 je Slovenska karitas prejela prošnjo s strani Ministrstva za naravne vire in prostor, da navedenemu ministrstvu posreduje dodatne podatke o navedenih prejemnikih, v kateri navajajo, da bodo v nadaljevanju aktivno pristopili k dokončnemu poračunu sredstev, namenjenih oškodovancem v avgustovskih poplavah 2023, kjer morajo pri izračunu upoštevati tudi podatke o prejetih denarnih sredstvih, ki so jih prejeli posamezni oškodovanci po avgustovskih poplavah 2023 iz državnega proračuna. Javni seznam prejemnikov vsebuje podatke »Ime in priimek, naselje ter znesek prejema«, ministrstvo pa na podlagi tega obsega podatkov ne more natančno zajeti vseh prejemnikov, zato bi potrebovali še kak dodatni podatek (enolični identifikacijski znak, kot so EMŠO, davčna ipd). Na podlagi navedenega so vas zaprosili za posredovanje podatkov o izplačilih oškodovancem po avgustovskih poplavah 2023, in sicer z dodatnimi osebnimi podatki, da bodo lahko v nadaljevanju pri izračunu natančno zajeli vse prejemnike sredstev iz državnega proračuna. Pri tem se ministrstvo naknadno sklicuje na zakonsko podlago za pridobivanje osebnih podatkov pri dodeljevanju sredstev državnega proračuna po 47. členu Zakona o odpravi posledic naravnih nesreč (ZOPNN).

Zanima vas, ali je Ministrstvo za naravne vire in prostor na podlagi 47. člena Zakona o odpravi posledic naravnih nesreč (ZOPNN) upravičeno od Slovenske karitas pridobiti dodatne osebne podatke (DŠ, EMŠO ali rojstni datum) o oškodovanih osebah zaradi poplav, ki so bili prejemniki denarne pomoči iz javnih sredstev, in katerih skrbnik je Slovenska karitas.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezujoče mnenje v zvezi vašim vprašanjem.

Za vsako obdelavo osebnih podatkov, kamor štejemo tudi njihovo posredovanje ali javno objavo, mora obstajati ustrezna pravna podlaga iz 6. oziroma 9. člena Splošne uredbe.

Posredovanje in objavo podatkov o izplačanih sredstvih in prejemnikih zaradi poplav za namene zagotavljanja preglednosti ter javnega nadzora nad porabo javnih finančnih sredstev sedaj ureja 131. člen Zakona o obnovi, razvoju in zagotavljanju finančnih sredstev (ZORZFS), po katerem morajo izplačevalci sredstev vladni službi za obnovo, poslati naslednje podatke o upravičenih prejemnikih pomoči, ki so fizične osebe in pomoči ne prejmejo zaradi opravljanja dejavnosti: osebno ime, kraj prebivališča, znesek izplačanih javnofinančnih sredstev in znesek neunovčenih že veljavnih individualnih garancij ali jamstev v breme javnih sredstev ter navedbo izplačevalca.

Zakon o odpravi posledic naravnih nesreč (ZOPNN), na katerega se sklicuje ministrstvo, v prvem odstavku 47. člena taksativno določa upravljavce, zbirke in vrste osebnih podatkov, od katerih ministrstvo, pristojno za naravne vire, ministrstvo, pristojno za varstvo pred naravnimi in drugimi nesrečami in ministrstvo, pristojno za kmetijstvo, pri dodeljevanju sredstev državnega proračuna in nadzoru nad njihovo uporabo, pridobijo osebne in druge podatke. Med upravljavci, ki so navedenim ministrstvom na podlagi 47. člena ZOPNN dolžni posredovati določene osebne podatke, niso navedene humanitarne organizacije kot izplačevalci javnofinančnih sredstev in njihove zbirke, zaradi česar se določbe navedenega člena po mnenju IP ne morejo šteti kot pravna podlaga, ki bi humanitarnim organizacijam kot izplačevalcem javnofinančnih sredstev dopuščala ali nalagala posredovanje določenih osebnih podatkov navedenim ministrstvom.

IP meni, da zgoraj navedene določbe 131. člena ZORZFS ter 47. člena ZOPNN navedenim ministrstvom ne dajejo pravne podlage, ki bi jim omogočala, da od humanitarnih organizacij kot izplačevalcev javnofinančnih sredstev zaradi poplav, zahtevajo in pridobijo dodatne enolične podatke (npr. datum rojstva, EMŠO, davčna številka) prejemnikov javnofinančnih sredstev. IP sicer ne izključuje možnosti, da za posredovanje oziroma pridobivanje predmetnih osebnih podatkov ne obstaja kakšna druga veljavna pravna podlaga, vendar pa pri tem opozarja, da bi moralo takšno pravno podlago v svoji zahtevi za posredovanje osebnih podatkov navesti ministrstvo, saj bi morala biti zahteva za posredovanje osebnih podatkov vložena in obravnava v obliki in po postopku, ki ga predpisuje 41. člen ZVOP-2.

Obrazložitev

IP uvodoma poudarja, da izven konkretnih nadzornih ali drugih upravnih postopkov ne more presojati konkretnih obdelav osebnih podatkov in podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov. V okviru mnenja vam lahko podamo zgolj splošna pojasnila, priporočila in usmeritve, odgovornost za zakonito in pošteno obdelavo osebnih podatkov pa je vedno na upravljavcu osebnih podatkov.

Obdelava osebnih podatkov, kamor se po določbi 2. točke 4. člena Splošne uredbe med drugim šteje tudi uporaba, razkritje s posredovanjem ter razširjanje ali drugačno omogočanje dostopa do osebnih podatkov, je v skladu s prvim odstavkom 6. člena Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Točka (f) se ne uporablja za obdelavo osebnih podatkov s strani javnih organov pri opravljanju njihovih nalog.

V obravnavanem primeru bi se kot pravna podlaga za posredovanje oziroma pridobivanje osebnih podatkov prejemnikov javnofinančnih sredstev lahko štela točka (c) ali točka (e) prvega odstavka 6. člena Splošne uredbe, zato je pri presoji zakonitosti obdelave osebnih podatkov potrebno upoštevati tudi določbo drugega odstavka 6. člena ZVOP-2, po kateri je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.

V primeru posredovanja in javne objave podatkov o izplačanih sredstvih in prejemnikih zaradi poplav je pravna podlaga za takšno obdelavo sedaj določena v Zakonu o obnovi, razvoju in zagotavljanju finančnih sredstev (Uradni list RS, št. 131/23, nadaljevanju: ZORZFS), ki v 131. členu med drugim določa, da se zaradi zagotovitve preglednosti ter javnega nadzora nad porabo javnih finančnih sredstev, v obsegu in na način, določenim s tem členom, javno objavijo podatki o porabi javnih finančnih sredstev, če njihova poraba temelji na tem zakonu, Zakonu o interventnih ukrepih za odpravo posledic poplav in zemeljskih plazov iz avgusta 2023 (ZIUOPZP) ali poglavju prehodnih določb Zakona o spremembah in dopolnitvah Zakona o odpravi posledic naravnih nesreč (ZOPNN-F). Obseg osebnih podatkov, ki se objavijo, je določen v drugem odstavku tega člena. Glede prejemnikov sredstev, ki so fizične osebe, morajo izplačevalci sredstev v treh mesecih po izplačilu sredstev, v primeru garancij in jamstev pa v treh mesecih po dokončnosti odločitve o dodelitvi, vladni službi za obnovo poslati naslednje podatke o prejemnikih sredstev, garancij in jamstev:

- osebno ime,

- kraj prebivališča,

- znesek izplačanih javnofinančnih sredstev in znesek neunovčenih že veljavnih individualnih garancij ali jamstev v breme javnih sredstev iz prvega odstavka 131. člena ZORZFS in

- navedbo izplačevalca oziroma odločevalca o dodelitvi garancije ali jamstva.

Pred uveljavitvijo ZORZFS je bila javna objava prejemnikov javnofinančnih sredstev urejena v 158. členu Zakona o interventnih ukrepih za odpravo posledic poplav in zemeljskih plazov iz avgusta 2023 (ZIUOPZP).

Zakon o odpravi posledic naravnih nesreč (Uradni list RS, št. 114/05-UPB1, s sprem., v nadaljevanju: ZOPNN), na katerega se v svoji vlogi sklicuje ministrstvo, v prvem odstavku 47. člena določa, da pri dodeljevanju sredstev državnega proračuna in nadzoru nad njihovo uporabo pridobita ministrstvo, pristojno za naravne vire, ministrstvo, pristojno za varstvo pred naravnimi in drugimi nesrečami in ministrstvo, pristojno za kmetijstvo, osebne in druge podatke od upravljalcev naslednjih zbirk:

- osebno ime, datum rojstva in stalno ali začasno prebivališče iz centralnega registra prebivalstva,

- osebno ime lastnikov zemljišč iz zemljiškega katastra,

- osebno ime lastnikov stavb iz katastra stavb,

- lastninsko pravico, zastavno pravico, služnostno pravico, pravico stvarnega bremena, zakupno, predkupno ali odkupno pravico, prepoved odsvojitve in obremenitve nepremičnine iz zemljiške knjige,

- osebno ime in prebivališče nosilca kmetijskega gospodarstva in osebno ime družinskih članov nosilca kmetijskega gospodarstva iz registra kmetijskih gospodarstev,

-osebno ime fizične osebe oziroma firma pravne osebe z navedbo organizacijske oblike in naslov fizične osebe oziroma sedež pravne osebe pridelovalca grozdja iz registra pridelovalcev grozdja in

-osebno ime in prebivališče osebe oziroma firma pravne osebe, ki so ji bila dodeljena sredstva državnega ali občinskega proračuna v skladu s predpisi, ki urejajo posredna in neposredna izplačila v kmetijstvu, iz evidenc o kmetijskih subvencijah državnega in občinskih proračunov.

V drugem odstavku je nadalje še določeno, da upravljavec zbirk iz prejšnjega odstavka posreduje podatke na zahtevo ministrstva, pristojnega za naravne vire, ministrstva, pristojnega za varstvo pred naravnimi in drugimi nesrečami, ali ministrstva, pristojnega za kmetijstvo, brezplačno.

Kot je razvidno iz zgoraj navedenih določb 47. člena ZOPNN, med upravljavci, ki so navedenim ministrstvom na podlagi 47. člena ZOPNN dolžni posredovati določene osebne podatke, niso navedene humanitarne organizacije kot izplačevalci javnofinančnih sredstev in njihove zbirke, zaradi česar se določbe navedenega člena po mnenju IP z vidika določb 6. člena ZVOP-2 in 6. člena Splošne uredbe ne morejo šteti kot pravna podlaga, ki bi humanitarnim organizacijam kot izplačevalcem javnofinančnih sredstev dopuščala ali nalagala posredovanje določenih osebnih podatkov navedenim ministrstvom. Poleg tega določbe 47. člena ZOPNN ne predvidevajo oziroma ne dajejo pravne podlage za obdelavo enoličnih identifikatorjev, kot sta npr. EMŠO in davčna številka posameznika.

IP meni, da zgoraj navedene določbe 131. člena ZORZFS ter 47. člena ZOPNN navedenim ministrstvom ne dajejo pravne podlage, ki bi jim omogočala, da od humanitarnih organizacij kot izplačevalcev javnofinančnih sredstev zaradi poplav, zahtevajo in pridobijo dodatne enolične podatke (npr. datum rojstva, EMŠO, davčna številka) prejemnikov javnofinančnih sredstev. IP sicer ne izključuje možnosti, da za posredovanje oziroma pridobivanje predmetnih osebnih podatkov ne obstaja kakšna druga veljavna pravna podlaga, vendar pa pri tem opozarja, da bi moralo takšno pravno podlago v svoji zahtevi za posredovanje osebnih podatkov navesti ministrstvo, saj bi morala biti zahteva za posredovanje osebnih podatkov vložena in obravnava v obliki in po postopku, ki ga predpisuje 41. člen ZVOP-2

Zahteva prosilca za posredovanje osebnih podatkov v skladu s prvim odstavkom 41. člena ZVOP-2, če drug zakon ne določa drugače, vsebuje podatke o vlagatelju ter podpis vlagatelja oziroma pooblaščene osebe, pravno podlago za pridobitev zahtevanih osebnih podatkov, namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve, predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni ter navedbo organa ali drugega subjekta, ki obravnava zadevo, vrste osebnih podatkov, ki naj se posredujejo ter obliko in način zahtevanih podatkov.

IP se v mnenju ne more vnaprej opredeliti do vprašanja izpolnjenosti pogojev za posredovanje osebnih podatkov v konkretnih primerih. V skladu z načelom odgovornosti iz drugega odstavka 5. člena Splošne uredbe odgovornost za zagotavljanje skladnosti obdelave podatkov, vključno s presojo izpolnjenosti pogojev za posredovanje osebnih podatkov, leži na upravljavcu, ki mora v primeru zahteve za posredovanje osebnih podatkov presoditi, ali so v konkretnem primeru izpolnjeni pogoji za posredovanje zahtevanih osebnih podatkov in odločiti na način, kot določa drugi odstavek 41. člena ZVOP-2, torej mora v 15 dneh od prejema popolne zahteve zahtevane osebne podatke posredovati ali pa vlagatelja zahteve v istem roku pisno obvestiti o razlogih, zaradi katerih mu zahtevanih osebnih podatkov ne bo posredoval.

Kot že rečeno, IP ne izključuje možnosti, da za predmetno posredovanje oziroma pridobivanje dodatnih osebnih podatkov prejemnikov javnofinančnih sredstev ne obstaja kakšna druga veljavna pravna podlaga, saj je treba pri porabi javnofinančnih sredstev upoštevaje načelo najmanjšega obsega podatkov ločiti med osebnimi podatki, ki se javno objavijo, ter med osebnimi podatki, ki so dostopni oziroma jih lahko obdeluje izplačevalec javnih sredstev ter organ, ki je pristojen za nadzor nad njihovo porabo. Izplačevalec javnofinančnih sredstev ter organ, ki je pristojen za nadzor nad njihovo porabo, lahko tako praviloma obdelujeta več vrst osebnih podatkov, kot jih je dopustno javno objaviti, pri čemer pa morata spoštovati vsa načela v zvezi z obdelavo osebnih podatkov iz 5. člena Splošne uredbe.

Glede na to, da IP ne pozna kakšne morebitne druge pravne podlage, ki bi ministrstvo pooblaščala pridobivati dodatne enolične podatke prejemnikov javnofinančnih sredstev, vam predlagamo, da ministrstvu pojasnite, da 47. člen ZOPNN po mnenju IP ne predstavlja ustrezne pravne podlage za posredovanje zaprošenih podatkov, ter ga pozovete k vložitvi zahteve za posredovanje osebnih podatkov, ki bo vsebovala vse elemente, določene v prvem odstavku 41. člena ZVOP-2, zlasti navedbo ustrezne pravne podlage, ter za tem o takšni zahtevi odločite na način, kot ga določa drugi odstavek navedenega člena.

IP v zvezi s posredovanjem osebnih podatkov opozarja še na določbo šestega odstavka 41. člena ZVOP-2, po kateri mora upravljavec za vsako posredovanje osebnih podatkov zagotoviti možnost poznejše ugotovitve, kateri osebni podatki so bili posredovani, komu, kdaj in na kateri pravni podlagi, za kateri namen oziroma iz katerih razlogov oziroma za potrebe katerega postopka, razen če drug zakon za posredovanje posameznih vrst osebnih podatkov določa drugače oziroma je to razvidno iz dnevnika obdelave po 22. členu tega zakona.

Lep pozdrav,

Pripravil:

Jože Bogataj, namestnik informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka