Prenos osebnih podatkov v BIH v povezavi s sodnim postopkom

Datum

28.10.2024

Številka

07120-1/2024/368

Kategorije

Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Sodni postopki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede prenosa podatkov v Bosno in Hercegovino. Prejeli ste zaprosilo posameznika, ki nastopa kot stranka v sodnem sporu v tretji državi, da mu posredujete podatek o prebivališču nasprotne stranke. Sodišče je tej stranki naložilo naj za namen postopka pridobi podatek o prebivališču pri pristojnem slovenskem organu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Raven varstva osebnih podatkov se zaradi prenosa v tretjo državo ne sme zmanjšati v primerjavi z varstvom, ki ga zagotavlja Splošna uredba. Upravljavec lahko na različne načine izkaže, da je raven varstva osebnih podatkov v tretji državi ustrezna (pravne podlage za prenos podatkov v tretjo državo): s sklepom o ustreznosti, ustreznimi zaščitnimi ukrepi ali na podlagi odstopanj v posebnih primerih.

Sklep o ustreznosti za konkretno državo ni bil sprejet. Izvoznik mora presoditi, ali pride v poštev katero izmed orodij iz 46. člena Splošne uredbe. Če podatkov ni mogoče prenašati na podlagi 46. člena, lahko izvoznik podatke prenaša pod pogoji iz 49. člena. Eden izmed pogojev iz 49. člena je, da je prenos potreben za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Pomembno je, da sta v primeru takšnega prenosa izpolnjena kriterija »potrebnosti« in »občasnosti«. Izvoznik podatkov mora pri tem zagotavljati skladnost z vsemi določbami Splošne uredbe, na primer za vsako obdelavo osebnih podatkov mora zagotoviti ustrezno pravno podlago iz 6. in 9. člena Splošne uredbe ter podatke obdelovati v skladu z načelom najmanjšega obsega.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov presojati skladnosti konkretnega ravnanja, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

Prenose osebnih podatkov v tretje države in mednarodne organizacije ureja V. poglavje Splošne uredbe, ki temelji na predpostavki, da se raven varstva osebnih podatkov zaradi prenosa v tretjo državo ne sme zmanjšati v primerjavi z varstvom, ki ga zagotavlja Splošna uredba (44. člena Splošne uredbe). Upravljavec lahko na različne načine izkaže, da je raven varstva osebnih podatkov v tretji državi ustrezna (pravne podlage za prenos podatkov v tretjo državo): s sklepom o ustreznosti, ustreznimi zaščitnimi ukrepi ali na podlagi odstopanj v posebnih primerih. Ob tem je treba poudariti, da mora upravljavec zagotavljati skladnost z vsemi določbami Splošne uredbe, na primer za vsako obdelavo osebnih podatkov (kar je tudi prenos podatkov v tretjo državo) mora zagotoviti ustrezno pravno podlago iz 6. in 9. člena Splošne uredbe. Hkrati pa je pomembno ob tem izpostaviti načelo najmanjšega obsega podatkov, torej posredujejo se lahko le podatki, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Glede na to, da za konkretno državo ni bil sprejet sklep o ustreznosti Evropske komisije, izvoznik podatkov presodi, ali bi lahko v danem primeru podatke prenašal na podlagi enega izmed orodij iz 46. člena Splošne uredbe (npr. standardne pogodbene klavzule). V kolikor pa ta orodja ne pridejo v poštev, izvoznik presodi, ali bi prišlo v poštev katero izmed odstopanj v posebnih primerih iz 49. člena.

V primeru odstopanj se lahko prenos ali niz prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo izvede le pod enim izmed pogojev, ki jih člen taksativno našteva. Za konkretni primer je najbolj relevanten pogoj iz točke e prvega odstavka 49. člena: prenos je potreben za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Takšen prenos je dovoljen le, če sta izpolnjena kriterija »potrebnosti« in »občasnosti«. Zadevni prenos podatkov se lahko izvede le, kadar je ta potreben za uveljavljanje, izvajanje ali obrambo zadevnih pravnih zahtevkov. Za ta »preizkus potrebnosti« mora obstajati tesna in bistvena povezava med zadevnimi podatki in konkretnim uveljavljanjem, izvajanjem ali obrambo pravnega položaja. Odstopanja ni mogoče uporabiti za utemeljitev prenosa osebnih podatkov zaradi tega, ker obstaja samo možnost začetka sodnih postopkov ali formalnih postopkov v prihodnosti. Ker mora biti prenos izveden v okviru postopka, mora med prenosom podatkov in specifičnim postopkom v zvezi z zadevno situacijo obstajati tesna zveza. Glede »občasnosti« IP pojasnjuje, da se taki prenosi sicer lahko zgodijo večkrat, a ne redno, ter zunaj običajnega delovanja, na primer v naključnih, neznanih okoliščinah in v okviru samovoljnih časovnih intervalov. Na primer, prenos podatkov, ki poteka redno v okviru vzpostavljenega odnosa med izvoznikom podatkov in določenim uvoznikom podatkov, se šteje za sistematičnega in ponavljajočega ter zato ni občasen ali neponavljajoč.

IP iz previdnosti tudi opozarja na določbo 48. člena, ki določa sledeče: »Sodba sodišča in odločba upravnega organa tretje države, ki od upravljavca ali obdelovalca zahteva prenos ali razkritje osebnih podatkov, se lahko prizna ali izvrši na kateri koli način le, če temelji na mednarodnem sporazumu, kot je pogodba o medsebojni pravni pomoči, sklenjenem med tretjo državo prosilko in Unijo ali državo članico, brez poseganja v druge razloge za prenos na podlagi tega poglavja.«

IP vas v povezavi z odstopanji iz 49. člena napotuje na smernice na to temo, kjer je podrobneje pojasnjeno, kdaj pridejo lahko odstopanja v posebnih primerih kot podlaga za prenos v tretjo državo v praksi v poštev (Smernice št. 2/2018 o odstopanjih iz člena 49 v skladu z Uredbo (EU) 2016/679):

-- https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22018-derogations-article-49-under-regulation_sl

IP je na temo prenosov v tretje države pripravil smernice, kjer so vse informacije glede prenosov dostopne na enem mestu (Smernice glede prenosa osebnih podatkov v tretje države in mednarodne organizacije po Splošni uredbi in ZVOP-2):

-- https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice%20glede%20prenosa%20OP_v1.5.pdf.

Lepo vas pozdravljamo,

Pripravila

Neja Domnik, Državna nadzornica za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka