Posredovanje elektronskega naslova odvetniku in prenos OP v tretjo državo

Datum

31.03.2025

Številka

07121-1/2025/409

Kategorije

Informiranje posameznika, Posredovanje osebnih podatkov, Prenos osebnih podatkov v tretje države ali mednarodne organizacije

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja elektronskega naslova odvetniku in prenosa osebnih podatkov v tretjo državo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov odvetniku.

Prenose osebnih podatkov v tretje države in mednarodne organizacije ureja Poglavje V Splošne uredbe, ki temelji na predpostavki, da se raven varstva osebnih podatkov zaradi prenosa v tretjo državo ne sme zmanjšati v primerjavi z varstvom, ki ga zagotavlja Splošna uredba.

Upravljavec lahko na različne načine izkaže, da je raven varstva osebnih podatkov v tretji državi ustrezna: s sklepom o ustreznosti, ustreznimi zaščitnimi ukrepi ali na podlagi odstopanj v posebnih primerih.

Upravljavec je v skladu s 13. členom Splošne uredbe dolžan posameznika ob pridobitvi njegovih osebnih podatkov seznaniti s številnimi informacijami o obdelavi osebnih podatkov. Kadar je ustrezno, ga mora upravljavec obvestiti tudi o dejstvu, da namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega ravnanja, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

IP splošno pojasnjuje, da Zakon o odvetništvu (Uradni list RS, št. 18/93, 24/96 - odl. US, 24/01, 54/08, 35/09, 97/14, 8/16 - odl. US, 46/16, 36/19, 130/22; v nadaljevanju: ZOdv) v prvem odstavku 2. člena določa, da odvetnik v okviru opravljanja odvetniškega poklica pravno svetuje, zastopa in zagovarja stranke pred sodišči in drugimi državnimi organi, sestavlja listine in zastopa stranke v njihovih pravnih razmerjih. Če je torej podjetje, ki ga navajate v vašem zaprosilu za mnenje, posredovalo vaš elektronski naslov odvetniku zaradi opravljanja njegovega odvetniškega poklica ali na kaki drugi pravni podlagi iz prejšnjega odstavka tega mnenja, potem je verjetno to posredovanje z vidika varstva osebnih podatkov upravičeno. IP nadalje pojasnjuje tudi, da ZOdv v prvem odstavku 10. člena določa subjekte, ki so ne glede na določbe drugih zakonov, ki določajo posredovanje osebnih podatkov, dolžni brez privolitve posameznika, na katerega se osebni podatki nanašajo, brezplačno posredovati odvetniku podatke, ki jih ta potrebuje pri opravljanju odvetniškega poklica v posamični zadevi in to v roku 15 dni od dneva, ko prejmejo pisno zahtevo odvetnika. Gre za državne organe, organe samoupravnih lokalnih skupnosti ter nosilce javnih pooblastil. Odvetnik v skladu z drugim odstavkom istega člena nima te pravice, če gre za osebne podatke, ki so na podlagi posebnih zakonskih določb dostopni le pooblaščenim organom.

IP ob tem opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. Odvetnik mora torej v svoji zahtevi za posredovanje podatkov izkazati, da posamezne odvetniške storitve brez zahtevanih podatkov ne bo mogel opraviti.

Glede prenosa osebnih podatkov v tretje države (v konkretnem primeru Kitajsko) IP uvodoma izpostavlja, da je v skladu z načelom odgovornosti upravljavec (v konkretnem primeru podjetje, ki ga navajate v vašem zaprosilu za mnenje) tisti, ki je dolžan zagotoviti skladnost obdelave osebnih podatkov s Splošno uredbo, kar vključuje tudi zagotavljanje zakonitosti prenosov osebnih podatkov v tretje države.

Prenose osebnih podatkov v tretje države in mednarodne organizacije ureja Poglavje V Splošne uredbe, ki temelji na predpostavki, da se raven varstva osebnih podatkov zaradi prenosa v tretjo državo ne sme zmanjšati v primerjavi z varstvom, ki ga zagotavlja Splošna uredba. Upravljavec lahko na različne načine izkaže, da je raven varstva osebnih podatkov v tretji državi ustrezna: s sklepom o ustreznosti, ustreznimi zaščitnimi ukrepi ali na podlagi odstopanj v posebnih primerih.

Ker za Kitajsko sklep o ustreznosti ni bil sprejet, lahko upravljavec (izvoznik podatkov) na podlagi 46. člena Splošne uredbe podatke prenese v to državo pod pogojem, da je predvidel ustrezne zaščitne ukrepe (za določene zaščitne ukrepe se zahteva tudi predhodno dovoljenje IP) ter da imajo posamezniki, na katere se nanašajo osebni podatki, na voljo izvršljive pravice in učinkovita pravna sredstva. Izvoznik in uvoznik podatkov morata pred prenosom osebnih podatkov na podlagi ustreznih zaščitnih ukrepov oceniti, ali ti tudi dejansko zagotavljajo jamstva, ki ustrezajo ravni varstva v EU in v nasprotnem primeru sprejeti dopolnilne zaščitne ukrepe (glede dopolnilnih zaščitnih ukrepov so relevantna predvsem priporočila Evropskega odbora za varstva podatkov (European Data Protection Board; v nadaljevanju: EDPB), dostopna na:

https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer_en

EDPB v priporočilih izvoznikom svetuje, da na podlagi okoliščin vsakega posameznega primera določijo, kateri dopolnilni ukrepi so učinkoviti za prenos v določeno tretjo državo, zato da bo raven varstva primerljiva z zaščito, ki jo nudi Splošna uredba. Dopolnilni ukrepi imajo lahko pogodbeno, tehnično ali organizacijsko naravo ter se lahko medsebojno kombinirajo, zato da se izboljša raven zaščite osebnih podatkov. Primeri dopolnilnih ukrepov so navedeni v Dodatku II navedenih priporočil, vendar seznam ni izčrpen in lahko izvoznik glede na okoliščine primera uporabi tudi druge dopolnilne ukrepe.

Če za določeno državo ni bil sprejet sklep o ustreznosti in obenem tudi ni mogoče sprejeti omenjenih ustreznih zaščitnih ukrepov iz prejšnjih odstavkov, se lahko prenos izvede le v nekaterih posebnih primerih, ki so določeni v 49. členu Splošne uredbe. Prenos se lahko na podlagi pogojev iz tega člena izvede zgolj izjemoma, če prenos v tretjo državo z uporabo drugih mehanizmov varstva na podlagi 45. ali 46. člena Splošne uredbe resnično ni možen (oziroma dokler ni možen).

Splošna uredba določa tudi odstopanje od zgoraj navedenih pravil (t.i. odstopanje od odstopanj), v skladu s katerim je prenos osebnih podatkov v tretjo državo izjemoma dovoljen tudi, če niso izpolnjeni pogoji za uporabo nobenega izmed opisanih mehanizmov. Tovrstni prenosi podatkov so dopustni le izjemoma ob upoštevanju strogo določenih pogojev, predvsem se ne smejo ponavljati in lahko zadevajo le omejeno število posameznikov, o njih pa mora izvoznik podatkov obvestiti IP.

Več o prenosih osebnih podatkov si lahko preberete v Smernicah glede prenosa osebnih podatkov v tretje države in mednarodne organizacije po Splošni uredbi o varstvu podatkov in ZVOP-2, ki so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice%20glede%20prenosa%20OP_v1.5.pdf

Smernice vsebujejo tudi več uporabnih povezav do dodatnega gradiva o prenosih podatkov v tretje države, npr. do priporočil EDPB in izvedbenih aktov Evropske Komisije, ki so izvoznikom osebnih podatkov lahko v pomoč pri vzpostavljanju ustreznih mehanizmov za prenos osebnih podatkov v tretje države.

IP posebej opozarja, da pomemben in pogosto zapostavljen vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. IP poudarja, da je upravljavec v skladu s 13. členom Splošne uredbe dolžan posameznika ob pridobitvi njegovih osebnih podatkov seznaniti s številnimi informacijami o obdelavi osebnih podatkov, ki so navedene v prvem in drugem odstavku 13. člena Splošne uredbe. Kadar je ustrezno, ga mora upravljavec obvestiti tudi o dejstvu, da namerava prenesti osebne podatke v tretjo državo ali mednarodno organizacijo, ter obstoj ali neobstoj sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo. Navedene informacije morajo biti čim bolj jasne, pregledne in posameznikom razumljive ter lahko dostopne.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka