Povezovanje zbirk OP

Datum

20.02.2023

Številka

07120-1/2023/66

Kategorije

Ocene učinkov v zvezi z varstvom podatkov, Pooblaščene osebe za varstvo podatkov - DPO, Pravne podlage, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ureditve povezovanja zbirk podatkov v ZVOP-2.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZustS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelave osebnih podatkov, ki jih navajate v vašem zaprosilu za mnenje, po mnenju IP sodijo v okvir iz prvega odstavka 87. člena ZVOP-2, zato bi bilo treba v primeru njihovega povezovanja (poleg izrecne zakonske določenosti) izdelati tudi oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe. Ob tem IP poudarja, da dokončno presojo lahko poda šele v konkretnem inšpekcijskem ali drugem upravnem postopku.

Povezave drugih uradnih evidenc in javnih knjig so dopustne pod pogojem, če za takšno obdelavo obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (oziroma iz drugega odstavka 9. člena Splošne uredbe), če gre za povezovanje posebnih vrst osebnih podatkov ter če je zagotovljena ustrezna varnost osebnih podatkov, vključno z zagotavljanjem dnevnika obdelave iz 22. člena ZVOP-2. IP ob tem podaja stališče, da mora biti v takih primerih načeloma zagotovljena pravna podlaga v smislu točke c) 6. člena Splošne uredbe.

IP vsekakor priporoča, da se v primerih povezovanja sklene ustrezen sporazum med upravljavcema oziroma upravljavci, v katerem se jasno opredelijo vsa vprašanja s področja varstva podatkov.

Obrazložitev

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali drugem upravnem postopku. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je na upravljavcu osebnih podatkov.

IP pojasnjuje, da ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

Glede na navedbe v vašem zaprosilu za mnenje IP meni, da je zelo verjetno, da zbirke, ki vsebujejo osebne podatke iz točke 3.) vašega zaprosila za mnenje, sodijo v okvir iz prvega odstavka 87. člena ZVOP-2, zato bi bilo treba v primeru njihovega povezovanja (poleg izrecne zakonske določenosti) izdelati tudi oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom (IP) po 36. členu Splošne uredbe. IP ob tem ponovno poudarja, da dokončno presojo glede tega lahko poda le v konkretnem inšpekcijskem ali drugem upravnem postopku.

IP nadalje pojasnjuje, da se v primerjavi s prej veljavnim ZVOP-1 lahko šteje, da je področje povezovanja zbirk osebnih podatkov, ki ne sodijo v okvir 87. člena ZVOP-2, manj podrobno urejeno in gre pravzaprav za znižanje sistemske ravni varstva osebnih podatkov na tem področju. ZVOP-2 namreč v okviru 87. člena ureja le t.i. posebej občutljive zbirke osebnih podatkov, ki pomenijo večje tveganje oziroma večji poseg v zasebnost posameznika, medtem ko povezave uradnih evidenc in javnih knjig, ki ne vsebujejo zgoraj navedenih vrst osebnih podatkov, posebej ne ureja, kar pomeni, da so povezave drugih uradnih evidenc in javnih knjig dopustne pod pogojem, če za takšno obdelavo obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (oziroma iz drugega odstavka 9. člena Splošne uredbe, če gre za povezovanje posebnih vrst osebnih podatkov) ter če je zagotovljena ustrezna varnost osebnih podatkov, vključno z zagotavljanjem dnevnika obdelave iz 22. člena ZVOP-2. V teh primerih IP ni več pristojen za izdajo odločbe oziroma predhodnega dovoljenja za povezovanje zbirk osebnih podatkov, saj ZVOP-2 izdaje takšnega dovoljenja ne določa več in posledično tudi upravljavcem osebnih podatkov, ki želijo povezovati zbirke osebnih podatkov, ni več treba v nobenem primeru zaprositi IP za izdajo takšnega dovoljenja niti ga niso dolžni obveščati o nameravani oziroma vzpostavljeni povezavi.

IP se v okviru neobvezujočega mnenja ne more vnaprej opredeljevati glede ustreznosti izvedbe tovrstnega povezovanja, vsekakor pa priporoča, da se sklene ustrezen sporazum med upravljavcema oziroma upravljavci, v katerem se jasno opredelijo vsa vprašanja s področja varstva podatkov, še posebno pozornost pa se nameni varstvu osebnih podatkov med samim prenosom med upravljavci in ustreznemu zagotavljanju sledljivosti obdelav osebnih podatkov. Ob tem IP dodaja, da se vloga pooblaščene osebe za varstvo podatkov (ang. DPO) v teh postopkih v ničemer ne razlikuje od njene vloge v drugih postopkih v zvezi z obdelavo osebnih podatkov in jo je primarno treba razumeti kot neodvisnega notranjega svetovalca in »revizorja« glede obdelav osebnih podatkov. V tem okviru nadzoruje tudi odločitve o izpolnjevanju pogojev za povezovanje zbirk osebnih podatkov, ne odloča pa sama o tem, temveč mora biti odločitev v rokah tistega, ki je za to predviden oziroma pristojen v skladu z notranjo organizacijo oziroma internimi akti upravljavca. IP v okviru neobvezujočega mnenja ne more konkretno presojati ustreznosti notranje ureditve upravljavca ali mu svetovati glede tega.

IP glede pravne podlage za povezovanje uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2, podaja stališče, da mora biti v takih primerih načeloma zagotovljena pravna podlaga v smislu točke (c) 6. člena Splošne uredbe. Zakon mora torej določiti možnost upravljavca zbirke osebnih podatkov za pridobivanje osebnih podatkov iz druge uradne evidence, javne knjige ali druge zbirke osebnih podatkov, s katero se želi v konkretnem primeru povezati. Primarno vprašanje torej po mnenju IP ni to, na kakšni pravni podlagi se obdelujejo osebni podatki v posamezni zbirki, ampak, ali zakon določa možnost upravljavca, da pridobiva podatke iz te zbirke.

Lepo vas pozdravljamo,

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka