Obdelava osebnih podatkov otrok v poročilu CSD-ja ministrstvu

Datum

18.12.2023

Številka

07120-1/2023/534

Kategorije

Postopki na centrih za socialno delo, Uradni postopki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste kot CSD prejeli zaprosilo ministrstva za posredovanje poročila o napredku in obravnavi določenih otrok v času njihovega bivanja v Republiki Sloveniji. Ministrstvo želi v poročilu tudi informacijo o obravnavah, ki so jih bili deležni posamezni otroci (šola, vrtec, drugo,…), ter poročila drugih institucij, ki so otroke obravnavale oziroma v katere so bili otroci vključeni. Sami menite, da bi s takšnim poročanjem z osebnimi podatki prekoračili svoje pristojnosti, ministrstvo pa trdi, da vam lahko naloži tovrstno poročanje. Kljub temu zaprosilo ministrstva ne navaja pravne podlage.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da morate najprej razčistiti, ali ima ministrstvo za zahtevo po posredovanju poročila ustrezno pravno podlago, npr. za namen izvrševanje svoje nadzorne funkcije, izvajanja funkcije spremljanja stanja na področju izvajanja socialne varnosti ali izvajanja analiz v smislu Zakona o socialnem varstvu. Če opravlja takšne funkcije oziroma izvaja svoje zakonite pristojnosti ali če črpa pravno podlago iz ustreznega drugega področnega predpisa, ima po mnenju IP pravno podlago za obdelavo osebnih podatkov in jim torej osebne podatke lahko posredujete. Če ministrstvo prekoračuje svoje pristojnosti, jim osebnih podatkov ne smete posredovati.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka. Iz vašega dopisa konkretne okoliščine naročenega poročanja ne izhajajo, zato je odgovor IP bolj generalen.

110. člen Zakon o socialnem varstvu (Uradni list RS, št. 3/07 – UPB, s sprem. in dop.; v nadaljevanju ZSV) določa, da se za potrebe izvajanja socialno varstvene dejavnosti določene z zakonom, za načrtovanje politike socialnega varstva, spremljanje stanja ter za znanstveno raziskovalne in statistične namene, na področju socialnega varstva vodijo zbirke podatkov, ki zajemajo celotni nacionalni sistem socialnega varstva.

V istem členu so opredeljene zbirke osebnih podatkov, medtem ko 111. člen ZSV opredeljuje natančno vsebino zbirk, torej osebne podatke, ki se znotraj njih obdelujejo.

V prvem odstavku 6. člena Splošne uredbe so navedene možne pravne podlage za zakonito obdelavo osebnih podatkov; po točki (e) je obdelava zakonita, če je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu.

Posebej pomemben je v predstavljeni situaciji 113.a člen ZSV. Določa namreč, da ministrstvo, pristojno za socialno varstvo, in centri za socialno delo lahko osebne podatke, o katerih vodijo zbirke podatkov, in podatke, ki jih pridobivajo od upravljavcev zbirk osebnih podatkov iz prejšnjega člena, obdelujejo samo za potrebe postopka odločanja, izvajanja dejavnosti in vodenja evidenc po tem zakonu, ministrstvo, pristojno za socialno varstvo, pa tudi za izvajanje centralnega izplačila, izvrševanje nadzora, spremljanja stanja, analize ter znanstvenoraziskovalne in statistične namene.

Ministrstvo sme torej v skladu z ZSV z namenom izvrševanja nadzora, spremljanja stanja in izvajanja analiz obdelovati osebne podatke. Do katere mere oziroma na katerih področjih sme ministrstvo izvajati nadzor, spremljati stanje in pripravljati analize, IP ne more presojati, načeloma pa bi morali CSD-ji in ministrstvo sami ugotoviti, ali je ministrstvo za takšne dejavnosti pristojno ali ne. IP-ju namreč niso znane te okoliščine, po katerih bi bilo možno presojati obseg pristojnosti ministrstva. Če ministrstvo v okoliščinah, ki veljajo za vaš primer, izvršuje svoje zakonite pristojnosti "izvrševanja nadzora, spremljanja stanja in izvajanja analiz", potem sme na podlagi 113.a člen ZSV obdelovati tudi osebne podatke. 113.a člen ZSV bi bila torej v tem primeru materializacija napotitvene določbe iz točke (e) prvega odstavka 6. člena Splošne uredbe, po kateri je obdelava zakonita, če je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu.

Tudi če šlo bi v konkretnem primeru za povsem legitimno opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene ministrstvu (gl. 113.a člen ZSV in druge materialne določbe, ki opredeljujejo pristojnosti pristojnega ministrstva), je treba upoštevati načelo sorazmernosti, ki izhaja iz točke (c) prvega odstavka 5. člena Splošne uredbe. Dovoljena je namreč le obdelava tistih osebnih podatkov, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Vendar je IP prepričan, da je vendarle treba izhajati iz smisla obstoja obeh vpletenih institucij, to je v tem primeru v izvajanju socialnovarstvenih storitev ter izvajanju nadzora nad izvajanjem le-teh. Razen če bi utemeljeno menili, da ministrstvo ne izvaja teh funkcij, ampak bi podatke obdelovalo iz povsem neupravičenih vzgibov (na primer jasne prekoračitve zakonskih pooblastil, radovednosti itd.), menimo, da pravna podlaga v smislu točke (e) prvega odstavka 6. člena Splošne uredbe obstaja in obdelava (v smislu "normalnega" obsega osebnih podatkov glede na zasledovane cilje) ne bi bila prekomerna.

Poudariti velja tudi, da je ministrstvo prav tako nadalje zavezano k zakoniti obdelavi osebnih podatkov, torej bi moralo po morebitnem prejemu osebnih podatkov v poročilih zagotoviti, da se z osebnimi podatki ne seznanijo nepooblaščene osebe in se prepreči nezakonita obdelava podatkov.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov