Obdelava osebnih podatkov s strani športnega kluba

Datum

15.02.2023

Številka

07121-1/2023/184

Kategorije

Društva, Pravne podlage, Zakoniti interesi

Pri Informacijskem pooblaščencu (IP) smo 4. 2. 2023 prejeli vaše zaprosilo za mnenje glede dopustnega obsega javne objave osebnih podatkov igralcev s strani športnega kluba. Sprašujete, ali lahko športni klub javno objavi (v biltenu za gledalce) osebne podatke igralca lastnega in gostujočega kluba, na primer njegovo ime in priimek, številko dresa in igralno pozicijo, pa tudi njegovo višino in težo, rojstne podatke ter podatke o državljanstvu in kateri pogoji morajo biti za to izpolnjeni.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Potencialne pravne podlage za obdelavo osebnih podatkov igralcev s strani športnih društev (športnih klubov) predstavljajo privolitev, pogodba, zakon ali zakoniti interes, v obravnavanem primeru bi pravno podlago lahko upravljavec utemeljil bodisi na privolitvi posameznika ali zakonitemu interesu, ki ga zasleduje.

2.2. Obdelava posebnih vrst osebnih podatkov je v osnovi prepovedana, razen če je podana ena izmed izjem iz drugega odstavka 9. člena Splošne uredbe.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V Sloveniji so v skladu z Zakonom o športu (Uradni list RS, št. 29/17, 21/18 – ZNOrg, 82/20 in 3/22 – ZDeb) športni klubi statusnopravno organizirani v obliki društev, ki so registrirana v skladu z zakonom, ki ureja društva (tj. Zakon o društvih - Uradni list RS, št. 64/11 – uradno prečiščeno besedilo in 21/18 – ZNOrg).

Javna objava predstavlja eno izmed oblik obdelave osebnih podatkov, ki je dopustna samo v primeru, da zanjo obstaja zakonita pravna podlaga. V skladu s členom 6(1) Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Izbira ustrezne pravne podlage za obdelavo osebnih podatkov je obveznost upravljavca (v konkretnem primeru je to športno društvo), ki mora pri tem upoštevati konkretne okoliščine in namene obdelave.

IP se je v mnenju št. 0712-1/2018/622 z dne 15. 3. 2018 (dostopno na: https://www.ip-rs.si/mnenja-zvop/splo%C5%A1no-glede-obdelave-osebnih-podatkov-v-dru%C5%A1tvih) in Smernicah: Društva in obdelava podatkov z dne 17. 12. 2020 (dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Drustva_in_varstvo_osebnih_podatkov.pdf) že opredelil glede vprašanja ustreznosti pravnih podlag za obdelavo podatkov s strani društev, zato v nadaljevanju podajamo le kratek povzetek že objavljenih stališč.

Potencialne pravne podlage za obdelavo osebnih podatkov igralcev, bodisi domačih ali gostujočih, predstavljajo:

-osebna privolitev člana društva ali drugega posameznika, v primeru, da gre za osebo, mlajšo od 15 let, pa njegovega zakonitega zastopnika (6(1)(a) člen Splošne uredbe);

-pogodba, če je obdelava podatkov nujna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se podatki nanašajo (6(1)(b) člen Splošne uredbe);

-zakon, ki določa obveznost društva glede zbiranja in/ali določenih oblik obdelave osebnih podatkov (6(1)(c) člen Splošne uredbe);

-obstoj zakonitega interesa, ki prevlada nad interesom ali temeljnimi pravicami in svoboščinami posameznika (6(1)(f) člen Splošne uredbe).

Privolitev člana društva, drugega posameznika ali zakonitega zastopnika lahko predstavlja ustrezno pravno podlago za obdelavo osebnih podatkov predvsem v primerih, ko je tveganje za kršitev temeljnih pravic in svoboščin večje, na primer če gre za obdelavo osebnih podatkov otrok ali objavo podatkov na svetovnem spletu, zlasti na socialnih omrežjih. Privolitev je lahko pravna podlaga za obdelavo podatkov tudi v primerih, ko društvo obdeluje osebne podlage drugih oseb (nečlanov), če so izpolnjeni vsi pogoji za veljavno privolitev v skladu z 11. točko 4. člena v povezavi s 7. členom Splošne uredbe (prostovoljnost, izrecna izjava volje, informiranost in nedvoumnost). Več o privolitvi kot ustrezni pravni podlagi za obdelavo osebnih podatkov si lahko preberete na spletni strani Informacijskega pooblaščenca (https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev).

Obdelava osebnih podatkov, ki je potrebna zaradi izvajanja pogodbe, bo kot ustrezna pravna podlaga prišla v poštev predvsem glede dejavnosti obdelave osebnih podatkov članov športnega društva, ki so neločljivo povezane z nameni, za katere je društvo ustanovljeno in so kot take opredeljene v aktih društva ter brez njih društvo ne bi moglo delovati.

Zakoniti interes lahko predstavlja ustrezno pravno podlago za obdelavo osebnih podatkov članov športnega društva predvsem takrat, ko obdelava podatkov ni nujno potrebna za izvajanje pogodbe, zbiranje privolitev članov društva pa v konkretnem primeru ni primerno. Vendar pa mora upravljavec na podlagi okoliščin posameznega primera obdelave osebnih podatkov oceniti, ali je izpolnjen dodatni pogoj za uporabo zakonitega interesa kot ustrezne pravne podlage z izvedbo predhodnega testa tehtanja. Z njim presoja, ali so nameni, za katere si prizadeva upravljavec, zakoniti, ali je obdelava podatkov primerna in nujna za doseganje teh namenov ter ali obstaja ravnovesje med zasledovanim ciljem na eni strani in posegom v pravice in svoboščine posameznikov na drugi.

V obravnavanem primeru javne objave osebnih podatkov igralcev lastnega in gostujočega kluba, natančneje imen in priimkov igralcev, njihovih številk dresa in igralnih pozicij, pa tudi višine in teže, rojstnih podatkov ter podatkov o državljanstvu, bi pravno podlago lahko predstavljala bodisi privolitev igralca (ali njegovega zakonitega zastopnika) ali zakoniti interes. Glede slednjega dodatno poudarjamo zahtevo po sorazmernosti posega v pravico do varstva osebnih podatkov, ki terja, da obdelava osebnih podatkov ni prekomerna glede na zasledovani cilj obdelave ob upoštevanju načela najmanjšega obsega podatkov.

IP dodatno izpostavlja, da pravne podlage iz 6. člena Splošne uredbe ne zadostujejo za zakonitost obdelav posebnih vrst osebnih podatkov, to so na primer osebni podatki, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, spolno usmerjenost ter genetski in zdravstveni podatki. Ker razkrivajo najbolj intimne vidike posameznikovega življenja, so zaradi tveganj za nastanek kršitev drugih pravic in svoboščin, do katerih bi lahko prišlo zaradi njihovega neupravičenega razkritja, posebej varovani, njihova obdelava pa je prepovedana, razen če je podana ena izmed izjem iz drugega odstavka 9. člena Splošne uredbe. Točka (d) drugega odstavka 9. člena Splošne uredbe predstavlja samostojno pravno podlago za obdelavo posebnih vrst osebnih podatkov, ki jo v okviru svojih zakonitih dejavnosti z ustreznimi zaščitnimi ukrepi izvaja ustanova, združenje ali katero koli drugo neprofitno telo s političnim, filozofskim, verskim ali sindikalnim ciljem in pod pogojem, da se obdelava nanaša samo na člane ali nekdanje člane telesa ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, ter da se osebni podatki ne posredujejo zunaj tega telesa brez privolitve posameznikov, na katere se nanašajo osebni podatki. Prav tako je obdelava posebnih vrst osebnih podatkov dopustna, če je posameznik vanjo veljavno privolil in privolitev posameznika ni izrecno prepovedana.

Ne glede na pravno podlago, na kateri temelji obdelava osebnih podatkov, je dolžnost upravljavca, da ravna v skladu z načelom najmanjšega obsega podatkov, ki zahteva, da so zbrani podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Načelo najmanjšega obsega podatkov je posebej pomembno, če obdelava podatkov poteka na podlagi zakonitega interesa, saj ga mora upravljavec upoštevati v okviru testa tehtanja ter glede na namene obdelave osebnih podatkov presoditi, ali je obseg zbranih podatkov omejen zgolj na tiste podatke, ki so za doseganje namenov obdelave nujno potrebni.

Poleg tega je ena temeljnih dolžnosti upravljavca, ki izhaja iz 13. člena Splošne uredbe, da obvesti posameznike, katerih osebne podatke obdeluje, o nekaterih temeljnih okoliščinah obdelave njihovih osebnih podatkov, predvsem kdo jih obdeluje, s kakšnim namenom in v kakšnem časovnem obdobju. Pravica do obveščenosti je predpogoj za uveljavljanje vseh ostalih pravic posameznika, tj. pravice dostopa do lastnih osebnih podatkov, popravka, izbrisa, omejitve obdelave in ugovora.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka