Obrazložitev zahteve uradnega organa za posredovanje osebnih podatkov

Datum

26.10.2023

Številka

07120-1/2023/1361

Kategorije

Inšpekcijski postopki, Posredovanje osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas prosite za mnenje, in sicer ste pojasnili, da ste s strani uradnega organa (inšpekcije) prejeli poizvedbo oziroma zaprosilo za posredovanje podatkov (ime, priimek, naslov stalnega ali začasnega prebivališča) imetnika telefonske številke katere operater ste. Organ se v zaprosilu sklicuje na 19. člen Zakona o inšpekcijskem nadzoru, ki je pravna podlaga za posredovanje podatkov. Obrazložitev namena pridobitve podatkov pa je zelo splošna, navedeno je le »Podatke potrebujemo za nadaljevanje upravnega postopka«.

Prosite nas za mnenje ali takšna, splošna obrazložitev, izpolnjuje zahtevo iz 3. točke 1. odstavka 41. člena Zakona o varstvu osebnih podatkov, ki določa, da zahteva za posredovanje osebnih podatkov vsebuje »Namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;«. Ker ste pri odgovoru organu vezani na rok nas prosimo za prioritetno obravnavo zadeve.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP meni, da morajo vlagatelji zahteve za posredovanje osebnih podatkov navesti dovolj podatkov, da so vsaj okvirno jasni razlogi, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve (med drugim številko svoje zadeve in splošen, a še vedno dovolj jasen razlog, zakaj so dejansko potrebni podatki, ki jih zahteva), pri čemer je tako na stani vlagatelja zahteve kot na strani upravljavca trevba spoštovati načelo sorazmernosti. Kolikor upravljavec meni, da zahteva vlagatelja ni popolna, ga lahko pozove k dopolnitvi zahteve in ga po potrebi pri tem opozori na določbe 40. in 41. člena ZVOP-2.

Obrazložitev

Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da 19. člen Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – uradno prečiščeno besedilo in 40/14; ZIN) določa pooblastila inšpektorjev, ki med drugim vključujejo pristojnost brezplačno pridobiti in uporabljati osebne in druge podatke iz uradnih evidenc in drugih zbirk podatkov, ki so potrebni za izvedbo inšpekcijskega nadzora. Drugi odstavek 19. člena dalje določa, da so pravne in fizične osebe, zoper katere se ne vodi inšpekcijski postopek, in ki razpolagajo z domnevnimi dokazi oziroma drugimi, tudi osebnimi podatki, potrebnimi za izvedbo inšpekcijskega nadzora, morajo na zahtevo inšpektorja posredovati dokaze in druge, tudi osebne podatke, oziroma morajo omogočiti zaslišanje prič za pridobitev teh dokazov ali drugih, tudi osebnih podatkov, najkasneje v treh dneh od prejema njegove zahteve.

ZVOP-2 kot kasnejši zakon posebej opredeljuje posredovanje osebnih podatkov, ko ga izvede oseba zasebnega sektorja, in sicer to ureja 40. člen ZVOP-2, ki določa, da osebe zasebnega sektorja posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače. Osebe zasebnega sektorja posredujejo osebne podatke osebam javnega sektorja brezplačno, razen če zakon določa drugače.

Prvi odstavek 41. člena ZVOP-2 opredeljuje potrebne vsebine zahteve in sicer mora zahteva za posredovanje osebnih podatkov vsebovati naslednje podatke:

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Drugi odstavek dalje določa, da če drug zakon ne določa drugače, upravljavec zahtevane osebne podatke posreduje najpozneje v 15 dneh od prejema popolne zahteve ali pa ga v tem roku pisno obvesti o razlogih, zaradi katerih mu zahtevanih osebnih podatkov ne bo posredoval. Upravljavec in vlagatelj zahteve se v roku iz prejšnjega stavka lahko dogovorita za njegovo podaljšanje.

Kot ste opisali je opredelitev namena, kot ste jo prejeli zelo splošna in skopa (gre dejansko le za trdite in ne za navedbo konkretnih razlogov oziroma argumentov ki bi to trditev podprli) in tudi IP meni, da morajo vlagatelji zahteve za posredovanje osebnih podatkov navesti dovolj podatkov, da so vsaj okvirno jasni razlogi oziroma argumenti, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve (med drugim številko svoje zadeve in splošne, a še vedno dovolj jasne razloge, zakaj so dejansko potrebni podatki, ki jih zahteva). Pri tem je treba upoštevati načelo sorazmernosti na obeh straneh – vlagatelj zahteve (npr. inšpektor) ni dolžan na široko in podrobno opisovati vse okoliščine primera, ki ga rešuje in s tem nesorazmerno razkrivati osebne in druge informacije o zadevi, po drugi strani pa mora prejemnik imeti dovolj jasen opis situacije, da ne ostane v dvomih, da bi bilo posredovanje neupravičeno, saj s tem tudi sam sebe izpostavlja potencialnim kršitvam.

Kolikor upravljavec meni, da zahteva vlagatelja ni popolna, ga lahko pozove k dopolnitvi zahteve in ga po potrebi pri tem opozori na določbe 40. in 41. člena ZVOP-2, ki je vendarle v veljavi šele dobrega pol leta, zato se tudi praksa z njegovim izvajanjem razumljivo šele vzpostavlja.

S spoštovanjem,

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravil

mag. Andrej Tomšič, namestnik informacijske pooblaščenke