Privolitev kot pravna podlaga za obdelavo v javnem sektorju

Datum

04.03.2025

Številka

07120-1/2025/81

Kategorije

Pravne podlage, Pridobivanje OP iz zbirk, Privolitev, Zbirke osebnih podatkov

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede prenosa osebnih podatkov udeležencev nadaljnjega izobraževanja in usposabljanja iz evidenc javnih zavodov v evidenco nadaljnjega izobraževanja in usposabljanja ministrstva (Katis). Pojasnjujete, da je ministrstvo s strani IP v zvezi s konkretno zadevo že prejelo tri mnenja (št. 07120-1/2021/307 z dne 2. 6. 2021, št. 07120-1/2022/88 z dne 18. 3. 2022 in št. 07120-1/2022/439 z dne 5. 12. 2022) ter da je bil na to temo organiziran tudi skupni sestanek. Izpostavljate, da ministrstvo že pripravlja ustrezno zakonsko podlago za pridobivanje osebnih podatkov o udeležencih nadaljnjega izobraževanja in usposabljanja od javnih zavodov, ker pa gre za dolgotrajen postopek, vas zanima, ali obstaja kakršen koli zadržek glede pridobivanja privolitev po določbi novega ZVOP-2 kot začasne rešitve do sprejema ustrezne zakonske spremembe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V skladu z drugim odstavkom 6. člena Splošne uredbe lahko države članice ohranijo ali uvedejo podrobnejša pravila za obdelavo osebnih podatkov na podlagi točk c in e prvega odstavka tega člena. Zakonodajalec je v ZVOP-2 ohranil posebno ureditev, ki za javni sektor pod določenimi pogoji dopušča oziroma omejuje obdelavo osebnih podatkov na podlagi privolitve (tretji odstavek 6. člena ZVOP-2), podobno kot prej že prvi in drugi odstavek 9. člena ZVOP-1. Zato se stališče IP glede dopustnosti obdelave osebnih podatkov v okviru evidence nadaljnjega izobraževanja in usposabljanja ministrstva (Katis) po uveljavitvi ZVOP-2 ne spreminja. Ponovno pa poudarja, da bi bila ustreznejša zakonska ureditev takšne obdelave.

Obrazložitev

Uvodoma poudarjamo, da IP v mnenju ne more presojati zakonitosti določene obdelave osebnih podatkov niti podajati soglasij k predlaganim rešitvam, saj lahko posamezne primere obdelave presoja zgolj v okviru konkretnega nadzornega postopka. Zato vam v nadaljevanju podajamo le splošna pojasnila in pravna izhodišča, ki vam lahko pomagajo pri sprejemanju ustreznih odločitev.

Kot izpostavljate, je IP v predhodnih mnenjih že poudaril, da bi bilo treba pridobivanje in hranjenje osebnih podatkov o udeležencih nadaljnjega izobraževanja in usposabljanja urediti v področnem zakonu, saj gre za obdelavo osebnih podatkov, ki bi jo izvajal državni organ. V javnem sektorju je namreč primarna pravna podlaga za obdelavo v smislu točk c in e prvega odstavka 6. člena Splošne uredbe zakon (drugi odstavek 6. člena ZVOP-2). Privolitev posameznika je sicer res ena od možnih pravnih podlag za obdelavo po prvem odstavku 6. člena Splošne uredbe, vendar je IP že opozoril, da je obdelava na tej pravni podlagi v predstavljenem primeru lahko le začasna in zasilna rešitev. Ministrstvo se mora kot upravljavec namreč zavedati, da lahko posameznik, na katerega se osebni podatki nanašajo, kadar koli prekliče privolitev za njihovo obdelavo. V takem primeru mora upravljavec nemudoma ustaviti obdelavo, ki temelji na privolitvi, in podatke izbrisati, če ne obstaja druga zakonita podlaga za nadaljnjo obdelavo. To lahko bistveno vpliva na nadaljnje aktivnosti upravljavca ter morebitne druge pravice posameznika, ki so izhajale iz takšne obdelave. Zato IP ponovno poudarja, da je v konkretni situaciji primernejša ureditev, skladno s katero obdelava osebnih podatkov udeležencev nadaljnjega izobraževanja in usposabljanja, ki se vodijo v evidenci ministrstva, temelji na zakonu.

V skladu z drugim odstavkom 6. člena Splošne uredbe lahko države članice ohranijo ali uvedejo podrobnejša pravila za obdelavo osebnih podatkov na podlagi točk c in e prvega odstavka tega člena. Glede ureditve privolitve kot pravne podlage za obdelavo osebnih podatkov po ZVOP-2 IP izpostavlja tretji odstavek 6. člena ZVOP-2, ki določa, da se lahko v javnem sektorju v skladu s prvim odstavkom tega člena obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja.

Po vzoru prvega in drugega odstavka 9. člena ZVOP‑1 je zakonodajalec ohranil posebno ureditev, ki pod določenimi pogoji dopušča oziroma omejuje obdelavo osebnih podatkov na podlagi privolitve v javnem sektorju. Podobna nacionalna ureditev obdelave osebnih podatkov po točkah c in e prvega odstavka 6. člena Splošne uredbe, urejena v prvem in drugem odstavku 9. člena ZVOP-1, je veljala do začetka veljavnosti ZVOP-2.

IP je v mnenju št. 07120-1/2022/439 že pojasnil, da opisana rešitev vnosa osebnih podatkov v evidenco nadaljnjega izobraževanja in usposabljanja ministrstva (Katis) načeloma ni v neskladju z določbami Splošne uredbe in ZVOP-1, če temelji na privolitvi. Glede na zgoraj pojasnjeno se po začetku veljavnosti ZVOP-2 to stališče IP ne spreminja. Kljub temu pa ponovno opozarjamo, da v privolitev obravnavanem primeru ni najprimernejša pravna podlaga za obdelavo podatkov udeležencev nadaljnjega izobraževanja in usposabljanja v evidenci ministrstva ter pozivamo k čimprejšnji zakonski ureditvi tega področja.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka