Obdelava osebnih podatkov za odločanje o občinski enkratni denarni socialni pomoči

Datum

06.05.2024

Številka

07120-1/2024/174

Kategorije

Občine, Postopki na centrih za socialno delo, Pravne podlage, Skupni upravljavci

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da centri za socialno delo (v nadaljevanju CSD) kot enotna vstopna točka za uveljavljanje pravic iz javnih sredstev odločajo tudi o dodeljevanju občinske enkratne denarne socialne pomoči (poleg državnih oblik pomoči). V ta namen (na temelju občinskega odloka) občina in CSD skleneta pogodbo. CSD-ji v postopku odločanja vpogledajo v podatke iz uradnih evidenc informacijskega sistema ISCSD2. Zaradi zagotavljanja skladnosti obdelave osebnih podatkov s predpisi nam zastavljate nekaj vprašanj glede pravnih podlag za obdelavo osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V situaciji, ki jo opisujete, vam svetujemo, da najprej natančno raziščete, kakšna je vloga posameznega organa (občine in CSD) pri odločanju o dodelitvi enkratne pomoči iz občinskega proračuna ter nato preučite tudi, ali gre morda za skupno upravljavstvo med občino in CSD-jem. Pri tem bo pomembna določba 37. člena ZUPJS ter 26. člena Splošne uredbe. Ustrezno bi se bilo posvetovati tudi s pooblaščeno osebo za varstvo osebnih podatkov, po potrebi pa tudi s pristojnim ministrstvom.

Obdelava v javnem sektorju praviloma poteka na podlagi točk c) ali e) prvega odstavka 6. člena Splošne uredbe v povezavi s področno zakonodajo. Področna zakonodaja za CSD je na primer Zakon o uveljavljanju pravic iz javnih sredstev, Zakon o socialno varstvenih prejemkih, Zakon o socialnem varstvu, Zakon o splošnem upravnem postopku, za občino pa Zakon o lokalni samoupravi (v povezavi z občinskimi odloki in drugimi akti lokalne skupnosti). Za vsako od teh zakonov je seveda treba identificirati konkretno določbo, saj zgolj splošno sklicevanje na celoten zakon ni dovolj za utemeljitev pravne podlage v povezavi s točkama c) ali e) prvega odstavka 6. člena Splošne uredbe.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

V opisanem primeru je pomembno dejstvo, da Zakon o uveljavljanju pravic iz javnih sredstev (Uradni list RS, št. 62/10, s sprem. in dop.; v nadaljevanju ZUPJS) ureja pogoje in postopek za pridobitev pravic iz javnih sredstev, ki so odvisne od materialnega položaja upravičenca. IP meni, da dodeljevanje takšnih pravic ne poteka na podlagi pogodbe med CSD in občino, temveč na podlagi zakona; pogodba pa verjetno ureja nekatera razmerja med udeleženci, ki se lahko urejajo s pogodbo. Iz ZUPJS izhaja, da o upravičenosti do denarnih prejemkov odločajo centri za socialno delo tako v primeru, ko se prejemki izplačujejo iz proračuna države kot iz proračuna lokalne skupnosti. 37. člen ZUPJS pa dokaj podrobno ureja medsebojno sodelovanje med občino in CSD-jem, kadar gre za uveljavljanje pravic iz javnih sredstev, ki se financirajo iz občinskega proračuna.

IP glede na navedeno meni, da kadar gre za izplačilo iz proračuna občine, morata CSD in občina za vsako vrsto postopka odločanja najprej razjasniti, kakšna je njuna posamična vloga v postopku odločanja (glede na določbe ZUPJS), nato pa njune vloge opredeliti še z vidika obdelave osebnih podatkov. Glede na način sodelovanja, kot ga opisujete, ter glede na 37. člen ZUPJS, IP ugotavlja, da bi lahko šlo v tem primeru za situacijo skupnega upravljanja v smislu Splošne uredbe. 26. člen Splošne uredbe določa, da so dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, skupni upravljavci. Glede vprašanja skupnega upravljavstva si lahko več preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/skupni-upravljavci ter v že izdanih mnenjih IP, dostopnih na https://www.ip-rs.si/mnenja-zvop-2/. Po potrebi pa se v primeru nejasnosti lahko obrnete tudi na pristojno ministrstvo.

Ko boste razčistili ustrezne vloge občine in CSD-ja v postopku odločanja o dodelitvi enkratne pomoči iz sredstev občinskega proračuna, je treba nadalje ugotoviti, kakšne so pravne podlage za vsakega od udeleženih organov.

V zvezi s tem lahko navedemo, da je obdelava osebnih podatkov dopustna le, če zanjo obstaja ustrezna pravna podlaga. V 6. členu Splošne uredbe so tako določene pravne podlage, in sicer:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov. V vašem primeru mora biti že vnaprej jasna podlaga tako za občino kot za CSD.

Pri odločanju o dodelitvi občinske enkratne denarne socialne pomoči gre za izvrševanje javnih nalog, pri katerih obdelava osebnih podatkov praktično nikoli ne bo temeljila na privolitvi posameznika. Na vaše vprašanje o privolitvi kot možni pravni podlagi lahko načeloma torej odgovorimo nikalno. Bo pa včasih posameznik vir podatkov, kar pomeni, da se osebne podatke pridobiva od njega. Vendar je to ločeno vprašanje od ugotavljanja pravne podlage, ki v javnem sektorju pri izvrševanju nalog in pooblastil zelo redko temelji na privolitvi (na primer, če takšno možnost določa zakon). Na tem mestu želimo poudariti še, da je treba pri privolitvi razlikovati med privolitvijo kot pravno podlago za obdelavo osebnih podatkov (točka a) prvega odstavka 6. člena Splošne uredbe) ter privolitvijo za začetek upravnega postopka (v tem primeru namreč obdelava osebnih podatkov poteka na podlagi zakona).

Obdelava v javnem sektorju torej praviloma poteka na podlagi točk c) ali e) prvega odstavka 6. člena Splošne uredbe v povezavi s področno zakonodajo. Področna zakonodaja za CSD je na primer Zakon o uveljavljanju pravic iz javnih sredstev, Zakon o socialno varstvenih prejemkih, Zakon o socialnem varstvu, Zakon o splošnem upravnem postopku, za občino pa Zakon o lokalni samoupravi (v povezavi z občinskimi odloki in drugimi akti lokalne skupnosti). Za vsako od teh zakonov je seveda treba identificirati konkretno določbo, saj zgolj splošno sklicevanje na celoten zakon ni dovolj za utemeljitev pravne podlage v povezavi s točkama c) ali e) prvega odstavka 6. člena Splošne uredbe.

IP je v Smernicah za centre za socialno delo, ki so bile sicer izdane še pred Splošno uredbo in ZVOP-2, vendar še pravilno navajajo področno zakonodajo, razen v kolikor se je spremenila, zapisal:

CSD za potrebe odločanja o pravicah iz javnih sredstev na podlagi prvega odstavka 52. člena ZUPJS obdelujejo tiste osebne podatke iz centralne zbirke podatkov, ki jih potrebujejo pri odločanju o uveljavljanju pravic po tem zakonu. Podatki za osebe po tem zakonu se zbirajo neposredno od osebe oz. njenega zakonitega zastopnika ter, po uradni dolžnosti, iz zbirk podatkov, ki jih v RS vodijo za to pooblaščeni organi in organizacije.

V skladu s 113. členom ZSV za opravljanje socialno varstvene dejavnosti po tem zakonu, lahko CSD brezplačno pridobiva taksativno naštete podatke iz uradnih zbirk podatkov različnih upravljavcev. Tudi področni zakoni (ZUPJS, ZSVarPre, ZSDP-1, ZIRD, ZPND itd.) predpisujejo način pridobivanja podatkov od številnih upravljavcev zbirk osebnih podatkov, ki vodijo osebne podatke, ki jih CSD potrebujejo pri izvajanju javnih pooblastil (in drugih nalog, ki jim jih nalaga zakon).

CSD je torej na oba navedena načina, t.j. neposredno od posameznika ali iz uradnih zbirk naštetih upravljavcev, pooblaščen in upravičen pridobivati točno določene osebne in druge podatke, ki jih potrebuje za opravljanje socialnovarstvene dejavnosti, bodisi za izvajanje javnih pooblastil pri odločanju o pravicah, obveznostih ali pravnih koristih posameznikov, kadar postopa po ZUP, ali pri uveljavljanju in izvajanju storitev neposredno po ZSV.

Svetujemo vam tudi, da si preberete nekatera mnenja IP, na primer mnenje IP št. 07120-1/2020/440 z dne 6. 7. 2020, št. 07121-1/2022/805 z dne 22. 7. 2022 ter druga mnenja v kategoriji "Postopki na centrih za socialno delo" s pomočjo iskalnika po mnenjih IP: https://www.ip-rs.si/mnenja-zvop-2/.

Glede obdelave osebnih podatkov s strani občine pa je nujno treba preučiti vsebino 21.a ter 21. člena Zakona o lokalni samoupravi (Uradni list RS, št. 94/07 – UPB; s sprem. in dop.; v nadaljevanju ZLS), ki določa nabor osebnih podatkov, ki se jih lahko obdeluje za izvrševanje nalog občine, kot jih opredeljuje ZLS. Poleg tega, kot že omenjate, občina sprejme tudi odloke, ki operacionalizirajo in dajejo natančnejšo podlago za izvajanje lokalnih zadev javnega pomena.

Načelo odgovornosti, ki je vtkano v Splošno uredbo. od vas in CSD-jev terja, da temeljito preverite vse pomembne vidike obdelave osebnih podatkov, kar zajema tudi ustrezno poznavanje vlog vseh, ki so vključeni v procese obdelave. Pri tem vam svetujemo, da se posvetujete tudi s pooblaščeno osebo za varstvo podatkov, ki jo imate kot občina (obvezno) imenovano, po potrebi pa tudi z resornim ministrstvom.

Konkretno glede vašega 3. vprašanja o tem, kaj mora CSD pri vpogledu v podatke navesti kot namen vpogleda ("Reševanje vloge za občinsko denarno pomoč" ali kaj drugega), vam žal IP ne more odgovoriti. Takšnega konkretnega svetovanja IP ne more opravljati, pomembno pa je, da zadostite določbi Splošne uredbe glede varnosti podatkov in preprečujete možnosti nepooblaščene obdelave osebnih podatkov. Prav tako mora biti upravljavec zmožen kasneje za vsako dejanje obdelave osebnih podatkov dokazati, da je bilo zakonito. Nenazadnje pa je namen obdelave osebnih podatkov v skladu s 13. do 15. členom Splošne uredbe razkriti tudi posameznikom, na katere se nanašajo osebni podatki.

Vaše 4. vprašanje se nanaša na povratne informacije, do katerih je občina upravičena po zaključku odločanja o dodelitvi denarne socialne pomoči. Glede na to, da se takšna izredna oziroma enkratna pomoč financira iz občinskega proračuna, IP meni, da ste že na podlagi ZLS upravičeni do določenih povratnih informacij o tem, kako je občinski denar porabljen. Vendar vam v mnenju žal ne moremo navesti, do katerih informacij konkretno bi bili upravičeni in kakšna bi bila dejanska pravna podlaga. Kot sami navajate, pa je pri vsaki obdelavi osebnih podatkov treba upoštevati načelo najmanjšega obsega podatkov (točka c) prvega odstavka 5. člena Splošne uredbe).

Žal vam konkretnejših odgovorov nismo mogli podati, vam pa svetujemo, da na podlagi podanih izhodišč raziščete izpostavljene vidike obdelave osebnih podatkov in se pri tem posvetujete tudi s pooblaščeno osebo za varstvo osebnih podatkov, ki bi morala natančno poznati vaše procese dela, področno zakonodajo ter na drugi strani zahteve Splošne uredbe in ZVOP-2.

Lepo vas pozdravljamo,

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov