Obdelava OP v sklepih o dedovanju in mrliških listih

Datum

2.12.2024

Številka

07121-1/2024/1488

Kategorije

Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov v sklepih o dedovanju in mrliških listih.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upoštevajoč določbe Splošne uredbe lahko upravljavec osebne podatke posameznika obdeluje samo, če ima za to ustrezno pravno podlago. Ob tem mora upravljavec spoštovati vsa temeljna načela varstva osebnih podatkov iz 5. člena Splošne uredbe.

Obseg osebnih podatkov, ki jih za doseganje določenega namena zahteva od posameznikov, načeloma določi upravljavec osebnih podatkov sam ali pa ti izhajajo iz posebnih področnih predpisov.

Vsak zaposleni, ki obdeluje takšne podatke, dolžan varovati osebne podatke zapustnika in dedičev, ki jih na tak način prejme, v skladu z veljavnimi predpisi.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP uvodoma splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. ZVOP-2 v prvem odstavku 6. člena določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. V skladu s prvim odstavkom 6.člena Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca. IP poudarja, da je za zakonitost obdelave dovolj, da je izpolnjena ena od navedenih samostojnih pravnih podlag. Upoštevajoč navedene določbe Splošne uredbe lahko torej upravljavec osebne podatke posameznika obdeluje samo, če ima za to ustrezno pravno podlago. Posamezni upravljavci so tako ob obstoju ustrezne pravne podlage za zagotovitev ažurnosti in točnosti svojih zbirk osebnih podatkov upravičeni preveriti obstoj relevantnih dejstev glede spremembe lastništva ali sprememb drugih pomembnih pravnih dejstev iz javnih listin, kar predstavlja tudi sklep o dedovanju.

Ob tem mora upravljavec spoštovati vsa temeljna načela varstva osebnih podatkov iz 5. člena Splošne uredbe. IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave (v konkretnem primeru upravičenost dediča). V zvezi s tem IP pojasnjuje, da lahko dokument, ki dokazuje neko pomembno dejstvo v posameznem primeru, po lastni presoji tudi anonimizirate s prekritjem tistih osebnih podatkov, ki niso nujno potrebni za namen, za katerega se pridobiva.

IP ob tem dodaja, da obseg osebnih podatkov, ki jih za doseganje določenega namena zahteva od posameznikov, načeloma določi upravljavec osebnih podatkov sam ali pa ti izhajajo iz posebnih področnih predpisov, pri tem pa morajo biti (kot rečeno) upoštevana vsa načela varstva osebnih podatkov in vse pomembne okoliščine, ki jih IP izven izvedbe konkretnega nadzornega postopka ne more poznati. Vsak upravljavec osebnih podatkov se mora zavedati, da z zbiranjem večjega števila osebnih podatkov nase prevzema tudi večjo odgovornost, saj mora v enaki meri poskrbeti za zavarovanje večjega števila osebnih podatkov, v primeru nezakonitega razkritja pa je lahko deležen hujših sankcij. Upravljavec osebnih podatkov je torej, ne glede na obseg osebnih podatkov, ki jih zaradi doseganja določenih namenov (utemeljeno) zahteva od posameznikov, dolžan spoštovati vsa načela v zvezi z obdelavo osebnih podatkov.

IP nadalje pojasnjuje, da je obdelava oziroma dostop do osebnih podatkov znotraj posameznega upravljavca načeloma stvar odločitve vodstva ter posledično notranje organizacije upravljavca in ureditve v internih aktih. V skladu z načelom najmanjšega obsega podatkov iz točke (e) tega člena mora biti obdelava osebnih podatkov (npr. dostopanje zaposlenih do osebnih podatkov) omejena na to, kar je potrebno za namene, za katere se ti podatki obdelujejo. To pomeni, da je pri določanju pravic dostopa treba vzeti v obzir naloge, naravo dela in delovne obveznosti posamičnega zaposlenega. Za posamezno vrsto osebnih podatkov je tako treba pretehtati, kateri izmed zaposlenih se morajo seznaniti s temi podatki glede na namene, za katere se obdelujejo. Če tako konkretni zaposleni, izhajajoč iz pogodbe o zaposlitvi, internih navodil, notranje sistemizacije ali drugih internih aktov, za svoje delo v okviru pristojnosti posameznega upravljavca neizogibno potrebuje določene uporabniške pravice za dostop do podatkov iz dokumentacije v zvezi z dedovanjem, je dopustno, da se ji te uporabniške pravice dodelijo ter da jih tudi dejansko izvršuje v okviru svojih delovnih zadolžitev. Vsekakor pa je vsak zaposleni, ki obdeluje takšne podatke, dolžan varovati osebne podatke zapustnika in dedičev, ki jih na tak način prejme, v skladu z veljavnimi predpisi.

IP ponovno poudarja, da v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni navedeni pogoji za obdelavo osebnih podatkov. IP konkretno presojo zakonitosti obdelave osebnih podatkov v posameznem primeru lahko opravi le v okviru nadzornega ali drugega upravnega postopka.

IP sklepno pojasnjuje, da ni obveščen o morebitnih zakonodajnih predlogih na tem področju.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka