Objava upravičencev do izredne pomoči na spletni strani organa

Datum

23.01.2024

Številka

07120-1/2024/18

Kategorije

Pravica do izbrisa - pozabe, Svetovni splet

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je Finančna uprava RS (v nadaljevanju FURS) una podlagi določb Zakona o interventnih ukrepih za zajezitev epidemije COVID-19 in omilitev njenih posledic za državljane in gospodarstvo, omogočala upravičencem izredno pomoč v obliki mesečnega temeljnega dohodka ter oprostitev plačila prispevkov za socialno varnost. 37. člen tega zakona določa, da je izjava upravičenca, da zaradi epidemije ne more opravljati dejavnosti ali jo opravlja v bistveno zmanjšanem obsegu, informacija javnega značaja in se objavi na spletnih straneh FURS. Na spletni strani torej objavljate seznam upravičencev z njegovimi osebnimi podatki, vključno z davčno številko, nazivom oziroma imenom in priimkom ter obdobjem upravičenosti do temeljnega dohodka in oprostitve plačila prispevkov. Sprašujete se glede nadaljevane objave na spletnih straneh tudi po prenehanju veljavnosti ukrepov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Zakonodajalec (še posebej izrazito v različnih interventnih zakonih) pogosto ne upošteva določenih temeljnih varovalk s področja varstva osebnih podatkov. V okoliščinah konkretnega primera zakon sploh ne določa, da se osebni podatki po tem, ko je izpolnjen namen javne objave, izbrišejo oziroma odstranijo s svetovnega spleta. IP meni, da podatki o upravičencih do subvencij, olajšav, socialnih transferjev in tako dalje, pod nobenim pogojem ne smejo ostati na svetovnem spletu za vse večne čase. Takšna obdelava bi bila očitno prekomerna.

IP priporoča, da za vsako objavo presodite, ali je še podan razlog, zaradi katerega je zakonodajalec odredil javno objavo, in s svetovnega spleta umaknete vse osebne podatke, za katere je namen obdelave že pretekel oziroma ne obstaja več.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Prav tako pa poudarjamo, da je IP na področju dostopa do informacij javnega značaja pritožbeni organ, zato mnenj v konkretnih primerih, ki zajemajo vprašanja s področja tolmačenja Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – UPB, s sprem. in dop.; v nadaljevanju ZDIJZ) ne moremo podajati. Tudi sicer pa je bistvena okoliščina v opisanem primeru, da gre za tako imenovano proaktivno objavo informacij javnega značaja (10. člen ZDIJZ: posredovanje informacij javnega značaja v svetovni splet), za tolmačenje katere je v celoti pristojno Ministrstvo za javno upravo.

Seveda pa se javna objava informacij javnega značaja lahko v bistvenem delu dotika tudi vprašanj varstva osebnih podatkov in tako je tudi v primeru, ki ga opisujete. Spodaj navajamo torej določene premisleke v zvezi z obdelavo osebnih podatkov, ki temeljijo predvsem na temeljnih načelih varstva osebnih podatkov.

Ugotovimo lahko, da javno objavo podatkov iz izjave o upravičencu določa zakon, kar pomeni, da je (načeloma) podana pravna podlaga za obdelavo osebnih podatkov iz prvega odstavka 6. člena Splošne uredbe. Točka (c) omenjenega odstavka določa, da je obdelava zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca.

Vendar IP ugotavlja, da zakonodajalec (še posebej izrazito v različnih interventnih zakonih) pogosto ne upošteva določenih temeljnih varovalk s področja varstva osebnih podatkov. V predstavljenem primeru denimo zakon ne vsebuje izrecnega nabora osebnih podatkov, ki naj bi se objavili (kje je navedeno, da se objavi davčna številka?), ter roka hrambe oziroma časovne omejitve javne objave.

ZVOP-2 izrecno predpisuje raven kvalitete, ki bi jo morala dosegati vsaka zakonska določba, ki določa obdelavo osebnih podatkov. Drugi odstavek 6. člena ZVOP-2 namreč določa, da je obdelava osebnih podatkov v javnem sektorju (…) zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

Omenjeni Zakon o interventnih ukrepih zelo očitno ne vsebuje zgoraj navedenih obveznih sestavin. Posebej problematično je (poleg tega, da zakon ne določa vrst osebnih podatkov, ki naj se objavijo), da zakon ne določa izbrisa osebnih podatkov po poteku namena javne objave. Pravzaprav zakon ne določa niti namena javne objave, zato je toliko težja presoja, kdaj je namen javne objave sploh izpolnjen. IP meni, da v nobenem primeru takšne informacije ne morejo na svetovnem spletu ostati za vse večne čase. Država bi bila v takšnem primeru vsekakor v kršitvi ne le Splošne uredbe, ampak tudi morebitne Evropske konvencije o človekovih pravicah, saj bi bila takšna »večna obdelava« očitno prekomerna.

Vsako obdelavo osebnih podatkov je treba namreč presojati skozi temeljna načela obdelave osebnih podatkov, in sicer v kontekstu predstavljenega primera predvsem načela omejitve namena (točka (b) prvega odstavka 5. člena Splošne uredbe), načela najmanjšega obsega osebnih podatkov (točka (c)) ter načela omejitve hrambe (točka (e)).

Podobno je IP zapisal tudi v primeru objave upravičencev do subvencij javnega sklada (mnenje IP št. 07121-1/2022/1440 z dne 29. 12. 2022, https://www.ip-rs.si/mnenja-gdpr/objava-osebnih-podatkov-o-prejemniku-subvencije-na-svetovnem-svetu-1672393511), sicer z vidika uveljavljanja pravice do izbrisa (pravice do pozabe).

IP priporoča, da za vsako posamezno objavo presodite, ali je še podan razlog, zaradi katerega je zakonodajalec odredil javno objavo, in s svetovnega spleta umaknete vse osebne podatke, za katere je namen obdelave že pretekel oziroma ne obstaja več.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov