Pravna podlaga za obdelavo podatkov dobavitelja plina

Datum

29.03.2023

Številka

07121-1/2023/417

Kategorije

Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 20. 3. 2023 prejeli vaše zaprosilo za mnenje glede interpretacije 23. člena ZVOP-2 v zvezi s 134. členom ZOP. Zanima vas, ali je pravna podlaga za obdelavo osebnih podatkov s strani dobaviteljev plina v skladu s 134. členom ZOP izvajanje pogodbe ali pa pravno podlago predstavlja sam zakon (ZOP), kar posledično vpliva na varnostne zahteve iz 23. člena ZVOP-2.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.1. V primeru, da upravljavec v informacijskem sistemu obdeluje podatke več kot 100.000 posameznikov in se podatki obdelujejo na podlagi samega zakona, je glede varnostnih zahtev in priglasitve incidentov podvržen režimu zakona, ki ureja informacijsko varnost, ki velja za izvajalce bistvenih storitev.

2.2. Drugi odstavek 134. člena ZOP predstavlja pravno podlago za obdelavo osebnih podatkov, ki so v njem taksativno našteti.

3.3. Pogodba v smislu 6(1)(b) člena Splošne uredbe bi lahko izjemoma predstavljala pravno podlago le za obdelavo osebnih podatkov, ki so potrebni za izvajanje pogodbe o dobavi, sklenjene med dobaviteljem plina in uporabnikom sistema, in niso navedeni v drugem odstavku 134. člena ZOP, če bi takšna pogodba poleg namena, določenega v zakonu, zasledovala še kakšen drug namen.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov, morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo in obveznosti upravljavcev v skladu z veljavno zakonodajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

IP pojasnjuje, da je zakonodajalec v 23. členu ZVOP-2 opredelil nekatere zbirke osebnih podatkov, ki zaradi narave podatkov, ki jih vsebujejo, velikosti zbirke ali drugih lastnosti zbirke ali vsebovanih podatkov predstavljajo posebej veliko tveganje za pravice in svoboščine posameznikov, zato jih je podredil posebnim varnostnim zahtevam. Kriteriji za določitev posebej tveganih zbirk so opredeljeni v prvem odstavku 23. člena, med drugim mednje sodijo tudi informacijski sistemi, v katerem se obdelujejo osebni podatki več kot 100.000 posameznikov na podlagi zakona, razen obdelav osebnih podatkov iz 3. poglavja 2. dela ZVOP-2. V primeru, da upravljavec v informacijskem sistemu obdeluje podatke več kot 100.000 posameznikov in se podatki obdelujejo na podlagi samega zakona, je glede varnostnih zahtev in priglasitve incidentov podvržen režimu zakona, ki ureja informacijsko varnost, ki velja za izvajalce bistvenih storitev.

Zakon o oskrbi s plini (Uradni list RS, št. 204/21 in 121/22) v drugem odstavku 134. člena navaja osebne podatke, ki se obdelujejo na podlagi samega zakona, v tretjem odstavku pa določa namene, za katere jih lahko posamezni upravljavci uporabljajo. V skladu s četrto alinejo tretjega odstavka 134. člena ZOP tako lahko dobavitelji plina osebne podatke, ki so navedeni v drugem odstavku 134. člena ZOP obdelujejo le za namen izvajanja pogodbe o dobavi z uporabnikom sistema na podlagi 80. člena tega zakona in le za uporabnike sistema, od katerih so pridobili ustrezno privolitev ali s katerimi imajo sklenjeno pogodbo o dobavi. IP zato meni, da drugi odstavek 134. člena ZOP predstavlja pravno podlago za obdelavo osebnih podatkov, ki so v njem taksativno našteti.

Pogodba v smislu 6(1)(b) člena Splošne uredbe bi lahko izjemoma predstavljala pravno podlago za obdelavo osebnih podatkov, ki so potrebni za izvajanje pogodbe o dobavi, sklenjene med dobaviteljem plina in uporabnikom sistema, in niso navedeni v drugem odstavku 134. člena ZOP, če bi takšna pogodba zasledovala še kakšen drug namen. Vendar IP opozarja, ni vsaka obdelava podatkov, ki upravljavcu koristi ali je morda potrebna za uresničevanje njegovih drugih poslovnih namenov, tudi potrebna za izvajanje pogodbe v skladu s 6(1)(b) členom Splošne uredbe, temveč ta pogoj izpolnjuje le obdelava osebnih podatkov, ki jo upravljavec iz objektivnih razlogov mora izvajati, zato da pogodbeno obveznost lahko izpolni. Posebej glede navedenega pogodbenega razmerja je treba upoštevati, da je zakonodajalec že sam opravil presojo glede kategorij podatkov, ki so nujno potrebne za izvajanje pogodbe o dobavi, zato je dispozitivnost pogodbenih strank omejena. Le v primeru, če bi pogodbeno razmerje poleg zakonsko opredeljenih namenov, zasledovalo še kakšen drug namen, bi lahko upravljavec za doseganje slednjega obdeloval osebne podatke na podlagi 6(1)(b) člena Splošne uredbe, pod pogojem, da bi bila obdelava podatkov potrebna za doseganje tega pogodbeno določenega namena.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka