Istovetnost osebe, ki preverja PCT pogoj

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše vprašanje. Navajate, da oseba, ki je zahtevala, da izkažete PCT pogoj v uradnih prostorih banke in vas je legitimirala, ni hotela povedati svojega imena in priimka. Tudi vodstvo banke je zavrnilo zahtevek po posredovanju imena te uradne osebe, ki na vratih preverja PCT pogoj. Skoraj prepričani ste, da obstaja pravna podlaga, da morajo osebe, ki opravljajo delo v banki, nositi značko z imenom oziroma povedati svoje ime in priimek. Prosite nas, da vam pomagamo opredeliti pravno podlago, na podlagi katere bi lahko izvedeli ime osebe, ki preverja PCT pogoj.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Glede na številne vsakodnevne spremembe predpisov v zvezi z ukrepi za zamejevanje širjenja virusa COVID-19 IP opozarja, da je mnenje pripravljeno glede na predpise, ki so veljali v času priprave mnenja. Vsak zavezanec pa je dolžan sproti preverjati konkretne obveznosti, ki veljajo zanj.

Na podobno vprašanje glede izkazovanja istovetnosti osebe, ki preverja PCT pogoj, pa je IP že odgovarjal v svojih nezavezujočih mnenjih, npr. v mnenju št. 07121-1/2021/2255 z dne 15.11.2021 (mnenja so dosegljiva s pomočjo iskalnika na www.ip-rs.si/vop).

V zvezi z ugotavljanjem identitete (vpogledom v osebno izkaznico) vam predlagamo, da se seznanite z objavo IP »Zakon o varstvu osebnih podatkov dopušča vpogled v osebni dokument za namen preverjanja točnosti podatkov«, ki je dostopna na: https://www.ip-rs.si/novice/zakon-o-varstvu-osebnih-podatkov-dopu%C5%A1%C4%8Da-vpogled-v-osebni-dokument-za-namen-preverjanja-to%C4%8Dnosti-podatkov. Kot smo poudarili, zadnji vladni Odlok o začasnih ukrepih za preprečevanje in obvladovanje okužb z nalezljivo boleznijo COVID-19, ki je začel veljati 8. 11. 2021, glede obdelav osebnih podatkov bistveno ne spreminja ureditve dosedanjih načinov preverjanja pogojev. O ustreznosti odlokov (oziroma neobstoja zakona) v zvezi s preverjanjem pogojev PCT bo presojalo Ustavno sodišče, saj je tudi IP že vložil zahtevo za presojo ustavnosti. Dokler torej Ustavno sodišče ne bo odločilo, so odloki veljavni in jih je treba upoštevati ter izvajati. Več o preverjanju izpolnjevanja pogojev PCT pa si lahko preberete v smernicah o preverjanju PCT pogojev (za upravljavce in za posameznike), ki so dostopne na spletni strani: https://www.ip-rs.si/novice/smernice-o-preverjanju-pct-pogojev.

Pojasnjujemo, da je določitev konkretne osebe, ki pri upravljavcu obdeluje osebne podatke (npr. opravlja preverjanje PCT pogoja pri strankah oz. opravlja vpogled v osebni dokument posameznikov), stvar upravljavca, ki mora poskrbeti tudi za sprejem ustreznih tehnično-organizacijskih ukrepov za zavarovanje osebnih podatkov. Ob tem mora upravljavec med drugim poskrbeti tudi za to, da do podatkov ne dostopajo nepooblaščene osebe. Namreč, drugi odstavek 25. člena ZVOP-1 določa, da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.

Kot smo poudarili v zgoraj citiranem mnenju, mora upravljavec posamezniku zagotoviti nekatere informacije skladno s 13. členom Splošne uredbe, med drugim npr.: identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja, kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja in namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo. Načelo transparentne, zakonite in poštene obdelave osebnih podatkov pa je eno od temeljnih načel, ki jih določa Splošna uredba.

S ciljem preprečevanja zlorab mora torej na drugi strani posameznik vsekakor imeti možnost, da se prepriča, ali razkriva osebne podatke upravičeni pooblaščeni osebi ali ne. IP ne more v mnenju predpisati, kako lahko to upravljavec zagotovi (pooblastila, izkaznice, priponke), vsekakor ne npr. z obveznim kazanjem osebnega dokumenta, saj ta niti ne dokazuje, da je posameznik za določeno nalogo obdelave osebnih podatkov pooblaščen. Hkrati pa zakon ali drug predpis niti ne ureja in bi glede na naravo stvari tudi težko za vse bodoče primere in situacije urejal konkretno načine, kako to upravljavec zagotovi, saj so primeri in okoliščine za različne zavezance zelo različni. Upravljavec pa lahko na podlagi drugega odstavka 106. člena ZVOP-1 javnosti posreduje in javno objavi osebno ime, naziv ali funkcijo, službeno telefonsko številko in naslov službene elektronske pošte predstojnika in tistih zaposlenih, katerih delo je pomembno zaradi poslovanja s strankami oziroma uporabniki storitev. Konkretna ureditev situacij v zvezi s preverjanjem PCT je torej stvar organizacije vsakega posameznega upravljavca oz. zavezanca in je odvisna od vseh okoliščin primera.

V upanju, da ste prejeli odgovor na vaše vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

Barbara Pirš, univ.dipl.prav.,

svetovalka pooblaščenca za preventivo