Obdelava podatkov udeležencev usposabljanj in izobraževanj v ZDA

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da je ameriški kongres sprejel nov zakon, na podlagi katerega bodo s 1. julijem 2021 začeli veljati novi pogoji, ki jih mora posameznik izpolnjevati za napotitev na usposabljanja v ZDA. Zanima vas, kako je z zbiranjem in obdelavo osebnih podatkov državljanov Republike Slovenije, ki so napoteni na usposabljanje v ZDA oziroma na usposabljanja, ki jih organizira ZDA, in glede podatkov njihovih družinskih članov, predvsem glede biometričnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Zato vam v nadaljevanju podajamo splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov.

Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe (npr. privolitev, pogodba, zakon itn.). V primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi biometrični podatki, pa mora bili izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe. Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca.

Za obdelavo podatkov v delovnih razmerjih je relevanten predvsem 48. člen Zakona o delovnih razmerjih (Uradni list RS, št. 21/13; s spremembami in dopolnitvami), skladno s katerim se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Več o obdelavi podatkov v delovnih razmerjih si lahko preberete v smernicah IP, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih.

Obdelava biometričnih podatkov je podrobneje urejena v še veljavnih določbah ZVOP-1 (78. do 81. člen). Po 78. členu ZVOP-1 se z obdelavo biometričnih značilnosti ugotavljajo ali primerjajo lastnosti posameznika, tako da se lahko izvrši njegova identifikacija oziroma preveri njegova identiteta (v nadaljnjem besedilu: biometrijski ukrepi) pod pogoji, ki jih določa ta zakon. Skladno s prvim odstavkom 79. člena ZVOP-1 se lahko biometrijske ukrepe v javnem sektorju določi le z zakonom, če je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi, skladno z drugim odstavkom istega člena pa se biometrijske ukrepe lahko določi z zakonom tudi, če gre za izpolnjevanje obveznosti iz obvezujoče mednarodne pogodbe ali za identifikacijo posameznikov pri prehajanju državnih meja. Ne glede na določbe 79. člena ZVOP-1 pa se v javnem sektorju lahko uvedejo biometrijski ukrepi v zvezi z vstopom v stavbo ali dele stavbe in evidentiran-jem prisotnosti zaposlenih na delu, ki se izvedejo ob smiselni uporabi drugega, tretjega in četrtega odstavka 80. člena tega zakona (81. člen ZVOP-1).

ZVOP-1 torej dovoljuje uporabo biometrije za javni sektor le, kadar tako določa zakon. Več o biometrijskh ukrepi si lahko preberete tudi v smernicah IP, ki so dostopne na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Biometrija_-_smernice.pdf.

IP ob tem izpostavlja, da je upravljavec dolžan izpolnjevati tudi druge obveznosti, ki jih predpisuje Splošna uredba, kot je informiranje posameznikov (13. in 14. člen Splošne uredbe), zagotavljanje varnosti obdelave (32. člen Splošne uredbe) in upoštevanje zahtev glede ustreznih mehanizmov pri morebitnem prenosu osebnih podatkov v tretje države ali mednarodne organizacije. Prav tako pa je bistvenega pomena, da upravljavec spoštuje vsa načela varstva osebnih podatkov iz člena 5 Splošne uredbe.

IP nadalje pojasnjuje, da samo državljanstvo posameznika, katerega osebne podatke obdeluje upravljavec, ni merilo za uporabo določb Splošne uredbe oziroma še veljavnih določb ZVOP-1. Ozemeljsko veljavnost opredeljuje Splošna uredba v 3. členu, in sicer na podlagi dveh glavnih meril: merila »ustanovitve« v skladu s členom 3(1) in merila »ciljanja« v skladu s členom 3(2). Kadar je izpolnjeno eno od teh dveh meril, se za obdelavo osebnih podatkov, ki jo izvaja določen upravljavec ali obdelovalec, uporabljajo določbe Splošne uredbe.

V zaprosilu navajate, da bo strožje varnostno preverjanje vključevalo zbiranje biografskih in biometričnih podatkov napotenih in njihovih družinskih članov, kadar jih bodo spremljali. Pojasnjujete, da bo Ministrstvo za obrambo Pisarni za obrambno sodelovanje, ki ni del ministrstva, le sporočilo, kdo naj bi se udeležil usposabljanja v ZDA, vse ostale postopke pa bo izpeljala ta pisarna v povezavi s kandidatom za usposabljanje.

Iz navedenega ne izhaja jasno, katere osebne podatke zaposlenih za namen usposabljanja v ZDA obdeluje ministrstvo kot delodajalec niti, v kakšni vlogi nastopa Pisarna za obrambno sodelovanje. Prav tako ne navajate, kateri podatki teh kandidatov bodo posredovani v ZDA. Zato vam konkretnejših odgovorov v okviru tega mnenja IP ne more podati.

IP pa opozarja, da kadar upravljavec (ali obdelovalec) iz Slovenije ali druge države članice Evropske unije osebne podatke posreduje v države izven Evropske unije ali Evropskega gospodarskega prostora, npr. v ZDA, govorimo o prenosu osebnih podatkov. Splošna uredba predvideva ukrepe, ki zagotavljajo, da osebni podatki ostanejo varovani tudi po prenosu v tretje države oziroma mednarodne organizacije.

Za zakonito posredovanje osebnih podatkov upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi ali mednarodni organizaciji morata biti tako izpolnjena dva pogoja, in sicer:

1. Za posredovanje oz. dajanje osebnih podatkov na razpolago upravljavcu, obdelovalcu ali uporabniku osebnih podatkov v tretji državi mora obstajati katera izmed pravnih podlag, ki so določene v členu 6 in 9 Splošne uredbe. Obdelovalcu (pravni ali fizični osebi, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) se lahko osebni podatki posredujejo pod pogoji, določenimi v 28. členu Splošne uredbe.
2. Ob izpolnjenem prvem pogoju je posredovanje osebnih podatkov upravljavcu ali obdelovalcu v tretji državi ali mednarodni organizaciji dopustno pod pogoji, ki jih ureja poglavje V Splošne uredbe, in sicer:
3. a) če Evropska komisija izda odločbo, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov (člen 45 Splošne uredbe);
4. b) če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva na podlagi členov 46 in 47 Splošne uredbe;
5. c) če gre za posebne primere, ki so določeni v členu 49 Splošne uredbe o varstvu podatkov, v katerih so mogoča odstopanja.

Več o prenosih osebnih podatkov v tretje države in mednarodne organizacije si lahko preberete tudi na spletni strani IP https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/prenos-osebnih-podatkov-v-tretje-dr%C5%BEave-in-mednarodne-organizacije/ ter v smernicah IP, ki so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_glede_prenosa_OP_v_tretje_drzave_in_mednarodne_organizacije_po_Splosni_uredbi.pdf.

Lep pozdrav,

Mojca Prelesnik, univ. dipl. prav.,                       

informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov