Zunanji ponudniki storitev

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zajema biometričnih podatkov s strani zunanjega ponudnika storite v postopku izdaje dovoljenja za prebivanje.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Biometrijske ukrepe v javnem sektorju se lahko določi le z zakonom, če je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. Ne glede na to se biometrijske ukrepe lahko določi z zakonom, če gre za izpolnjevanje obveznosti iz obvezujoče mednarodne pogodbe ali za identifikacijo posameznikov pri prehajanju državnih meja.

Zadevna država članica je dolžna zagotoviti, da izbrani zunanji ponudnik storitev izpolnjuje pogoje, določene v pravnem instrumentu iz drugega odstavka 43. člena Uredbe (ES) št. 810/2009 EP in Sveta z dne 13. julija 2009 o vizumskem zakoniku Skupnosti.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka presojati konkretnih ravnanj oziroma obdelav osebnih podatkov. IP prav tako ni pristojen za tolmačenje določb zakonov oziroma predlogov, ki jih navajate v vašem zaprosilu, zato v nadaljevanju podaja splošna pojasnila.

IP tako splošno pojasnjuje, da se v skladu z določbo prvega odstavka 79. člena ZVOP-1 biometrijske ukrepe v javnem sektorju, lahko določi le z zakonom, če je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. Drugi odstavek istega člena nadalje določa, da se ne glede na prejšnji odstavek biometrijske ukrepe lahko določi z zakonom, če gre za izpolnjevanje obveznosti iz obvezujoče mednarodne pogodbe ali za identifikacijo posameznikov pri prehajanju državnih meja. Kakršnekoli biometrijske ukrepe (tudi za namen izdaje dovoljenja za prebivanje) je torej v javnem sektorju torej dopustno izvajati le v skladu z navedenimi pogoji, kar pomeni, da morajo biti v konkretnem primeru določeni z zakonom.

Zakon o tujcih (Uradni list RS, št. 91/21 – UPB, 95/21 – popr., 105/22 – ZZNŠPP; v nadaljnjem besedilu: ZTuj-2) v enajstem odstavku 111. člena jasno določa, da tujec, ki prebiva zunaj Republike Slovenije in vloži prošnjo za izdajo prvega dovoljenja za začasno prebivanje, da prstne odtise na diplomatskem predstavništvu ali konzulatu Republike Slovenije v tujini. Na drugi strani Uredba (ES) št. 810/2009 EP in Sveta z dne 13. julija 2009 o vizumskem zakoniku Skupnosti (Vizumski zakonik) v prvem odstavku 13. člena med drugim določa, da države članice zbirajo biometrične identifikatorje prosilca, ki obsegajo fotografijo obraza in deset prstnih odtisov. V petem odstavku istega člena je določeno, da se prstni odtisi odvzamejo v skladu s standardi ICAO in Odločbo Komisije 2006/648/ES z dne 22. septembra 2006 o tehničnih zahtevah glede standardov za biometrične značilnosti v zvezi z razvojem vizumskega informacijskega sistema, v šestem odstavku pa je določeno, da biometrične identifikatorje odvzame usposobljeno in ustrezno pooblaščeno osebje organa s pristojnostmi iz člena 4(1), (2) in (3). Biometrične identifikatorje lahko pod nadzorom konzulata odvzame tudi kvalificirano in ustrezno pooblaščeno osebje častnega konzula iz člena 42 ali zunanjega ponudnika storitev iz člena 43 omenjene uredbe. V 43. členu je v šestem odstavku navedeno, da se zunanjemu ponudniku storitev lahko zaupa opravljanje ene ali več nalog, med njimi tudi zbiranje podatkov in sprejemanje vlog (vključno z zbiranjem biometričnih identifikatorjev) in pošiljanje vlog konzulatu. Ob tem IP posebej opozarja, da v skladu z devetim odstavkom 43. člena uredbe zadevna država članica ostane odgovorna za spoštovanje pravil o varstvu podatkov ter da sodelovanje z zunanjim ponudnikom storitev ne omejuje ali izključuje kakršnih koli odgovornosti, ki izhajajo iz nacionalnega prava zadevne države članice zaradi kršitev obveznosti glede osebnih podatkov prosilca in opravljanja ene ali več nalog iz šestega odstavka. Prav tako je treba spoštovati zahteve 44. člena uredbe glede šifriranja in varnega prenosa podatkov.

IP poudarja, da je v skladu z osmim odstavkom 43. člena uredbe št. 810/2009 zadevna država članica dolžna zagotoviti, da izbrani zunanji ponudnik storitev izpolnjuje pogoje, določene v pravnem instrumentu iz drugega odstavka istega člena. Ta pravni instrument mora biti v skladu z zahtevami iz priloge X uredbe, ki določa seznam minimalnih zahtev, ki jih je treba vključiti v pravni instrument v primeru sodelovanja z zunanjimi ponudniki storitev. Ta priloga vsebuje tudi nekatere zahteve s področja varstva podatkov. IP ob tem posebej izpostavlja zahtevo A(f), da zunanji ponudnik storitev podatke lahko obdeluje le za namene obdelave osebnih podatkov prosilcev v imenu zadevne države članice. Po mnenju IP gre tako po vsej verjetnosti za obdelovalca osebnih podatkov v smislu 28. člena Splošne uredbe o varstvu podatkov, zato je treba njegovo obdelavo osebnih podatkov skladno s tretjim odstavkom navedenega člena urediti s pogodbo ali drugim pravnim aktom v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Določena je torej minimalna vsebina, ki jo mora vsebovati ta pogodba oziroma pravni akt, ki zagotavlja, da se tako upravljavec kot obdelovalec zavedata svojih pravic in obveznosti v zvezi z obdelavo osebnih podatkov. Odgovornost za zakonito obdelavo osebnih podatkov je primarno na strani upravljavca in ostaja njegova odgovornost tudi po njihovem posredovanju pogodbenemu obdelovalcu. Ob tem pa IP opozarja, da ima v določenem delu obdelovalec podobne obveznosti kot upravljavec osebnih podatkov in je neposredno odgovoren za zakonito obdelavo osebnih podatkov v okviru svojih pooblastil. Pravila zakonite obdelave osebnih podatkov mora poznati in jih v praksi tudi ustrezno izvrševati.

IP poudarja, da je ob tem treba spoštovati tudi druge zahteve Splošne uredbe o varstvu podatkov, še posebej 25. člena glede vgrajenega in privzetega varstva podatkov ter 32. člena glede varnosti obdelave osebnih podatkov. Posebej IP izpostavlja tudi spoštovanje zahtev poglavja V Splošne uredbe o varstvu podatkov (prenos osebnih podatkov v tretje države ali mednarodne organizacije, členi 44-50) možnost prenosa osebnih podatkov v tretje države, saj obstaja možnost, da ob opisani obdelavi osebnih podatkov prihaja do prenosa osebnih podatkov  v tretje države (sedež zunanjega ponudnika storitev v tretji državi ali uporaba podobdelovalcev v tretjih državah z njegove strani).

Upoštevajoč vse navedeno IP predlaga, da izpostavljeno upoštevate pri nadaljnjem urejanju zadevne tematike.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka