Ali lahko izterjavo za javni sektor dela pogodbeni izterjevalec

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Spoštovani,

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 16. 7. 2007 prejel vaše e-sporočilo, v katerem nas prosite za pojasnilo glede pogojev posredovanja in uporabe občutljivih podatkov. Gre za podatke mestnih inšpektoratov o prekrških zaradi napačnega parkiranja, ki naj bi se, preden se prepustijo državnemu organu pristojnemu za izterjavo davkov, v izterjavo pogodbeno predajali subjektu, specializiranemu za tovrstne storitve. Zanima vas, katere pogoje morata izpolnjevati obe pogodbeni stranki, da je takšen prenos podatkov in njihova uporaba v skladu z zakonodajo?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05 - ZInfP in 51/07-ZUstS; v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

1 Splošno o pogodbeni obdelavi

Prvi odstavek 8. člena ZVOP-1 določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo osebnih podatkov podana osebna privolitev posameznika. Podobno izhaja tudi iz 13. člena ZVOP-1, ki določa podlage za obdelavo občutljivih osebnih podatkov (v tem primeru podatke iz prekrškovnih evidenc).

Po določbah prvega odstavka 11. člena ZVOP-1 lahko upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe za zavarovanje osebnih podatkov iz 24. člena ZVOP-1  (pogodbena obdelava osebnih podatkov). 11. člen ZVOP-1 predstavlja posebno zakonsko podlago v smislu 8. člena ZVOP-1, ki pod določenimi pogoji omogoča obdelavo osebnih podatkov, kadar se ta izvaja s strani pogodbenih obdelovalcev in za to ni neke druge zakonske podlage ali privolitve posameznika. Omogoča torej posredovanje osebnih podatkov pogodbenemu obdelovalcu, obdelavo osebnih podatkov v ožjem smislu pri pogodbenem obdelovalcu in povratno posredovanje osebnih podatkov z dodano vrednostjo upravljavcu.

2 Obveznosti strank v zvezi s pogodbeno obdelavo osebnih podatkov

Pogodbeni obdelovalec (ta je v skladu s sedmo točko 6. člena ZVOP-1 fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov) sme, v skladu z drugim odstavkom 11. člena, opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen.

Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena tega zakona.

Dogovor med strankama o postopkih in ukrepih iz 24. člena ZVOP-1 pomeni dogovor o organizacijskih, tehničnih in logično-tehničnih postopkih in ukrepih, s katerimi se varujejo osebni podatki, preprečuje nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter njihova nepooblaščena obdelava pri pogodbeni obdelavi teh podatkov. Zato morata upravljavec in pogodbeni obdelovalec v pogodbi jasno in natančno določiti postopke in ukrepe s katerimi mora pogodbeni obdelovalec:

- varovati prostore, kjer se nahajajo nosilci osebnih podatkov,
- varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki,
- preprečevati nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih,
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov
- omogočati poznejše ugotavljanje, kdaj so bili posamezni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil (načelo sledljivosti).

Splošne navedbe, v smislu: »pogodbeni obdelovalec se zavezuje, da bo pri obdelavi osebnih podatkov spoštoval zakonodajo s področja varstva osebnih podatkov«, z vidika 11. člena ZVOP-1 ne zadostujejo. Kot je pojasnjeno v nadaljevanju, je dopustno sklicevanje na Pravilnik o zavarovanju osebnih podatkov, ki ga je upravljavec sprejel za zavarovanje osebnih podatkov, oziroma vključitev takega Pravilnika v pogodbo, če seveda v Pravilniku predvideno zavarovanje osebnih podatkov ustreza zahtevam upravljavca osebnih podatkov.

Ker morata stranki opisane postopke in ukrepe za zavarovanje osebnih podatkov urediti v pogodbi, pogodbenemu obdelovalcu tudi ni treba teh postopkov in ukrepov predpisovati v svojih aktih, kot je to v skladu z  drugim odstavkom 25. člena ZVOP-1 dolžan storiti upravljavec osebnih podatkov. Če pa je pogodbeni obdelovalec že sprejel notranji akt (v praksi ponavadi Pravilnik o zavarovanju osebnih podatkov), v katerem je predpisal postopke in ukrepe iz 24. člena ZVOP-1 (npr. za zavarovanje tistih osebnih podatkov, kjer sam nastopa kot upravljavec), pa lahko stranki namesto ponovnega opisovanja vseh postopkov in ukrepov v pogodbi zgolj citirata takšen akt (če ta seveda ustreza zahtevam upravljavca), pogodbeni stranki navedeta, da je akt sestavni del pogodbe in da mora pogodbeni obdelovalec zagotoviti zavarovanje osebnih podatkov v skladu z določbami takšnega akta ter akt priložita pogodbi. Enako kot akt pogodbenega obdelovalca lahko stranki v pogodbo vključita tudi notranji akt upravljavca.

Upravljavec in pogodbeni obdelovalec osebnih podatkov morata v pogodbi določiti tudi, katere osebe, zaposlene pri pogodbenem upravljavcu osebnih podatkov, lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so v zvezi s tem njihova pooblastila ter uredita dolžnost varovanja zaupnosti podatkov. Pogodbeni obdelovalec mora poskrbeti tudi, da se z v pogodbi dogovorjenimi postopki in ukrepi iz 24. člena ZVOP-1 seznanijo vsi tisti zaposleni, ki pri njem odgovarjajo za izvajanje teh postopkov in ukrepov, ter osebe, ki zaradi narave svojega dela pri njem obdelujejo določene osebne podatke. Če sta pogodbenika v pogodbo vključila že obstoječi notranji akt o zavarovanju osebnih podatkov enega ali drugega, mora pogodbeni obdelovalec poskrbeti, da se omenjene osebe seznanijo s tem aktom.

Potrebno je še dodati, da morata pogodbeni stranki pri določanju pogodbene vsebine in njenem izvrševanju upoštevati tudi, določbe 14. člena ZVOP-1, ki govori o zavarovanju občutljivih osebnih podatkov.

 
3 O dopustnosti pogodbene obdelave v zvezi s prisilno izterjavo neplačanih glob

Ker v vašem sporočilu niste navedli, za katero občino gre in tudi niste navedli, na kateri pravni podlagi naj bi se izvajala pogodbena izterjava prekrškovnih glob mimo davčne uprave RS, vam glede dopustnosti takega ravnanja lahko podamo samo splošno pojasnilo. Prav tako se Pooblaščenec ne more spuščati v presojo skladnosti občinskih predpisov (ki morebiti določajo poseben način izterjave glob za prekrške) z Ustavo RS in Zakonom o prekrških (Uradni list RS, št. 3/07- UPB; ZP-1), kot sistemskim predpisom na področju prekrškovnega prava.

ZP-1 v osmem odstavku 57. in prvem ter četrtem odstavku 202. člena določa, da se prisilna izterjava globe (in stroškov)  izrečene za prekršek izvede preko organa, ki je pristojen za izterjavo davkov in sicer z dikcijama: »…se pošlje plačilni nalog v izvršitev organu, ki je pristojen za izterjavo davkov…” oziroma »…izvrši pristojni davčni organ po določbah zakona, ki ureja prisilno izterjavo davkov”. Navedeno velja ne glede na to, ali je globa izrečena s strani prekrškovnega organa ali sodišča in ne glede na to, ali je globa storilcu naložena s plačilnim nalogom, odločbo ali sodbo. Glede na to, da ZP-1 ne predvideva drugih oblik prisilne izterjave in so navedene določbe absolutno preskriptivne (zapovedne) narave, je logičen sklep, da druge oblike prisilne izterjave, pa čeprav samo kot vmesna faza, niso dopustne. Ob takem sklepu se seveda postavlja vprašanje, ali je pogodbena obdelava iz prejšnjih točk sploh dopustna, pa čeprav pogodbena obdelava sama po sebi predstavlja posebno in samostojno podlago za obdelavo osebnih podatkov. Pooblaščenec meni, da glede na določbo 16. člena ZVOP-1, ki določa, da se lahko osebni podatki zbirajo in nadalje obdelujejo le za določene in zakonite namene, pogodbena obdelava osebnih podatkov s strani »subjekta, ki je specializiran za tovrstne storitve«, v konkretnem primeru ni dopustna.

Če nam sporočite lahko konkretne podatke, v kateri občini se to dogaja in katero podjetje ali fizična oseba izterjavo izvaja, bomo izvedli tudi inšpekcijski nadzor.

Lepo vas pozdravljamo,

Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka