Posredovanje podatkov o skrbniku CSD

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja zaupnih bančnih podatkov skrbnika Centrom za socialno delo s strani banke.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov Centru za socialno delo.

Osebe zasebnega sektorja  posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku  6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP pojasnjuje, da so v skladu s 174. členom Zakona o bančništvu (Uradni list RS, št. 15/26; v nadaljevanju: ZBan-4) vsi podatki, dejstva in okoliščine o posamezni stranki, s katerimi razpolaga banka,  zaupni podatki, banke pa jih lahko tretjim osebam posredujejo samo v primeru ene od izjem iz 3. odstavka 175. člena ZBan-4 (med temi izjemami ni razkritja oziroma posredovanja podatkov Centrom za socialno delo) oziroma takrat, kadar zakon izrecno določa dolžnost banke glede pošiljanja zaupnih podatkov o posamezni stranki.

IP nadalje pojasnjuje, da ZVOP-2 vsebuje tudi posebne določbe glede posredovanja osebnih podatkov (39. - 41. člen). Skladno s prvim odstavkom 41. člena ZVOP-2 lahko osebe zasebnega sektorja posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače. Osebe zasebnega sektorja posredujejo osebne podatke osebam javnega sektorja brezplačno, razen če zakon določa drugače. Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

1. podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;
2. pravno podlago za pridobitev zahtevanih osebnih podatkov;
3. namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;
4. predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;
5. vrste osebnih podatkov, ki naj se mu posredujejo;
6. obliko in način pridobitve zahtevanih osebnih podatkov.

Za dopustnost posredovanja osebnih podatkov morajo biti torej (poleg v prejšnjih odstavkih navedenih materialnopravnih pogojev) izpolnjeni tudi formalni pogoji iz prvega odstavka 41. člena ZVOP-2.

IP meni, da določbe 246., 250. in 251. člena Družinskega zakonika (Uradni list RS, št. 15717, 21/18 – ZNOrg, 22/19, 67/19 – ZMatR-C, 200/20 – ZOOMTVI, 94/22 – odl. US, 5/23, 34/24 – odl. US; v nadaljevanju: DZ) ne predstavljajo pravne podlage za posredovanje bančnih podatkov strank (v konkretnem primeru skrbnika) Centrom za socialno delo, niti take pravne podlage ne more predstavljati Pravilnik o popisu in ocenitvi premoženja oseb pod skrbništvom in o sestavi ali vsebini skrbniškega poročila (Uradni list RS, št. 22/19). Določba 34.a člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 80/99, 70/00, 52/02, 73/04, 119/05, 105/06 – ZUS-1, 126/07, 65/08, 8/10, 82/13. 175/20 – ZIUOPDVE, 3/22 – ZDeb, 85/25; v nadaljevanju: ZUP) bi lahko predstavljala pravno podlago za posredovanje podatkov v določenih primerih oziroma v določenih postopkih v pristojnosti CSD (npr. v postopku uveljavljanja določenih pravic iz javnih sredstev), ampak seveda samo v primeru upravnih, ne pa nepravdnih postopkov. IP tudi ni znana druga zakonska podlaga, ki bi bankam nalagala posredovanje zaupnih bančnih podatkov skrbnika Centrom za socialno delo.

IP ob tem dodaja, da je vsekakor treba oceniti primernost konkretne osebe, preden se jo določi za skrbnika. Skrbnik mora tako izpolnjevati pogoje, ki so določeni v 241. členu DZ, poleg tega pa ima tudi določene obveznosti, med drugim mora vestno skrbeti za osebnost, pravice in koristi varovanca in skrbno upravljati njegovo premoženje. Sam postopek določitve skrbnika pa poteka pred sodiščem in v kolikor je po mnenju slednjega v tem postopku potrebna tudi pridobitev podatkov o finančnem stanju skrbnika, jih sodišče lahko pridobi samo. Vsekakor to lahko sodišču, če meni, da je to v konkretnem primeru potrebno, predlaga tudi Center za socialno delo. Prav tako bi lahko slednji, v kolikor je po njegovem mnenju za oceno primernosti skrbnika potrebna tudi pridobitev podatkov o finančnem stanju skrbnika, te zahteval tudi od samega kandidata za skrbnika.  

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. Skladno s četrtim odstavkom 41. člena ZVOP-2 namreč lahko vlagatelj zahteve, če je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ (IP). Kadar ta zavrne zahtevo ali kadar na prvi stopnji odloča nadzorni organ sam, lahko vlagatelj zahteva sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, pa lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek.

Lepo vas pozdravljamo.

Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,
Informacijska pooblaščenka