Zbiranje osebnih podatkov za potrebe obrambnega načrtovanja

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zbiranja osebnih podatkov za potrebe obrambnega načrtovanja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more presojati primernosti namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera.  Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe je zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP splošno pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

IP posebej opozarja, da dokončne presoje obstoja pravnih podlag za posamezne obdelave v mnenju ne more izvesti, saj je to naloga in odgovornost upravljavca, poudarja pa, da mora biti glede na 38. člen Ustave vsaka obdelava osebnih podatkov primarno opredeljena z zakonom in ne podzakonskim aktom. IP ob tem opominja tudi na določbo drugega odstavka 6. člena ZVOP-2, ki določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. določiti tudi vrste osebnih podatkov, ki se lahko pridobivajo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi. V zakonu (in ne podzakonskem aktu, npr. uredbi ali v konkretnem primeru celo navodilu) je torej treba opredeliti vse navedene elemente iz drugega odstavka 6. člena ZVOP-2.

Zakon o obrambi (Uradni list RS, št. 103/04 – UPB, 95/15, 139/20, 112/25 – ZSSloV-C; v nadaljevanju: ZObr) v prvem odstavku 20. člena jasno določa, katere osebne podatke zbira, obdeluje, uporablja in hrani upravni organ, pristojen za obrambne zadeve. Med drugim določa, da gre v primeru državljanov, ki vodijo priprave civilne obrambe, za podatke o enotni matični številki, imenu in priimku, rojstvu in podatke o zaposlitvi ter prebivališču, zato da se zagotovi ažurnost priprav civilne obrambe. Četrti odstavek istega člena določa, da ministrstvo vodi zbirne podatke v skladu s prvim in drugim odstavkom tega člena.

Glede oseb, pristojnih za obrambno načrtovanje, vprašanja v zvezi z obdelavo njihovih osebnih podatkov, ne ureja ZObr, ampak Uredba o obrambnem načrtovanju (Uradni list RS, št. 51/13, 11/22, 87/25) v 29. členu, kjer v tretjem odstavku določa, da vodja priprav imenuje svojega namestnika za vodenje priprav, upravitelja obrambnega načrta in njegovega namestnika ter zagotovi, da se v izdelavo načrta vključijo za posamezna področja pristojni vodilni in drugi strokovni delavci. Četrti odstavek istega člena določa, da upravitelj obrambnega načrta je oseba ali organ nosilca načrtovanja, ki organizira, usmerja ter usklajuje izdelavo in dopolnjevanje obrambnega načrta, skrbi za njegovo hranjenje in ustrezno varovanje. Peti odstavek istega člena določa, da ministrstvo vodi podatke o osebah iz tretjega odstavka tega člena skladno z zakonom.

Glede obdelave osebnih podatkov izvrševalcev ukrepov kriznega odzivanja pa obdelavo njihovih osebnih podatkov ureja interno navodilo MORS.

IP ponovno opozarja na zgoraj predstavljene zahteve drugega odstavka 6. člena ZVOP-2 in neustreznost urejanja bistvenih elementov obdelave osebnih podatkov s podzakonskim aktom (uredbo) ali celo internim navodilom. Na ta način se lahko ureja zgolj npr. tehnična izvedba posameznih postopkov in tudi morebitnih obdelav osebnih podatkov znotraj teh postopkov, nikakor pa se ne sme tako določati elementov iz 6. člena ZVOP-2 (npr. določiti rok hrambe ali pa celo vsebino same evidence – torej (dodatne) osebne podatke, ki bi se vodili v posamezni evidenci, niso pa določeni z zakonom).

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more presojati primernosti namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil:
Matej Sironič,                                                   
Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,
Informacijska pooblaščenka