Izvajanje osebne asistence – poročanje ministrstvu

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vašo elektronsko pošto in pošto več drugih organizacij, ki izvajajo storitve osebne asistence. Na IP ste se različni akterji obrnili zaradi obveznosti poročanja Ministrstvu za delo, družino, socialne zadeve in enake možnosti (v nadaljevanju MDDSZ) tako prek obrazcev kot prek aplikacije za beleženje delovnega časa osebnih asistentov. V zvezi z aplikacijo se postavlja vprašanje pravne podlage, sorazmernosti in tudi ustreznega zavarovanja osebnih podatkov. V zvezi s poročanjem prek obrazcev pa se vam zastavlja vprašanje, kakšna je pravna podlaga MDDSZ za obdelavo zahtevanih osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Pravilnik o osebni asistenci določa različne oblike poročanja ministrstvu, da bi to lahko preverilo zakonitost in smotrnost porabe javnih sredstev za izvajanje storitev osebne asistence. Poleg letnega poročanja naj bi izvajalec osebne asistence do določene mere poročal tudi na mesečni ravni, saj mora poleg e-računa posredovati določene priloge v skladu s pogodbo o izvajanju osebne asistence oziroma dokumentacijo o opravljenih urah osebne asistence, ki je natančno opredeljena v  omenjeni pogodbi. Vendar pa osebni podatki, ki naj se na mesečni ravni posredujejo ministrstvu, niso izrecno opredeljeni, IP pa izven postopka inšpekcijskega nadzora brez pojasnil MDDSZ ne more oceniti, ali so zahtevani podatki tudi sorazmerni – predvsem potrebni – glede na namen, zaradi katerega naj bi se posredovali.

Obrazložitev

1. Uvodno

Uvodoma moramo poudariti, da je IP na podlagi številnih prejetih prijav v zvezi z obdelavo osebnih podatkov prek aplikacije uvedel postopek inšpekcijskega nadzora, zato obdelave osebnih podatkov v zvezi z aplikacijo ne moremo komentirati v mnenju do zaključka postopka inšpekcijskega nadzora. O rezultatih že uvedenega postopka inšpekcijskega nadzora boste obveščeni. V tem mnenju pa se bomo osredotočili zgolj na prvi del vašega dopisa (točko 1) glede poročanja o izvedbi storitve osebne asistence.

Na področju izvajanja osebne asistence veljajo določbe Zakona o osebni asistenci (Uradni list RS, št. 10/17, 31/18 in 172/21; v nadaljevanju ZOA) in Pravilnika o osebni asistenci (Uradni list RS, št. 26/22; v nadaljevanju Pravilnik).

V vašem dopisu pojasnjujete, da se dejavnost osebne asistence financira iz državnega proračuna (25. in 26. člen ZOA) na način, da na podlagi opravljenih ur osebne asistence ministrstvu mesečno izdate račun za opravljeno storitev. Z ministrstvom imate izvajalci sklenjeno pogodbo o izvajanju osebne asistence, kot jo urejata 12.a člen ZOA in 18. člen Pravilnika o osebni asistenci. Pogodba določa, da poročanje poteka preko obrazcev, ki jih pripravi MDDSZ, praksa pa je, da je izpolnjeno mesečno poročilo pogoj za plačilo računa. Omenjeni obrazci za poročilo od izvajalcev zahtevajo tudi osebne podatke osebnih asistentov, to je zaposlenih oseb pri izvajalcu osebne asistence, in sicer naslednje podatke:

• ime in priimek,
• podatek, ali je oseba zaposlena za določen čas ali za nedoločen čas,
• datum pričetka delovnega razmerja,
• število opravljenih ur osebne asistence pri posameznem uporabniku osebne asistence,
• število ur opravljanja dela, ki ni izvajanje osebne asistence (npr. udeležba na izobraževanju),
• število nadur (letno),
• število ur koriščenja dopusta (letno) in
• število ur bolniške odsotnosti (letno).

Sprašujete se, na kakšni pravni podlagi (v smislu 6. ali 9. člena Splošne uredbe) lahko izvajalci te podatke sploh posredujete ministrstvu. Ministrstvo se sklicuje na 9. člen ZVOP-1 ter 54. člen Zakon o javnih financah (Uradni list RS, št. 11/11 – UPB, v nadaljevanju ZJF), ki naj bi določalo obveznosti preverbe listine pred plačilom, saj se javna sredstva lahko izplačajo le, če so upravičeno porabljena.

2. Splošno o podlagah za obdelavo osebnih podatkov (v javnem sektorju)

Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V 6. členu Splošne uredbe so tako določene pravne podlage; med drugim je obdelava zakonita, če je podana privolitev posameznika, če je obdelava potrebna za izvajanje pogodbe, za izpolnitev zakonske obveznosti upravljavca, za zaščito življenjskih interesov posameznika, zaradi javnega interesa ali zakonitih interesov upravljavca (vse pod določenimi strogimi pogoji).

Ker gre pri MDDSZ za upravljavca v javnem sektorju, prideta v poštev glede pravne podlage v smislu prvega odstavka 6. člena Splošne uredbe le točki:

(c) kadar je obdelava potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(e) kadar je obdelava potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu.

Četrti odstavek 9. člena ZVOP-1, ki ga omenjate, določa, da se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Omenjena določba po presoji IP v opisanem primeru ne pride v poštev, saj ni moč trditi, da se s takšno obdelavo osebnih podatkov ne poseže v upravičen interes posameznika, predvsem osebnega asistenta.

Pri točkah (c) in (e) prvega odstavka 6. člena Splošne uredbe mora biti zakonska obveznost ali naloga v javnem interesu oz. javna oblast opredeljena v veljavnih predpisih. V konkretnem primeru je torej treba izhajati iz določb ZOI in Pravilnika ter ugotoviti, ali zahteva po zgoraj navedenem naboru osebnih podatkov izhaja iz omenjenih dveh predpisov in ali je takšna obdelava tudi sorazmerna. Skladno s točko (c) prvega odstavka 5. člena Splošne uredbe mora biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (načelo najmanjšega obsega podatkov oziroma načelo sorazmernosti).

3. Financiranje osebne asistence in poročanje ministrstvu

26. člen ZOI ureja financiranje osebne asistence. Pristojni CSD za vsakega uporabnika osebne asistence določi število ur storitev osebne asistence, ki se mu prizna tedensko ali mesečno. Če je uporabnik upravičen do prejemanja dodatka za pomoč in postrežbo oziroma do drugih denarnih prejemkov zaradi potrebe po tuji negi in pomoči, uporabnik sofinancira osebno asistenco pri izbranem izvajalcu osebne asistence v višini polovice navedenega prejemka, sicer pa se sredstva za financiranje storitev osebne asistence in sredstva za komunikacijski dodatek zagotovijo v proračunu Republike Slovenije. Omenjena sredstva se izplačujejo mesečno, natančnejši postopek glede mesečnih zahtevkov za izplačila pa predpiše minister.

ZOI sicer določa vodenje centralne zbirke podatkov v 29. členu in opredeljuje vrste osebnih podatkov, vendar je centralna zbirka podatkov o osebni evidenci povsem ločena od mesečnega oziroma letnega poročanja izvajalcev osebne asistence, saj se skladno s 30. členom ZOI podatki zbirajo "neposredno od uporabnika oziroma njegovega zakonitega zastopnika ter po uradni dolžnosti iz zbirk podatkov", navedenih v 30. členu ZOI. Določbe glede centralne zbirke podatkov tako ne morejo utemeljevati zakonitosti obdelave osebnih podatkov, ki jih v konkretnem primeru MDDSZ zahteva od izvajalcev osebne asistence.

Ker gre pri financiranju osebne storitev asistence za porabo javnih sredstev, se postavlja vprašanje, katere osebne podatke sme MDDSZ obdelovati za namene preverjanja zakonitosti in pravilnosti financiranja oziroma namenske porabe javnih sredstev. Navedeno (v omejenem obsegu) ureja Pravilnik. V zvezi s tem IP sicer poudarja, da mora biti obdelava osebnih podatkov sicer določena z zakonom in ne s podzakonskim aktom, vendar v kolikor slednji opredeljuje obdelavo osebnih podatkov, ga je treba upoštevati, morebitno nezakonitost ali neustavnost pa izpodbijati pred Ustavnim sodiščem RS.

Omenjeni Pravilnik torej ureja postopek glede zahtevkov za izplačila za opravljene storitve osebne asistence ter načine preverjanja oziroma poročanja o opravljenih storitvah.

Prvi odstavek 31. člena Pravilnika tako določa, da izvajalec osebne asistence izstavlja e-račun na transakcijski račun ministrstva v skladu s predpisi, ki urejajo opravljanje plačilnih storitev za proračunske uporabnike, ter priloge k e-računu v skladu s pogodbo o izvajanju osebne asistence, sklenjeno z ministrstvom. Poleg tega drugi odstavek 31. člena Pravilnika še navaja, da mora k e-računu izvajalec osebne asistence obvezno priložiti dokumentacijo o opravljenih urah osebne asistence, ki je natančno opredeljena v pogodbi o izvajanju osebne asistence." Pravilnik pa ne opredeljuje, kakšne naj bodo te priloge in kakšna naj bo njihova vsebina, temveč se v tem delu "sklicuje" na pogodbo med MDDSZ in izvajalcem osebne asistence. 18. člen Pravilnika ohlapno določa vsebino pogodbe, ki mora med drugim urediti "dolžnost in obliko poročanja o izvajanju osebne asistence" (2. točka).

Pravilnik pa v petem odstavku 31. člena določa tudi obveznost izvajalca osebne asistence, da vodi računovodske evidence in pripravljati poročila za ministrstvo v skladu z računovodskimi in davčnimi predpisi ter tako, da je zagotovljena revizijska sled in da o nastalih prihodkih in odhodkih obstajajo verodostojne knjigovodske listine. Navedeno je povezano tudi s 54. členom ZJF, ki določa, da mora imeti vsak izdatek iz proračuna za podlago verodostojno knjigovodsko listino, s katero se izkazuje obveznost za plačilo ter da je treba pravni temelj in višino obveznosti, ki izhaja iz verodostojne knjigovodske listine, pred izplačilom preveriti in pisno potrditi. Šesti odstavek 31. člena pa določa, da izvajalec osebne asistence enkrat letno, najpozneje do konca junija za preteklo koledarsko leto, ministrstvu predloži finančno poročilo na predlogah obrazcev, ki mu jih posreduje ministrstvo, in poročilo revizijske družbe, kot ga določa šesti odstavek 12. člena zakona, izdanim na podlagi opravljenih dogovorjenih postopkov o tem ali so bila javna sredstva in sredstva uporabnikov osebne asistence za sofinanciranje storitev osebne asistence, ki jih je izvajalec osebne asistence prejel za izvajanje osebne asistence, prikazana na posebnem kontu (poslovnoizidnem mestu) in je zagotovljena njihova namenska poraba v skladu z zakonom, tem pravilnikom in navodili ministrstva.

Iz vsega navedenega izhaja, da Pravilnik določa dve vrsti poročanja:

• mesečno ob izdaji e-računa;
• letno s predložitvijo finančnega poročila na predlogah obrazcev, ki mu jih posreduje ministrstvo, in poročilo revizijske družbe.

Glede vsebine mesečnega poročanja so določbe Pravilnika zelo skope oziroma se naslanjajo na poročanje oziroma obrazce, opredeljene s pogodbo o izvajanju osebne asistence. Edina izrecna določba glede priloge e-računa, ki jo vsebuje Pravilnik, je zahteva po predložitvi dokumentacije o opravljenih urah osebne asistence (drugi odstavek 31. člena Pravilnika). Če povzamemo, Pravilnik določa, da izvajalec osebne asistence poleg e-računa ministrstvu posreduje priloge v skladu s pogodbo o izvajanju osebne asistence oziroma dokumentacijo o opravljenih urah osebne asistence, ki je natančno opredeljena v pogodbi o izvajanju osebne asistence.

Pravilnik določa tudi podrobno metodologijo za izračun cene ure storitve osebne asistence. Tako se skladno s Pravilnikom pri izračunu cene upoštevajo:

• stroški, povezani z delom osebnih asistentov, in
• stroški, povezani z organizacijo izvajanja osebne asistence.
• 28. in 29. člen Pravilnika natanko določata, kateri so upravičeni stroški, povezani z delom osebnih asistentov in z organizacijo izvajanja osebne asistence. Ugotovimo lahko, da podlago za izplačilo nekaterih postavk predstavljajo dejansko opravljene ure osebne asistence, drugače pa je osebni asistent zaposlen in prejema plačo in nadomestila plače, ki niso odvisna od dejansko opravljenih ur, temveč od pogodbe o zaposlitvi oziroma od druge podlage za opravljanje storitve osebne asistence.

4. Katere osebne podatke lahko torej zahteva ministrstvo?

IP meni, da mora ministrstvo kot izplačevalec javnih sredstev imeti možnost preveriti zakonitost in smotrnost porabe javnih sredstev, vendar pa je odprto vprašanje, katere osebne podatke lahko v ta namen zahteva in kako pogosto oziroma kdaj (mesečno, letno, redno, ob izrednem nadzoru).

Relevantne določbe Pravilnika glede nabora osebnih podatkov ne dajejo odgovora, pogodba pa v javnem sektorju v takšnem primeru ne more predstavljati ustrezne pravne podlage za obdelavo osebnih podatkov (posebej ne tretjih oseb, ki pogodbe ne sklenejo). IP tako brez presoje vseh relevantnih dejstev in okoliščin ter brez pojasnil MDDSZ težko oceni, ali je nabor osebnih podatkov, ki jih ministrstvo zahteva od izvajalcev osebne asistence v obrazcu, nujno potreben za dosego namenov, zaradi katerih so se osebni podatki zbrali. Vsekakor bi moralo biti ministrstvo za vsako vrsto osebnega podatka zmožno izkazati, na kakšni pravni podlagi in za kakšen namen ga obdeluje. To bi lahko IP preveril v morebitnem postopku inšpekcijskega nadzora.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov