Obdelava osebnih podatkov v okviru izvajanja projekta, sofinanciranega s strani EU

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da Ministrstvo za infrastrukturo nastopa kot izvajalec ukrepov pri izvajanju Načrta za okrevanje in odpornost (NOO) in s tem namenom dodeljuje sredstva projekta za izvajanje NOO, sofinanciranega s strani EU. Prijavitelj na projekt (prejemnik sredstev) mora v postopku pred prijavo obvestiti vse fizične osebe, ki bodo sodelovale pri izvajanju projekta zanj, o obdelavi osebnih podatkov, ter od njih pridobiti privolitve za obdelavo osebnih podatkov. Sprašujete se, ali je privolitev za takšno obdelavo osebnih podatkov resnično ustrezna pravna podlaga, ali bi bila bolj primerna točka (c) ali (b) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

V primeru, ki ga opisujete, obdelava osebnih podatkov poteka v dveh (prepletenih) fazah; pri prijavitelju na projekt ter pri ministrstvu. Za vsak proces obdelave v teh fazah mora biti podana ustrezna pravna podlaga, ki pa je IP v mnenju ne more presojati; to je naloga upravljavca po temeljitem pregledu vseh procesov obdelave in obstoječih pravnih aktov in drugih ustreznih instrumentov.

Glede na zapisano se zdi primerneje iskati pravno podlago v točkah (b), (c) ali (e) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov in ne privolitvi. Predlagamo, da se za konkretnejše informacije obrnete na ministrstvo.

Obrazložitev

IP pojasnjuje, da mora upravljavec osebnih podatkov vedno zagotoviti ustrezno pravno podlago za obdelavo osebnih podatkov in biti sposoben izkazati zakonitost takšne obdelave. V primeru, ki ga opisujete, obdelava osebnih podatkov poteka v dveh (prepletenih) fazah. Prijavitelj na projekt obdeluje osebne podatke fizičnih oseb, ki bodo sodelovale pri izvajanju projekta zanj (jih zbere in posreduje ministrstvu kot izvajalcu ukrepov), poleg tega pa ministrstvo obdeluje (zbere in nadalje obdeluje) osebne podatke, ki jih prejme od prijavitelja.

Vsak proces obdelave mora temeljiti na ustrezni pravni podlagi. IP v neobveznem mnenju ne more presojati, katera pravna podlaga je v okoliščinah konkretnega primera (ki nam v celoti tudi niso znane) ustrezna za posamezen proces obdelave.

Tako na ravni ministrstva kot tudi kasneje na ravni prijavitelja je treba ugotoviti, kakšna pravna podlaga je ustrezna; morda ta celo izvira iz Zakona o javnih financah, sklenjeni pogodbi ministrstva na ravni EU, Zakona o delovnih razmerjih ali sklenjeni drugi pogodbi o opravljanju dela. Vsekakor se privolitev posameznika praviloma ne zdi ustrezna, posebej če gre za obvezno zbiranje osebnih podatkov in v povezavi z opravljanjem delovnih nalog, za katere se dogovorita prijavitelj in njegov (praviloma) zaposleni, hkrati pa je zbiranje pogodbena obveznost prijavitelja.

Nadalje se (tudi vam) postavlja vprašanje ustrezne pravne podlage za posredovanje osebnih podatkov ministrstvu kot izvajalcu ukrepov in dodeljevalcu sredstev. IP se žal ne more spustiti v presojo možnih in dopustnih pravnih podlag, saj je za to potrebno podrobno poznavanje celotne razpisne dokumentacije, sklenjenih pogodb, pogojev in pogodb sofinancerja Evropske unije, ustreznih uredb EU, ki jih navajate, ter ostale ustrezne dokumentacije.

Privolitev v obdelavo osebnih podatkov, kadar se ti že v prvi fazi (pri prijavitelju) zbirajo na podlagi zakona ali sklenjene pogodbe (na primer na podlagi ZJF v povezavi s pogodbo o dodelitvi sredstev, ZDR-1 ali podjemne pogodbe) morda ne bo ustrezna podlaga, nadalje pa morebiti obstaja podlaga v uredbah EU ali drugih pravnih aktih. Vendar, kot rečeno, IP te presoje v mnenju in izven konkretnega inšpekcijskega postopka ne more presojati.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov