Posredovanje in pridobivanje podatkov s strani dobavitelja električne energije
+ -Številka: 07121-1/2023/30
Kategorije: Posredovanje OP med upravljavci, Pravne podlage
Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje v zvezi s pogodbo o dobavi električne energije. Sprašujete, ali ima dobavitelj električne energije pravico do vpogleda v podatke navedene v pogodbi in sicer je v pogodbi opredeljeno, da kupec zaradi izvajanja pogodbe soglaša, da dobavitelj električne energije posreduje podatke v zvezi s to pogodbo tretjim osebam ter da opravi ustrezne poizvedbe o bivališču, zaposlitvi ter premoženju kupca pri pristojnih državnih organih, bankah, hranilnicah, in drugih finančnih organizacijah, ki te podatke zbirajo in obdelujejo ter navedenim subjektom dovoljuje posredovanje teh podatkov.
***
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Posredovanje oziroma pridobivanje podatkov bi bilo v konkretnem primeru lahko dopustno, če bi bila obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe, o čemer bi lahko IP presojal zgolj v inšpekcijskem postopku.
Če določena obdelava osebnih podatkov ni nujno potrebna za izvedbo konkretne pogodbe, pa lahko še vedno poteka na drugi ustrezni pravni podlagi, npr. posredovanje določenih osebnih podatkov upniku, ki izkaže pravni interes, določa že sam Zakon o izvršbi in zavarovanju (ZIZ) in sicer za potrebe postopkov po ZIZ.
O b r a z l o ž i t e v:
Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.
Za zakonito obdelavo osebnih podatkov mora obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Ob tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
Izbor primerne pravne podlage za obdelavo osebnih podatkov je odgovornost upravljavca samega, na splošno pojasnjujemo, da bi v tem primeru pravno podlago lahko predstavljala pogodba, ki ste jo sklenili z dobaviteljem električne energije. Namreč, kot je navedeno zgoraj, je obdelava osebnih podatkov dopustna, kadar je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe. Kot smo poudarili v mnenju št. 07121-1/2021/684 z dne 9. 4. 2021, je ta pravna podlaga ustrezna le, če je obdelava določenih osebnih podatkov objektivno potrebna za namen, ki je sestavni del pogodbene storitve. To pa ni preprosto ocena, kaj je dovoljeno na podlagi pogodbenih določb oziroma kaj je v njih zapisano. Upravljavec mora biti sposoben dokazati, da ne more izpolniti pogodbe, če ne pride do določene vrste obdelav osebnih podatkov. Pogodba torej ne more umetno razširiti kategorij osebnih podatkov ali vrste postopkov obdelave, ki jih upravljavec potrebuje za izvršitev pogodbe. Navedeno velja tako za pridobitev, kakor tudi za posredovanje osebnih podatkov iz pogodbe o dobavi električne energije in je dopustno zgolj v primeru, če bi bilo to nujno potrebno za samo izvrševanje pogodbe.
O konkretni obdelavi bi IP lahko odločal zgolj v inšpekcijskem postopku. Če določena obdelava osebnih podatkov ni nujno potrebna za izvedbo konkretne pogodbe, pa lahko še vedno poteka na drugi ustrezni pravni podlagi, npr. posredovanje določenih osebnih podatkov upniku, ki izkaže pravni interes, določa že sam zakon. Namreč, šesti odstavek 4. člena Zakona o izvršbi in zavarovanju (Uradni list RS, št. 3/07 – uradno prečiščeno besedilo, 93/07, 37/08 – ZST-1, 45/08 – ZArbit, 28/09, 51/10, 26/11, 17/13 – odl. US, 45/14 – odl. US, 53/14, 58/14 – odl. US, 54/15, 76/15 – odl. US, 11/18, 53/19 – odl. US, 66/19 – ZDavP-2M, 23/20 – SPZ-B, 36/21, 81/22 – odl. US in 81/22 – odl. US, ZIZ) določa, da je upravljavec podatkov ali zbirk podatkov dolžan upniku, ki izkaže pravni interes, na njegovo zahtevo, ne glede na državljanstvo oziroma državo, ki ji upnik pripada, posredovati podatke iz 1. do 16. točke ter 18. in 19. točke prvega odstavka tega člena (gre za naslednje podatke: osebno ime, naslov stalnega ali začasnega prebivališča, datum rojstva, EMŠO, davčno številko, podatke o višini plače, drugih osebnih prejemkov in njihovih izplačevalcih ter podatke o rubežih in administrativnih prepovedih na plačo in druge osebne prejemke, številke denarnih računov pri organizacijah za plačilni promet, stanje in promet na teh računih ter podatke o rubežih na teh računih, številke računov vrednostnih papirjev in drugih finančnih instrumentov ter stanje in promet na teh računih, podatke o obstoju in stanju drugih dolžnikovih depozitov pri banki, borznoposredniški družbi ali drugi osebi, podatke o delnicah in deležih v gospodarski družbi ali drugi udeležbi v pravni osebi, podatke o nepremičninah, na katerih ali glede katerih ima dolžnik premoženjske pravice, podatke iz evidence registriranih motornih in priklopnih vozil, podatke iz registra plovil in letal, podatke iz drugih evidenc premičnega premoženja, podatke o pokojninskem in zdravstvenem zavarovanju, podatke o življenjskih in premoženjskih zavarovanjih, podatke o drugih premoženjskih pravicah dolžnika, identifikacijske podatke iz 16.a člena ZIZ o pogodbenih strankah, prepis listine o razpolaganju, če je nima, pa nekatere podatke o vsebini pravnega posla, ki se nanašajo na odplačna in neodplačna razpolaganja).
Upnik mora izkazati pravni interes z listino, ki je izvršilni naslov, na podlagi katerega je mogoče po ZIZ predlagati izvršbo. Od zasebnika pa se ne sme zahtevati posredovanje podatkov, za katere zakon določa, da so del zaupnega razmerja, so del poklicne skrivnosti, oz. se lahko pridobijo le na podlagi odločbe sodišča. Sedmi odstavek 4. člena ZIZ nadalje določa, da sme upnik zgoraj navedene podatke iz 1. do 16. točke ter 18. točke prvega odstavka 4. člena ZIZ uporabiti samo za potrebe postopkov po ZIZ, podatke iz 19. točke prvega odstavka tega člena (identifikacijski podatki o pogodbenih strankah glede nekaterih odplačnih in neodplačnih razpolaganj) pa samo za potrebe postopkov izpodbijanja dolžnikovih pravnih dejanj zaradi izvršbe na to premoženje.
Navedene podatke bi dobavitelj električne energije torej lahko pridobil od upravljavcev podatkov, oz. zbirk podatkov, če bi jih potreboval za potrebe postopka po ZIZ in bi svoj pravni interes izkazal z listino, ki je izvršilni naslov (to so npr. izvršljiva sodna odločba ali sodna poravnava, izvršljiv notarski zapis, itd.).
Pojasnjujemo tudi, da je bil dne 27. 12. 2022 v Uradnem listu RS št. 163/2022 objavljen novi Zakon o varstvu osebnih podatkov (ZVOP-2), ki bo pričel veljati 26. 1. 2023. Z vidika vašega vprašanja so na novo opredeljene zlasti določbe o postopku samega posredovanja podatkov, ki ga izvedejo osebe javnega oz. zasebnega sektorja (39., 40. in 41. člen ZVOP-2) in bi ga torej morali upoštevati tako upravljavci zbirk, kakor tudi dobavitelj električne energije, če bi izkazal pravno podlago za posredovanje podatkov.
V upanju, da vam bodo naši napotki v pomoč, vas lepo pozdravljamo.
Mojca Prelesnik, univ. dipl. prav.,
informacijska pooblaščenka
Pripravila:
Barbara Žurej, univ. dipl. prav.,
svetovalka pooblaščenca za preventivo