Posredovanje OP odvetniku nasprotne stranke

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja osebnih podatkov bivših zaposlenih odvetniku nasprotne stranke.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Upravljalec zbirke podatkov je dolžan stranki, ki izkaže pravni interes, sporočiti naslov osebe, ki ji je treba vročiti pisanje. Pravni interes se izkaže s potrdilom sodišča o vložitvi tožbe ali o obstoju pravde.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku.

IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)    posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)   obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)    obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)   obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)   obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)    obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP splošno pojasnjuje, da glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPS-1; v nadaljevanju: ZDR-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

IP ob tem opozarja tudi na načelo omejitve shranjevanja iz točke (e) prvega odstavka 5. člena Splošne uredbe o varstvu podatkov, ki določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko hranijo daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s prvim odstavkom 89. člena, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Upravljavec lahko torej hrani osebne podatke zgolj do izpolnitve namena njihove hrambe, pri čemer naj upošteva, ali je določen rok hrambe z morebitno področno zakonodajo, ki pride v poštev za konkretno obdelavo. V vsakem primeru pa mora presoditi, ali je treba določene podatke hraniti tudi po izteku prvotnega namena na kateri drugi pravni podlagi, npr. v zvezi z obveznostmi morebitnih zahtev glede hrambe dokumentarnega in arhivskega gradiva ali morebitnih pravnih postopkov.

Zakon o evidencah na področju dela in socialne varnosti (Uradni list RS, št. 40/06; v nadaljevanju: ZEPDSV) določa, da se evidence, ki jih vodijo delodajalci, začnejo za posameznega delavca voditi z dnem, ko sklene pogodbo o zaposlitvi, prenehajo pa z dnem, ko mu pogodba o zaposlitvi preneha. Dokumenti s podatki o delavcu, za katerega se prenehajo voditi omenjene evidence in izvirne listine, na podlagi katerih se vpisujejo podatki v te evidence, se hranijo kot listine trajne vrednosti. Navedeno pomeni, da delodajalec tudi po prenehanju delovnega razmerja nujno razpolaga z določenimi zbirkami osebnih podatkov o bivših delavcih, in sicer z zbirkami osebnih podatkov, ki vsebujejo dokumente in izvirne listine iz 14., 17. in 19. člena ZEPDSV (listine trajne vrednosti). Poleg tega pa lahko delodajalec po prenehanju delovnega razmerja obdeluje tudi druge osebne podatke delavca, ki so v skladu s prvim odstavkom 48. člena ZDR-1 potrebni zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, vendar samo toliko časa, dokler stranki delovnega razmerja lahko uveljavljata svoje pravice. Ko so poravnane vse obveznosti, ki izhajajo iz delovnega razmerja, je namen, zaradi katerega so se delavčevi osebni podatki zbirali, dosežen, zato mora delodajalec zbrisati in prenehati uporabljati vse delavčeve osebne podatke, razen tistih, za katere ZEPDSV ali drug zakon (če gre npr. za arhivsko gradivo) določa, da se hranijo trajno.

IP glede pridobivanja osebnih podatkov s strani odvetnika uvodoma splošno pojasnjuje, da določba 10. člena Zakona o odvetništvu (ZOdv; Uradni list RS, št. 18/93, 24/96 - odl. US, 24/01, 54/08, 35/09, 97/14, 8/16 - odl. US, 46/16, 36/19) v prvem odstavku določa subjekte, ki so ne glede na določbe drugih zakonov, ki določajo posredovanje osebnih podatkov, dolžni brez privolitve posameznika, na katerega se osebni podatki nanašajo, brezplačno posredovati odvetniku podatke, ki jih ta potrebuje pri opravljanju odvetniškega poklica v posamični zadevi in to v roku 15 dni od dneva, ko prejmejo pisno zahtevo odvetnika. Gre za državne organe, organe samoupravnih lokalnih skupnosti ter nosilce javnih pooblastil. Odvetnik v skladu z drugim odstavkom istega člena nima te pravice, če gre za osebne podatke, ki so na podlagi posebnih zakonskih določb dostopni le pooblaščenim organom.

IP ob tem dodaja, da mora odvetnik v zahtevi za posredovanje podatkov jasno opredeliti posamično zadevo, v zvezi s katero pridobiva osebne podatke, pri čemer je »posamično zadevo« treba razumeti kot konkretno pravno razmerje, v katerem je odvetnikova stranka in v zvezi s katerim je odvetnik pooblaščen stranki nuditi določeno storitev. Po mnenju IP torej stranka ne more pooblastiti odvetnika zgolj za (splošno) pridobivanje osebnih podatkov tretjih oseb, ampak jih sme odvetnik pridobiti le, kadar so potrebni za zastopanje stranke v konkretni zadevi. Odvetniški poklic je namreč namenjen pravni pomoči in zastopanju strank v posamičnih zadevah, ne pa (splošnemu) pridobivanju osebnih podatkov tretjih oseb.

Ob tem IP opozarja še na specialno pravno podlago, ki jo predstavlja 148. člen Zakona o pravdnem postopku (Uradni list RS, št. 73/07; s spremembami in dopolnitvami; v nadaljevanju: ZPP), ki določa, da je upravljalec zbirke podatkov dolžan stranki, ki izkaže pravni interes, sporočiti naslov osebe, ki ji je treba vročiti pisanje. Pravni interes se izkaže s potrdilom sodišča o vložitvi tožbe ali o obstoju pravde. Omenjeni člen torej pravdni stranki (in s tem tudi njenemu pooblaščencu) omogoča, da od kateregakoli upravljavca pridobi naslov osebe, ki ji je treba vročiti sodno pisanje. Sem spadajo tudi priče.

Na podlagi navedenega IP meni, da ste dolžni odvetniku tožeče stranke posredovati zahtevane podatke, v kolikor z njimi zakonito razpolagate.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka