Posredovanje OP članov društva občini
+ -Številka: 07121-1/2023/72
Kategorije: Društva, Občine
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja osebnih podatkov članov društva občini v okviru javnega razpisa.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Obdelava osebnih podatkov v društvu se šteje za zakonito, če se osebni podatki obdelujejo za namene zakonitega delovanja društva, odvisna pa je od nalog in dejavnosti, ki jih določajo pravila za delovanje društva.
IP meni, da ima občina za namen odločanja o sofinanciranju in za namen nadzora nad zagotavljanjem namenskosti porabe programov, ki jih na podlagi javnega razpisa sofinancira, pravno podlago (točka c) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov v povezavi z 21. in 21.a členom ZLS) za pridobitev in obdelavo osebnih podatkov članov društva, ki so pomembni in potrebni za izvedbo razpisa.
Z vidika posredovanja osebnih podatkov s strani društva IP poudarja, da je za obdelavo osebnih podatkov v društvih sprejel tolmačenje, da kadar društva izvajajo dejavnosti, ki jih določajo pravila delovanja društva (statut oz. drugi interni akti društva), potem obdelava osebnih podatkov poteka na podlagi zgoraj citirane točke (b) oziroma točke (f) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.
IP vam sporoča, da je na podobno vprašanje, kot je vaše, v preteklosti že odgovarjal, npr. v mnenju št. 0712-1/2019/944 z dne 23. 4. 2019, ki je dostopno na spletni strani IP:
https://www.ip-rs.si/iskalnik-po-mnenjih-vop/mnenja-gdpr/6048a38d33c56
IP uvodoma splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s členom 6(1) Splošne uredbe o varstvu podatkov je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«
V kolikor torej v konkretnem primeru obstaja ena izmed zgoraj naštetih podlag za obdelavo vaših osebnih podatkov s strani konkretnega člana društva, je takšna obdelava skladna z zakonodajo. Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca (v konkretnem primeru društva), ki mora pri tem upoštevati konkretne okoliščine in namene obdelave. Društvo mora torej zagotoviti zakonitost obdelave osebnih podatkov svojih članov.
Zakon o lokalni samoupravi (Uradni list. RS, št. 94/07 – UPB, 76/08, 79/09, 51/10, 40/12 – ZUJF,14/15 - ZUUJFO, 11/18 - ZSPDSLS-1, 30/18, 61/20 – ZIUZEOP-A, 80/20 – ZIUOOPE; v nadaljevanju: ZLS) v 21. členu določa, da občina samostojno opravlja lokalne zadeve javnega pomena “(izvirne naloge)“, ki jih določi s splošnim aktom občine ali so določene z zakonom. V skladu z drugim odstavkom istega člena tako občina za zadovoljevanje potreb svojih prebivalcev opravlja določene naloge, med drugimi omogoča pogoje za gospodarski razvoj občine in v skladu z zakonom opravlja naloge s področja gostinstva, turizma in kmetijstva ter sprejema statut občine in druge splošne akte. ZLS nadalje v 21.a členu določa, da občina pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe.
IP meni, da ima občina za namen odločanja o sofinanciranju in za namen nadzora nad zagotavljanjem namenskosti porabe programov, ki jih na podlagi javnega razpisa sofinancira, pravno podlago (točka c) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov v povezavi z 21. in 21.a členom ZLS) za pridobitev in obdelavo osebnih podatkov članov društva, ki so pomembni in potrebni za izvedbo razpisa. Namen obdelave osebnih podatkov v okviru izvedbe javnega razpisa je odločanje o upravičenosti do sofinanciranja in nadzor nad zagotavljanjem namenskosti porabe sredstev pri izvedbi programov, ki jih na podlagi javnega razpisa sofinancira občina. Navedeno pomeni, da sme občina v skladu z načelom najmanjšega obsega podatkov obdelovati zgolj podatke, ki so pomembni in potrebni za izvedbo in uspeh razpisa (sprejem odločitve o financiranju) ter nadalje tudi potrebni za izvedbo nadzora (preverjanje namenskosti porabe).
Z vidika posredovanja osebnih podatkov s strani društva IP poudarja, da je za obdelavo osebnih podatkov v društvih sprejel tolmačenje, da kadar društva izvajajo dejavnosti, ki jih določajo pravila delovanja društva (statut oz. drugi interni akti društva), potem obdelava osebnih podatkov poteka na podlagi zgoraj citirane točke (b) oziroma točke (f) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov. V navedenem primeru bi lahko šteli, da gre po citirani točki (f) za zakonit interes društva, da se prijavi na občinski razpis za sofinanciranje aktivnosti, povezanih z delovanjem društva.
Več o tem si lahko preberete v smernicah IP z naslovom Društva in varstvo osebnih podatkov, ki so dosegljive na spletni strani IP:
https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Drustva_in_varstvo_osebnih_podatkov.pdf
IP ob tem pojasnjuje tudi, da je sprejel načelno mnenje glede ustreznih pravnih podlag za obdelavo osebnih podatkov v društvih (mnenje IP št. 0712-1/2018/622, z dne 15. 3. 2018). Do mnenja lahko dostopate na naslednji povezavi:
Iz navedenega mnenja med drugim izhaja, da je pravna podlaga za obdelavo osebnih podatkov članov društva za namen delovanja društva praviloma podana v določbah členov 6(1)(b) ali 6(1)(f) Splošne uredbe o varstvu podatkov. Navedeni pravni podlagi prideta v poštev zlasti v povezavi s pravili delovanja društva, ki jih določajo temeljni ter drugi akti, Zakon o društvih (Uradni list RS, št. 64/11 - UPB, 21/18 – ZNOrg; v nadaljevanju: ZDru-1) in drugi predpisi (v nadaljevanju: pravila za delovanje društva). IP namreč članstvo v društvu razume kot skupek pravic in obveznosti, ki jih član sprejme z včlanitvijo, pravice in obveznosti pa določajo prej navedena pravila za delovanje društva, ki veljajo za člane. Pravno razmerje med članom in društvom je za potrebe varstva osebnih podatkov treba razmeti kot pogodbeno razmerje oziroma razmerje, preko katerega se uresničuje zakoniti interes za delovanje društva. Če določeno dejanje obdelave osebnih podatkov v društvu pomeni izvajanje dejavnosti društva, ki je v skladu s pravili delovanja društva, potem je praviloma zagotovljena tudi pravna podlaga za obdelavo v skladu z navedenima določbama 6(1)(b) ali 6(1)(f) Splošne uredbe o varstvu podatkov, ali povedano drugače, obdelava osebnih podatkov v društvu se šteje za zakonito, če se osebni podatki obdelujejo za namene zakonitega delovanja društva in je torej odvisna od nalog in dejavnosti, ki jih določajo pravila za delovanje društva.
S spoštovanjem.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca
za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.,
Informacijska pooblaščenka