Posredovanje osebnih podatkov iz CRP

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da je občina soustanoviteljica komunalnega podjetja, ki za potrebe izvajanja javne službe vzpostavlja geografsko informacijski sistem, za kar so najeli zunanjega izvajalca. Z obojimi ima občina podpisano pogodbo o obdelavi osebnih podatkov. Ker ne komunalno podjetje ne zunanji izvajalec ne moreta dostopati do podatkov občanov, želijo od občine pridobiti podatke o vseh njenih prebivalcih. Zanima vas, ali jim lahko posredujete podatke o številu stalno naseljenih oseb, o številu začasno naseljenih oseb in EMŠO stalno in začasno naseljenih oseb brez imen in priimkov iz registra CRP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP je v preteklosti že odgovarjal na vsebinsko podobna vprašanja, zato vam priporočamo, da se seznanite z vsebino neobveznih mnenj, ki jih poiščete s pomočjo iskalnika na spletni strani https://www.ip-rs.si/mnenja-gdpr/ (kategorija »Občine« ali npr. mnenji št. 07120-1/2020/471 in št. 0712-3/2018/2591). Prav tako je IP glede obdelave osebnih podatkov iz centralnega registra prebivalstva (CRP) že izdal posebne smernice, ki so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_CRP_web.pdf.

Iz teh mnenj in smernic v bistvenem izhaja, da sme občina skladno z Zakonom o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, 76/08, 79/09, 51/10, 40/12 – ZUJF, 14/15 – ZUUJFO, 11/18 – ZSPDSLS-1, 30/18, 61/20 – ZIUZEOP-A in 80/20 – ZIUOOPE; v nadaljevanju ZLS) obdelovati osebne podatke občanov, ki jih potrebuje za opravljanje nalog, ki jih ima v okviru svojih z zakonom določenih pristojnosti. To velja tudi za podatke iz CRP. Teh podatkov pa ne sme naprej obdelovati za druge namene ali iz njih ustvarjati novih zbirk osebnih podatkov za druge namene. Občina v skladu z 21.a členom ZLS pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe.

Občina, ki je dolžna zagotavljati opravljanje obvezne lokalne javne službe, mora javnemu podjetju, ki opravlja storitve v zvezi s to javno službo namesto nje, posredovati osebne podatke, ki so za to potrebni in primerni. Dolžnost občine, da posreduje določene osebne podatke podjetju, ki izvaja obvezno gospodarsko javno službo, izhaja že iz določb ZLS.

IP pa opozarja, da morajo biti osebni podatki, ki se obdelujejo, v skladu z načelom najmanjšega obsega podatkov (člen 5(1)(c) Splošne uredbe) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. To pomeni, da javno podjetje od občine ne sme pridobivati podatkov, ki niso potrebni za oziroma niso v zvezi z njegovim poslovanjem, torej zagotavljanjem javne službe. Omejitve, ki jih nalaga načelo najmanjšega obsega podatkov, zavezujejo tudi občino.

Na vprašanje, natančno katere podatke iz CRP je v konkretnem primeru občina upravičena posredovati javnemu podjetju oziroma njegovemu zunanjemu izvajalcu za namene vzpostavitve geografsko informacijskega sistema, pa IP ne more podati dokončnega odgovora, saj izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Primarna odgovornost za zakonito posredovanje osebnih podatkov pa je na upravljavcu samem. Zato vam priporočamo, da pri javnemu podjetju oziroma njegovem zunanjem izvajalcu preverite, konkretno katere osebne podatke prebivalcev občine in na kateri pravni podlagi neizogibno potrebuje za vzpostavitev geografsko informacijskega sistema, kajti posredovanje imen in priimkov vseh občanov z naslovi in EMŠO številkami bi tudi po mnenju IP najverjetneje pomenilo prekomerno obdelavo osebnih podatkov, ki ne bi bila skladna s Splošno uredbo.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                       

                                                                                                             informacijska pooblaščenka

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov