Posredovanje osebnih podatkov posameznika odvetniku v BiH

Pri Informacijskem pooblaščencu (IP) smo dne 6. 5. 2022 prejeli vaše zaprosilo za mnenje, v katerem navajate, da ste na upravni enoti prejeli zaprosilo odvetnice iz Bosne in Hercegovine za posredovanje podatkov posameznika za namen izterjave preživnine za mladoletnega otroka. V zaprosilu je odvetnica predložila kopije delnih sodb in zapisnika. Ob podrobnem pregledu zaprosila je bilo s strani upravnega organa ugotovljeno, da je odvetnica, ki zaproša za podatke, hkrati tudi mama mladoletnega otroka, za katerega je v sodbi navedeno, da mora posameznik plačevati preživnino. Upravni organ je v dilemi, ali lahko posreduje podatke o naslovu posameznika v tretjo državo (Bosno in Hercegovino) ali pa je potrebno za to pridobiti odločbo Informacijskega pooblaščenca.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V opisanem primeru je primarno vprašanje vprašanje obstoja ustrezne pravne podlage za posredovanje osebnih podatkov tuji odvetnici. V kolikor ta podatke potrebuje za namene izvršbe bi jo bilo morda najbolj smiselno napotiti na določbe ZIZ. Šele v drugi fazi, torej ko bi tuji odvetnik že izkazal pravno podlago za pridobitev zaprošenih osebnih podatkov posameznika, pa se lahko glede samega prenosa osebnih podatkov v tretjo državo naslonite na določbo člena 49(1)(e), ki prenos v izjemnih primerih dopušča, če gre za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Odločba IP za tako posredovanje osebnih podatkov v tretjo državo ni potrebna.

O b r a z l o ž i t e v:

Za posredovanje osebnih podatkov upravljavcu osebnih podatkov, pogodbenemu obdelovalcu ali uporabniku osebnih podatkov v tretji državi morata biti hkrati izpolnjena dva pogoja, in sicer:

1. upravljavec oz. obdelovalec (izvoznik podatkov) mora imeti pravno podlago, da lahko obdeluje in posreduje osebne podatke tretji entiteti; splošne pravne podlage so urejene v členu 6 Splošne uredbe o varstvu podatkov;
2. izvoznik podatkov mora zagotoviti, da je po prenosu podatkov v tretjo državo zagotovljena ustrezna raven varstva podatkov; ob izpolnjenem prvem pogoju je posredovanje osebnih podatkov upravljavcu ali obdelovalcu v tretji državi dopustno pod pogoji, ki jih ureja V. poglavje Splošne uredbe o varstvu podatkov.

1. Pravna podlaga za posredovanje osebnih podatkov tujemu odvetniku

Zakon o odvetništvu (ZOdv) daje v 10. členu odvetniku pravico, da zahteva osebne podatke, ki jih potrebuje pri opravljanju odvetniškega poklica v posamični zadevi. To pomeni, da mora odvetnik za pridobitev osebnih podatkov upravljavcu zbirk osebnih podatkov izkazati pooblastilno razmerje v posamični zadevi in tudi potrebo po konkretnem osebnem podatku glede konkretnega procesnega dejanja v okviru zastopanja v konkretni zadevi, ki teče pred sodiščem ali drugim organom. Odvetnik mora dokazati, da osebnih podatkov, ki jih zahteva, na drugačen način ne more pridobiti.

Pravice in dolžnosti odvetnikov, ki jih slovensko pravo določa v ZOdv veljajo v prvi vrsti za slovenske odvetnike, ki izpolnjujejo zakonsko določene pogoje (so med drugim tudi vpisani v imenik odvetnikov). Glede veljavnosti zakona oziroma pravic in obveznosti odvetnikov iz drugih držav, pa pogoje za opravljanje storitev odvetniškega poklica (ter posledično tudi pogoje za pridobivanje podatkov po določbi 10. člen ZOdv) ZOdv določa v členih od 34.a do 34.f. Pravica iz 10. člena ZOdv je vezana na opravljanje storitev odvetniškega poklica v posamični zadevi, pri čemer ta pravica ne more pripadati subjektu, ki nima statusa odvetnika ali z njim izenačenega statusa v smislu ZOdv (da ni vpisan v imenik tujih odvetnikov ali nima potrdila Odvetniške zbornice Slovenije o priglasitvi opravljanja storitev v RS). Uporaba 10. člena ZOdv tako ne pride v poštev, kadar podatke zahteva oseba, ki ima status odvetnika zgolj v drugi državi članici (skladno s tam veljavno zakonodajo) in namerava svojo stranko zastopati pred tujim sodiščem.

Pravno podlago za pridobitev osebnih podatkov iz CRP lahko v določenih primerih predstavlja tudi drugi odstavek 22. člena ZVOP-1, ki določa, da mora upravljavec CRP ali evidenc stalno in začasno prijavljenih prebivalcev na način, ki je določen za izdajo potrdila, posredovati upravičencu, ki izkaže pravni interes za uveljavljanje pravic pred osebami javnega sektorja, osebno ime in naslov stalnega ali začasnega prebivališča posameznika, zoper katerega uveljavlja svoje pravice.

V kolikor pa tuja odvetnica podatke potrebuje za namene izvršbe, pa bi bilo smiselno upoštevati tudi 13. člen Zakona o izvršbi in zavarovanju (ZIZ), ki določa, da se sme izvršitev odločbe ali poravnave tujega sodišča, tujega upravnega in drugega organa ter izvršitev javne listine tujega upravnega in drugega organa v Republiki Sloveniji dovoliti in opraviti, če:

• odločba, poravnava ali javna listina izpolnjuje z zakonom ali ratificirano in objavljeno mednarodno pogodbo predpisane pogoje za priznanje ali
• je bil na podlagi Uredbe 44/2001/ES, Uredbe 2201/2003/ES, Uredbe 4/2009/ES, Uredbe 2016/1103/EU ali Uredbe 2016/1104/EU v Republiki Sloveniji izveden postopek priznanja in izvršitve odločbe ali poravnave tujega sodišča, tujega upravnega in drugega organa oziroma javne listine tujega upravnega ali drugega organa.

2. Prenos osebnih podatkov v tretjo državo

Šele ob izpolnjenem prvem pogoju, torej če bi bilo ugotovljeno, da ima tuji odvetnik pravno podlago za pridobitev zahtevanih osebnih podatkov, bi se ugotavljal še obstoj katerega od pogojev po Splošni uredbi o varstvu podatkov za prenos osebnih podatkov v tretjo državo, torej obstoj zagotovljene ustrezne ravni varstva podatkov v tretji državi.

V konkretnem primeru bi v poštev prišel pogoj uveljavljanja pravnih zahtevkov iz člena 49(1)(e) Splošne uredbe o varstvu podatkov. Ta določa, da v primeru, če sklep o ustreznosti zagotovljene ravni varstva osebnih podatkov za določeno državo iz člena 45 Splošne uredbe o varstvu podatkov ni sprejet in če ni mogoče sprejeti ustreznih zaščitnih ukrepov v skladu s členom 46, se prenos v tretjo državo izjemoma lahko izvede, če je prenos potreben za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov. Prenos na podlagi člena 49(1)(e) Splošne uredbe o varstvu podatkov je dovoljen le, če je ta zgolj občasen oz. neponavljajoč.

3. Sklepno

V opisanem primeru je primarno vprašanje vprašanje obstoja ustrezne pravne podlage za posredovanje osebnih podatkov tuji odvetnici. V kolikor ta podatke potrebuje za namene izvršbe bi jo bilo morda najbolj smiselno napotiti na določbe ZIZ. Šele v drugi fazi, ko bo vprašanje pravne podlage za posredovanje razjasnjeno, pa se lahko glede samega prenosa osebnih podatkov v tretjo državo naslonite na določbo člena 49(1)(e), ki prenos v izjemnih primerih dopušča, če gre za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

O izpolnjevanju vseh navedenih kriterijev, ki so podlaga za zakonit prenos osebnih podatkov, je dolžan upravljavec podatkov presojati sam. IP lahko o zakonitosti konkretne obdelave osebnih podatkov presoja le v okviru inšpekcijskega postopka. Če menite, da za odločitev v zadevi ne razpolagate z zadostnimi informacijami in dokazili, vam svetujemo, da odvetnico pozovete k ustrezni dopolnitvi, ki vam bo omogočila končno odločitev.

S spoštovanjem.

Pripravila:

mag. Eva Kalan Logar,

vodja državnih nadzornikov

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka