Zbiranje osebnih podatkov za namen glasovanja

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da določena občina omogoča spletno glasovanje za participativni proračun, pri tem pa poleg nekaterih osnovnih podatkov kot pogoj za glasovanje zahteva še EMŠO. Enako zahtevajo tudi pri fizičnem glasovanju. Zanima vas, ali je takšna praksa dopustna.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V 6. členu Splošne uredbe so tako določene pravne podlage, in sicer:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati, zato se ne moremo opredeliti do vprašanja, ali je zbiranje EMŠO v opisanem primeru zakonito ali ne. Razlog za to je med drugim v tem, da ne razpolagamo z vso relevantno dokumentacijo konkretnega primera, zaradi česar bi lahko podali napačno stališče. Presoja zakonitosti posameznih obdelav oziroma spoštovanje izvajanja zakonodaje s področja varstva osebnih podatkov se opravlja v postopku inšpekcijskega nadzora, v katerem so zagotovljene tudi vse varovalke in procesne pravice udeležencem postopka.

Pred morebitno podajo inšpekcijske prijave, v kateri bi morali med drugim navesti, zakaj menite, da je prišlo do kršitve, pa posameznikom svetujemo, da se najprej obrnejo na samega upravljavca osebnih podatkov. Upravljavci imajo namreč nekatere obveznosti, ki varujejo pravice posameznikov, med drugim njihovo pravico do informiranja in dostopa do osebnih podatkov, pravico do izbrisa idr.

IP pojasnjuje, da ima vsak posameznik skladno z določbami Splošne uredbe pravico pridobiti v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34 Splošne uredbe.

Posameznik ima tako skladno s členom 15(1) pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

(a) namene obdelave;

(b) vrste zadevnih osebnih podatkov;

(c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;

(d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

(e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

(f) pravico do vložitve pritožbe pri nadzornem organu;

(g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

(h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Omenjate sicer, da občina nima vzpostavljenega volilnega imenika in glede na to, da gre v opisanem primeru zgolj za projekt odločanja o zadevah skupnega pomena v občini in ne za volitve skladno z volilno zakonodajo v ES, volilnega imenika ni dolžna oziroma ga v ta namen niti nima podlage vzpostaviti. Skladno z Zakonom o evidenci volilne pravice (Uradni list RS, št. 98/13; v nadaljevanju ZEVP-2) se sicer EMŠO zbira za namene vodenja volilnega imenika. a kot rečeno to za konkretni primer ne velja.

Svetujemo vam, da od upravljavca pridobite informacijo o namenu vodenja vaše EMŠO (točka (a) člena 15(1) ter morebitne druge informacije, ki vas zanimajo. Sicer pa še dodajamo, da 6. člen Zakona o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – UPB) določa, da predstavlja EMŠO identifikacijo za enoznačno opredelitev posameznika. Identifikacija je namenjena vodenju in vzdrževanju zbirk podatkov o prebivalstvu, povezovanju podatkov v teh zbirkah ter racionalizaciji dela državnih organov in drugih uporabnikov, ki imajo zakonsko podlago za uporabo EMŠO. Identifikacija je namenjena tudi uresničevanju pravic in obveznosti posameznika. Gre za enolično identifikacijsko številko, pri kateri možnosti za napačno identifikacijo posameznika (kot na primer pri osebnem imenu in priimku ter naslovu, ki si ga lahko deli več posameznikov) ni.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lepo vas pozdravljamo,

                                                                                   Mojca Prelesnik

                                                                                   informacijska pooblaščenka

Pripravila:                                                                                                                              

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.