Obdelava osebnih podatkov s strani centrov za socialno delo v postopkih odločanja in izdajanja odločb brez podpore informacijskega sistema po ZDOsk-1 - DOPOLNITEV MNENJA

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za dopolnitev mnenja IP št. 07120-1/2025/41, in sicer vas zanima, ali je dovoljeno, da v postopkih ročne izdaje odločb za pravico do dolgotrajne oskrbe na domu in prevedb iz institucionalnega varstva v dolgotrajno oskrbo v instituciji, na novo nastajajo ločene zbirke osebnih podatkov? Pojasnjujete, da naj bi bile novo nastale zbirke podatkov (ki niso definirane v ZDOsk-1) v skladu z navodili pristojnega ministrstva vodene v programu Excel.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Vhodna točka bi lahko hranila zadevne osebne podatke v programu Excel – naloženo v Krpan CSD pod sledečimi pogoji:

- ima vhodna točka pravno podlago za zbiranje in nadaljnjo obdelavo (hrambo) osebnih podatkov, ki naj bi jih hranili v aplikaciji, in

- so osebni podatki, ki naj bi se v skladu z navodilom ministrstva hranili v programu Excel, osebni podatki iz predhodne alineje (isti nabor podatkov), in

- se osebni podatki v programu Excel obdelujejo za namene, za katere ima vhodna točka podlago za njihovo obdelavo iz prve alineje v aplikaciji (isti nameni obdelave), in

- je v programu Excel zagotovljen isti nivo varnosti osebnih podatkov kot v aplikaciji.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov. Konkretno presojo lahko oziroma mora opraviti izključno upravljavec osebnih podatkov.

Navodilo ministrstva iz dopisa št. 1222-218/2023-2720-157, z dne 10. 9. 2025, se glasi: »Po vzpostavitvi informacijske podpore za odločanje o upravičenosti do dolgotrajne oskrbe bo potrebno na tak način pripravljene odločbe vnesti v aplikacijo zaradi elektronskega vodenja podatkov. Iz tega razloga predlagamo, da se začasno vzporedno vodi evidenca izdanih odločb (številka zadeve v Krpanu, ime in priimek ter EMŠO vlagatelja), da ne pride do izgube podatkov (vodenje evidence v programu Excel – naloženo v Krpan CSD).«

IP pojasnjuje, da se Splošna uredba uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi [t.i. ročna obdelava] za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke (prvi odstavek 2. člena Splošne uredbe).[1] Pojem zbirke je opredeljen v 6. točki prvega odstavka 4. člena in »pomeni vsak strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi«. Splošna uredba pojem »zbirka« opredeljuje široko, zlasti s sklicevanjem na »vsak« strukturiran niz osebnih podatkov. Zato je treba definicijo razlagati široko, tudi z namenom preprečiti ogrožanje visoke ravni varstva, ki ga zagotavlja Splošna uredba. Tako bodo v definicijo verjetno zajeti vsi nabori podatkov, ki so združeni v skladu z določenimi merili, ki omogočajo, da se podatki brez večjih težav najdejo. Sodišče EU je namreč presodilo, da je zahteva, da mora biti  niz osebnih podatkov »strukturiran v skladu s posebnimi merili«, namenjena zgolj temu, da se omogoči, da se podatki o neki osebi enostavno najdejo.[2] Sodišče je posebej poudarilo, da za obstoj »zbirke« ni treba osebne podatke voditi »v obliki kartotek, posebnih seznamov ali drugih sistemov razvrščanja«.[3]

Splošna uredba torej ne določa podrobnih pravil, v skladu katerimi mora biti zbirka strukturirana, ne njene oblike – ali jo je potrebno voditi npr. elektronsko (posebna informacijska rešitev, excel ali drug način elektronske hrambe) ali v papirni obliki.

V konkretnem primeru bi bilo dopustno, da vhodna točka hrani zadevne osebne podatke v programu Excel – naloženo v Krpan CSD pod pogoji, da:

-       ima vhodna točka pravno podlago[4] za zbiranje in nadaljnjo obdelavo (hrambo) osebnih podatkov, ki naj bi jih hranili v aplikaciji, in

-       so osebni podatki, ki naj bi se v skladu z navodilom ministrstva hranili v programu Excel, osebni podatki iz predhodne alineje (isti nabor podatkov), in

-       se osebni podatki v programu Excel obdelujejo za namene, za katere ima vhodna točka podlago za njihovo obdelavo iz prve alineje v aplikaciji (isti nameni obdelave), in

-       je v programu Excel zagotovljen isti nivo varnosti osebnih podatkov kot v aplikaciji.

Ob izpolnjevanju zgornjih pogojev začasno vodenje zbirke v programu Excel načeloma ni nedopustno; v kolikor so izpolnjeni zgornji pogoji namreč ne moremo govoriti o vzpostavitvi nove zbirke, temveč gre za drugo informacijsko rešitev za vodenje iste zbirke.

Lepo vas pozdravljamo.

Pripravila:

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik,

informacijska pooblaščenka

[1] Iz uvodne določbe št. 15 Splošne uredbe izhaja, da mora biti varstvo posameznikov tehnološko nevtralno in neodvisno od uporabljenih tehnik.

[2] Glej sodbo C-25/17, Jehovan todistajat, odst. 57. 

[3] Ibid., odst. 58.

[4] Za vsako obdelavo osebnih podatkov (vključno s hrambo) je potrebno imeti ustrezno pravno podlago. Obdelava osebnih podatkov bo zakonita le, v kolikor je izpolnjen eden izmed pogojev, določenih v prvem odstavku 6. člena ali drugem odstavku 9. člena Splošne uredbe, pri čemer je pomembno izpostaviti, da se točka (f) prvega odstavka (zakoniti interesi) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.