Objava osebnih podatkovposameznikov, vključenih v pooblastila za izvajanje nekaterih dejavnosti varstva pred požarom

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ustreznosti objave osebnih imen posameznikov, vključenih v pooblastila za izvajanje nekaterih dejavnosti varstva pred požarom.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da bi eventualno morda lahko pravno podlago za želeno obdelavo osebnih podatkov v konkretnem primeru (objavo) predstavljal četrti odstavek 6. člena ZVOP-2, kjer je določeno, da se ne glede na določbe drugega odstavka tega člena za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

IP ob tem poudarja, da bi bilo v vsakem primeru bolj primerno, da bi bila objava osebnih imen (ali drugih osebnih podatkov) posameznikov, vključenih v pooblastila za izvajanje nekaterih dejavnosti varstva pred požarom, urejena z zakonom na način, ki bi izpolnjeval vse zgoraj navedene zahteve drugega odstavka 6. člena ZVOP-2.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov vnaprej presojati dopustnosti in ustreznosti konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti s Splošno uredbo. IP tako ne more v okviru mnenja namesto upravljavca (v konkretnem primeru vašega organa) sprejemati odločitev o ustreznosti določene pravne podlage za posamezno obdelavo (v konkretnem primeru objavo) osebnih podatkov. 

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, tudi za njihovo objavo, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Zakon o varstvu pred požarom (Uradni list RS, št. 3/07 – UPB, 9/11, 83/12, 61/17 – GZ, 189/20 – ZFRO, 43/22; v nadaljevanju: ZVPoz) v 36. členu določa, da je lastnik ali uporabnik stanovanjskih, poslovnih in industrijskih objektov odgovoren za varstvo pred požarom. Lastnik ali uporabnik lahko pooblasti ustrezno usposobljeno fizično ali pravno osebo, samostojnega podjetnika posameznika ali posameznika, ki samostojno opravlja dejavnost, ki mu je odgovoren za izvajanje ukrepov varstva pred požarom. Kot odgovorno osebo se lahko pooblasti tudi fizična oseba, ki ni zaposlena pri lastniku ali uporabniku. V večstanovanjskih hišah se lahko za izvajanje ukrepov varstva pred požarom pooblasti tudi upravnika, če je ustrezno usposobljen. Strokovno usposobljenost fizične ali pravne osebe, samostojnega podjetnika posameznika ali podjetnika, ki samostojno opravlja dejavnost, ki se ga lahko pooblasti za izvajanje ukrepov varstva pred požarom, predpiše minister. Navedena in tudi druge določbe ZVPoz ne predvidevajo objave osebnih imen posameznikov, vključenih v pooblastila za izvajanje nekaterih dejavnosti varstva pred požarom. Vsekakor pa določbe ZVPoz predstavljajo pravno podlago za izvajanje dejavnosti in ukrepov varstva pred požarov, obenem pa je varstvo pred požarom naloga, ki se jo opravlja v javnem interesu. Ob tem pa opozarja, da je v skladu z drugim odstavkom 6. člena ZVOP-2 obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. IP ugotavlja, da v konkretnem primeru ti pogoji niso izpolnjeni, saj, kot rečeno, določbe ZVPoz ne izpolnjujejo navedenih kriterijev.

IP meni, da bi eventualno morda lahko pravno podlago za želeno obdelavo osebnih podatkov v konkretnem primeru (objavo) predstavljal četrti odstavek 6. člena ZVOP-2, kjer je določeno, da se ne glede na določbe drugega odstavka tega člena za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. V tem primeru bi bilo seveda potrebno opraviti to tehtanje in ugotoviti stopnjo posega v upravičen interes posameznika, na katerega se osebni podatki nanašajo (posameznikov, vključenih v pooblastila za izvajanje nekaterih dejavnosti varstva pred požarom). Tehtanje oziroma presoja, ali je objava osebnih imen teh posameznikov nujno potrebna za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, in ali se, če je temu tako, s to obdelavo ne poseže v upravičen interes teh posameznikov, pa je v domeni upravljavca, ki nosi tudi odgovornost za to presojo. IP ob tem poudarja, da bi bilo v vsakem primeru bolj primerno, da bi bila objava osebnih imen (ali drugih osebnih podatkov) posameznikov, vključenih v pooblastila za izvajanje nekaterih dejavnosti varstva pred požarom, urejena z zakonom na način, ki bi izpolnjeval vse zgoraj navedene zahteve drugega odstavka 6. člena ZVOP-2.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni navedeni pogoji za obdelavo osebnih podatkov, ki jih navajate v vašem zaprosilu za mnenje. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov (v konkretnem primeru vašem organu), ki nosi tudi odgovornost za tovrstno opravljeno presojo. Konkretno presojo zakonitosti obdelave v posameznem primeru pa lahko IP opravi le v okviru nadzornega ali upravnega postopka.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka