Osebni podatki posameznikov, ki so odstopljeni pristojnemu organu

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Pojasnjujete, da v dokumentnem sistemu beležite prejem in pošiljanje pošte, pri čemer se vsaka prejeta in poslana pošiljka hrani skladno z zakonom, ki ureja hrambo dokumentarnega in arhivskega gradiva. Tudi vloge, za reševanje katerih niste pristojni in jih odstopite pristojnemu organu, beležite z uporabo dokumentnega sistema, v katerem se osebni podatki vseh teh posameznikov hranijo skladno z zakonskimi roki. 

Zanima vas, ali bi bila pri odstopu vloge v reševanje pristojnemu organu na podlagi zakona, ki ureja splošni upravni postopek, uporabljiva določba drugega odstavka 7. člena ZVOP-2 na način, da prejeto pisanje posameznika ne bi niti uvrstil v dokumentni sistem, ali je za opisano obdelavo osebnih podatkov podana pravna podlaga v določbi c) točke prvega odstavka 6. člena Splošne uredbe, saj ravnate skladno z določbo zakona, ki ureja splošni upravni postopek.

Sprašujete tudi, ali morate imeti za osebne podatke iz vlog, za reševanje katerih niste pristojni, izdelano evidenco dejavnosti obdelave ter kaj napisati v rubriki vrste osebnih podatkov, saj je njihov nabor popolnoma nepredvidljiv, in na kakšen način obvestiti posameznike z vsebino 13. člena Splošne uredbe v ta namen.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Drugi odstavek 7. člena ZVOP-2 (ravnanje z nepotrebnimi osebnimi podatki) ne predstavlja ustrezne pravne podlage za to, da organ z vlogo posameznika, za katero ni pristojen, ne bi ravnal skladno s področnimi predpisi (ZUP, ZDU-1, ZVDAGA, Uredba o upravnem poslovanju ipd.) ter je zato ne bi ustrezno dokumentiral oziroma bi osebne podatke iz takšne vloge izbrisal.

Evidenca dejavnosti obdelave vsebuje tudi vrste osebnih podatkov, kar pa ne pomeni, da mora biti naveden vsak osebni podatek iz določene vloge, ki jo organ prejme.

Način obveščanja posameznikov ni natančno predpisan, temveč ga določi upravljavec upoštevaje prvi odstavek 12. člena Splošne uredbe. IP priporoča, da upravljavec izbere tak način obveščanja posameznika, ki je za konkretno obdelavo najbolj primeren zlasti upoštevaje naravo razmerja in načine komuniciranja, ki ga ima upravljavec s posamezniki, katerih osebne podatke obdeluje.

O b r a z l o ž i t e v:

IP uvodoma opozarja, da je odgovornost za zakonito obdelavo osebnih podatkov na upravljavcu, ki mora biti zakonitost obdelave tudi zmožen dokazati. V okviru mnenja pa lahko IP poda le splošne usmeritve, saj izven konkretnih nadzornih postopkov ne more presojati ustreznosti določene obdelave z vidika skladnosti s predpisi s področja varstva osebnih podatkov. Prav tako IP ni pristojen za komentiranje tega, kako naj drugi organi vodijo svoje uradne postopke. Zato IP na vaša vprašanja ne more dokončno odgovoriti, temveč v nadaljevanju podaja splošna pojasnila in pravna izhodišča.

V zvezi v vašim vprašanjem IP najprej izpostavlja, da pri vodenju upravnih postopkov vsekakor prihaja do obdelave osebnih podatkov. Glede na to, da se tudi v primeru, ko prejmete vlogo, za katero niste pristojni, obdelujejo osebni podatki, morate kot upravljavec za takšno obdelavo imeti zakonito in ustrezno pravno podlago. Osebni podatki se lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Za javni sektor prideta v poštev zlasti izpolnitev zakonske obveznosti, ki velja za upravljavca (točka (c) prvega odstavka 6. člena Splošne uredbe v zvezi z drugim odstavkom 6. člena ZVOP-2) in izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti (točka (e) prvega odstavka 6. člena Splošne uredbe v zvezi z drugim in četrtim odstavkom 6. člena ZVOP-2).

Področni zakoni, ki poleg materialnih predpisov urejajo obravnavano področje (vodenje upravnega postopka in arhiviranje dokumentacije), v smislu točke (c) oziroma (e) prvega odstavka 6. člena Splošne uredbe so predvsem Zakon o splošnem upravnem postopku (Uradni list RS, št. 24/06 s spremembami in dopolnitvami; v nadaljevanju ZUP – npr. določbe o ravnanju z vlogo, ki je organ ni pristojen sprejeti v petem odstavku 65. člena), določbe Zakona o varstvu dokumentarnega in arhivskega gradiva ter arhivih (Uradni list RS, št. 30/06 in 51/14, v nadaljevanju ZVDAGA – npr. glede varstva dokumentarnega in arhivskega gradiva) ter določbe Zakona o državni upravi (Uradni list RS, št. 113/05 s spremembami in dopolnitvami – npr. glede upravljanja informacijsko komunikacijskih sistemov državne uprave v 74.a členu). Glede upravljanja dokumentarnega gradiva je pomembna tudi Uredba o upravnem poslovanju (Uradni list RS, št. 9/18, 14/20, 167/20, 172/21, 68/22, 89/22, 135/22 in 77/23), npr. določbe o načinu dokumentiranja v 32. členu in neevidenčnem gradivu v 33. členu. Denimo, skladno z drugim odstavkom 33. člena navedene uredbe je treba evidentirati tudi neevidenčno gradivo, če organ v zvezi z njim kaj ukrene. Organ mora torej osebne podatke iz vlog, ki jih prejme, obdelovati tudi skladno s temi predpisi.

Drugi odstavek 7. člena ZVOP-2, ki ga izpostavljate, določa: »Kadar se nenamerno zberejo osebni podatki, za katere je očitno, da niso potrebni za konkretno obdelavo, se izbrišejo brez nepotrebnega odlašanja, drugače nepovratno uničijo ali vrnejo posamezniku, na katerega se nanašajo, ali upravljavcu ali obdelovalcu, ki jih je poslal.« Peti odstavek 65. člena ZUP pa določa: »Če dobi organ po pošti, brzojavno ali po elektronski poti vlogo, ki je ni pristojen sprejeti, pa ni nobenega dvoma o tem, kateri organ jo je pristojen sprejeti, jo pošlje brez odlašanja pristojnemu organu oziroma sodišču in to sporoči stranki. Če organ, ki je dobil vlogo, ne more ugotoviti, kateri organ je zanjo pristojen, izda brez odlašanja sklep, s katerim zavrže vlogo zaradi nepristojnosti, in ga takoj pošlje stranki.« Upoštevaje to določbo ZUP in druga pravila vodenja upravnih postopkov IP meni, da bi v primeru obdelave osebnih podatkov iz vloge, ji jo organ zaradi nepristojnosti odstopi drugemu organu ali jo zavrže, težko govorili o tem, da osebni podatki niso potrebni za konkretno obdelavo. Zato drugi odstavek 7. člena ZVOP-2 ne predstavlja ustrezne pravne podlage za to, da s prejetim pisanjem posameznika, kot navajate, ne bi imeli nadaljnjega opravka in ga posledično ne bi niti uvrstili v dokumentni sistem oziroma bi osebne podatke iz takšne vloge izbrisali.

IP nadalje pojasnjuje, da je evidenca dejavnosti obdelave iz 30. člena Splošne uredbe dokument, ki ga v konkretnem primeru najverjetneje morate voditi, saj ne gre za dejavnosti obdelav, ki bi bile zgolj občasne in torej velja enako, kot za obdelavo osebnih podatkov iz vseh drugih vlog posameznikov, ki jih prejmete. Vsebina evidence dejavnosti obdelave je za upravljavce predpisana v prvem odstavku 30. člena Splošne uredbe. Glede na nepredvidljivost nabora osebnih podatkov v vlogah posameznikov, ki ga izpostavljate, IP priporoča, da naštejete tiste vrste osebnih podatkov, ki jih redno hranite v zbirki dokumentarnega gradiva (to so npr. ime in priimek vlagatelja, naslov prebivališča ali elektronski naslov, telefonska številka, datum prejema vloge ipd.), ni pa vam treba v tej evidenci natančno navajati vsakega osebnega podatka, ki ga posameznik navede v vlogi. Več o evidenci dejavnosti obdelave si lahko preberete tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/evidenca-dejavnosti-obdelave.

V zvezi z obveznostjo upravljavca po 13. členu Splošne uredbe pa IP pojasnjuje, da način obveščanja posameznikov ni natančno predpisan, temveč ga določi upravljavec upoštevaje prvi odstavek 12. člena Splošne uredbe. Informacije morajo biti posamezniku predstavljene v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter v jasnem in preprostem jeziku. Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno z elektronskimi sredstvi. IP priporoča, da upravljavec izbere tak način obveščanja posameznika, ki je za konkretno obdelavo najbolj primeren zlasti upoštevaje naravo razmerja in načine komuniciranja, ki ga ima upravljavec s posamezniki, katerih podatke obdeluje. V konkretnem primeru bi lahko informacije o obdelavi osebnih podatkov zagotovili na spletu, podobno kot je to storil IP za informacije o obdelavi osebnih podatkov v postopku obravnave vlog zaradi kršitev varstva osebnih podatkov. Prav tako je IP za pomoč upravljavcem pri obveščanju posameznikov glede obdelave osebnih podatkov pripravil vzorec obvestila. Tako obvestilo IP kot vzorec obvestila sta dostopna na spletni strani IP: https://www.ip-rs.si/obrazci/.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka