Posredovanje delovnih evidenc osebne pomoči v okviru CSD

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da v kriznem centru za mlade mladostnikom nudite socialno varstveno storitev osebna pomoč, znotraj te storitve pa zapisujete in v spis vlagate delovne evidence (na primer zapise razgovorov, opažanj...). Zanima vas, ali lahko te zapise/delovne evidence za namen obveščanja preko e-pošte pošiljate matičnemu delavcu na CSD, ki ima odprt ukrep/drugo zadevo za istega mladostnika in njegovo družino, nima pa dostopa do zadeve konkretne storitve, ki jo izvajate v kriznem centru. Ob tem sprašujete še, ali so delovne evidence v storitvi osebna pomoč obravnavane kot uradni zaznamki.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Krizni center za mladoletne, ki nudi osebno pomoč, bi lahko osebne podatke mladoletnika, ki jih zbere v tem postopku (npr. delovne evidence), posredoval drugemu delavcu na CSD, ki ima odprt ukrep oziroma drugo zadevo za istega mladostnika, če bi na podlagi skrbne presoje ocenil, da ima za to ustrezno pravno podlago, da je takšno posredovanje skladno z namenom drugega postopka in so osebni podatki nujno potrebni za ta drug postopek, v skladu s koristjo mladoletnika in pričakovano stopnjo zaupnosti. Zgolj splošno obveščanje matičnega delavca na CSD pa za utemeljitev predlaganega posredovanja osebnih podatkov, ki se nahajajo v delovnih evidencah, ne zadostuje.

Pri posredovanju osebnih podatkov po e-pošti mora biti zagotovljena varnost osebnih podatkov.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje delovnih evidenc drugemu zaposlenemu na centru za socialno delo (v nadaljevanju CSD). Zato vam v nadaljevanju podaja splošna pojasnila in pravna izhodišča v zvezi z vašim vprašanjem.

Ob tem IP dodaja, da ni pristojen za komentiranje tega, kako naj drugi organi vodijo svoje uradne postopke niti za presojo, ali delovne evidence lahko štejejo za uradni zaznamek. Glede tega lahko IP zgolj izpostavi drugi odstavek 74. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, 105/06 – ZUS-1, 126/07, 65/08, 8/10, 82/13, 175/20 – ZIUOPDVE in 3/22 – ZDeb), skladno s katerim se o uradnih zapažanjih in ugotovitvah, ustnih navodilih in sporočilih ter okoliščinah, ki se tičejo samo notranjega dela organa, pri katerem se vodi postopek, praviloma ne sestavi zapisnika: o tem uradna oseba napiše uradni zaznamek z navedbo kraja in datuma ter ga podpiše. Ocena, ali gre pri konkretnih zapisih za tak zaznamek, pa ne sodi v pristojnost IP.

Z vidika varstva osebnih podatkov IP pojasnjuje, da mora imeti vsak upravljavec za obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami iz prvega odstavka 6. in 9. člena Splošne uredbe. Kadar CSD opravlja naloge, ki mu jih nalaga zakon kot javna pooblastila, in naloge, ki mu jih nalagajo drugi predpisi (49. člen Zakona o socialnem varstvu, Uradni list RS, št. 3/07 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; v nadaljevanju ZSV), osebne podatke obdeluje na podlagi teh področnih predpisov (točka (c) oziroma (e) prvega odstavka 6. člena Splošne uredbe, v primeru posebne vrste osebnih podatkov v zvezi s točko (h) drugega odstavka 9. člena Splošne uredbe).

Drugi odstavek 49. člena ZSV določa, da CSD opravlja storitve socialne preventive, prve socialne pomoči, osebne pomoči, podpore žrtvam kaznivih dejanj, pomoči družini za dom in organizira skupnostne akcije za socialno ogrožene skupine prebivalstva. Osebna pomoč po tem zakonu obsega svetovanje, urejanje in vodenje z namenom, da bi posamezniku omogočili razvijanje, dopolnjevanje, ohranjanje ter izboljšanje socialnih zmožnosti (13. člen ZSV). V postopku osebne pomoči CSD zbira in drugače obdeluje osebne podatke.

Krizni center za mladoletne, ki nudi osebno pomoč, deluje v okviru določenega CSD. Če bi delovne evidence posredovali zaposlenemu na tem CSD, ki bi osebne podatke mladoletnega obdeloval za potrebe drugega postopka, bi šlo za posredovanje osebnih podatkov znotraj istega upravljavca. Do osebnih podatkov znotraj upravljavca pa so upravičeni dostopati le tisti posamezniki, ki podatke potrebujejo za opravljanje svojih konkretnih delovnih nalog. Ti dostopajo do podatkov v imenu delodajalca kot upravljavca zbirk osebnih podatkov. Če pa bi delovne evidence posredovali drugemu CSD, bi morali imeti za to načeloma ločeno pravno podlago, ki bi bila lahko podana tudi v okviru 49. člena ZSV. V obeh primerih pa gre za uporabo določenih osebnih podatkov, ki so bili pridobljeni v enem postopku, v okviru drugega postopka. Odgovor na vprašanje, ali je dopustno, da delovne evidence pošiljate matičnemu delavcu na CSD, ki ima odprt ukrep oziroma drugo zadevo za istega mladostnika in njegovo družino, je zato odvisen od specifičnih okoliščin konkretnega primera, kot so vrsta osebnih podatkov, ki so zajeti v takem zapisu, namena pridobivanja teh podatkov, namena obdelave v drugem postopku, pravne ureditve konkretnih postopkov, pričakovane zaupnosti v postopku, v katerem so bili pridobljeni osebni podatki, in podobno. Prav tako je treba pri tem zagotoviti spoštovanje vseh načel v zvezi z obdelavo osebnih podatkov, ki jih Splošna uredba ureja v 5. členu. Osebni podatki morajo biti med drugim zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (omejitev namena) ter ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (najmanjši obseg podatkov).

IP izpostavlja tudi načelo otrokove koristi. Družinski zakonik (Uradni list RS, št. 15/17, s spremembami in dopolnitvami; v nadaljevanju DZ) v četrtem odstavku 7. člena določa, da morajo državni organi, izvajalci javnih služb, nosilci javnih pooblastil, organi lokalnih skupnosti ter druge fizične in pravne osebe v vseh dejavnostih in postopkih v zvezi z otrokom skrbeti za korist otroka. Podobno določa tudi Konvencija o otrokovih pravicah, in sicer v prvem odstavku 3. člena, skladno s katerim morajo biti pri vseh dejavnostih v zvezi z otroki, bodisi da jih vodijo državne bodisi zasebne ustanove za socialno varstvo, sodišča, upravni organi ali zakonodajna telesa, otrokove koristi glavno vodilo. IP opozarja tudi na siceršnjo dolžnost obveščanja po 180. členu DZ, na podlagi katere mora vsakdo, zlasti pa strokovni delavci oziroma delavke v zdravstvu ne glede na določbe o varovanju poklicne skrivnosti takoj obvestiti CSD, če pri svojem delu izvedo za okoliščine, na podlagi katerih je mogoče sklepati na ogroženost otroka.

Iz navedenega torej izhaja, da bi lahko delovne evidence, ki nastanejo v postopku osebne pomoči, posredovali drugemu zaposlenemu na CSD oziroma na drug CSD le, če bi na podlagi skrbne presoje ocenili, da imate za to ustrezno pravno podlago, da je takšno posredovanje skladno z namenom drugega postopka in so osebni podatki nujno potrebni za drug postopek, ki se vodi v zvezi z mladoletnikom, v skladu z njegovo koristjo in pričakovano stopnjo zaupnosti. Zgolj splošno obveščanje matičnega delavca na CSD, kot navajate, pa za utemeljitev predlaganega posredovanja osebnih podatkov, ki se nahajajo v delovnih evidencah, po mnenju IP ne zadostuje.

Glede pošiljanja po e-pošti pa IP opozarja na dolžnost zagotovitve varnosti osebnih podatkov (več informacij o tem je dostopno na spletni strani IP: https://upravljavec.si/zagotovite-varnost/). Splošna uredba je glede varnosti podatkov tehnološko nevtralna in ne predpisuje točno določenega nabora varnostnih rešitev. Upravljavec mora poskrbeti za ustrezno varnost pri prenosu osebnih podatkov skladno z zgoraj opredeljenimi tveganji, ki izhajajo iz konkretnih okoliščin obdelave osebnih podatkov. Posredovanje osebnih podatkov preko elektronskih omrežij je načeloma dopustno, IP pa priporoča, da upravljavec v vsakem primeru presodi, ali je glede na konkretne okoliščine treba osebne podatke dodatno zavarovati ter v konkretnem primeru svetuje uporabo zgolj službenih e-naslovov.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka