Posredovanje osebnih podatkov tujim organom

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel dva vaša dopisa, v katerem pojasnjujete, da ste od dveh tujih prekrškovnih organov prejeli zaprosilo za posredovanje določenih osebnih podatkov naših državljanov. Pojasnjujete, da ste jim v zvezi z njihovo zahtevo pojasnili, da mora za konkretno posredovanje osebnih podatkov obstajati pravna podlaga, ki je lahko zgolj zakon ali osebna privolitev. Organa naj bi svojo vlogo sicer dopolnila, a zgolj z dokazili, da vodita prekrškovni postopek zoper slovenska državljana, kjer pravna podlaga, še vedno ni jasna. Zanima vas, kako naj postopek vodite in v zadevi nadaljujete.                                                                          

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1. Posredovanje osebnih podatkov tujim prekrškovnim organom mora venomer potekati po uveljavljeni pravni poti, ki je odvisna od:

-področja v zvezi s čimer teče postopek;

-vrste podatkov, ki naj bi se posredovali;

-države, ki zahteva posredovanje podatkov ter skladno z morebitnimi sklenjenimi mednarodnimi pogodbami oz. drugimi vrstami dogovorov, sporazumov ali specialnimi predpisi.

2. V kolikor na konkretnem področju za konkretne osebne podatke v presoji obstajajo specialni predpisi, se ZVOP-2 uporablja subsidiarno torej le v tistem delu, ko s posebnimi pravili ni določeno drugače.                                                                                                 

3. Za potrebe razjasnitve in za pomoč pri ugotavljanju relevantnih mednarodnih pogodb oz. drugih specialnih predpisov, ki bi prišle v poštev za vaš konkretni primer, se lahko obrnete na Ministrstvo za pravosodje, ki je pristojno za tolmačenje predpisov s področja mednarodnega sodelovanja in mednarodne pravne pomoči.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati obsega obdelave osebnih podatkov v konkretnem primeru.

V zvezi s posredovanjem osebnih podatkov iz uradnih evidenc ali javnih knjig (na podlagi četrtega odstavka 41. člena ZVOP-2) IP nastopa kot pritožbeni organ. To pomeni, da bi IP v zadevi moral odločati, v kolikor bi bila glede zavrnilne odločitve organa (delne ali celotne) podana pritožba. S tega razloga IP v tem trenutku ne more, niti ne sme presojati kakšno odločitev naj organ v zvezi z zahtevo sprejme, še manj pa mu to odločitev sugerirati, saj bi s takšnim ravnanjem lahko prejudiciral svojo kasnejšo odločitev in pri tem izjalovil celoten namen morebitnega pritožbenega postopka in s tem sistem pravnega varstva.

Ob tem pa še posebej poudarjamo, da IP niti ni pristojen za komentiranje tega, kako naj drugi upravni organi vodijo svoje uradne postopke. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013, IP niti ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavno skladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

V zvezi z vašim vprašanjem tako zgolj opozarjamo na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava podatkov (v vašem primeru posredovanje podatkov) zakonita.

***

IP v zvezi s posredovanjem osebnih podatkov tujim prekrškovnim organom poudarja, da mora tako posredovanje venomer potekati po uveljavljeni pravni poti, ki je odvisna od:

·         področja v zvezi s čimer teče postopek;

·         vrste podatkov, ki naj bi se posredovali;

·         države, ki zahteva posredovanje podatkov ter skladno z morebitnimi sklenjenimi mednarodnimi pogodbami oz. drugimi vrstami dogovorov, sporazumov ali specialnimi predpisi (to velja npr. za cestno prometne prekrške, kjer čezmejno izmenjavo podatkov iz evidence registriranih vozil v EU v skladu z 48.b členom Zakona o prekrških ureja 65. člen Zakona o motornih vozilih).

Praviloma tako posredovanje ne poteka neposredno med upravljavcem osebnih podatkov in prekrškovnim organom, razen, če bi tak postopek določal konkreten (specialen) akt za posamezno področje oz. za konkretne podatke, ki so stvar zahteve za posredovanje.

V kolikor na konkretnem področju za konkretne osebne podatke v presoji obstajajo specialni predpisi, se ZVOP-2 uporablja subsidiarno torej le v tistem delu, ko s posebnimi pravili ni določeno drugače. Ti specialnejši predpisi predstavljajo osnovno orodje za urejanje tovrstnih vprašanj, saj so prilagojeni specifičnim zahtevam in pogojem mednarodnega prava. V primerih, ko le ti ne obstajajo oz. specialnejši predpisi ne določajo svojih ločenih pravil, ali so ta pravila nejasna, se kot dopolnilo vsekakor uporabi ZVOP-2.

Pred vsakršnim posredovanjem osebnih podatkov tujim organom, bi morali torej najprej preveriti, ali je postopek posredovanja osebnih podatkov tujim prekrškovnim organom specialno urejen s katerim od mednarodnih sporazumov oz. specialnih predpisov, ki veljajo na področju te konkretne čezmejne obdelave osebnih podatkov (npr. za Hrvaško ali Avstrijo) ter ga pri svoji presoji in ravnanju upoštevati. V tem delu bi namreč take določbe predstavljale odklon oz. lex specialis generalni ureditvi posredovanja osebnih podatkov iz ZVOP-2, ki jo sicer na splošno opisujemo spodaj.

Za potrebe razjasnitve in za pomoč pri ugotavljanju specialnih predpisov na tem področju pa se vedno lahko obrnete na Ministrstvo za pravosodje, ki je pristojno za tolmačenje predpisov s področja mednarodnega sodelovanja in mednarodne pravne pomoči.

***

Postopek posredovanja osebnih podatkov s strani javnega sektorja generalno urejata 39. in 41. člen ZVOP-2. Na podlagi prvega odstavka 39. člena ZVOP-2 lahko osebe javnega sektorja posredujejo osebne podatke drugim pravnim osebam na podlagi priložene zahteve iz prvega odstavka 41. člena ZVOP-2, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če drug zakon določa drugače.

Iz vašega vprašaja sicer ni jasno, kateri konkretni podatki so stvar obravnavane zahteve oz. v katerih registrih ali drugih zbirkah se ti podatki pri vas nahajajo. IP predvideva, da imate v mislih sicer register stalnega prebivalstva ali Centralni register prebivalstva (CRP), v zvezi s čimer, bi bilo potrebno v delu presoje zahteve, upoštevaje prvi odstavek 41. člena ZVOP-2, kot »drug zakon« upoštevati zlasti:

·         določbe Zakona o centralnem registru prebivalstva[1] (v nadaljevanju: ZCRP); v kolikor gre za posredovanje podatkov iz centralnega registra prebivalstva (CRP) ali

·         Zakon o prijavi prebivališča[2] (v nadaljevanju: ZPPreb-1), v kolikor gre ta posredovanje podatkov iz registra stalnega prebivalstva ali

·         specialno ureditev, če bi le ta obstajala na konkretnem področju obdelave v okviru morebitne mednarodne pogodbe, sporazumov ali dogovorov.

ZCRP v 23. členu določa, da imajo uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov in uporabniki, ki so pooblaščeni z osebno pisno privolitvijo posameznika, na katerega se podatki nanašajo, pa v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, pravico iz CRP dobiti naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča.

Podobno tudi ZPPreb-1 v 34. členu določa zakonit način uporabe podatkov iz registra stalnega prebivalstva. Prvi odstavek člena določa, da podatke iz registra stalnega prebivalstva lahko uporabljajo upravne enote, ministrstvo, diplomatsko predstavništvo ali konzulat Republike Slovenije, ministrstvo, pristojno za zunanje zadeve, policija in občinski inšpektorji za opravljanje svojih zakonskih nalog. V nadaljevanju drugi odstavek določa, da podatke lahko uporabljajo tudi drugi uporabniki, ki imajo za uporabo podatkov podlago v zakonu ali mednarodni pogodbi oziroma imajo za uporabo in pridobivanje podatkov pisno privolitev posameznika, na katerega se podatki nanašajo.

V zvezi s posredovanjem osebnih podatkov še opozarjamo na določbo petega odstavka 39. člena ZVOP-2, ki določa, da upravljavci ali obdelovalci, ki se jim na podlagi zakona za izvajanje njihovih pristojnosti ali nalog posredujejo osebni podatki iz registrov ali evidenc s področja upravnih notranjih zadev, ki so v upravljanju ministrstva, pristojnega za notranje zadeve (kamor nedvomno spadajo tudi podatki iz registra stalnega prebivalstva in CRP), na lastne stroške vzpostavijo varnostne mehanizme, ki jih kot ukrepe ali postopke za izvajanje varnosti osebnih podatkov določi minister, pristojen za notranje zadeve. Do trenutka izdaje tega mnenja ni videti, da bi bili taki ukrepi oz. postopki za izvajanje varnosti osebnih podatkov predpisani. Vsekakor pa to ne pomeni, da varnost osebnih podatkov ni potrebno zagotoviti. Vsak upravljavec je nedvomno dolžan zagotoviti varovanje osebnih podatkov, ki jih v okviru svojega dela obdeluje zlasti z  izvajanjem ustreznih tehničnih in organizacijskimi ukrepov, da zagotovi ustrezno raven varnosti osebnih podatkov glede na tveganje (glej zlasti 32. člen Splošne uredbe).

Upoštevaje zgoraj navedeno je posredovanje osebnih podatkov, ki jih hrani upravljavec (v obravnavanem primeru vi kot upravna enota),  ne glede na to, ali je subjekt, ki zahteva posredovanje osebnih podatkov pravna oseba iz Slovenije ali tujine, v kolikor drug zakon, mednarodna pogodba ali drug specialnejši predpis ne določa drugače, dopustno le, če sta kumulativno izpolnjena dva pogoja:

1) Prosilec za osebne podatke zaprosi s formalno popolno zahtevo, ki vsebuje vse predpisane sestavine iz prvega odstavka 41. člena ZVOP-2 in v zahtevi navede ustrezno pravno podlago za posredovanje podatkov ter utemelji, zakaj podatke potrebuje.                                           

2) Upravljavec presodi, da bi bilo posredovanje osebnih podatkov zakonito (zanj obstaja ustrezna pravna podlaga) ter potrebno in primerno za doseg namena pridobitve. V konkretnem primeru skladno z določbami specialnih zakonov je pravno podlago potrebno iskati:

-       za podatke iz CRP zgolj v zakonu ali osebni pisni privolitvi posameznika;

-       za podatke iz registra stalnega prebivalstva zgolj v zakonu, mednarodni pogodbi ali osebni pisni privolitvi posameznika.

Pravna podlaga, da zadostuje kriterijem dopustne obdelave osebnih podatkov mora biti ustrezno konkretizirana, kajti le ustrezno konkretizirana navedba pravne podlage iz katere izhaja namen obdelave osebnih podatkov sploh omogoča presojo, če so izpolnjeni pogoji za obdelavo konkretnih osebnih podatkov (vključno z načelom najmanjšega obsega podatkov in omejitvijo namena obdelave s členov 5(b) in (c) Splošne uredbe). Splošno sklicevanje na pravne akte oz. zgolj dokazilo, da se zoper državljana RS v tuji državi vodi konkretni prekrškovni postopek, ne zadošča za konkretno opredeljeno pravno podlago za obdelavo osebnih podatkov.                                                                                                                       

Glede vodenja konkretnih postopkov, IP še poudarja, da se lahko glede obstoja pravne podlage obrnete tudi na vlagatelja zahteve, da le ta svojo zahtevo dopolni (glej 66. in 67. člen ZUP) oz. se primarno obrnete na Ministrstvo za pravosodje, če obstajajo specialnejša pravila oz. postopek, kako, preko koga ter v kakšnem obsegu smete glede na obstoječ pravni okvir (ZVOP-2 v povezavi s specialnimi predpisi) osebne podatke posredovati tujemu organu.                                                                            

IP v zvezi z obstojem pravne podlage še enkrat poudarja, da ne more presojati, ali so tuji prekrškovni organi upravičeni pridobivati osebne podatke od slovenskih upravnih organov, niti to, do katerih osebnih podatkov bi bili lahko upravičeni in po kakšnem postopku. Vsi upravljavci, tudi tuji organi, morajo biti sposobni izkazati ustrezno pravno podlago, na podlagi katere zahtevajo osebne podatke. Osebne podatke posredujte izključno, če ste prepričani v zakonitost zahtevane obdelave osebnih podatkov.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil:

Grega Rudolf,

asistent svetovalca pri IP          

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

[1] Uradni list RS, št. 72/06 – uradno prečiščeno besedilo in 3/22 – ZDeb                                                                           

[2] Uradni list RS, št. 52/16, 36/21 in 3/22 – ZDeb