Pridobivanje osebnih podatkov iz CRP za namen izvajanja projekta e-oskrba

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede pridobivanja osebnih podatkov iz CRP s strani občin za namen izvajanja projekta e-oskrba.  

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. 

Občina društvu ne sme posredovati osebnih podatkov posameznikov (zgolj) za izvajanje aktivnosti ali projektov društva, ampak šele, ko gre za projekt oziroma aktivnost, ki jo v okviru izvajanja svojih nalog "pospeševanja službe socialnega skrbstva, za predšolsko varstvo, osnovno varstvo otroka in družine, za socialno ogrožene, invalide in ostarele" pri društvu "naroči" občina. 

Pri obsegu posredovanih osebnih podatkov je treba upoštevati načelo najmanjšega obsega podatkov.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. 

IP načeloma pritrjuje stališču, ki ste ga predstavili v vašem zaprosilu za mnenje in poudarja, da je že večkrat podal stališče, da občina društvu ne sme posredovati osebnih podatkov posameznikov (zgolj) za izvajanje aktivnosti ali projektov društva, ampak šele, ko gre za projekt oziroma aktivnost, ki jo v okviru izvajanja svojih nalog "pospeševanja službe socialnega skrbstva, za predšolsko varstvo, osnovno varstvo otroka in družine, za socialno ogrožene, invalide in ostarele" (šesta alineja drugega odstavka 21. člena Zakona o lokalni samoupravi) pri društvu "naroči" občina. V tem primeru morata občina in društvo svoj odnos tudi pogodbeno urediti, kot to določa 28. člen Splošne uredbe.

Posredujemo vam povezavo na vsebino nekaterih neobvezujočih mnenj, objavljenih na spletni strani IP:

·         Pridobitev osebnih podatkov upokojencev, št. 0712-1/2019/278 z dne 12. 2. 2019: https://www.https://www.ip-rs.si/mnenja-gdpr/60489fb8dc81d

·         Posredovanje podatkov društvu o številu oseb, št. 0712-1/2015/1219 z dne 6. 5. 2015: https://www.ip-rs.si/mnenja-zvop/posredovanje-podatkov-dru%C5%A1tvu-o-%C5%A1tevilu-oseb

·         Pridobitev osebnih podatkov od občine, št. 0712-1/2015/923 z dne 30. 3. 2015: https://www.ip-rs.si/mnenja-zvop/pridobitev-osebnih-podatkov-od-ob%C4%8Dine

IP z vidika obdelave osebnih podatkov ne vidi bistvenih razlik, če gre v konkretnem primeru za izvajanje projekta e-oskrba ali drugega podobnega projekta. 

IP, kot rečeno, v okviru neobvezujočega mnenja ne more presojati, ali bi bilo posredovanje v konkretnem primeru upravičeno oziroma ali zanj obstaja ustrezna pravna podlaga, poudarja pa, da mora vsekakor iti za projekt oziroma program, ki ga »naroči« občina, ne pa za samostojni projekt društva ali zveze društev (ne glede na njegovo financiranje). 

V kolikor bi bilo posredovanje upravičeno, je treba pri obsegu posredovanih osebnih podatkov upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je treba obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje konkretnega programa. Podatek o starosti se tako lahko posreduje le, če je nujen za izvrševanje konkretnega programa, poleg tega pa je tudi v tem primeru treba pretehtati, ali nemara za to ne bi zadostovala zgolj npr. letnica rojstva brez navedbe konkretnega datuma rojstva. 

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,                                                    

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka