Pridobivanje osebnih podatkov s strani sodišč

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede pridobivanja osebnih podatkov s strani sodišč. Pojasnjujete, da sodišča v zapuščinskih postopkih na predlog drugega dediča pribavljajo podatke o prometih na osebnih računih drugih dedičev, jih pošiljajo udeležencem in hranijo kot navadne sodne listine v spisu, brez soglasja osebe, na katero se taki podatki nanašajo. Podobno sodišča v družinskih zadevah po uradni dolžnosti brez predloga strank pribavljajo finančne podatke od FURS, podatke o kaznovanosti staršev, o premoženjskem stanju, podatke ZZZS o zaposlitvi, ki jih potem kot navadne listine evidentirajo in hranijo v spisu. Zanima vas, ali v takih primerih sodišče krši določbe zakona o varovanju podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP ni pristojen za nadzor dejanj obdelave sodišč, kadar delujejo kot sodni organ.

Sodišča so dolžna spoštovati pravila varstva osebnih podatkov po Splošni uredbi in ZVOP-2, kar med drugim pomeni, da morajo imeti za vsakršno obdelavo osebnih podatkov ustrezno in zakonito pravno podlago, upoštevati vsa načela v zvezi z obdelavo osebnih podatkov ter zagotoviti ustrezno zavarovanje osebnih podatkov.

Sodišče je tisto, ki presoja, kateri podatki so potrebni za odločitev v konkretnem postopku, ter nosi odgovornost za zakonito obdelavo.

O b r a z l o ž i t e v:

IP uvodoma opozarja, da skladno s tretjim odstavkom 55. člena Splošne uredbe ni pristojen za nadzor dejanj obdelave sodišč, kadar delujejo kot sodni organ. Že iz 20. in 122. uvodne izjave Splošne uredbe izhaja, da pristojnost nadzornih organov ne bi smela obsegati obdelave osebnih podatkov, kadar sodišča delujejo kot sodni organ, da se zaščiti neodvisnost sodstva pri opravljanju sodnih nalog, vključno z odločanjem, ter da bi moral biti vsak nadzorni organ na ozemlju svoje države članice pristojen za izvajanje pooblastil in opravljanje nalog, ki so mu bile podeljene v skladu s Splošno uredbo. Tudi ZVOP-2 v prvem odstavku 57. člena določa, da nadzorne osebe niso pristojne za nadzor in izrekanje sankcij glede obdelav osebnih podatkov, izvršenih v okviru izvajanja zadeve sodišča iz 6. točke drugega odstavka 5. člena tega zakona, ali s tem povezanega odločanja strokovnih sodelavcev ali sodniških pomočnikov po odredbi sodišča, kot to opredeljuje zakon, ki ureja sodišča, ali po določbah drugih zakonov, ki določajo njihovo samostojno delovanje.

Iz vaših navedb izhaja, da prosite za mnenje, ki se nanaša na obdelavo osebnih podatkov sodišč, kadar delujejo kot sodni organi, za nadzor katere IP ni pristojen. Pojasnjuje pa, da morajo tudi sodišča spoštovati pravila varstva osebnih podatkov po Splošni uredbi in ZVOP-2, kar med drugim pomeni, da morajo imeti za vsakršno obdelavo osebnih podatkov ustrezno in zakonito pravno podlago, upoštevati vsa načela v zvezi z obdelavo osebnih podatkov ter zagotoviti ustrezno zavarovanje osebnih podatkov.

IP dodaja, da je za zakonitost obdelave dovolj, da je izpolnjena ena od pravnih podlag, ki jih določa Splošna uredba v 6. in 9. členu (prvi odstavek 6. člena ZVOP-2). To pomeni, da če sodišče osebne podatke obdeluje na podlagi zakonske obveznosti (na primer skladno z Zakonom o dedovanju, Zakonom o nepravdnem postopku, Zakonom o pravdnem postopku ipd.), za te podatke privolitev ni dolžan pridobivati. 10. člen ZPP denimo izrecno določa, da so državni organi, organi lokalnih skupnosti, nosilci javnih pooblastil ter druge osebe in organizacije, ki razpolagajo s podatki, potrebnimi za odločitev, dolžni, ne glede na določbe o varstvu osebnih in drugih podatkov, na zahtevo sodišča brezplačno posredovati zahtevane podatke. Osebni podatki pa morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (načelo najmanjšega obsega podatkov iz točke (c) prvega odstavka 5. člena Splošne uredbe). Sodišče pa je tisto, ki presoja, kateri podatki so potrebni za odločitev v konkretnem postopku, ter nosi tudi odgovornost za zakonito obdelavo.

Več informacij o dolžnostih upravljavcev je dostopnih na spletnih straneh IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/ in https://upravljavec.si/.

IP je v preteklosti že odgovarjal na podobna vprašanja, na primer v mnenju »Razkrivanje osebnih podatkov v povezavi z zapuščinskimi, inšpekcijskimi oziroma drugimi postopki«, št. 07121-1/2022/1087 z dne 13. 10. 2022, ki je dostopno na https://www.ip-rs.si/mnenja-gdpr/.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka