Razkrivanje in obdelava osebnih podatkov znotraj zveze društev
+ -Številka: 07121-1/2023/705
Kategorije: Društva, Pravne podlage
Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem navajate, da ste od zveze društev, ki se kot društvo financira s članskim prispevkom, katerega plačujete vsi člani in kateri se porablja za delovanje zveze, želeli pridobiti osebne podatke določene osebe, ker vas je zmotilo neko njeno dejanje. Kot navajate, ste hkrati tudi član Upravnega odbora zveze, kateri je drugi najvišji organ društva, takoj za Občnim zborom ter da nikakor ne morete pristati na tezo in odgovor, da gre za varstvo osebnih podatkov, kajti te podatke nikakor ne nameravate javno objaviti, ampak jih potrebujete za svoje delo in pogled na delovanje organizacije kateri pripadate in odločate do določene mere v skladu s pooblastili in konec koncev financirate njeno delovanje. IP zato prosite za mnenje, ali ste upravičeni do želenih podatkov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju: ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi vašim vprašanjem.
1. Članstvo v društvu ali članstvo v organih društva samo po sebi še ne pomeni, da je član društva ali član organa društva pooblaščen oziroma upravičen do pridobitve oziroma seznanitve z osebnimi podatki, ki jih društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti.
2. Dostop do osebnih podatkov in dokumentacije, ki se nanaša na člane in druge osebe, katerih osebne podatke društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti, je odvisen od nalog in s tem povezanih pravic in dolžnosti posameznih članov, organov in članov s funkcijami, kot so določene v pravilih oziroma aktih, ki urejajo delovanje društva ali zveze društev in je zato to predmet notranje organizacije v društvu ali v zvezi društev. Društvo in zveza društev morata zato v okviru skladnosti za varno obdelavo osebnih podatkov glede na naravo nalog posameznih članov ali organov v društvu ali v zvezi društev, v internih aktih oziroma pravilih sama določiti, kateri organi oziroma člani s funkcijami so odgovorni za posamezne zbirke osebnih podatkov in kateri člani, organi, oziroma člani s funkcijami imajo zaradi narave njihovega dela oziroma opravljanja njihovih nalog dostop določene dokumentacije društva ali zveze društev in določenih osebnih podatkov svojih članov in drugih oseb, katerih osebne podatke društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti posameznih obdelav osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega nadzornega ali drugega upravnega postopka. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje konkretnih osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je takšna obdelava osebnih podatkov zakonita.
IP še pojasnjuje, da je v zvezi z obdelavo osebnih podatkov v društvih izdal smernice »Društva in varstvo osebnih podatkov«, ki so objavljene na spletnih straneh IP, na naslovu: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/. Poleg smernic je IP v zvezi z obdelavo osebnih podatkov v društvih izdal tudi več mnenj, ki so skupaj z ostalimi mnenji IP objavljena na spletnih straneh IP, na naslovu: https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-mnenjih,
IP predlaga, da si pogledate zgoraj navedene smernice, v katerih je na 25. strani podan odgovor glede dostopa članov društva do zapisnikov sej organov društva in drugih informacij o delovanju društva, ter sledeča mnenja, v katerih boste našli odgovore na vaše vprašanje v zvezi z obdelavo osebnih podatkov v društvih in dostopom do osebnih podatkov in dokumentacije, ki se nanaša na člane in dejavnost društva:
· mnenje št. 07121-1/2021/2662 z dne 17. 1. 2022 o dostopu do osebnih podatkov članov znotraj društva, ki je objavljeno na naslovu: https://www.ip-rs.si/mnenja-gdpr/dostop-do-osebnih-podatkov-%C4%8Dlanov-znotraj-dru%C5%A1tva-1642667444
· mnenje št. 07121-1/2020/312 z dne 8. 3. 2020 o pravici člana, da se seznani z dokumentacijo društva, ki je objavljeno na naslovu: https://www.ip-rs.si/mnenja-gdpr/6048a4879ff07
· mnenje št. 0712-1/2018/622 z dne 14. 3. 2018, v katerem je na splošno pojasnjena obdelava osebnih podatkov v društvih in ki je objavljeno na naslovu: https://www.ip-rs.si/mnenja-zvop/splo%C5%A1no-glede-obdelave-osebnih-podatkov-v-dru%C5%A1tvih
Kot je IP zapisal v zgoraj navedenih smernicah in mnenjih, se obdelava osebnih podatkov v društvu šteje za zakonito, če se osebni podatki obdelujejo za namene zakonitega delovanja društva in je torej odvisna od nalog in dejavnosti, ki jih določajo pravila za delovanje društva, kar podobno velja tudi za obdelavo osebnih podatkov znotraj zveze društev.
Dostop do osebnih podatkov in dokumentacije, ki se nanaša na člane in druge osebe, katerih osebne podatke društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti, je odvisen od nalog in s tem povezanih pravic in dolžnosti posameznih članov, organov in članov s funkcijami, kot so določene v pravilih oziroma aktih, ki urejajo delovanje društva ali zveze društev in je zato to predmet notranje organizacije v društvu ali v zvezi društev. Društvo in zveza društev mora zato v okviru skladnosti za varno obdelavo osebnih podatkov glede na naravo nalog posameznih članov ali organov v društvu, v internih aktih oziroma pravilih samo določiti, kateri organi oziroma člani s funkcijami so odgovorni za posamezne zbirke osebnih podatkov in kateri člani, organi, oziroma člani s funkcijami imajo zaradi narave njihovega dela oziroma opravljanja njihovih nalog dostop določene dokumentacije društva in določenih osebnih podatkov članov in drugih oseb, katerih osebne podatke društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti.
Člani društva in člani zveze društev se z določenimi osebnimi podatki svojih članov in drugih oseb, katerih osebne podatke društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti, sicer lahko seznanijo tudi brez privolitve posameznikov, na katere se osebni podatki nanašajo, in sicer pod pogojem, da je to potrebno za informiranje članov v zvezi z delovanje društva oziroma da je takšna obdelava predpisana z zakonom ali s pravili delovanja društva ali zveze društev. Pravna podlaga za takšno seznanitev z osebnimi podatki je praviloma podana v (b) ali (f) točki prvega odstavka 6. člena Splošne uredbe, pri čemer je treba paziti, da se članom društva ali zveze društev razkrivajo le tisti osebni podatki, ki so potrebni za dosego namena, za katerega se jim dokumentacija oziroma osebni podatki razkrivajo (načelo najmanjšega obsega podatkov). Poleg tega je pri vsaki obdelavi osebnih podatkov, kamor se šteje tudi razkritje s posredovanjem, treba upoštevati tudi druga načela v zvezi z obdelavo osebnih podatkov iz 5. člena Splošne uredbe, med katerimi je treba opozoriti zlasti na načelo omejitve namena, po katerem so osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. Priporočljivo je torej, da društvo ali zveza društev v svojih aktih čim natančneje določi, katere osebne podatke članov in drugih oseb se bo obdelovalo in za kakšen namen ter na kakšen način se bodo člani seznanili z določenimi osebnimi podatki ostalih članov in drugih oseb, katerih osebne podatke društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti, kar velja tudi za seznanitev z ostalo dokumentacijo, ki se nanaša na delovanje društva ali zveze društev. Z vsebino teh aktov morajo biti na primeren način obveščeni vsi člani društva ali zveze društev.
Podobno velja tudi glede seznanitve in obdelave osebnih podatkov s strani članov organov društva ali zveze društev ter članov s funkcijami. Dostop do osebnih podatkov, ki jih društvo ali zveza društev obdeluje v okviru opravljanja svojih zakonitih dejavnosti in nadaljnja uporaba oziroma obdelava teh osebnih podatkov s strani članov organov društva ali zveze društev ter članov s funkcijami, je odvisen od njihovih nalog in pristojnosti, kot so določene v notranjih aktih in pravilih društva ali zveze društev To pomeni, da se jim dostop do osebnih podatkov in njihova nadaljnja uporaba ob upoštevanju načel obdelave osebnih podatkov lahko omogoči, če je tako določeno v notranjih aktih ali pravilih in če je to potrebno zaradi opravljanja njihovih nalog in pristojnosti, kot jih določa zakon ali notranji akti društva ali zveze društev.
Lep pozdrav,
Pripravil:
Jože Bogataj,
namestnik informacijske pooblaščenke
Mojca Prelesnik, univ. dipl. prav.,
informacijska pooblaščenka