Razrešitev poklicne skrivnosti pri delovanju CSD in privolitev posameznika

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da centri za socialno delo (v nadaljevanju CSD) v okviru socialnovarstvenih storitev, vodenih skladno z določili Zakona o socialnem varstvu (v nadaljevanju ZSV), med drugim obdelujejo tudi podatke o materialnih in socialnih stiskah posameznika in o vzrokih, okoliščinah in posledicah tega stanja. Razkrivanje teh podatkov varuje dolžnost varovanja poklicne skrivnosti. Pojasnjujete, da CSD-ji v praksi te podatke z namenom sodelovanja z zunanjimi institucijam na različnih področjih posredujejo tem institucijam, seveda pod pogojem, da pred posredovanjem pridobijo pisno soglasje za posredovanje s strani prizadetih posameznikov (kadar so mld. pa s strani njihovih staršev ali skrbnikov). Sprašujete nas, kako je z razrešitvijo dolžnosti varovanja poklicne dolžnosti in ali bi to lahko šteli kot privolitev posameznika za obdelavo njegovih osebnih podatkov po določbah ZVOP-2 in Splošne uredbe. Sprašujete še, kako je z vlogo sodišča pri razrešitvi varovanja poklicne skrivnosti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Razrešitev dolžnosti varovanja poklicne skrivnosti kot tudi sama privolitev v obdelavo osebnih podatkov v javnem sektorju sta izjemni možnosti, ki ju je treba razlagati ozko in ne dopuščata možnosti sistematičnih izmenjav osebnih podatkov. Kadar institucije izvajajo svoje običajne, zakonsko regulirane pristojnosti in naloge, mora biti namreč obdelava osebnih podatkov urejena v zakonu z namenom izvajanja zakonskih pristojnosti in nalog. V primeru razrešitve dolžnosti varovanja poklicne skrivnosti obstajajo določeni izzivi (na primer glede privolitvene sposobnosti mladoletnega otroka; absolutne dolžnosti varovanja koristi ter pravic in interesov otroka), ki jih IP naslavlja v tem mnenju.

Sama zahteva za posredovanje osebnih podatkov pa mora biti podana v pisni obliki  in vsebovati nujno vsebino, ki jo določa prvi odstavek 41. člena ZVOP-2. 

O b r a z l o ž i t e v:

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Ob tem moramo omeniti, da so vaša vprašanja podana na splošno, vendar se očitno navezujejo na nek konkreten primer ali primere, zato vam odgovarjamo le na splošno, v primeru, da nam niso poznane kakšne bistvene okoliščine, pa je potrebno brati odgovore IP s tovrstnim zavedanjem in jih ne napačno prenesti na okoliščine konkretnega primera.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

• privolitev (točka a)),
• sklenitev ali izvajanje pogodbe (točka b)),
• zakon (točka c)),
• zaščita življenjskih interesov posameznika (točka d)),
• izvajanje javne naloge (točka e) v zvezi s četrtim odstavkom 6. člena ZVOP-2),
• zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka f)).

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.

CSD, sodišče in na splošno vsi upravljavci osebnih podatkov morajo imeti torej za obdelavo osebnih podatkov ustrezno pravno podlago. IP meni, da kadar CSD opravlja naloge, ki mu jih nalaga zakon kot javna pooblastila in naloge, ki mu jih nalagajo drugi predpisi (49. člen ZSV), osebne podatke obdeluje na podlagi teh področnih predpisov (točka (c) oziroma (e) prvega odstavka 6. člena Splošne uredbe).

Tudi sodelovanje CSD-jev z institucijami urejajo področni predpisi, ki določajo tudi obveznost posredovanja osebnih podatkov za namene izvrševanja pristojnosti tako CSD-jev kot tudi drugih institucij, ki za izvajanje svojih javnih nalog potrebujejo osebne podatke, ki jih obdeluje CSD. Takšnih področnih predpisov je več na mnogih segmentih delovanja države, od zdravstvenega zavarovanja do sodnih in drugih pravnih postopkov. Za vsako tovrstno obdelavo osebnih podatkov je potrebna izrecna, zakonita pravna podlaga, ki mora biti vsakokrat izkazana.

Navedeno obdelavo osebnih podatkov zaradi izvajanja pristojnosti in nalog, ki so urejene v zakonu, pa moramo ločiti od obdelave v smislu četrtega odstavka 93. člena ZSV, ki določa možnost razrešitve dolžnosti varovanja poklicne skrivnosti v določenih primerih. Slednje gre jemati kot izjemno možnost in ne možnost, ki bi se nanašala na splošno izvajanje zakonsko določenih pristojnosti in nalog CSD.

Četrti odstavek 93. člena ZSV določa, da se podatki o »materialnih in socialnih stiskah posameznika in o vzrokih, okoliščinah in posledicah tega stanja« ne smejo dajati drugim osebam oziroma javnosti in tudi ne objavljati na način, ki bi omogočal razkriti posameznika, na katerega se nanašajo. Dolžnost varovanja poklicne skrivnosti lahko strokovnega delavca ali sodelavca, razreši prizadeta oseba sama ali sodišče, za mladoletne osebe in za osebe pod skrbništvom pa starši oziroma skrbniki.

Na vaše vprašanje, ali je vsakič, ko sodišče zahteva podatke od CSD, podana razrešitev dolžnosti varovanja poklicne skrivnosti, torej odgovarjamo, da vsekakor ne. Kadar sodišče zahteva podatke od CSD, gre v pretežni meri za izvrševanje pristojnosti obeh omenjenih institucij in ne za zahtevo za dajanje podatkov drugim osebam oziroma javnosti.

Omenjeno situacijo dajanja podatkov »drugim osebam oziroma javnosti« ter objavljanja podatkov posameznika je razumeti izjemno ozko, torej vsekakor kadar presega običajno, regulirano delovanje CSD-ja, kadar ta opravlja svoje storitve socialnega varstva posameznikov oziroma druge z zakonom predpisane pristojnosti in naloge. Najbolj očiten primer takšnega posredovanja podatkov bi bilo razkrivanje podatkov javnosti, zaradi namena obveščanja javnosti, torej v izjemnih primerih, v katerih se ne poseže v pravice in interese posameznika, ob pogoju podane razrešitve dolžnosti varovanja poklicne skrivnosti. Drug primer bi bil, kadar bi CSD deloval izven okvirov svojih dejanskih pristojnosti (vendar še vedno zakonito), denimo da bi si starši otroka želeli vključiti v program sodelovanja z zunanjim ponudnikom (letovanja, drugih izvenšolskih dejavnosti, če to ne bi štelo za izvajanje nalog CSD). Pri tem je treba že na osnovni ravni absolutno zagotavljati, da pravice posameznika (uporabnika socialno-varstvenih storitev) niso v ničemer ogrožene.

V takšnih izjemnih primerih bi bilo možnost razrešitve dolžnosti varovanja poklicne dolžnosti lahko povezati z možnostjo privolitve posameznika v obdelavo osebnih podatkov v smislu tretjega odstavka 6. člena ZVOP-2 (ki mimogrede velja tudi za primere, ko ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja) ter točke (a) prvega odstavka 6. člena Splošne uredbe. Vendar je treba na tem mestu opozoriti, da so pogoji za podajo veljavne privolitve po Splošni uredbi izjemno strogi – privolitev napreč pomeni »prostovoljno, konkretno, informirano in nedvoumno ravnanje v obliki izjave ali jasnega pritrdilnega dejanja«. Glede informiranosti posameznika pred podano privolitvijo opozarjamo na 13. člen Splošne uredbe, ki določa, o čem mora biti posameznik pred obdelavo svojih osebnih podatkov obvezno obveščen (predvsem na primer o namenu obdelave ter pravni podlagi).

Pri tem se posebej v smislu mladoletnih postavlja vprašanje privolitvene sposobnosti, ki v Sloveniji načeloma ni vezana na določeno starost, temveč na zmožnost razumevanja posledic, razen kadar gre za storitve informacijske družbe. V določenih primerih se bo namreč zaradi privolitvene sposobnosti mladoletnega otroka postavilo vprašanje, ali lahko takšno privolitev namesto njega sploh podajo starši. Nadalje je vprašanje tudi, kateri od staršev (posebej v primeru razveze) lahko poda privolitev oziroma ali jo morata podati starša sporazumno. Na tem mestu IP ugotavlja, da določba četrtega odstavka 93. člena ZSV, da lahko za mladoletne osebe podajo razrešitev obveznosti varovanja poklicne skrivnosti starši, ni povsem skladna s konceptom privolitve v obdelavo osebnih podatkov mladoletnih otrok po Splošni uredbi, lahko pa da je zakonodajalec to predvidel kot specialnejšo ureditev, o čemer pa IP žal ne more soditi v mnenju.

V zvezi z vašim vprašanjem o obliki, v kateri naj bo podana razrešitev dolžnosti varovanja poklicne skrivnosti, pa odgovarjamo, da takšna oblika v ZSV sicer ni predpisana. Kadar pa gre za zahtevo za posredovanje osebnih podatkov (poklicna skrivnost je namreč lahko širši pojem), ZVOP-2 v 41. členu natančno določa postopek, vključno z vsebino zahteve za posredovanje osebnih podatkov. Takšna zahteva mora biti vsekakor podana v pisni obliki, zajemati pa mora tudi druge obvezne podatke, ki jih opredeljuje prvi odstavek 41. člena ZVOP-2.

Za konec še ponovno poudarjamo, da sta tako razrešitev dolžnosti varovanja poklicne skrivnosti kot tudi sama privolitev v obdelavo osebnih podatkov v javnem sektorju izjemni možnosti, ki ju je treba razlagati ozko in ne dopuščata možnosti sistematičnih izmenjav osebnih podatkov, ki bi se jih dalo na tak način urediti. V primerih namreč, kadar gre za običajno, regulirano izvajanje pristojnosti javnega sektorja, mora biti obdelava osebnih podatkov urejena v zakonu z namenom izvajanja zakonskih pristojnosti in nalog.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov