Sum kršitve varstva osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede suma kršitve varstva osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec mora za vsako obdelavo osebnih podatkov zagotoviti zakonito in ustrezno pravno podlago.

V primeru posredovanja osebnih podatkov v zvezi z zdravjem gre za posredovanje posebne vrste osebnih podatkov, katerih obdelava je dovoljena le v skladu z določbami 9. člena Splošne uredbe.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP uvodoma splošno pojasnjuje, da mora upravljavec (v konkretnem primeru javni zavod) za vsako obdelavo osebnih podatkov zagotoviti zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:
a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Tudi v konkretnem primeru bi moral javni zavod za posredovanje osebnih podatkov vam zagotoviti ustrezno pravno podlago in v primeru njenega obstoja v skladu z načelom najmanjšega obsega podatkov posredovati le tiste osebne podatke, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave (v konkretnem primeru uvedba nadzora). Ob tem IP potrjuje, da gre v primeru posredovanja osebnih podatkov v zvezi z zdravjem za posredovanje posebne vrste osebnih podatkov, katerih obdelava je dovoljena le v skladu z določbami 9. člena Splošne uredbe.

IP vam svetuje, da pošiljatelja sporočila najprej opozorite na možno neustrezno ravnanje oziroma ga povprašate, na kateri pravni podlagi in za kakšen namen ste prejeli te osebne podatke. V kolikor to ne bo izkazano, IP vsekakor priporoča, da dokument nepovratno izbrišete in ga seveda ne razkrivate ali posredujete komurkoli.

Glede obveznosti prijave IP pojasnjuje, da obveznost prijave kršitve velja za upravljavca. Ta mora v skladu s prvim odstavkom 33. člena Splošne uredbe v primeru kršitve varstva osebnih podatkov brez nepotrebnega odlašanja, po možnosti pa najpozneje v 72 urah po seznanitvi s kršitvijo, o njej uradno obvestiti pristojni nadzorni organ (v RS je to IP) v skladu s členom 55, razen če ni verjetno, da bi bile s kršitvijo varstva osebnih podatkov ogrožene pravice in svoboščine posameznikov. V skladu s prvim odstavkom 34. člena mora, upravljavec, kadar je verjetno, da kršitev varstva osebnih podatkov povzroči veliko tveganje za pravice in svoboščine posameznikov, brez nepotrebnega odlašanja tudi sporočiti posamezniku, na katerega se nanašajo osebni podatki, da je prišlo do kršitve varstva osebnih podatkov. V obeh primerih je torej bistvena ocena ogroženosti pravic in svoboščin posameznikov.

IP pa vsekakor svetuje, da v kolikor boste na podlagi prejetih informacij s strani upravljavca (pošiljatelja elektronskega sporočila) presodili, da nezakonito obdeluje osebne podatke ali celo morda ugotovili več takšnih ravnanj, pri IP vložite prijavo kršitve varstva osebnih podatkov. To lahko storite po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana.

Priporočamo, da prijavo pošljete na ustreznem obrazcu.

IP glede na navedbe v vašem zaprosilu za mnenje meni, da vsekakor obstaja verjetnost, da je v konkretnem primeru prišlo do neustrezne obdelave osebnih podatkov. Ob tem pa IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti konkretnih obdelav osebnih podatkov, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera.

Lepo vas pozdravljamo.

Pripravil:
Matej Sironič,                                                   
Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,
Informacijska pooblaščenka