Enoten obračun storitev javnih podjetij
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 11.09.2016Številka: 0712-1/2016/1793
Kategorije: Občine, Pogodbena obdelava OP, Razno Informacijski pooblaščenec (v nadaljevanju IP) je prejel vase zaprosilo za mnenje v zvezi z morebitnimi omejitvami obdelave osebnih podatkov v primeru pogodbenega odnosa dveh javnih komunalnih podjetij v 100 % javni lasti, katerih temeljna dejavnost je izvajanje obveznih storitev lokalnih gospodarskih služb v občinah soustanoviteljicah in drugih občinah. Navajate, da na območju ene občine javno službo oskrbe s pitno vodo in odvajanja ter čiščenja komunalne in padavinske odpadne vode izvaja Javno komunalno podjetje Grosuplje d.o.o., drugo javno komunalno podjetje pa opravlja javno službo zbiranja, prevoza in obdelave komunalnih odpadkov. Tako občani za opravljene storitve dveh različnih javnih komunalnih podjetij prejemajo dve različni položnici. Vsi zainteresirani (komunalni podjetji in občina) bi želeli, da bi občani prejemali enotno položnico, kar bi bilo tako stroškovno učinkoviteje kot tudi uporabniku prijazneje. V tem primeru bi moral izvajalec ene javne službe posredovati osebne podatke uporabnikov (ime, priimek, naslov, tehnične podatke za oblikovanje cene storitev) drugemu izvajalcu javne službe, ki bi v njegovem imenu vršil obračun in izterjavo. Zanima vas, ali bi v opisanem primeru šlo za nedovoljeno obdelavo osebnih podatkov glede na določbe Zakona o varstvu osebnih podatkov.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju, na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/2005 in 51/2007–ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.Izvajalec ene javne službe lahko v imenu in za račun izvajalca druge javne službe vrši obračun in izterjavo plačil storitev le tistim posameznikom, ki so v to izrecno (pisno) privolili oziroma kot pogodbeni obdelovalec na podlagi 11. člena ZVOP-1, če je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena ZVOP-1. Izvajalca javnih služb morata pred tem v skladu z drugim odstavkom 11. člena ZVOP-1 urediti medsebojne pravice in obveznosti s pogodbo v pisni obliki, iz katere morajo biti jasno razvidna pooblastila pogodbenemu obdelovalcu v zvezi z obdelavo osebnih podatkov in namenom njihove obdelave ter mora vsebovati dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. V skladu s 23. točko 6. člena ZVOP-1 pravne in fizične osebe, ki opravljajo dejavnost po zakonu, ki ureja gospodarske družbe ali gospodarske javne službe ali obrt predstavljajo zasebni sektor. To so javni gospodarski zavodi, javna podjetja in gospodarske družbe, ne glede na delež oziroma vpliv države, samoupravne lokalne skupnosti ali samoupravne narodne skupnosti. Na tej podlagi gre najprej ugotoviti, da sta javni komunalni podjetji pravni osebi zasebnega sektorja, zato je treba dopustnost obdelave osebnih podatkov presojati z vidika 10. člena ZVOP-1, ki predstavlja pravno podlago za obdelavo osebnih podatkov v zasebnem sektorju.Osebni podatki se v zasebnem sektorju lahko obdelujejo, če obdelavo podatkov in osebne podatke, ki se obdelujejo, določa zakon ali je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Poleg tega se v zasebnem sektorju lahko obdelujejo osebni podatki posameznikov, ki so z njim sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev ali izpolnjevanje pogodbe. Osebni podatki se v zasebnem sektorju lahko obdelujejo tudi kadar je njihova obdelava nujna zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Dejavnosti, ki jih opravljajo gospodarske javne službe v posamični občini, in način njihovega opravljanja so določene kot obvezne lokalne gospodarske javne službe z zakonom ali kot lokalne javne službe z občinskim aktom, ki podrobneje ureja način opravljanja posamezne ali več javnih služb oz. podrobneje določi elemente iz 7. člena Zakona o gospodarskih javnih službah (Uradni list RS, št. 32/93 s spremembami). Dejavnosti, ki jih navajate v svojem vprašanju in načini njihovega opravljanja v okviru gospodarskih javnih služb so v konkretnem primeru, na območju Občine Grosuplje, urejene z naslednjimi občinskimi akti, v katerih je med drugim določeno tudi katere osebne podatke izvajalec posamične dejavnosti (lahko) vodi v evidencah oz. zbirkah podatkov uporabnikov dejavnosti, ki jo izvaja, z namenom oblikovanja cen, obračuna in izterjave plačil storitev oz. je določeno, na kakšen način te podatke lahko pridobiva ter obdeluje:¾ javno službo oskrbe s pitno vodo ureja Odlok o oskrbi s pitno vodo na območju Občine Grosuplje (Uradni list RS, št. 111/2013), v katerem so zbirke osebnih podatkov uporabnikov pitne vode za potrebe poslovanja izvajalca javne službe, zlasti za potrebe zaračunavanja storitev in izterjave plačila storitev določene v okviru 30. – 32. člena IX. poglavja, ki ureja evidence uporabnikov,¾ gospodarsko javno službo odvajanja in čiščenja komunalne in padavinske odpadne vode ureja Odlok o odvajanju in čiščenju komunalne in padavinske odpadne vode na območju Občine Grosuplje (Uradni list RS, št. 52/2013), ki zbirke podatkov uporabnikov odvajanja in čiščenja komunalne in padavinske odpadne vode za namen zaračunavanja storitev in izterjave plačila storitev ureja v 35. členu,¾ gospodarsko javno službo zbiranja, prevoza in obdelave komunalnih odpadkov ureja Odlok o ravnanju s komunalnimi odpadki ter drugimi vrstami odpadkov iz gospodinjstev na območju občine Grosuplje (Uradni list RS, št. 111/2013), ki zbirke podatkov uporabnikov storitev ravnanja s komunalnimi odpadki in zavezancev za plačilo za potrebe obračuna ter izterjave plačila storitev določa v 33. – 34. členu.Zgoraj navedene pravne podlage določajo, katere (osebne) podatke uporabnikov (lahko) obdeluje izvajalec posamične dejavnosti (izvajalec oskrbe s pitno vodo oz. odvajanja in čiščenja komunalne in padavinske odpadne vode oz. ravnanja s komunalnimi odpadki) za namen oblikovanja cen, obračunavanja in izterjave plačil storitev. Pravne podlage kot tudi sama vsebina zbirk tako narekujejo ločene evidence oz. zbirke (osebnih) podatkov uporabnikov po vrstah dejavnosti v izvajanju javnih služb ne glede na število različnih izvajalcev javnih služb v določenem območju.Poleg tega posamezni uporabniki prostovoljno podajo pobudo za izdajo soglasja za priključitev k izvajanju storitev posamičnih dejavnosti javnih služb, s čimer je povezano zbiranje osebnih podatkov, in ne večih (ali vseh) dejavnosti hkrati. Za vsako dejavnost (npr. za oskrbo s pitno vodo oz. odvajanje in čiščenje komunalne in padavinske odpadne vode oz. ravnanje s komunalnimi odpadki ipd.) torej z izvajalcem javne službe sklenejo posamičen dogovor oz. pogodbo, s katero izvajalcu javne službe med drugim podajo privolitev za obdelavo osebnih podatkov za namen zaračunavanja storitev in izterjave plačila storitev točno določene dejavnosti, ki je predmet dogovora oz. pogodbe. Za obračun storitev več dejavnosti skupaj in izterjavo njihovega skupnega plačila (oz. izstavitev t.i. enotne položnice) bi tako izvajalec javne službe potreboval izrecno (pisno) privolitev posameznega uporabnika. Ni nepomembno, da bi enotna položnica za socialno šibkejše uporabnike lahko pomenila težje breme naenkrat. Osebni podatki uporabnikov, ki jih izvajalci javnih služb obdelujejo, morajo biti v skladu z načelom sorazmernosti, ki ga ureja 3. člen ZVOP-1, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Poleg tega v skladu s 16. členom ZVOP-1 osebne podatke uporabnikov lahko zbirajo le za določene in zakonite namene ter jih ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače.Po določbah prvega odstavka 11. člena ZVOP-1 pa lahko izvajalec javne službe kot upravljavec osebnih podatkov uporabnikov posamičnih dejavnosti, ki jih izvaja, posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz 24. člena tega zakona. Za pogodbenega obdelovalca se po določbah 7. točke 6. člena ZVOP-1 šteje fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov. V drugem odstavku 11. člena ZVOP-1 je določeno, da sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz 24. člena ZVOP-1. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz 24. člena ZVOP-1. Ob upoštevanju zgoraj pojasnjenih določb 11. člena ZVOP-1, ki se nanašajo na pogodbeno obdelavo osebnih podatkov, bi v vašem konkretnem primeru izvajalec ene javne službe lahko posredoval osebne podatke uporabnikov (ime, priimek, naslov, tehnične podatke za oblikovanje cene storitev) drugemu izvajalcu javne službe, da bi v njegovem imenu in za njegov račun vršil obračun in izterjavo plačil storitev, samo ob predhodni izpolnitvi vseh pogojev iz 11. člena ZVOP-1:¾ pogodbeni obdelovalec mora biti registriran za opravljanje opravil oz. dejavnosti, ki se mu poverijo s pogodbo,¾ pooblastila pogodbenemu obdelovalcu glede opravljanja posameznih opravil v zvezi z obdelavo osebnih podatkov morajo biti v pogodbi jasno določena, saj sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov le v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen,¾ pogodbeni obdelovalec mora zagotavljati ustrezne postopke in ukrepe iz 24. člena ZVOP-1, kar pomeni, da mora zagotavljati ustrezne organizacijske, tehnične in logistično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno obdelavo osebnih podatkov,¾ pogodba, v kateri so navedena pooblastila pogodbenemu obdelovalcu ter medsebojne pravice in obveznosti, mora biti obvezno sklenjena v pisni obliki in mora obvezno vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, upravljavec osebnih podatkov pa mora izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov tudi nadzorovati.Seveda pogodbeni obdelovalec zbirke osebnih podatkov uporabnikov, ki bi mu jo v skladu z 11. členom ZVOP-1 s pogodbo zaupal upravljavec osebnih podatkov zgolj za namen obračunavanja in izterjave plačil storitev v njegovem imenu in za njegov račun, ne bi smel združiti s svojo zbirko osebnih podatkov uporabnikov, četudi bi hipotetično bilo možno, da so uporabniki dejavnosti, ki jo izvaja sam deloma ali povsem enaki uporabnikom dejavnosti, ki jo izvaja upravljavec osebnih podatkov, s katerim bi sklenil pogodbo o obdelavi osebnih podatkov. IP ne ve, kaj natanko ste imeli v mislih s t.i. enotno položnico, opozarja pa, da bi pogodbeni obdelovalec opravljene storitve dejavnosti, ki jih uporabnikom obračunava v svojem imenu in za svoj račun, moral fizično ločiti od obračuna dejavnosti, ki bi ga izvajal v imenu in za račun upravljavca osebnih podatkov po pogodbi iz 11. člena ZVOP-1, tudi s fizično ločenima položnicama, ki pa bi se lahko nahajali v okviru ene poštne pošiljke istemu uporabniku. Lep pozdrav,
Mojca Prelesnik, univ. dipl. prav.,
informacijska pooblaščenka
Pripravila:
Petra Ratajec
državna nadzornica za varstvo
osebnih podatkov