Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 16.11.2017
Naslov: Osebni podatki donatorjev
Številka: 0712-1/2017/2237
Vsebina: Mediji, fotografije kot OP, Razno
Pravni akt: Mnenje

Spoštovani,

 

Informacijski pooblaščenec (v nadaljnjem besedilu IP) je 9. 11. 2017 prejel vaše zaprosilo za mnenje glede objave osebnih podatkov donatorjev. V dopisu ste navedli, da je bolnišnica skozi celo leto zbirala denarna sredstva za izgradnjo urgentnega centra. Ker so sredstva sedaj zbrana, želite v lokalnih medijih (časopisu) objaviti imena in priimke vseh fizičnih oseb in nazive ter naslove vseh pravnih oseb, ki so sredstva donirali. Zanima vas, ali je to združljivo z varstvom osebnih podatkov in lahko sami objavite imena donatorjev in znesek njihove donacije oz. ali lahko to storite samo ob njihovem soglasju?

 

V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007 – uradno prečiščeno besedilo; v nadaljnjem besedilu ZVOP-1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/2005 in 51/2007-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Fizične osebe pri razkritju njihovih osebnih podatkov (kamor lahko uvrstimo tudi podatek o tem, ali sploh so donatorji in podatek o tem, koliko svojih sredstev so v obliki donacije namenili organu), varuje zakonodaja s področja varstva osebnih podatkov.

 

Osebni podatki se lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (prvi odstavek 8. člena ZVOP-1).

 

Pravno podlago za obdelavo osebnih podatkov v javnem sektorju, kamor uvrščamo tudi bolnišnice, ureja ZVOP-1 v določbah člena 9.

 

Objava osebnih podatkov donatorjev je dopustna le ob njihovi predhodni privolitvi.

 

Splošna pravna podlaga za obdelavo osebnih podatkov je določena v 8. členu ZVOP-1, ki določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.

 

Za obdelavo osebnih podatkov po ZVOP–1 je treba imeti ustrezno podlago. ZVOP–1 razlikuje pravne podlage glede na to, ali gre za obdelavo osebnih podatkov v javnem sektorju (9. člen ZVOP–1) ali zasebnem sektorju (10. člen ZVOP–1). Ker je bolnišnica javni zavod in torej del javnega sektorja po ZVOP–1 (22. točka 6. člena ZVOP–1 ), to praviloma pomeni, da mora imeti za zbiranje oziroma obdelavo katerihkoli osebnih podatkov izrecno podlago v zakonu, z zakonom pa se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika (prvi odstavek 9. člena ZVOP–1).

 

V nadaljnjih odstavkih 9. člena ZVOP–1 so predvidene izjeme od tega splošnega pravila o nujnosti določitve obdelave z zakonom. Na podlagi drugega odstavka 9. člena ZVOP-1 lahko nosilci javnih pooblastil obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil; zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil. Tretji odstavek določa, da se ne glede na prvi odstavek tega člena lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Na podlagi četrtega odstavka navedenega člena pa se lahko ne glede na prvi odstavek tega člena v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

 

Razkritje osebnih podatkov donatorjev predstavlja obdelavo osebnih podatkov, zato je za presojo dopustnosti treba upoštevati zakonske podlage iz 8. in 9. člena ZVOP-1. Kot pravno podlago lahko štejemo torej področne predpise ali sam ZVOP-1 oziroma osebno privolitev. Skladno z 9. členom ZVOP-1 bi bila objava donatorjev dopustna na podlagi zakona, pri čemer IP ni poznan zakon, ki bi bolnišnicam ali drugim omogočal javno objavo osebnih podatkov donatorjev, ali v primerih, ko javni sektor izvaja neoblastne naloge, na podlagi osebne privolitve.

 

Privolitev za obdelavo osebnih podatkov je načeloma pisna. Namen pisne privolitve je predvsem v tem, da se posameznik, ki privoli v obdelavo svojih osebnih podatkov, seznani z nameni njihove obdelave.

 

Ob zaključku IP izpostavlja še, da Splošna Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), ki bo s 25. 5. 2018 »nasledila« ZVOP-1, vsebuje določbe o obdelavi osebnih podatkov v II. poglavju, v skladu s katerimi je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od določenih pogojev, med katerimi so tudi:

  • posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov (a);
  • obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca (c);
  • obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu (e);
  • obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok (f).

Države članice lahko ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e), tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za posebne primere obdelave iz poglavja IX (drugi odstavek 6. člena Splošne uredbe o varstvu podatkov). Tretji odstavek 6. člena Splošne uredbe o varstvu podatkov nadalje določa:

»Podlaga za obdelavo iz točk (c) in (e) odstavka 1 je določena v skladu s:

  1. pravom Unije; ali
  2. pravom države članice, ki velja za upravljavca.«.

 

Tudi v bodoče tako verjetno ni pričakovati bistvenih sprememb v delu, ki se nanaša na vaše vprašanje, dokončno pa lahko odgovor na to vprašanje podamo šele, ko bo sprejet nov zakon o varstvu osebnih podatkov.

 

V upanju, da ste dobili odgovor na svoja vprašanja, vas lepo pozdravljamo.

 

Pripravila:

Karolina Kušević, univ. dipl. prav.

asistentka svetovalca pri IP

 

Informacijski pooblaščenec:

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka