Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 03.02.2020
Naslov: Posredovanje osebnih podatkov za izvajanje sofinanciranih programov
Številka: 0712-1/2019/3029
Vsebina: Občine, Pogodbena obdelava podatkov, Pravne podlage
Pravni akt: Mnenje

Obrnili ste se na Informacijskega pooblaščenca RS (v nadaljevanju IP) s svojim zaprosilom za mnenje. Pojasnjujete, da ima v vsakoletnem proračunu Mestna občina Ptuj zagotovljena sredstva za sofinanciranje programov in projektov (Veseli december, Srečanje starejših občanov ipd., v nadaljevanju: programi), ki jih pripravljajo in izvajajo druge pravne osebe (javni zavodi, društva, četrtne skupnosti…). Navedene programe občina sofinancira v sklopu zadovoljevanja potreb svojih prebivalcev v skladu z 21. členom ZLS.

Iz vašega dopisa izhaja, da morajo izvajalci programov, za dokončno izvedbo nekaterih programov, pridobiti osebne podatke posameznikov, na katere se izvedba določenega programa nanaša in se jih želi obvestiti o tem dogodku. Ciljna skupina posameznega programa so npr. otroci od 1 do 7 leta s stalnim prebivališčem v Mestni občini Ptuj, starejši občani Mestne občine Ptuj ob dopolnjenih okroglih obletnicah 60, 70, 80 let.  

V zvezi s tem vas zanima zlasti:

- Ali opredelitev v 21. členu ZLS, skupaj z navedbo sofinanciranja programov v proračunu Mestne občine Ptuj, pomeni za občino zadostno pravno podlago za obdelavo osebnih podatkov, za posredovanje osebnih podatkov izvajalcem programov?

- Ali lahko na podlagi 21. člena ZLS, skupaj z opredelitvijo sofinanciranja programov v proračunu Mestne občine Ptuj, občina sprejme odlok, v katerem bi se določile:

  • posamezne naloge iz izvirne pristojnosti občine,
  • projekti in programi, ki se izvajajo za uresničitev teh nalog ter kdo jih v imenu občine izvaja,
  • namen, vrsta in rok hrambe osebnih podatkov, ki se bodo obdelovali,
  • kategorije ciljnih skupin, katerih osebni podatki se bodo obdelovali? 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

IP pojasnjuje, da je na vprašanje, podobno vašemu že odgovoril v mnenju št. 0712-1/2019/2654 z dne 20.11.2019, Pridobivanje OP za decembrsko obdaritev, ki je dostopno na spletni strani IP. Dodajamo še:

ZAKONITOST OBDELAVE

Za obdelavo osebnih podatkov je treba zagotoviti ustrezno pravno podlago. Splošna uredba glede zakonitosti obdelave osebnih podatkov s strani občin ne uvaja sprememb. Še vedno je za občine bistven področni predpis, ki ureja tudi varstvo osebnih podatkov, Zakon o lokalni samoupravi (ZLS). Vsak upravljavec se mora pri odločanju o tem katere osebne podatke bo obdeloval za dosego določenih ciljev, samo omejiti in skrbno pretehtati katere osebne podatke potrebuje. 

Nedvomno si otroci kot ranljiva skupina posameznikov zaslužijo posebno skrbnost, ko gre za obdelavo njihovih osebnih podatkov. Zasledovane cilje je vedno treba uresničevati z najmanjšim naborom osebnih podatkov in na zakonit način. Če je možno zasledovani cilj doseči brez uporabe osebnih podatkov, potem je to vsekakor najboljši način.

Kot je IP že večkrat opozoril, ni vsako pošiljanje vabil, dopisov in drugih pisanj določenim segmentom ali profilom občanov dopustno, četudi je morda povsem dobronamerno.

Če je torej v konkretnem primeru mogoče starše, otroke ali druge posameznike povsem učinkovito povabiti prek sredstev javnega obveščanja, občinskih glasil, spletnih strani, družabnih omrežij, s plakati ipd. je to nedvomno najprimernejši način. Obveščanje ali vabljenje, ki ne zahteva obdelave osebnih podatkov – še zlasti, ko gre za osebne podatke otrok – mora zato imeti prednost. Če pa gre za obdarovanje, ki je namenjeno le določeni osebi (npr. najstarejšemu občanu), potem je osebno vabljenje lahko ustrezen način za obdelavo osebnih podatkov.

RAZMERJE OBČINA – IZVAJALEC PROGRAMA: POGODBENA OBDELAVA ALI SKUPNI UPRAVLJAVCI

Ko posredujete osebne podatke tretjim pravnim osebam, je treba pred tem ugotoviti, kakšna je narava razmerja; v zvezi s tem je zlasti pomembno, za čigave namene bodo podatke obdelovali in kdo določa sredstva obdelave osebnih podatkov. V zvezi s tem navajamo dve možnosti:

1. Kot izhaja tudi iz navedenega mnenja, če občina nastopa v vlogi upravljavca osebnih podatkov, lahko osebne podatke posreduje izvajalcu programa, kot svojemu pogodbenemu obdelovalcu osebnih podatkov. V tem primeru mora sklenjena pogodba sofinanciranju programov ali samostojna pogodba o obdelavi osebnih podatkov vezana na konkretno obdelavo osebnih podatkov ali drug ustrezen akt (npr. občinski akt), vsebovati vse obvezne elemente iz drugega odstavka člena 28 Splošne uredbe. Oblika pogodbe torej ni pomembna pomembno pa je, da je vzpostavljeno pravno zavezujoče razmerje glede pogojev obdelave osebnih podatkov, ki izhajajo iz člena 28 Splošne uredbe. IP ob tem poudarja, da Splošna uredba ne izključuje možnosti, da bi občina del svojih obdelav osebnih podatkov, ki jih izvaja v zvezi z svojimi izvirnimi pristojnostmi, prenesla na drug javni ali zasebni subjekt. Kot poudarjeno zgoraj je pomembno le, da so razmerja določena s pogodbo ali drugim ustreznim pravnim aktom, ki mora vsebovati vse elemente, ki se zahtevajo skladno s členom 28 Splošne uredbe. Več o pogodbeni obdelavi si lahko ogledate na naši spletni strani: Pogodbena obdelava, smernicah: Smernice IP o (pogodbeni) obdelavi ali na kratko v infografiki o pogodbeni obdelavi.

2. Druga možnost je izvajanje programa kot skupnih upravljavcev osebnih podatkov. V tem primeru je potreben »dogovor o skupnem upravljanju«, kot izhaja iz člena 26 Splošne uredbe. Glede skupnih upravljavcev je IP izdal priporočila glede skupnih upravljavcev.

Katera oblika sodelovanja je v konkretnem primeru ustrezna, je odvisno od konkretnih okoliščin. Odgovornost pa nosi upravljavec.

Lep pozdrav,

 

 

Informacijski pooblaščenec

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

 

Pripravil:                                                                                 

Anže Novak, univ. dipl. prav.                                       

Svetovalec Pooblaščenca za preventivo