Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 13.08.2020
Naslov: Posredovanje osebnih podatkov kot dokaz strokovne usposobljenosti
Številka: 07121-1/2020/1415
Vsebina: Definicija OP, Pravne podlage, Pridobivanje OP iz zbirk, Uradni postopki
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da morajo imeti kontrolorji zračnega prometa za svoje delo ustrezno licenco, ki so jo dolžni stalno obnavljati. Eden izmed pogojev za pridobitev in podaljševanje licence je ustrezna usposobljenost. Zanima vas, ali je zahteva Javne agencije za civilno letalstvo, da je treba kot dokazilo za izpolnjevanje pogoja strokovne usposobljenosti posameznikov poleg potrdila ocenjevalca predložiti tudi kopije izpitnih pol, skladna s predpisi s področja varstva osebnih podatkov.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Uvodoma pojasnjujemo, da lahko IP posamezne primere obdelave podatkov konkretno presoja le v okviru inšpekcijskega ali drugega upravnega postopka. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Iz tega razloga v nadaljevanju podajamo zgolj splošna pojasnila ter izpostavljamo relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje osebnih podatkov zakonito. Konkretno presojo pa mora opraviti izključno upravljavec osebnih podatkov.

 

Osebni podatki pomenijo skladno s členom 4(1) Splošne uredbe o varstvu podatkov katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

 

Sodišče Evropske unije je v sodbi C-434/16 (Nowak proti Data Protection Commissioner) presodilo, da so tako odgovori, ki jih da na izpitu kandidat, kot komentarji popravljavca glede odgovorov kandidata osebni podatki o kandidatu za izpit, ne pa tudi izpitna vprašanja.

 

Za vsako obdelavo osebnih podatkov, torej med drugim tudi za njihovo razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, je treba imeti zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Točka (f) se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

 

Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca.

 

Kot pojasnjujete, je Javna agencija za civilno letalstvo (v nadaljevanju CAA) na podlagi Uredbe Komisije (EU) 2015/340 z dne 20. februarja 2015 o tehničnih zahtevah in upravnih postopkih za licence in certifikate kontrolorjev zračnega prometa ter na podlagi Zakona o letalstvu (Uradni list RS, št. 81/10 – uradno prečiščeno besedilo, 46/16 in 47/19, v nadaljevanju ZLet) pristojna za izdajo in podaljševanje licenc, ocenjevanje usposobljenosti pa izvajajo imetniki pooblastila »ocenjevalec«, zaposleni na Kontroli zračnega prometa Slovenije, d.o.o. (v nadaljevanju KZPS). Ocenjevanje usposobljenosti se izvaja v skladu z aktom Shema usposobljenosti v enoti. V skladu z navedeno uredbo ta akt oblikuje izvajalec navigacijskih služb zračnega prometa, to je KZPS, odobri pa ga pristojni organ, to je CAA. Glede na to, da potrdilo o strokovni usposobljenosti izdajo pooblaščeni ocenjevalci ter da je do sedaj za podaljševanje licenc s strani CAA kot dokazilo za izpolnjevanje pogoja strokovne usposobljenosti posameznikov zadoščalo posredovanje potrdila, menite, da ni potrebe po posredovanju kopij izpitnih pol.

 

V ZLet ni izrecno predpisano, na podlagi katerih listin oziroma dokumentov se izda oziroma podaljša licenca za delo kontrolorjev zračnega prometa. Prav tako IP ni seznanjen, kako je postopkovno urejeno takšno podaljševanje (se npr. uporablja Zakon o splošnem upravnem postopku (v nadaljevanju ZUP), ki sam po sebi predstavlja pravno podlago za pridobivanje osebnih podatkov, ki so potrebni za vodenje upravnih postopkov). IP tako pojasnjuje, da bi lahko bodisi navodilo CAA predstavljalo pravno podlago v zvezi s členom 6(1)e Splošne uredbe za obdelavo osebnih podatkov, če gre za obdelavo, ki je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu, bodisi še veljavni četrti odstavek 9. člena ZVOP-1 ali ustrezni členi ZUP (če gre za upravni postopek, ki se vodi na podlagi ZUP). Vsekakor je treba vedno upoštevati načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. O tem, kaj v konkretnem primeru to pomeni za postopek, ki ga opisujete, pa IP ni pristojen presojati v okviru mnenja. CAA lahko torej v zvezi z izdajo in podaljševanjem licenc obdeluje tiste osebne podatke, ki so nujni za oceno izpolnjevanja pogoja strokovne usposobljenosti posameznikov.

 

Primarna odgovornost za izbiro ustrezne pravne podlage je torej na upravljavcu, zato vam dokončnega odgovora na vaše vprašanje o zakonitosti navodila, ki je v pripravi, ne moremo podati. Predlagamo pa vam, da se za pojasnilo glede pravne podlage in utemeljitev potrebnosti zahtevanih izpitnih pol obrnete neposredno na CAA.

 

Lep pozdrav,

 

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                           informacijska pooblaščenka

 

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov