Na Informacijskega pooblaščenca je bilo naslovljeno vprašanje glede posredovanja osebnih podatkov starejših občanov Rdečemu križu Slovenije za namen pošiljanja osebnih vabil na srečanja v okviru socialnega programa, financiranega s strani občin, pri čemer pobudnik utemeljuje zakonitost na ZLS in točki (e) prvega odstavka 6. člena Splošne uredbe ter predlaga posredovanje imena, priimka, naslova in letnice oziroma datuma rojstva.
IP pojasnjuje, da prepoved paketnega pridobivanja podatkov iz CRP ne pomeni absolutne prepovedi pridobivanja osebnih podatkov, kadar občina oziroma RKS podatke potrebuje za izvajanje svojih zakonskih nalog, če obstaja ustrezna pravna podlaga in se spoštujejo pravila Splošne uredbe in ZVOP-2.
Ključno je, da upravljavec za vsak konkreten primer izbere in utemelji zakonito pravno podlago po 6. členu Splošne uredbe (in 6. členu ZVOP-2), ob upoštevanju področnih predpisov: za občine predvsem 21. in 21.a člen ZLS (vključno z možnostjo posredovanja podatkov v okviru pristojnosti), za RKS pa ZRKS, ki ureja zbirke podatkov in pridobivanje podatkov, praviloma neposredno od posameznikov oziroma iz drugih uradnih zbirk za socialno ogrožene.
Vloga RKS mora biti jasno opredeljena: ali nastopa kot pogodbeni obdelovalec občine (zahtevan je sporazum o obdelavi z elementi po 28. členu Splošne uredbe), kot skupni upravljavec z občino (potreben dogovor po 26. členu), ali kot samostojni upravljavec v okviru lastnih nalog oziroma javnega pooblastila; za isto dejavnost obdelave RKS ne more hkrati nastopati v dveh vlogah.
Obseg posredovanih osebnih podatkov mora biti načelno omejen na nujno potrebno za pošiljanje vabil in preverjanje izpolnjevanja starostnega kriterija (tipično ime in priimek, naslov ter datum ali letnica rojstva), posredovanja pa morajo biti ustrezno dokumentirana, z zagotovljenimi tehničnimi in organizacijskimi ukrepi ter sledljivostjo v skladu s Splošno uredbo in ZVOP-2.
Celotno mnenje je na voljo tukaj.
