Javna naročila + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.02.2020 Številka: 0712-1/2019/3031 Kategorije:Pravica do pozabe, Pravne podlage, Pridobivanje OP iz zbirk, Privolitev, Rok hrambe OP, Uradni postopki , Zavarovanje osebnih podatkov --> Kategorije: Pravica do pozabe, Pravne podlage, Pridobivanje OP iz zbirk, Privolitev, Rok hrambe OP, Uradni postopki, Zavarovanje osebnih podatkov Na Informacijskega pooblaščenca RS (v nadaljevanju IP) ste naslovili več vprašanj s področja varstva osebnih podatkov, ki se nanašajo zlasti na pravne podlage, evidence dejavnosti obdelave in roke hrambe osebnih podatkov iz postopkov javnih naročil, avtorskih pogodb in objavljenih fotografij. IP na vaša vprašanja odgovarja v nadaljevanju po sklopih. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. JAVNA NAROČILA Navajate, da se v postopku javnih naročil (v nadaljevanju JN) pridobiva več osebnih podatkov, ki jih javni naročnik hrani v različnih dokumentih, ki jih pridobi od ponudnika oziroma nastajajo v postopku do oddaje in za izvajanje pogodbe. Ti dokumenti so npr.: sklep o začetku postopka (npr. podatki o vodji JN, članih strokovne komisije), pooblastila o nekaznovanosti ponudnika oz. pooblastilo za preverjanje nekaznovanosti članov nadzornih in poslovodnih oseb ponudnika, referenčna potrdila za posamezne kadre, pogodba o izvedbi JN, itd. Rok hrambe Zanima vas ali lahko naročnik hrani dokumentacijo o javnem naročilu v trajanju kot jo zapoveduje tretji odstavek
- člena Zakon o javnem naročanju (ZJN-3, Uradni list RS št. 19/2015 in 14/2018), ne da bi kršil točko e prvega odstavka
- člena GDPR, ki določa, da se osebni podatki hranijo toliko časa, kolikor je potrebno za namene, za katerega se osebni podatki obdelujejo? Specifično vas zanima glede osebnih podatkov iz sklepa o začetku postopka (člani strokovne komisije, vodja JN) vas zanima – ali morajo biti podatki hranjeni za čas, kot ga določa ZJN-3, do izdelave poročila o oceni vsebine ponudb? Dalje vas specifično zanima, koliko časa lahko naročnik hrani osebne podatke o članih upravnih, vodstvenih in nadzornih organov iz pooblastil za preverjanje nekaznovanosti, ki jih rabi za namen preverjanja njihove nekaznovanosti in koliko časa podatke na pridobljenih potrdilih? IP pojasnjuje, da iz načela omejitve shranjevanja (člen 5(e) Splošne uredbe) izhaja, da so osebni podatki lahko hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko shranjujejo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89
(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki („omejitev shranjevanja“). Tretji odstavek
- člena ZJN-3 določa, da naročnik dokumentira potek vseh postopkov javnega naročanja ne glede na to, ali se ti izvajajo z elektronskimi sredstvi ali ne. V ta namen zagotovi, da hrani zadostno dokumentacijo za utemeljevanje odločitev, sprejetih na vseh stopnjah postopka javnega naročanja, na primer dokumentacijo o komuniciranju z gospodarskimi subjekti in internih razpravah, o pripravi dokumentacije v zvezi z oddajo javnega naročila, morebitnem dialogu ali pogajanjih ter izboru in oddaji javnega naročila. Dokumentacija se hrani najmanj pet let od datuma izdaje odločitve o javnem naročilu oziroma najmanj dve leti po preteku pogodbe o izvedbi javnega naročila. IP pojasnjuje, da je določitev roka hrambe posameznih dokumentov in s tem tudi varstvo osebnih podatkov, odvisna od konkretnega namena obdelave osebnih podatkov – za kar mora obstajati ustrezna pravna podlaga za obdelavo. Ko gre za izvajanje nalog države v skladu z zakonom (npr. izvedba postopka javnega naročila), je treba za določitev roka hrambe upoštevati veljavne predpise, ki določajo postopek javnega naročila kot tudi v skladu s zakonodajo določene roke hrambe dokumentarnega gradiva. IP razume določbo iz tretjega odstavka
- člena ZJN-3, kot zahtevo po minimalnem roku hrambe dokumentacije iz postopka javnega naročila (vključno z osebnimi podatki). Namen hrambe torej določa zakon, zato po mnenju IP ni v nasprotju s členom 5(e) Splošne uredbe, če naročniki zavezani za uporabo ZJN-3 hranijo dokumentacijo v skladu s predpisanim namenom. Podobno torej velja tudi za vse dokumente ki jih organi pridobivajo oziroma nastajajo v postopku – vključno z sklepom o začetku postopka in podatki iz pooblastil za preverjanje nekaznovanosti članov upravnih, vodstvenih in nadzornih organov. Nikakor ni v nasprotju s Splošno uredbo, če naročnik hrani dokumentacijo iz postopkov javnih naročil skladno s predpisanim postopkom za hrambo dokumentacije v postopku javnega naročila. Z vidika varne obdelave osebnih podatkov pa je pomembno, da ima naročnik interno predvidene tehnične in organizacijske ukrepe, s katerimi preprečuje nepooblaščen vpogled, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihovo spremembo ali izgubo ter nepooblaščeno obdelavo. Zakonitost obdelave osebnih podatkov Ali morajo člani strokovne komisije, če niso javni uslužbenci, v svoje imenovanje prostovoljno, specifično, informirano in nedvoumno privolit? Ali je za obdelavo podatkov posameznikov, katerih reference zahtevate v ponudbi, ustrezna podlaga točka b prvega odstavka člena 6 GDPR (ker gre za osebo, ki je zaposlena ali še bo zaposlena pri ponudniku) oziroma je ustrezna pravna podlaga njegova privolitev? Ali je podlaga za javnega naročnika, da hrani podatke oseb, ki jih izvajalec določi za skrbnike pogodb, privolitev? Menite, da je obdelava sicer potrebna za izvajanje pogodbe, vendar skrbnik pogodbe ni stranka pogodbe? IP pojasnjuje, da javni naročnik, ki izvaja javno naročilo v skladu z ZJN-3, deluje na podlagi zakona iz tega pa izvira tudi podlaga za obdelavo osebnih podatkov. V skladu z določbama 6
(1)(
- c)in (
- e)Splošne uredbe je obdelava zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali če je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu. Po členu 6
(2)Splošne uredbe lahko države članice ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (
- c)in (
- e)odstavka 1, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX. Po določbi 6
(3)Splošne uredbe je podlaga za obdelavo iz točk (
- c)in (
- e)odstavka 1 določena v skladu s: pravom Unije; ali pravom države članice, ki velja za upravljavca. Iz navedenega sledi, da kadar gre za izvajanje javne oblasti (tudi vodenje postopka javnega naročila), potem je treba v zvezi s pravnimi podlagami upoštevati nacionalno zakonodajo. Po še veljavnem 9. členu ZVOP-1, se obdelavo osebnih podatkov v javnem sektorju lahko izvajajo, če tako določa zakon ali na zakonu temelječa osebna privolitev. Izjemoma se ne glede na zakonsko določbo glede obdelave osebnih podatkov v javnemu sektorju lahko obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Glede na vse navedeno IP ugotavlja, da javni naročnik, ko vodi postopek javnega naročila, pri tem obdeluje osebne podatke (vključno s hrambo) na podlagi zakona oziroma je obdelava potrebna za izvrševanje zakonskih pristojnosti naročnika. Glede na navedeno torej privolitev praviloma ni ustrezna pravna podlaga za obdelavo osebnih podatkov iz dokumentov, ki jih pridobi naročnik oziroma nastanejo v postopku javnega naročila, razen kadar bi tako določal zakon. IP torej ugotavlja, da bo javni naročnik praviloma iskal podlago v zakonu (ali njegovih zakonskih pristojnostih) tudi za zbiranje in obdelavo podatkov posameznikov, katerih reference se zahteva v ponudbi oziroma oseb, ki so določene kot skrbniki pogodbe na strani izvajalca – če gre za zaposlene ali morebitne bodoče zaposlene pri ponudniku ali izvajalcu. Podlaga po členu 6
(1)(b) je lahko ustrezna pravna podlaga za zbiranje in posredovanje osebnih podatkov za ponudnika ali izvajalca kot upravljavca osebnih podatkov svojih zaposlenih in pogodbenih sodelavcev. Javni naročnik, ki podatke zbira, hrani in drugače obdeluje za namen izvedbe javnega naročila, pa – kot sami pravilno ugotavljate – nima sklenjene pogodbe s posameznikom, zato mu podlago za zbiranje, obdelavo in hrambo osebnih podatkov nudijo ustrezne določbe nacionalne zakonodaje oziroma je to potrebno za izvrševanje zakonitih pristojnosti javnega sektorja (četrti odstavek
- člena ZVOP-1). IP ob navedenem še pripominja, da so po Zakonu o odstopu do informacij javnega značaja osebni podatki, ki so v zvezi s porabo javnih sredstev in podatki v zvezi z delom javnih uslužbencev in podatki v zvezi z izvajanjem javne funkcije, po zakonu javni (tretji odstavek
- člena ZDIJZ). ZDIJZ se uporablja le po oddaji javnega naročila (četrti odstavek
- člena ZJN-3). Glede na navedeno se torej zlasti pri izvajanju pogodb po oddaji javnega naročila, lahko izvajajo obdelave z osebnimi podatki, ki so po zakonu javni in zato niso »varovani« osebni podatki, posledično pa se zanje tudi ne zahteva enako visoko varstvo kot za t.i. »varovane« osebne podatke. Ti podatki so na primer imena in priimki javnih uslužbencev, ki se nahajajo na dokumentaciji ali oseb, ki izvajajo javno funkcijo, ki se nahajajo dokumentih, ki predstavljajo informacijo javnega značaja. Kateri podatki se na konkretnih dokumentih ne štejejo za »varovane« osebne podatke, pa usmerja sodna in upravna praksa, ki ji lahko sledite na spletni strani IP: https://www.ip-rs.si/ijz/. Evidence dejavnosti Ali zadostuje ena evidenca dejavnosti obdelave za pooblastila za pridobivanje potrdil o nekaznovanosti za vodstvene, upravne in nadzorne kadre ponudnikov ali se zahtevata dve: prva z naborom vseh osebnih podatkov iz pooblastil, ki se hranijo do prejema potrdila od Ministrstva za pravosodje, druga pa le za osebne podatke iz potrdila o nekaznovanosti? Ali je pravilno razmišljanje, da morate za posameznike, katerih reference zahtevate v ponudbi, izdelati evidenco dejavnosti obdelave? Ali morate imeti ločeno evidenco dejavnosti obdelave za člane strokovne skupine, ki niso javni uslužbenci? Ali morate tudi za skrbnike pogodb na strani izvajalcev (ime in priimek, morebitni akademski naziv ter telefonska številka in e-naslov) izdelati ločeno evidenco dejavnosti obdelave? IP pojasnjuje, da je namen evidentiranja dejavnosti obdelav osebnih podatkov po členu 30 Splošne uredbe, vzpostavitev pregleda po procesih obdelav osebnih podatkov, ki jih izvaja organizacija. IP v svoji praski ni zasledil, da bi organizacije tako podrobno, kot navajate, vzpostavljale evidence za vsako vrsto dokumentov posebej. IP meni, da je treba slediti smislu instituta, ki zahteva, da upravljavec na pregleden način vodi popis svojih zbirk oziroma dejavnosti obdelave – ločeno zlasti glede na namen obdelave in rok hrambe. Iz prakse se kaže, da je na splošno v postopkih javnih naročil lahko v skladu z namenom instituta iz člena 30 Splošne uredbe, ločeno voditi evidenco za dejavnosti obdelave pred oddajo javnega naročila in po oddaji, saj so roki in namen pred oddajo vezani zlasti na izkazovanje zakonitosti vodenja postopka javnega naročila (akt oblasti), po oddaji javnega naročila, pa na samo izvajanje pogodbe in dokazovanje zakonitosti izvedbe posla (akt poslovanja). IP v okviru mnenja ne more podati konkretnih usmeritev, saj se lahko glede ustreznosti posameznih evidenc opredeli le v konkretnem inšpekcijskem postopku. Več o evidencah dejavnosti obdelav je IP opisal tudi na svoji spletni strani: Evidenca dejavnosti obdelave. Sledljivost (
- člen ZVOP-1) Ali gre pri revizorskem pregledu dokumentacije o posameznem postopku javnega naročanja s strani Državne revizijske komisije, Skupne notranje revizijske službe GSV (ki redno vrši preglede poslovanja UKOM), Urada za nadzor proračuna MF ali Računskega sodišča za posredovane v dokumentaciji o javnem naročilu nahajajočih se osebnih podatkov tem institucijam in je treba vsako tako posredovanje beležiti? Tretji odstavek
- člena ZVOP-1 določa, da mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. IP meni, da se šteje omogočanje vpogleda v zbirke osebnih podatkov inšpekcijskim ali drugim nadzornim službam za namene vodenja uradnega postopka za posredovanje osebnih podatkov uporabnikom v smislu
- člena. Iz tega sledi, da je upravljavec (npr. javni naročnik), na podlagi tretjega odstavka
- člena ZVOP-1 dolžan voditi evidenco vpogledov – t.i. zunanja sledljivost. ROK HRAMBE AVTORSKE POGODBE Zanima vas rok hrambe osebnih podatkov iz avtorske pogodbe, sklenjene s fizično osebo, ko gre za t.i. evidenčno javno naročilo (blago in storitve v ocenjeni vrednosti pod 20.000,00 EUR brez DDV) in se določba
- člena ZJN-3 ne uporablja. Menite, da je podlaga za obdelavo osebnih podatkov v zvezi z hrambo in izvajanjem avtorske pogodbe člen 6
(1)(b) Splošne uredbe (potrebno za izvajanje pogodbe). Zanima vas, kdaj bo skladno z določbo 5
(1)(
- e)Splošne uredbe izpolnjen namen obdelave in ali je ustrezno, da naročnik v pogodbah podatke o avtorju izbriše in na ta način dokumente anonimizira? IP ugotavlja, da je pogodbe skladno s področno zakonodajo treba hraniti določen čas za izkazovanje zakonitosti poslovanja pred različnimi uradnimi organi (davčni, računsko sodišče, itd.). Prav tako so listine pogodb lahko potrebne za izkazovanje zakonitosti poslovanja ali imetništva avtorskih pravic na določenem avtorskem delu za čas, ko je mogoče pričakovati sodno varstvo v zvezi s uveljavljanjem materialnih avtorskih pravic na avtorskem delu. Javni sektor mora glede ravnanja z svojimi listinami upoštevati tudi Zakon o varstvu arhivskega in dokumentarnega gradiva ter arhivih. Vse navedeno lahko predstavlja zakonit razlog za hrambo dokumentov, vključno z osebnimi podatki. Ko za hrambo dokumentacije (kot npr. sklenjenih pogodb) obstaja obveznost hrambe po posebnem zakonu, takšna specialna zakonska določba predstavlja tudi podlago za hrambo osebnih podatkov v dokumentu. IP pa lahko konkreten rok hrambe presoja le v konkretnem inšpekcijskem postopku. FOTOGRAFIJE in ZAKONITOST OBJAVE FOTOGRAFIJ Pojasnjujete, da hranite številne fotografije, na katerih so jasno vidne podobe fotografirancev, fotografije pa so objavljene tudi na številnih spletnih mestih in v tiskanih publikacijah. Osebni podatki, ki jih ob tem obdelujete so: ime in priimek ter psevdonim avtorja fotografije ter podobe posameznikov na fotografijah z določljivim časom in lokacijo posnetka. Zanima vas, koliko časa je dopustno hraniti fotografije in podatke o fotografu (ali 70 let po smrti avtorja, če so bile odkupljene na ustrezen način ali 10 let od nastanka, če jih je posnela fizična oseba, zaposlena pri delodajalcu). Glede na to, da so večinoma objavljene na spletu, nekatere v tiskanih edicijah, vas zanima, kako naj tehnično izvedete anonimizacijo – odstranitev iz spleta / prenehanje izpostavljanja / povezovanja / drugačne uporabe? In kaj storiti s tistimi v tiskanih publikacijah – fizično izrežete osebe ali jih pač ne smete več deliti, uporabljati? Zanima pa vas tudi podlaga za obdelavo - objavo imena in priimka avtorja določa ZASP, ali bo ustrezna podlaga za obraze na fotografijah opravljanje nalog v javnem interesu - informiranje javnosti o aktualnih dnevno političnih temah? Glede zakonitosti objave fotografij z vidika varstva pravic oseb na fotografiji IP pojasnjuje, da je zakonitost objave vselej odvisna od vseh konkretnih okoliščin fotografiranja. IP je izdal veliko mnenj na temo fotografiranja in pravne podlage v zvezi s tem, in predlagamo, da se z njimi seznanite (https://www.ip-rs.si/vop/). Ob tem velja poudariti, da če objava sama po sebi ni zakonita, potem tudi hramba fotografije ni zakonita. Dalje, če je objava zakonita, pa bo od namena objave in upravičenega pričakovanja oseb na fotografijah, odvisno, kdaj se bo določena objava štela, da »ni več potrebna v namene, za katere so bili podatki obdelani«. V zvezi s tem IP opozarja zlasti na pravico do izbrisa (pravica do pozabe), ki jo lahko posameznik uveljavlja pri upravljavcu osebnih podatkov. Če posameznik vloži zahtevo za izbris in upravljavec presodi, da je zahteva utemeljena, potem skladno s členom 17 Splošne uredbe upravljavec osebne podatke izbriše, hkrati pa ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije. Glede varstva osebnih podatkov avtorja pa IP meni, da je zaradi moralne avtorske pravice ustrezno, če je fotografija opremljena z imenom ali psevdonimom avtorja (kot to avtor izbere), vsaj ves čas trajanja moralne avtorske pravice. Ker moralna avtorska pravica po zakonu traja dolgo (70 let po smrti avtorja), pa je vsekakor treba upoštevati konkretne okoliščine in v teh okoliščinah izvajanje avtorske pravice uravnotežiti s konkurirajočimi pravicami, vključno s pravico do varstva osebnih podatkov – npr. če bi zaradi družbenih sprememb in posebnega političnega karakterja fotografije, ki bi lahko škodil avtorjevemu ogledu ali družbenemu statusu, potem bi lahko avtor ali zakoniti dediči pokojnega avtorja lahko upravičeno zahtevali tudi izbris avtorjevega imena ali podpisov iz publiciranih del. Pravica do varstva osebnih podatkov je namreč omejena s pravicami drugih, kar je treba upoštevati v konkretnem primeru pri njenem uresničevanju oziroma izvajanju. Upamo, da smo vam s svojim mnenjem uspeli pomagati. Lep pozdrav, Anže Novak, univ. dipl. prav. Svetovalec Pooblaščenca za preventivo Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026