Posredovanje oziroma povezovanje OP + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 15.02.2022 Številka: 07121-1/2022/174 Kategorije: --> Kategorije: Posredovanje OP med upravljavci Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede vprašanj, povezanimi z zakonitim povezovanjem oz. posredovanjem osebnih podatkov iz imenika pooblaščenih arhitektov, ki ga ZAPS vodi po javnem pooblastilu, z informacijskim sistemom kataster, ki ga bo vodila GURS na podlagi novega Zakona o katastru nepremičnin (ZKN). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih ali drugih upravnih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. IP tako v okviru nezavezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali druge upravnem postopku. IP uvodoma pojasnjuje, da
- člen Zakona o arhitekturni in inženirski dejavnosti (Uradni list RS, št. 61/17; v nadaljevanju. ZAID) določa naloge, ki jih izvaja Zbornica za arhitekturo in prostor Slovenije (v nadaljevanju: ZAPS), med njimi tudi vodenje imenika pooblaščenih arhitektov. Vsebina imenika je določena v četrtem odstavku
- člena ZAID. V tretjem odstavku
- člena ZAID je določeno, da lahko zbornica za potrebe izvajanja javnih pooblastil brezplačno pridobiva o pooblaščenih arhitektih podatke iz zbirk podatkov določenih upravljavcev, med njimi tudi Geodetske uprave Republike Slovenije (GURS). ZAID ne določa samega načina pridobivanja podatkov iz zbirk podatkov teh upravljavcev. IP nadalje ugotavlja, da Zakon o katastru nepremičnin (Uradni list RS, št. 54/21; v nadaljevanju: ZKN) v osmem odstavku
- člena določa, da GURS vodi evidenco o osebah, ki imajo dostop do informacijskega sistema kataster. Prav tako je določeno, katere podatke vsebuje ta evidenca. V naslednjem (devetem) odstavku istega člena ZKN je določeno, da GURS za namene dovoljevanja dostopa do informacijskega sistema kataster in vodenja evidence iz prejšnjega odstavka brezplačno pridobiva določene podatke od določenih upravljavcev, med njimi tudi od ZAPS. V desetem odstavku istega člena ZKN je določeno še, da GURS subjektom iz prejšnjega odstavka (torej tudi ZAPS) na njihovo zahtevo posreduje podatke o osebah, ki imajo dostop do informacijskega sistema kataster, in podatke o številkah elaboratov, ki so jih te osebe vložile v informacijski sistem kataster, kadar te podatke potrebujejo pri izvrševanju nalog iz njihove pristojnosti. IP ugotavlja, da omenjeni člen ZKN torej na eni strani GURS-u omogoča brezplačno pridobivanje določenih podatkov od ZAPS, na drugi pa določa, da GURS ZAPS-u na njegovo zahtevo posreduje določene podatke. IP s tem v zvezi splošno pojasnjuje, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po
- členu ZVOP-1 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to torej šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Za povezovanje v širšem smislu gre po mnenju IP tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk. Takšno povezovanje ima seveda določene prednosti (hitrejša in enostavnejša pridobitev podatkov, odprava neskladja virov, večja ažurnost, točnost, popolnost ter zanesljivost podatkov), po drugi strani pa takšna povezava lahko pomeni tudi nezakonit in prekomeren poseg v zasebnost posameznika, saj upravljavec osebnih podatkov na takšen način na enem mestu lahko pridobi in združi podatke iz večjega števila zbirk, ki se vodijo za podobne ali različne namene. IP ob tem dodatno ugotavlja, da je za razumevanje izraza »povezovanje zbirk osebnih podatkov« v smislu določb
- poglavja VI. dela ZVOP-1 v času čedalje širše uporabe informacijsko-komunikacijskih tehnologij potrebno precejšnje poznavanje teorije podatkovnih komunikacij, računalniških omrežij, baz podatkov in standardnih modelov povezovanja sistemov. Kot je IP opisal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi«, se šteje za povezovanje zbirk osebnih podatkov avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. IP na podlagi navedenega v zvezi z vprašanji iz vašega zaprosila za mnenje IP pojasnjuje, da ZKN v desetem odstavku
- člena torej določa, da GURS subjektom iz prejšnjega odstavka (torej tudi ZAPS) na njihovo zahtevo posreduje podatke o osebah, ki imajo dostop do informacijskega sistema kataster, in podatke o številkah elaboratov, ki so jih te osebe vložile v informacijski sistem kataster, kadar te podatke potrebujejo pri izvrševanju nalog iz njihove pristojnosti. Omenjeni člen torej določa obveznost posredovanja osebnih podatkov na zahtevo. IP zato meni, da gre v opisanem primeru najverjetneje za posredovanje osebnih podatkov z namenom vključitve v drugo zbirko, ne pa za povezovanje zbirk osebnih podatkov. IP ob tem posebej poudarja, da dokončnega mnenja v zvezi s tem ne more podati, saj lahko IP konkretna stališča v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov podaja le v okviru postopka inšpekcijskega nadzora ali drugega upravnega postopka (npr. postopka odločanja o izdaji dovoljenja za povezovanje zbirk osebnih podatkov). Glede samega povezovanja zbirk osebnih podatkov IP na tem mestu splošno pojasnjuje, da povezovanje zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov in se zato z vidika določb Splošne uredbe o varstvu podatkov in ZVOP-1 šteje za zakonito le in kolikor je za takšno ravnanje izpolnjen vsaj eden od pogojev, določenih v členu 6
(1)oziroma v primeru, ko se s pomočjo povezave posredujejo tudi t. i. posebne vrste osebnih podatkov, vsaj eden od pogojev iz člena 9
(2)Splošne uredbe o varstvu podatkov. V Republiki Sloveniji je povezava zbirk osebnih podatkov iz uradnih evidenc in javnih knjig posebej urejena v
- poglavju VI. dela (Področne ureditve) še vedno veljavnega ZVOP-1, kjer je v prvem odstavku
- člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek
- člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek
- člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku
- člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov. Iz zgoraj citiranih določb
- člena ZVOP-1 je razvidno, da če katera od zbirk od zbirk osebnih podatkov vsebuje občutljive osebne podatke ali če je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka (npr. EMŠO, davčne številke ali številke zdravstvenega zavarovanja), povezava zbirk osebnih podatkov ni dovoljena brez predhodnega dovoljenja državnega nadzornega organa (IP). IP ob upoštevanju določb
- člena ZVOP-1 v upravnem postopku odločanja o izdaji odločbe oz. dovoljenja za povezavo zbirk osebnih podatkov takšno dovoljenje izda v primeru, če sta kumulativno izpolnjena dva pogoja, in sicer: da takšno povezavo določa zakon, torej da za povezavo zbirk osebnih podatkov obstaja ustrezna pravna podlaga iz člena 6 oz.
- Splošne uredbe; da upravljavci, katerih zbirke se bodo povezovale, zagotavljajo zavarovaje oz. varnost osebnih podatkov, ki ustreza zahtevam
- in
- člena ZVOP-1 ter člena 25 in 32 Splošne uredbe o varstvu podatkov. Prvi od dveh kumulativnih pogojev za izdajo dovoljenja za povezavo zbirk osebnih podatkov je torej, da takšno povezavo določa zakon. IP ob tem poudarja, da ZKN na kar nekaj mestih določa povezovanje zbirk osebnih podatkov. Tako je npr. predvideno elektronsko povezovanje informacijskih sistemov, v katerih se vodijo podatki iz zemljiške knjige, drugih evidenc o nepremičninah, centralnega registra prebivalstva in poslovnega registra, z informacijskim sistemom kataster. Prav tako je predvidena elektronska povezava katastra nepremičnin z zemljiško knjigo, povezovanje večjega števila evidenc o nepremičninah s katastrom nepremičnin in povezava podatkov o državni meji s podatki katastra nepremičnin. V primerih, ki jih navajate v vašem zaprosilu za mnenje, pa ZKN takšnega povezovanja ne predvideva. V zvezi z vašimi vprašanji iz zaprosila za mnenje IP posebej opozarja tudi na določbo
- točke
- odstavka Splošne uredbe o varstvu podatkov, ki določa, da pojem »uporabnik« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Vendar pa se javni organi, ki lahko prejmejo osebne podatke v okviru posamezne poizvedbe v skladu s pravom Unije ali pravom države članice, ne štejejo za uporabnike; obdelava teh podatkov s strani teh javnih organov poteka v skladu z veljavnimi pravili o varstvu podatkov glede na namene obdelave. IP sklepno svetuje, da se glede na zasledovane cilje in zgornja pojasnila natančno opredelijo posamezni podatkovni tokovi za vse predvidene oblike obdelave osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. Glede na to bo potem lažje presoditi, za kakšne vrste obdelave osebnih podatkov gre v posameznih konkretnih primerih (posredovanje, pridobivanje, povezovanje). S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026