← Slovenija

Povezovanje zbirk Uprave za probacijo in Ministrstvom za delo, družino, socialne zadeve in enake možnosti - IPRS

Povezovanje zbirk Uprave za probacijo in Ministrstvom za delo, družino, socialne zadeve in enake možnosti + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.09.2021 Številka: 07120-1/2021/519 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pridobivanje OP iz zbirk, Zbirke osebnih podatkov Informacijski pooblaščenec (IP) je prejel vaš zgoraj naveden dopis, v katerem omenjate mnenje št. 07120-1/2021/343 z dne
  4. 2021, ki ga je IP izdal …. in se nanaša na možnost povezave med zbirkami osebnih podatkov na področju preživnin, ki jih navedeno ministrstvo vodi v skladu z določbami
  5. do
  6. člena Družinskega zakonika (Uradni list RS, št. 15/17 s sprem., v nadaljevanju DZ) ter probacijskim informacijskim sistemom, ki ga skladu z določbami
  7. do
  8. člena Zakona o probaciji (Uradni list RS, št. 27/17, v nadaljevanju ZPro) vodi Uprava za porobacijo. Glede na to, da se bosta povezovala dva sistema dveh različnih organov, pri čemer za MDDSZ veljajo določbe Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1), za Upravo za probacijo, ki izvršuje kazenske sankcije, pa Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), vas zanima, kako ravnati v takšnem primeru, saj ZVOPOKD v tretjem odstavku
  9. člena pristojnemu organu nalaga dolžnost obvestiti nadzorni organ o nameravani povezavi. V kolikor bi bilo stališče IP, da je kljub temu, da za Upravo za probacijo velja ZVOPOKD, treba IP zaprositi za izdajo odločbe oz. dovoljenja, vas zanima, kdaj je za takšno odločbo oz. dovoljenje treba zaprositi – ali šele, ko je informacijski sistem izdelan oz. dan v produkcijsko okolje ali lahko tudi že v fazi zaključene projektne dokumentacije (specifikacije in PZI), ki zelo natančno definira strukturo delovanja in povezovanja bodočega informacijskega sistema. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s členom 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  10. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba),
  11. točko prvega odstavka
  12. člena ZVOP-1,
  13. točko
  14. člena ZVOPOKD ter
  15. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi vašim zgoraj navedenim zaprosilom. IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov, pač pa lahko izven teh postopkov podaja le nezavezujoča mnenja in pojasnila. Kot je IP pojasnil že v svojem mnenju št. 07120-1/2021/343 z dne
  17. 2021, je v Republiki Sloveniji povezava zbirk osebnih podatkov iz uradnih evidenc in javnih knjig posebej urejena v
  18. poglavju VI. dela (Področne ureditve) še vedno veljavnega ZVOP-1, kjer je v prvem odstavku
  19. člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek
  20. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek
  21. člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku
  22. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov. V
  23. členu ZVOP-1 je določena še prepoved povezovanja, in sicer je prepovedano povezovati zbirke osebnih podatkov iz kazenske evidence in prekrškovnih evidenc z drugimi zbirkami osebnih podatkov ter povezovati zbirke osebnih podatkov iz kazenske evidence in prekrškovne evidence. Iz zgoraj citiranih določb
  24. člena ZVOP-1 je razvidno, da če katera od zbirk od zbirk osebnih podatkov vsebuje občutljive osebne podatke[1] ali če je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka (npr. EMŠO, davčne številke ali številke zdravstvenega zavarovanja), povezava zbirk osebnih podatkov ni dovoljena brez predhodnega dovoljenja državnega nadzornega organa (IP). IP ob upoštevanju določb
  25. člena ZVOP-1 v upravnem postopku odločanja o izdaji odločbe oz. dovoljenja za povezavo zbirk osebnih podatkov takšno dovoljenje izda v primeru, če sta kumulativno izpolnjena dva pogoja, in sicer: da takšno povezavo določa zakon, torej da za povezavo zbirk osebnih podatkov obstaja ustrezna pravna podlaga iz člena 6 oz. 9 Splošne uredbe; da upravljavci, katerih zbirke se bodo povezovale, zagotavljajo zavarovaje oz. varnost osebnih podatkov, ki ustreza zahtevam
  26. in
  27. člena ZVOP-1 ter člena 25 in 32 Splošne uredbe. V kolikor gre za obdelavo osebnih podatkov, ki jih policija, državna tožilstva, Uprava Republike Slovenije za probacijo, Uprava Republike Slovenije za izvrševanje kazenskih sankcij in drugi državni organi Republike Slovenije, ki so zakonsko določeni kot pristojni za področja preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, obdelujejo za namene izvrševanja teh pristojnosti, je treba pri povezavi zbirk osebnih podatkov, ki jih za namene izvrševanja svojih pristojnosti vodijo prej navedeni organi, uporabljati tudi določbe ZVOPOKD. ZVOPOKD povezavo zbirk osebnih podatkov ureja v
  28. členu, kjer je v prvem odstavku določeno, da se zbirke pristojnih organov lahko povezujejo med seboj ali z drugimi uradnimi evidencami, javnimi knjigami ali drugimi zbirkami, v katerih se obdelujejo posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, samo če takšno povezovanje izrecno določa zakon. Drugi odstavek
  29. člena ZVOPOKD nadalje določa, da povezovanje zbirk v skladu s prejšnjim odstavkom pomeni elektronsko povezovanje dveh ali več uradnih evidenc, javnih knjig ali drugih zbirk, ki se upravljajo pri različnih upravljavcih ali pri istem upravljavcu na podlagi različnih pravnih podlag, in ki se neodvisno od tehnične izvedbe izvaja v obsegu oziroma na način, ki predstavljata ali bi lahko predstavljala bistveno večje tveganje za človekove pravice ali temeljne svoboščine posameznikov kot obdelava osebnih podatkov le v okviru ene same uradne evidence, javne knjige ali zbirke. Povezovanje zbirk pomeni tudi obdelavo dveh ali več zbirk istega ali različnih upravljavcev pri istem obdelovalcu, če ni z organizacijskimi in tehničnimi ukrepi in postopki zagotovljena popolna ločenost obdelav osebnih podatkov iz teh zbirk. V tretjem odstavku
  30. člena ZVOPOKD je še določeno, da najpozneje 30 dni pred začetkom povezovanja zbirk iz prvega odstavka tega člena, mora pristojni organ oziroma obdelovalec poslati obvestilo nadzornemu organu, v katerem navede, da namerava izvesti povezovanje v skladu s tem členom, ga podrobno opisati zlasti z navedbo pravnih podlag, tehničnih rešitev in zaščitnih ukrepov ter priložiti oceno učinka, razen če ocene učinka v skladu z določbo tretjega odstavka
  31. člena tega zakona ni treba izdelati. IP ugotavlja, da ZVOPOKD ne vsebuje nobenih posebnih določb o prenehanju uporabe določb
  32. in
  33. člena ZVOP- 1 za primere, ko upravljavci zbirk osebnih podatkov, za katere ZVOP-1 še velja, svoje zbirke osebnih podatkov povezujejo z zbirkami pristojnih organov iz
  34. člena ZVOPOKD. ZVOPOKD prav tako posebej ne ureja povezovanja zbirk osebnih podatkov v primerih, ko se povezava izvede z uporabo istega povezovalnega znaka ter ne vsebuje nobenih določb o tem, da v primeru takšnih povezav predhodno dovoljenje IP ni več potrebno, kar enako velja tudi za ZPro in DZ. Določbe
  35. člena ZVOPOKD je treba tako po mnenju IP po eni strani razumeti kot določbe, ki ne glede na določbe
  36. člena ZVOP-1, pristojnim organom iz
  37. člena ZVOPOKD pod pogoji iz
  38. člena ZVOPOKD izrecno dovoljujejo povezovanje zbirke osebnih podatkov iz kazenske evidence in prekrškovnih evidenc z drugimi zbirkami osebnih podatkov, po drugi strani pa jih je treba razumeti tudi kot posebne (strožje) pogoje, pod katerimi lahko pristojni organi svoje zbirke povezujejo med seboj ali z drugimi uradnimi evidencami, javnimi knjigami ter drugimi zbirkami, naštetimi v prvem odstavku
  39. člena. IP kot dodatni, strožji pogoj šteje določbo prvega odstavka
  40. člena ZVOPOKD, po kateri je povezovanje zbirk pristojnih organov med seboj ali z zbirkami drugih upravljavcev dovoljeno le v primeru, če takšno povezovanje izrecno določa zakon, ter določbo tretjega odstavka tega člena, po kateri mora pristojni organ oziroma obdelovalec najpozneje 30 dni pred začetkom povezovanja nadzornemu organu (IP) poslati obvestilo, v katerem mora podrobno opisati zlasti navedbo pravnih podlag, tehničnih rešitev in zaščitnih ukrepov ter priložiti oceno učinka, razen če ocene učinka v skladu z določbo tretjega odstavka
  41. člena tega zakona ni treba izdelati. Iz zgoraj navedenih določb ZVOP-1 in ZVOPOKD izhaja, da gre v opisanem primeru za nejasno pravno situacijo, ko za povezovanje zbirk dveh različnih upravljavcev veljata dva različna predpisa. V opisanem primeru je določbe ZVOPOKD za pristojne organe deloma sicer res mogoče razumeti kot kasnejši (lex posterior) ali specialnejši (lex specialis) predpis, vendar pa IP ob upoštevanju zgoraj navedenega meni, da do morebitne drugačne ureditve v ZVOP-2, v primeru povezave zbirk, ki zapadejo tako pod
  42. člen ZVOPOKD, kot tudi pod
  43. in
  44. člen ZVOP-1, velja za takšne primere dvojna obveznost. MDDSZ mora ob upoštevanju določb
  45. člena ZVOP-1 po mnenju IP pred povezavo svojih zbirk osebnih podatkov, v primeru, da se bo povezava izvedla z uporabo istega povezovalnega znaka (npr. EMŠO ali davčne številke) ali če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov, do morebitne drugačne ureditve v ZVOP-2 pred vzpostavitvijo takšne povezave pridobiti predhodno dovoljenje IP. Navedeno po mnenju IP velja tudi v primeru, ko namerava MDDSZ katero od svojih zbirk osebnih podatkov na takšen način povezati s katero od zbirk pristojnega organa iz
  46. člena ZVOPOKD. Uprava za probacijo pa mora ob upoštevanju določb
  47. člena ZVOPOKD pred vzpostavitvijo povezave med svojimi zbirkami osebnih podatkov ali pred vzpostavitvijo povezave z zbirkami drugih upravljavcev, po mnenju IP najpozneje 30 dni pred začetkom povezovanja svoje zbrke z drugimi svojimi zbirkami ali z zbirkami drugih upravljavcev na IP poslati obvestilo, v katerem mora podrobno opisati zlasti navedbo pravnih podlag, tehničnih rešitev in zaščitnih ukrepov ter priložiti oceno učinka. Ocene učinka, ki mora obsegati vse elemente iz četrtega odstavka
  48. člena ZVOPOKD, ji ne bi bilo treba izdelati in priložiti v primeru, če je bila takšna ocena izvedena že v postopku sprejemanja zakona, ki je podlaga za vzpostavitev nameravane povezave (tretji odstavek
  49. člena ZVOPOKD). Kar zadeva vaše vprašanje o tem, kdaj je treba zaprositi za odločbo oz. predhodno dovoljenje IP, vam še pojasnjujemo, da je mogoče za takšno dovoljenje zaprositi tudi že v fazi zaključene projektne dokumentacije (specifikacije in PZI), ki zelo natančno definira strukturo delovanja in povezovanja bodočega informacijskega sistema, kar enako velja tudi za posredovanje obvestila iz tretjega odstavka
  50. člena ZVOPOKD. Lep pozdrav, Pripravil: Jože Bogataj, namestnik informacijske pooblaščenke Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.