← Slovenija

Predhodno posvetovanje, povezovanje zbirk - IPRS

Predhodno posvetovanje, povezovanje zbirk + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.02.2022 Številka: 07120-1/2022/35 Kategorije: --> Kategorije: Ocene učinkov v zvezi z varstvom podatkov, Pridobivanje OP iz zbirk Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ocene učinka v zvezi z varstvom podatkov (ang. DPIA) oziroma predhodnega posvetovanja z nadzornim organom ter glede pridobitve dovoljenja za povezovanje določenih zbirk osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
  3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
  5. točko prvega odstavka
  6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
  7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da v okviru nezavezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. IP nadalje splošno pojasnjuje, da se v skladu s prvim odstavkom
  8. člena Splošne uredbe o varstvu podatkov upravljavci pred obdelavo posvetujejo z nadzornim organom, kadar je iz ocene učinka razvidno, da bi obdelava povzročila veliko tveganje, če upravljavci ne bi sprejeli ukrepov za ublažitev tveganja. Če so tveganja zmanjšana na sprejemljive ravni, ni potrebno predhodno posvetovanje. Upravljavec podatkov se mora z nadzornim organom torej posvetovati v primerih, ko opredeljenih tveganj ne more ustrezno obravnavati (tj. preostala tveganja ostajajo velika). Kot je pojasnjeno tudi v smernicah Delovne skupine za varstvo podatkov iz člena 29, ki jih je povzel tudi Evropski odbor za varstvo podatkov (ang. EDPB), med nesprejemljivo veliko preostalo tveganje spadajo primeri, ko lahko posameznika, na katerega se nanašajo osebni podatki, doletijo pomembne ali celo nepopravljive posledice, ki jih ta ne more odpraviti (npr. nezakonit dostop do podatkov, zaradi katerega je ogroženo življenje posameznikov, na katere se nanašajo osebni podatki, ali zaradi katerega je lahko posameznik odpuščen ali v finančnih težavah), in/ali kadar se zdi očitno, da se bo navedeno tveganje uresničilo (npr. ker ne bo mogoče zmanjšati števila oseb, ki imajo dostop do podatkov, zaradi načinov njihovega zbiranja, izmenjave, uporabe ali razširjanja, ali kadar znana ranljivost ni odpravljena). IP glede predhodnega posvetovanja ponovno poudarja, da se mora upravljavec podatkov posvetovati z nadzornim organom vedno, kadar ne najde zadostnih ukrepov za zmanjšanje tveganj na sprejemljivo raven (tj. so preostala tveganja še vedno visoka). Obstoj tovrstnih tveganj mora biti razviden iz izdelane ocene učinka. IP vam zato svetuje, da izdelate oziroma dokončate ustrezno oceno učinka na varstvo osebnih podatkov. Če bo iz ocene učinka razviden obstoj nesprejemljivo velikih preostalih tveganj, nam posredujte oceno učinka v mnenje in v skladu z drugim odstavkom
  9. člena Splošne uredbe o varstvu podatkov vam bomo pisno svetovali. IP je v pomoč pri pripravi ocen učinka izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani IP: https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf Omenjene smernice med drugim vsebujejo tudi pojasnila oziroma napotke, kako se izvedejo ocene učinkov na varstvo podatkov, kakšni so primeri metodologij ter kontrolni seznam za ugotovitev, ali je bila ocena učinka celovito in kakovostno izvedena. IP vsekakor toplo priporoča, da se ta pojasnila upoštevajo ob pripravi ocene učinka, saj bistveno pripomorejo k izdelavi kakovostne in transparentne ocene učinka, ki ustrezno prepoznava in naslavlja vsa obstoječa tveganja za varstvo osebnih podatkov. Glede povezovanja zbirk osebnih podatkov IP uvodoma splošno pojasnjuje, da povezovanje zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov in se zato z vidika določb Splošne uredbe o varstvu podatkov in ZVOP-1 šteje za zakonito le in kolikor je za takšno ravnanje izpolnjen vsaj eden od pogojev, določenih v členu 6

(1)oziroma v primeru, ko se s pomočjo povezave posredujejo tudi t. i. posebne vrste osebnih podatkov, vsaj eden od pogojev iz člena 9
(2)Splošne uredbe o varstvu podatkov. V Republiki Sloveniji je povezava zbirk osebnih podatkov iz uradnih evidenc in javnih knjig posebej urejena v
  1. poglavju VI. dela (Področne ureditve) še vedno veljavnega ZVOP-1, kjer je v prvem odstavku
  2. člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek
  3. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek
  4. člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku
  5. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov. Iz zgoraj citiranih določb
  6. člena ZVOP-1 je razvidno, da če katera od zbirk od zbirk osebnih podatkov vsebuje občutljive osebne podatke ali če je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka (npr. EMŠO, davčne številke ali številke zdravstvenega zavarovanja), povezava zbirk osebnih podatkov ni dovoljena brez predhodnega dovoljenja državnega nadzornega organa (IP). IP ob upoštevanju določb
  7. člena ZVOP-1 v upravnem postopku odločanja o izdaji odločbe oz. dovoljenja za povezavo zbirk osebnih podatkov takšno dovoljenje izda v primeru, če sta kumulativno izpolnjena dva pogoja, in sicer: - da takšno povezavo določa zakon, torej da za povezavo zbirk osebnih podatkov obstaja ustrezna pravna podlaga iz člena 6 oz.
  8. Splošne uredbe; - da upravljavci, katerih zbirke se bodo povezovale, zagotavljajo zavarovaje oz. varnost osebnih podatkov, ki ustreza zahtevam
  9. in
  10. člena ZVOP-1 ter člena 25 in 32 Splošne uredbe o varstvu podatkov. IP nadalje pojasnjuje da niti Splošna uredba o varstvu podatkov niti ZVOP-1 izraza »povezovanje zbirk osebnih podatkov« posebej ne definirata, pač pa je iz določb
  11. člena Splošne uredbe o varstvu podatkov in
  12. člena ZVOP-1, kjer je definiran pomen izrazov, razvidno le to, da se povezovanje šteje kot obdelava osebnih podatkov in pomeni eno od delovanj, ki se izvaja v zvezi z osebnimi podatki. IP ob tem dodatno ugotavlja, da je za razumevanje izraza »povezovanje zbirk osebnih podatkov« v smislu določb
  13. poglavja VI. dela ZVOP-1 v času čedalje širše uporabe informacijsko-komunikacijskih tehnologij potrebno precejšnje poznavanje teorije podatkovnih komunikacij, računalniških omrežij, baz podatkov in standardnih modelov povezovanja sistemov. Kot je IP opisal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi«, se šteje za povezovanje zbirk osebnih podatkov avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. IP nadalje splošno pojasnjuje, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po
  14. členu ZVOP-1 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to torej šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Za povezovanje v širšem smislu gre po mnenju IP tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk. Takšno povezovanje ima seveda določene prednosti (hitrejša in enostavnejša pridobitev podatkov, odprava neskladja virov, večja ažurnost, točnost, popolnost ter zanesljivost podatkov), po drugi strani pa takšna povezava lahko pomeni tudi nezakonit in prekomeren poseg v zasebnost posameznika, saj upravljavec osebnih podatkov na takšen način na enem mestu lahko pridobi in združi podatke iz večjega števila zbirk, ki se vodijo za podobne ali različne namene. IP na podlagi navedenega v zvezi s prvo točko vašega zaprosila za mnenje IP pojasnjuje, da
  15. člen Zakona o dolgotrajni oskrbi (Uradni list RS, št. 196/21; v nadaljevanju. ZDOsk) določa, da upravljavci zbirk podatkov ZZZS najpozneje v 15 dneh od datumov, določenih v posamezni točki tega člena, posredujejo podatke iz v naslednjih točkah tega člena določenih zbirk podatkov. Omenjeni člen torej določa obveznost posredovanja osebnih podatkov. IP zato meni, da gre v opisanem primeru najverjetneje za posredovanje osebnih podatkov z namenom vključitve v drugo zbirko, ne pa za povezovanje zbirk osebnih podatkov. IP ob tem posebej poudarja, da dokončnega mnenja v zvezi s tem ne more podati, saj lahko IP konkretna stališča v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov podaja le v okviru postopka inšpekcijskega nadzora ali drugega upravnega postopka (npr. postopka odločanja o izdaji dovoljenja za povezovanje zbirk osebnih podatkov). IP ob tem nadalje ugotavlja, da prvi odstavek
  16. člena ZDOsk določa, da je ZZZS upravljavec zbirk podatkov obveznega zavarovanja za DO in zbirk podatkov, navedenih v
  17. členu tega zakona. Nadalje drugi odstavek
  18. člena ZDOsk določa, da ZZZS dostopa do zbirk podatkov s sredstvom elektronske identifikacije s srednjo ravnjo zanesljivosti skladno z zakonom, ki ureja elektronsko identifikacijo in storitve zaupanja, lahko pa jih pridobiva tudi s povezovanjem svojega informacijskega sistema z zbirkami podatkov z uporabo profesionalne kartice. Ob tem
  19. člen ZDOsk določa, da se za namene enotne opredelitve, pridobivanja podatkov, združevanja, povezovanja in druge obdelave podatkov v zbirkah iz
  20. člena tega zakona in njihovega povezovanja s podatki iz zbirk podatkov drugih upravljavcev, kot povezovalni znak lahko uporabljajo naslednje enolične identifikacijske številke: - EMŠO; - davčna številka za fizične osebe ter davčna ali matična številka poslovnega subjekta iz Poslovnega registra Slovenije za pravne osebe ali - ZZZS številka. Navedene določbe ZDOsk bi po mnenju IP lahko predstavljale pravno podlago (tudi) za povezovanje zbirk osebnih podatkov. Ob tem IP opozarja, da so omenjene in tudi nekatere druge določbe ZDOsk, ki urejajo obdelavo osebnih podatkov, precej nejasne ter na izredno širok in splošen način določajo namene in načine obdelave osebnih podatkov. IP je na nejasne dikcije ZDOsk opozarjal že v fazi priprave zakona (mnenje IP, št. 007-3072021/3, z dne
  22. 2021). Žal mnogo pripomb in predlogov iz navedenega mnenja ni bilo upoštevanih in je zakonska ureditev mnoga vprašanja pustila nedorečena oziroma nejasna. Tako se je po mnenju IP ponovno izkazalo, kako pomembno je ustrezno opredeliti posamezne obdelave osebnih podatkov v samem zakonu, saj kasnejša sanacija s podzakonskimi predpisi in ocenami učinkov ne more popraviti neustrezne ali pomanjkljive zakonske ureditve. IP vam sklepno svetuje, da glede na zasledovane cilje in zgornja pojasnila natančno opredelite posamezne podatkovne tokove za vse predvidene oblike obdelave osebnih podatkov v okviru vašega informacijskega sistema. Glede na to boste lahko potem lažje presodili, za kakšne vrste obdelave osebnih podatkov gre v posameznih konkretnih primerih (posredovanje, pridobivanje, povezovanje). V primeru, da v posameznih konkretnih primerih ocenite, da gre za povezovanje zbirk osebnih podatkov in boste želeli takšno povezavo izvesti z uporabo istega povezovalnega znaka (npr. ZZZS številke ali EMŠO), morate na IP nasloviti vlogo in IP zaprositi za izdajo odločbe oziroma dovoljenja za vzpostavitev nameravane povezave zbirk osebnih podatkov. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.