Prevzemanje podatkov iz eZK prek porata eUprava + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.03.2022 Številka: 07120-1/2022/81 Kategorije: --> Kategorije: Informiranje posameznika, Pogodbena obdelava podatkov, Pravica do seznanitve z lastnimi osebnimi podatki, Zbirke osebnih podatkov Informacijski pooblaščenec (IP) je prejel vaše zgoraj navedeno zaprosilo, v katerem navajate, da med Vrhovnim sodiščem RS (v nadaljevanju VSRS) kot upravljavcem elektronske zemljiške knjige (v nadaljevanju eZK) in Ministrstvom za javno upravo (v nadaljevanju MJU), ki zagotavlja delovanje portala eUprava, potekajo intenzivni dogovori o uporabi in storitvah prevzemanja podatkov iz informatizirane glavne knjige zemljiške knjige na državni portal eUprava. Navedena povezava med eZK in eUpravo bi posamezniku (uporabniku državnega portala eUprava) omogočala priklic oziroma seznanitev z lastnimi osebnimi podatki o vseh nepremičninah, pri katerih je vknjižena lastninska pravica v njegovo korist in ob izrecni zahtevi uporabnika tudi polnjenje njegove elektronske vloge, ki jih je mogoče izpolnjevati na portalu eUprava. V začetni fazi bi bilo tako mogoče podatke o lastništvu nepremičnin, uporabiti za potrebe prijave o premoženjskem stanju zavezanca Komisiji za preprečevanje korupcije (v nadaljevanju KPK) po Zakonu o integriteti in preprečevanju korupcije (v nadaljevanju ZintPK), kasneje pa bi se lahko dodale tudi nove vloge, ki jih mora uporabnik portala eUprava napolniti s podatki o lastništvu nepremičnin. S strani MJU vam je bil posredovan osnutek dogovora, v katerem je v zvezi z ureditvijo pravnih razmerij, ki se nanašajo na varstvo osebnih podatkov, med VSRS in MJU vzpostavljeno razmerje pogodbene obdelave. Ob tem vas je MJU tudi seznanilo s stališči IP, ki so bila zavzeta na sestankih pri dogovarjanju z drugimi upravljavci (MNZ), katerih podatki se posameznikom v smislu vpogleda v lastne osebne podatke že zagotavljajo prek portala eUprava (priložena zapisnika iz leta 2014 in 2015). V nadaljevanju izpostavljate po vaši oceni ključne okoliščine, ki opredeljujejo vaše razmerje z MJU pri posredovanju podatkov iz eZK na eUpravo. Posameznik kot uporabnik portala eUprava, modula Moja eUprava, ki se izkaže z ustreznim sredstvom identifikacije in ki sprejme splošne pogoje poslovanja portala, poda zahtevo za prikaz seznama nepremičnin, pri katerih je vknjižena lastninska pravica v korist imetnika, če je pri tem imetniku v informatizirani zemljiški knjigi vpisan podatek o EMŠO. Seznanitev posameznika z lastnimi osebnimi podatki iz informatizirane glavne knjige zemljiške knjige obsega prikaz teh podatkov na portalu eUprava kot tudi prikaz v obliki, ki omogoča napolnitev podatkov v elektronsko vlogo za KPK. MJU prevzema podatke iz eZK z uporabo IS Pladenj z asinhronim klicem. eUprava želi klic posameznika za seznanitev z lastnimi osebnimi podatki iz zemljiške knjige implementirati na način, da se po opravljeni poizvedbi njegovi podatki shranijo v sef, kjer so mu na voljo ob naslednji prijavi z opozorilom, kdaj so bili nazadnje osveženi. Pri polnjenju podatkov v vlogo KPK pa se vloga posameznika z relevantnimi podatki shrani v njegov predal na portalu eUprava le ob njegovi izrecni zahtevi. Navedeno pomeni, da bi se na portalu eUprava dejansko hranili rezultati poizvedb v eZK z vsebinami, ki imajo po 199. členu Zakonu o zemljiški knjigi (v nadaljevanju ZZK-1) status zaščitenih izpisov. VSRS pa bi kot upravljavec teh podatkov nosil odgovornosti, ki iz tega statusa izhajajo. Glede na opisano niste prepričani, da pravni odnos pogodbene obdelave omogoča jasnost razmerja med VSRS kot upravljavcem izvornih podatkov, ki ima pravno podlago za posredovanje predmetnih podatkov posamezniku (199.a člen ZZK-1) in MJU kot subjektom, ki naj bi zagotavljal (
- le)delovanje portala in storitve končnemu uporabniku (34.a člen ZDU-1). Sprašujete se, kako glede na dejanska razmerja med deležniki jasno in pravno vzdržno razmejiti medsebojne odgovornosti ter odgovornosti nasproti posameznikom, pri čemer se jasno zavedate vaših obveznosti, ki vam jih status upravljavca v razmerju pogodbene obdelave nalaga. Zanima vas, v kateri točki prenosa podatkov do posameznika, VSRS ne gre več šteti za upravljavca osebnih podatkov. Zdi se, da bi tovrstna obdelava podatkov (vsaj v delu, kjer gre za shranjevanje podatkov v e-sef oz. posameznikov predal) s strani MJU terjala lastno zakonsko pravno podlago, ki bi omogočala jasno opredelitev položaja MJU kot upravljavca predmetnega portala tudi z vidika upravljanja z osebnimi podatki in s tem povezanimi odgovornostmi. Ob tem ni zanemarljivo, da gre za državni storitveni portal za zagotavljanje elektronskih storitev za državljane, katerega pomen se bo v prihodnosti gotovo še krepil. Pri proučitvi predloga dogovora se vam je zastavilo vprašanje, ali je ureditev vaših razmerij s pogodbeno obdelavo res ustrezna pot. Ker si želite pri povezovanju med eZK in eUpravo vzpostaviti zakonita in dolgoročno vzdržna razmerja, IP pred dokončno realizacijo projekta kot organ, pristojen za nadzor nad predpisi s področja varstva osebnih podatkov, prosite za neobvezujoče mnenje ter skupni sestanek, na katerem bi skupaj z MJU še dodatno pojasnili delovanje portala eUprava ob predvideni povezavi z eZK. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s členom 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP), posredujemo neobvezno mnenje IP v zvezi vašim zgoraj navedenim dopisom. IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov ter da je pri IP v teku inšpekcijski postopek, v okviru katerega IP preverja obdelavo osebnih podatkov z uporabo IS Pladenj. Eden glavnih poudarkov tega inšpekcijskega postopka je ravno razjasnitev in opredelitev vlog med posameznimi deležniki, torej med MJU in upravljavci, ki prek sistema zagotavljajo določene storitve, kjer je v smislu zakonodaje s področja varstva osebnih podatkov, konkretno Splošne uredbe, treba razmejiti med vlogami upravljavcev, morebitnih skupnih upravljavcev ali obdelovalcev (če obstajajo). Šele po razjasnitvi teh vprašanj lahko pride na vrsto izbira pravega instrumenta za ureditev razmerij med udeleženci, zaradi česar IP konkretnejših odgovorov na vaša vprašanja pred zaključkom omenjenega postopka ne more podati. V obravnavanem primeru je pri razjasnitvi in opredelitvi vlog med posameznimi deležniki potrebno izhajati iz določb Zakona o državni upravi (Uradni list RS, št. 113/05 – UPB, s sprem.; v nadaljevanju ZDU), kjer je v prvem odstavku 74.a člena določeno, da je ministrstvo, pristojno za javno upravo, v državni upravi pristojno za upravljanje informacijsko komunikacijske infrastrukture, razvoj skupnih informacijskih rešitev ter njihovo tehnološko, procesno in organizacijsko skladnost s centralnim informacijsko komunikacijskim sistemom, izvajanje enotne informacijske varnostne politike ter načrtovanje in upravljanje vseh proračunskih virov na teh področjih. V petem odstavku istega člena je še določeno, da MJU zagotavlja storitve centralnega informacijsko komunikacijskega sistema, elektronsko podporo upravnim ter drugim postopkom in razvoj skupnih informacijskih rešitev za elektronsko poslovanje državnih organov, javnih agencij, organov lokalnih skupnosti in nosilcev javnih pooblastil. Upoštevati je potrebno tudi določbe 34.a člena ZDU, ki med naloge MJU med drugim uvršča tudi naloge upravljanja z informacijsko komunikacijskimi sistemi in zagotavljanja elektronskih storitev javne uprave, zagotavljanja delovanja državnega portala eUprava, varnih predalov ter centralne storitve za spletno prijavo in elektronski podpis. Kot izhaja iz vašega zgoraj navedenega dopisa in priložene dokumentacije, je treba v opisanem primeru v okviru razjasnitve in opredelitev vlog med posameznimi deležniki narediti tudi ločnico med zagotavljanjem pravice posameznika do dostopa do osebnih podatkov, ki se vodijo v eZK in se nanašajo nanj ter med hrambo tako pridobljenih podatkov v e-sefu oziroma posameznikovem predalu. Zagotavljanja pravice posameznika do dostopa do osebnih podatkov, ki se nanašajo nanj IP je v zvezi z zagotavljanjem pravice posameznika do dostopa do osebnih podatkov, ki se nanašajo na nanj in se vodijo v zbirkah različnih upravljavcev, že zavzel stališče, da lahko upravljavec zbirke osebnih podatkov takšno zagotavljanje dostopa do lastnih osebnih podatkov zagotavlja bodisi sam, ali pa takšno storitev dostopa zaupa obdelovalcu (subjektu, ki obdeluje osebne podatke v imenu upravljavca). V primeru, ko se takšen dostop do lastnih osebnih podatkov posameznikom zagotavlja preko enotne informacijsko komunikacijske infrastrukture, ki jo določen subjekt v okviru svojih z zakonom določenih nalog zagotavlja za različne upravljavce, je mogoče v tem delu takšne subjekte šteti kot skupne upravljavce (26. člen Splošne uredbe), pri čemer pa je takšen način še vedno mogoče opredeliti kot zagotavljanje pravice posameznika do dostopa do osebnih podatkov, ki se nanašajo na posameznika in katero posamezniku zagotavljata 15. člen Splošne uredbe ter 38. člen Ustave Republike Slovenije. Skladno s členom 26 Splošne uredbe govorimo o skupnem upravljavstvu takrat, ko dva ali več upravljavcev skupaj določijo namene in načine obdelave. Skupni upravljavci na pregleden način z medsebojnim dogovorom določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s to uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14 Splošne uredbe, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Z dogovorom se lahko določi kontaktna točka za posameznike, na katere se nanašajo osebni podatki. Informacijski pooblaščenec je o skupnem upravljavstvu izdal tudi priročno infografiko: https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/skupni_upravljavci.pdf. O obdelovalcu pa govorimo takrat, ko upravljavec posamezna opravila obdelave osebnih podatkov s pogodbo ali drugim pravnim aktom iz tretjega odstavka člena 28 Splošne uredbe prenese na subjekt, ki v imenu in v skladu s pooblastili in dokumentiranimi navodili izvaja obdelavo v imenu upravljavca. Takšen prenos pooblastil na obdelovalca se lahko izvede na način, da se obdelava osebnih podatkov s strani obdelovalca uredi v pogodbi ali drugem pravnem aktu, v katerem se določi vsebina in trajanje obdelave, narava in namen obdelave, vrste osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki ter obveznosti in pravice upravljavca. Minimalni obseg sestavin, ki ga mora vsebovati pogodba ali drug pravni akt, s katerim se določajo pravice in obveznosti upravljavca, je določen v tretjem odstavku člena 28 Splošne uredbe, kjer je določeno, da obdelovalec: lahko osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca, zagotovi, da so osebe, ki so pooblaščene za obdelavo osebnih podatkov, zavezane k zaupnosti ali jih k zaupnosti zavezuje ustrezen zakon; sprejme vse ukrepe, potrebne za varnost osebnih podatkov v skladu z 32. členom Splošne uredbe; zaposli drugega obdelovalca le, če je prej pridobil posebno ali splošno pisno dovoljenje upravljavca in da zagotovi, da veljajo med obdelovalcem in pod-obdelovalcem enake obveznosti kot med upravljavcem in obdelovalcem in da je med njima sklenjena pisna pogodba; upravljavcu pomaga pri izpolnjevanju njegovih obveznosti, da odgovori na zahteve za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki; upravljavcu pomaga pri zagotavljanju varnosti obdelave osebnih podatkov, uradnem obveščanju o kršitvah in oceni učinkov na varstvo osebnih podatkov; po zaključku storitve obdelave izbriše ali vrne vse osebne podatke upravljavcu (razen kadar hrambo predpisuje zakon); da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz člena 28 Uredbe, ter upravljavcu ali drugemu revizorju, ki ga pooblasti upravljavec, omogoči izvajanje revizij, tudi pregledov, in pri njih sodeluje. Upravljavec in obdelovalec si lahko pri pripravi pogodbe ali drugega pravnega akta pomagata s standardnimi pogodbenimi določili, ki jih je na podlagi osmega odstavka člena 28 Splošne uredbe sprejel IP in odobril Evropski odbor za varstvo osebnih podatkov (EDPB). Standardna pogodbena določila so dostopna na spletnih straneh IP, na naslovu: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Standardna_pogodbena_dolocila_-_clen_28_15jul2020.pdf V zvezi z zgoraj omenjeno razmejitvijo vlog je Evropski odbor za varstvo podatkov (EOVP) izdal Smernice o konceptu upravljavca in obdelovalca po Splošni uredbi, ki so dostopne na eppb_guidelines_202007_controllerprocessor_final_en.pdf (europa.eu). Glede na to, da jih je sprejel organ, ki združuje vse nadzorne organe za varstvo podatkov v EU in je med drugim zadolžen za podajanje mnenj in usmeritev pri interpretaciji določb Splošne uredbe, so dokumenti EOVP bistvenega pomena pri skupnem razumevanju tega področja. Poleg vsebinske preučitve omenjenih Smernic vam priporočamo, da si ogledate tudi zelo praktično Prilogo 1 Smernic, in sicer Shemo za uporabo konceptov upravljavca, obdelovalca in skupnih upravljavcev v praksi. Hramba pridobljenih podatkov s strani posameznika v e-sefu oziroma v posameznikovem predalu MJU bi v primeru, ko bi posameznikom omogočil, da osebne podatke, s katerimi se prek portala eUprava z uporabo IS Pladenj seznanijo na podlagi člena 15 Splošne uredbe, shranijo v zbirko osebnih podatkov (e-sef oziroma v poseben posameznikov predal), pridobil status subjekta, ki sam ali skupaj z drugimi določa namene in sredstva obdelave, ter s tem postal upravljavec (7. točka člena 4 Splošne uredbe) oz. skupni upravljavec in bi zato za takšno hrambo oziroma obdelavo osebnih podatkov moral imeti katero od pravnih podlag iz člena 6 Splošne uredbe. K zgoraj navedenemu velja še opozoriti, da bi v primeru, ko se osebni podatki, ki bi jih posameznik iz različnih uradnih evidenc in javnih knjig pridobil prek portala eUprava z uporabo IS Pladenj, po prevzemu podatkov s strani posameznika ne bi izbrisali, pač pa bi se bodisi avtomatsko ali na zahtevo posameznika shranili v novo zbirko osebnih podatkov (npr. v e-sefu), takšno ravnanje že lahko pomenilo tudi povezavo zbirk osebnih podatkov v smislu v smislu 6. poglavja VI. dela ZVOP-1, kar pomeni, da bi morali upravljavci zbirk, iz katerih bi se podatki pridobivali, ter upravljavec zbirke, v kateri bi se osebni podatki hranili, izpolniti tudi pogoje, ki jih v zvezi s povezavo zbirk osebnih podatkov določa še vedno veljavno 6. poglavje VI. dela ZVOP-1. **** Iz zgoraj pojasnjenega torej izhaja, da bosta morala VSRS in MJU, ob upoštevanju zgoraj navedenih členov Splošne uredbe, najprej razjasniti in opredeliti medsebojne vloge na način, da najprej razjasnita, v katerem delu kateri od njih nastopa v vlogi upravljavca, skupnega upravljavca ali obdelovalca in kaj so pravne podlage za obdelavo, po razjasnitvi teh vprašanj pa pride na vrsto izbira pravega instrumenta za ureditev medsebojnih razmerij v smislu pogodbe, dogovora ali drugega pravnega akta iz 26. in/ali 28. člena Splošne uredbe. Takšen pravni akt se po mnenju IP skladno s členi 15, 26 in 28 Splošne uredbe lahko šteje kot pravni akt, s katerim VSRS kot upravljavec eZK posameznikom ob pomoči MJU prek portala eUprava z uporabo IS Pladenj zagotavlja pridobitev osebnih podatkov, ki se nanašajo na nanj in se vodijo v eZK, in sicer na način, da se posamezniku omogoči prikaz teh podatkov na portalu eUprava ter na podlagi izrecne zahteve tudi prikaz v obliki, ki omogoča napolnitev podatkov v elektronsko vlogo za KPK. Pogodba, dogovor, ali drug pravni akt iz člena 26. ali 28 Splošne uredbe, pa po mnenju IP ne more nadomestiti pravne podlage za hrambo podatkov, ki si jih je posameznik pridobil na podlagi člena 15 Splošne uredbe, v e-sefu oziroma v posebnem posameznikovem predalu, saj to terja posebno pravno podlago iz prvega odstavka člena 6 Splošne uredbe. V primeru, da bi MJU zagotovil takšno pravno podlago, bi se odgovornost VSRS z vidika zakonitosti in zagotavljanja varnosti osebnih podatkov skladno z ustreznim dogovorom lahko končala v trenutku, ko bi posameznik dobljene podatke prenesel v e-sef oziroma svoj predal, ki ga zagotavlja MJU, vendar pa bi se morala oba upravljavca tudi v takšnem primeru dogovoriti glede zagotavljanja informacij posameznikom iz člena 13 in 14 ter uresničevanja pravic posameznika v zvezi z uresničevanjem njegovih pravic iz členov 15 do 22 Splošne uredbe. Za nadaljnja pojasnila glede delovanja portala eUprava ter s tem povezanim prevzemanjem in hrambo podatkov iz eZK je pred dokončno realizacijo projekta ob predhodnem dogovoru sicer možen tudi skupni sestanek med IP, VSRS in MJU, pri čemer pa IP opozarja, da pred zaključkom zgoraj omenjenega inšpekcijskega postopka ne more podajati konkretnejših pojasnil. Lep pozdrav, Pripravil: Jože Bogataj, namestnik informacijske pooblaščenke Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026