Pridobivanje podatkov s strani pooblaščenega podjetja občin - IPRS

Pridobivanje podatkov s strani pooblaščenega podjetja občin + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.12.2009 Številka: 0712-543/2009/2 Kategorije:Občine --> Kategorije: Občine Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaše zgoraj navedeno zaprosilo, v katerem navajate, da je bila s strani podjetja, ki vzdržuje prostorski informacijski sistem občin, in nekaterih občin, ki so v ta informacijski sistem vključene, izražena želja po poenostavitvi in racionalizaciji postopkov naročanja, prevzemanja in posredovanja geodetskih podatkov za javne namene, v obliki posebnega dogovora, ki bi se sklenil med Geodetsko upravo Republike Slovenije in podjetjem. Ker sedaj podatke naročajo občine vsaka posebej večkrat na leto (do pridobitve osebnih podatkov so upravičene na podlagi 21a. člena Zakona o lokalni samoupravi – ZLS (Uradni list RS, št. 94/2007 – u.p.b., 27/2008 – Odločba US, 76/2008 in 79/2009) in morajo ob vsakem naročilu podatkov podpisati izjavo o varovanju osebnih podatkov), bi predstavljalo veliko poenostavitev, če bi podatke v imenu občin naročalo in pridobivalo podjetje, ki podatke vključuje v prostorski informacijski sistem občin. Ob prvem naročilu podatkov bi podjetje priložilo fotokopije pooblastil vseh občin, v imenu katerih bi se podatki naročali in pridobivali, ob vsakem naslednjem naročilu pa bi priložilo fotokopije pooblastil le na novo dodanih občin. Priloga vsakega pooblastila bi bila izjava o varovanju osebnih podatkov, podpisana s strani posamezne občine. Podjetje bi se v dogovoru zavezalo, da bo pri uporabi podatkov upoštevalo pogoje Geodetske uprave Republike Slovenije glede uporabe geodetskih podatkov (pogoji uporabe so priloga vzorca naročila digitalnih podatkov, ki je pripet temu sporočilu) ter da bo osebne podatke varovalo v skladu z Zakonom o varstvu osebnih podatkov – ZVOP-1 (Uradni list RS, št. 94/2007 – u.p.b.) in s svojim internim Pravilnikom o zavarovanju zaupnih in osebnih podatkov, Geodetska uprava Republike Slovenije pa, da bo pripravila geodetske podatke na osnovi vsakokratnega naročila in jih posredovala podjetju za potrebe občin. V zvezi z zgoraj pojasnjenim nas prosite za mnenje:
3. Ali je opisani dogovor s stališča varovanja osebnih podatkov dopusten? Glavno vprašanje, ki se vam zastavlja v zvezi s tem, je, ali lahko podjetje naroča osebne podatke iz zbirk geodetskih podatkov v imenu in za račun občin, pri čemer imajo občine pravno podlago za pridobitev teh podatkov, samo podjetje pa je nima, ima pa pooblastila občin za naročanje, prevzemanje in posredovanje podatkov, saj so le-ti v neposredni zvezi z vzdrževanjem prostorskega informacijskega sistema občin?
4. Zastavlja se tudi vprašanje, kakšna je vloga Geodetske uprave Republike Slovenije kot upravljavca zbirk osebnih podatkov pri zavarovanju osebnih podatkov s strani podjetja in občin (ali mora na primer podjetje ob naročilu podatkov podpisati izjavo o varovanju osebnih podatkov, ki je priloga vzorca naročila digitalnih podatkov)? V nadaljevanju vam na podlagi predstavljenega stanja ter na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1-UPB1) in
7. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi zgoraj navedenimi vprašanji.
8. Podjetje, ki vzdržuje prostorski informacijski sistem občin, lahko v imenu in za račun občin od Geodetske uprave RS na podlagi
9. člena ZVOP-1-UPB1 pridobiva osebne podatke le kot pogodbeni obdelovalec. Podjetje mora kot pogodbeni upravljavec pred prevzemom podatkov Geodetski upravi RS predložiti pisno pogodbo iz drugega odstavka
10. člena ZVOP-1-UPB1, iz katere morajo biti jasno razvidna pooblastila pogodbenemu obdelovalcu v zvezi z obdelavo osebnih podatkov (torej mora biti iz pogodbe med drugim razvidno, da lahko pogodbeni obdelovalec v imenu in za račun občine od Geodetske uprave RS pridobiva določene osebne podatke), poleg tega pa mora takšna pogodba vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov. Predložitev zgolj pisnega pooblastila posamezne občine torej ne zadostuje.
11. Geodetska uprava RS mora po določbah tretjega odstavka
12. člena ZVOP-1-UPB1 za vsako posredovanje osebnih podatkov drugim pravnim ali fizičnim osebam zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni (pravni) podlagi, in sicer za obdobje petih let od dneva posredovanja podatkov. Zavarovanje osebnih podatkov, ki se posredujejo, mora Geodetska uprava RS zagotoviti le do predaje osebnih podatkov uporabniku osebnih podatkov, za nadaljnje ravnanje z osebnimi podatki s strani uporabnika pa ne odgovarja. Podpis posebne izjave ali dogovora o varovanju osebnih podatkov s strani uporabnika osebnih podatkov z vidika določb ZVOP-1-UPB1 ni nujen, je pa vsekakor zelo koristen. O b r a z l o ž i t e v: Po določbah prvega odstavka
13. člena ZVOP-1-UPB1 mora Geodetska uprava RS ob uporabi
14. in
15. člena ZVOP-1-UPB1 posredovati osebne podatke tistim pravnim ali fizičnim osebam, ki so za pridobivanje osebnih podatkov pooblaščene z zakonom. Pri tem mora skladno z določbami tretjega odstavka
16. člena ZVOP-1-UPB1 za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so se posredovali, komu, kdaj in na kakšni (pravni) podlagi in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Geodetska uprava RS mora torej pred vsakim posredovanjem osebnih podatkov drugim pravnim ali fizičnim osebam preveriti, ali za posredovanje osebnih podatkov obstaja ustrezna pravna podlaga, za tem pa mora posredovanje evidentirati na način, da je možno pozneje ugotoviti, kateri osebni podatki so se posredovali, komu, kdaj in na kakšni (pravni) podlagi. Skrajni rok za hranjenje evidence o posredovanih osebnih podatkih je 5 let, kar je v skladu z določbami Kazenskega zakonika (Uradni list RS, št. 55/08 in 66/08; v nadaljevanju: KZ-1) in Obligacijskega zakonika (Uradni list RS, št. 97/07-UPB1; v nadaljevanju: OZ). OZ, ki določa odškodninsko terjatev za škodo, povzročeno s kaznivim dejanjem, določa, da odškodninski zahtevek proti odgovorni osebi zastara, ko se izteče čas, ki je določen za zastaranje kazenskega pregona. Ker pa je za kaznivo dejanje zlorabe osebnih podatkov določen petletni absolutni zastaralni rok, velja glede hranjenja evidenc iz
17. člena ZVOP-1-UPB1 petletni rok. Vodenje evidence posredovanja osebnih podatkov uporabnikom osebnih podatkov je potrebno med drugim tudi zaradi varstva pravic posameznika, kateremu je upravljavec zbirke osebnih podatkov skladno z določbami
18. in
19. člena ZVOP-1-UPB1 v roku 30 dni od dneva prejema zahteve dolžan posredovati seznam uporabnikov, katerim so bili posredovani njegovi osebni podatki ter mu hkrati sporočiti, kdaj, na kakšni podlagi in za kakšen namen je podatke posredoval. Geodetska uprava RS lahko osebne podatke posreduje uporabniku osebnih podatkov neposredno, lahko pa mu jih posreduje tudi posredno, in sicer na način, da jih posreduje njegovemu pogodbenemu obdelovalcu. Po določbah prvega odstavka
20. člena ZVOP-1-UPB1 lahko namreč posamezna občina kot uporabnik in upravljavec osebnih podatkov posamezna opravila v zvezi z obdelavo osebnih podatkov s pogodbo zaupa pogodbenemu obdelovalcu, ki je registriran za opravljanje takšne dejavnosti in zagotavlja ustrezne postopke in ukrepe iz
21. člena tega zakona. Za pogodbenega obdelovalca se po določbah
22. točke
23. člena ZVOP-1-UPB1 šteje fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in za račun upravljavca osebnih podatkov. V drugem odstavku
24. člena ZVOP-1-UPB1 je določeno, da sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen. Medsebojne pravice in obveznosti se uredijo s pogodbo, ki mora biti sklenjena v pisni obliki in mora vsebovati tudi dogovor o postopkih in ukrepih iz
25. člena ZVOP-1-UPB
26. Upravljavec osebnih podatkov nadzoruje izvajanje postopkov in ukrepov iz
27. člena ZVOP-1-UPB
28. Iz zgoraj citiranih določb
29. člena ZVOP-1-UPB1 torej izhaja, da ZVOP-1-UPB1 upravljavcem osebnih podatkov (v konkretnem primeru posamezni občini) dovoljuje, da posamezna opravila v zvezi z obdelavo osebnih podatkov (kamor med drugim spada tudi pridobivanje, zbiranje, vpis, urejanje, shranjevanje in druga podobna opravila iz
30. točke
31. člena ZVOP-1-UPB1) zaupa enemu ali več pogodbenim obdelovalcem, pri čemer pa morajo biti izpolnjeni naslednji pogoji:
32. Pogodbeni obdelovalec mora biti registriran za opravljanje opravil oziroma dejavnosti, ki se mu poverijo s pogodbo.
33. Pooblastila pogodbenemu obdelovalcu glede opravljanja posameznih opravil v zvezi z obdelavo osebnih podatkov morajo biti v pogodbi jasno določena, saj sme pogodbeni obdelovalec opravljati posamezna opravila v zvezi z obdelavo osebnih podatkov le v okviru naročnikovih pooblastil in osebnih podatkov ne sme obdelovati za noben drug namen.
34. Pogodbeni obdelovalec mora zagotavljati ustrezne postopke in ukrepe iz
35. člena ZVOP-1-UPB1, kar pomeni, da mora zagotavljati ustrezne organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba, ter nepooblaščeno obdelavo osebnih podatkov.
36. Pogodba, v kateri so navedena pooblastila pogodbenemu obdelovalcu ter medsebojne pravice in obveznosti, mora biti obvezno sklenjena v pisni obliki in mora obvezno vsebovati tudi dogovor o postopkih in ukrepih za zavarovanje osebnih podatkov, upravljavec osebnih podatkov pa mora izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov tudi nadzorovati. V primeru, da pogodba s pogodbenim obdelovalcem ni sklenjena v pisni obliki ali pa takšna pogodba ne vsebuje tudi dogovora o postopkih in ukrepih iz
37. člena ZVOP-1-UPB1, bi to poleg kršitve določb
38. člena ZVOP-1-UPB1 pomenilo, da pogodba nima predpisane oblike in bi lahko prišla v poštev tudi določba
39. člena Obligacijskega zakonika, kjer je določeno, da je pogodba, ki ni sklenjena v predpisani obliki, nična, če iz namena predpisa, s katerim je določena oblika, ne izhaja kaj drugega. Kar zadeva pisne pogodbe med upravljavcem osebnih podatkov in pogodbenim obdelovalcem je potrebno opozoriti, da pogodbe, v katerih je določeno zgolj to, da bo izvajalec vse podatke, pridobljene na podlagi pogodbene obdelave varoval v skladu z Zakonom o varstvu osebnih podatkov ali v skladu s kakšnim drugim predpisom oziroma jih bo varoval kot poslovno skrivnost, ne zadostijo zahtevam določb iz 11.,
40. in
41. člena ZVOP-1-UPB
42. Upoštevajoč navedene določbe, mora biti namreč v pogodbah jasno določeno: s kakšnimi postopki in ukrepi mora pogodbeni obdelovalec varovati prostore, kjer se nahajajo nosilci osebnih podatkov; s kakšnimi postopki in ukrepi mora varovati sistemsko programsko in aplikativno programsko opremo, s katero se obdelujejo osebni podatki; s kakšnimi postopki in ukrepi se preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih omrežjih; s kakšnimi postopki in ukrepi se zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov ter s kakšnimi postopki in ukrepi se omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil. Poleg določitve postopkov in ukrepov za zavarovanje osebnih podatkov bi moralo biti v pogodbi ali aneksu k pogodbi določeno tudi, na kakšen način bo upravljavec osebnih podatkov pri pogodbenem obdelovalcu nadzoroval izvajanje dogovorjenih postopkov in ukrepov za zavarovanje osebnih podatkov, ter katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov, bodo opravljale takšen nadzor. V pogodbi ali aneksu bi moralo biti tudi določeno, katere osebe, ki so zaposlene pri upravljavcu osebnih podatkov oziroma pri pogodbenem obdelovalcu, lahko opravljajo posamezna opravila v zvezi z obdelavo osebnih podatkov, kakšna so njihova pooblastila v zvezi s tem ter dolžnost varovanja zaupnosti podatkov. Določeno bi moralo biti tudi to, da lahko pogodbeni obdelovalec osebne podatke, ki jih je pridobil v okviru pogodbene obdelave, tretjim osebam posreduje le na podlagi izrecnega dovoljenja upravljavca osebnih podatkov, v primerih pogostega posredovanja osebnih podatkov točno določenim uporabnikom pa je dopustno, da se v pogodbi natančno določi, katerim uporabnikom osebnih podatkov lahko pogodbeni obdelovalec posreduje določene osebne podatke tudi brez posebnega dovoljenja upravljavca osebnih podatkov ter pod kakšnimi pogoji. Iz zgoraj pojasnjenih določb
43. člena ZVOP-1-UPB1, ki se nanašajo na pogodbeno obdelavo osebnih podatkov, je v vašem primeru razvidno, da podjetje, ki vzdržuje prostorski informacijski sistem občin, lahko v imenu in za račun občin od Geodetske uprave RS na podlagi
44. člena ZVOP-1-UPB1 pridobiva osebne podatke le kot pogodbeni obdelovalec. Podjetje mora pri prevzemanju podatkov izkazati, da ga je posamezna občina dejansko pooblastila, da lahko v njenem imenu in za njen račun od Geodetske uprave RS pridobi določene osebne podatke. Zaradi tega mora podjetje kot pogodbeni obdelovalec pred ali ob prevzemu osebnih podatkov Geodetski upravi RS predložiti pisno pogodbo iz drugega odstavka
45. člena ZVOP-1-UPB1, Geodetska uprava RS pa mora pred posredovanjem osebnih podatkov v pogodbi preveriti, ali pogodbeni obdelovalec s strani občine dejansko pooblaščen, da lahko v imenu in za račun občine od Geodetske uprave pridobiva določene osebne podatke. Predložitev zgolj pisnega pooblastila posamezne občine torej ne zadostuje. V zvezi z zavarovanjem osebnih podatkov, ki se posredujejo bodisi neposredno uporabniku osebnih podatkov ali pa njegovemu pogodbenemu obdelovalcu, vam še pojasnjujemo, da mora Geodetska uprava RS zavarovanje zagotoviti le do predaje osebnih podatkov uporabniku osebnih podatkov ali njegovemu pogodbenemu obdelovalcu, za nadaljnje ravnanje z osebnimi podatki s strani uporabnika ali pogodbenega obdelovalca pa Geodetska uprava RS ne odgovarja. Podpis posebne izjave, s katero bi se uporabnik osebnih podatkov zavezal k varovanju osebnih podatkov, v ZVOP-1-UPB1 ni predviden, saj uporabnike in pogodbene obdelovalce osebnih podatkov k varovanju le teh zavezuje že sam ZVOP-1-UPB
46. Ne glede na to pa Pooblaščenec meni, daj je dogovor o varovanju osebnih podatkov med upravljavcem in uporabnikom osebnih podatkov kljub temu koristen, zlasti v primeru, ko gre za pogosto posredovanje osebnih podatkov istemu uporabniku ter se zato v takšnem dogovoru določi tudi način posredovanje osebnih podatkov in sicer tudi z namenom, da se zagotovi zavarovanje osebnih podatkov v času prenosa k uporabniku oz. njegovemu pogodbenemu obdelovalcu. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., Pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026