Tehnična izvedba prenosa osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.12.2022 Številka: 07120-1/2022/439 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pravne podlage, Pridobivanje OP iz zbirk, Zbirke osebnih podatkov Informacijski pooblaščenec (IP) je dne
- 2022 prejel vaš zgoraj navedeni dopis, v katerem navajate, da je MIZŠ po dveh izdanih mnenjih in sestankom z IP glede zbiranja in obdelave osebnih podatkov v zvezi z nadaljnjim izobraževanjem strokovnih delavcev, ki jih zbirajo javni zavodi po
- členu ZOFVI, za izvedbo prepisa podatkov iz evidenc javnih zavodov v evidenco nadaljnjega izobraževanja in usposabljanja ministrstva (Katis), zunanjemu izvajalcu naročilo pripravo tehnične rešitve. Rešitev predvideva prepis osebnih podatkov (ime, priimek, datum rojstva, vzgojno-izobraževalni zavod zaposlitve, podatki o udeležbi v programu, davčna številka, e-naslov, telefonska številka) s pomočjo tekstovne datoteke. Javni zavodi bodo v Katisu dobili vlogo uporabnika za uvoz datotek. V Katis bodo lahko vstopali le z digitalnim potrdilom. Predhodno pripravljene datoteke bodo po prijavi lahko uvozili v Katis. Pri uvozu se najprej preveri ali program oz. izpeljava že obstaja. Če ne se doda nov program/izpeljava. Nato Katis preveri ali podatki o udeležencih (na podlagi davčne številke udeležencev) že obstajajo v Katisu. Udeležence, ki še niso v Katisovi bazi, se doda v bazo. Zatem se dodaja udeležence na program oz. izpeljavo. Udeležencem se napolnijo skupni podatki na dosjejih. V kolikor pride do umika soglasja pri udeležencih, JZ popravi datoteko in jo ponovno uvozi. Pri ponovnem uvozu se najprej pobrišejo predhodni podatki na programu in se popravljeno datoteko uvozi, kot je opisano zgoraj. Dopisu ste priložili podrobnejši opis tehnične rešitve ter izjavo udeleženca programa nadaljnjega izobraževanja in usposabljanja o obdelavi osebnih podatkov. IP pred začetkom izvedbe rešitve prosite za mnenje, ali opisana rešitev posredovanja osebnih podatkov ni nezakonita in, da torej ne gre za povezovanje osebnih podatkov, temveč le za posredovanje. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP), posredujemo neobvezno mnenje IP v zvezi vašim zgoraj navedenim dopisom. IP meni, da opisana rešitev uvoza oziroma vnosa osebnih podatkov v evidenco nadaljnjega izobraževanja in usposabljanja ministrstva (Katis), ne bo v neskladju z določbami Splošne uredbe in ZVOP-
- Opisana obdelava osebnih podatkov se bo izvajala na podlagi privolitve posameznika, na katerega se nanašajo osebni podatki, pri opisanem uvozu osebnih podatkov pa glede na opisano tehnično rešitev po oceni IP ne bo šlo za povezovanje zbirk osebnih podatkov, temveč za posredovanje in vnos osebnih podatkov iz zbirk osebnih podatkov javnih zavodov v evidenco nadaljnjega izobraževanja in usposabljanja (Katis), ki jo vodi pristojno ministrstvo. O b r a z l o ž i t e v: IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov, prav tako pa izven upravnega postopka tudi ni pristojen podajati soglasij k predstavljenim rešitvam v zvezi z obdelavo osebnih podatkov. Zaradi tega vam v zvezi z opisano rešitvijo uvoza osebnih podatkov iz evidenc javnih zavodov v evidenco nadaljnjega izobraževanja in usposabljanja ministrstva (Katis) posredujemo zgolj naše nezavezujoče mnenje. Kot je IP že opozoril na sestanku in v svojih predhodnih mnenjih št. 07120-1/2021/307 z dne
- 2021 in št. 07120-1/2022/88 z dne
- 2022, bi bilo glede na to, da gre v predstavljenem primeru za zbiranje in nadaljnjo obdelavo osebnih podatkov, ki bi jo izvajal državni organ (MIZŠ), pridobivanje in hranjenje osebnih podatkov o udeležencih nadaljnjega izobraževanja in usposabljanja potrebno urediti v področnem zakonu, npr. v ZOFVI, in sicer na način, kot to določa tretji odstavek člena 6 Splošne uredbe, torej da se v zakonu določijo: splošni pogoji za zakonitost obdelave s strani upravljavca; vrste podatkov, ki se obdelujejo; zadevne posameznike, na katere se nanašajo osebni podatki; subjekte, katerim se osebni podatki lahko razkrijejo, in namene, za katere se lahko razkrijejo; omejitve namena; obdobja hrambe; ter dejanja in postopke obdelave, vključno z ukrepi za zagotovitev zakonite in poštene obdelave. IP je na sestanku in v svojih predhodnih mnenji tudi opozoril, da je osebna privolitev posameznika sicer res ena od možnih pravnih podlag za obdelavo osebnih podatkov, ki jih določa člen 6
(1)Splošne uredbe, vendar pa je lahko v predstavljenem primeru zaradi obdelave, ki jo bo izvajal državne organ, po mnenju IP le začasna in zasilna rešitev, saj se mora ministrstvo kot upravljavec zavedati, da lahko posameznik, na katerega se osebni podatki nanašajo, privolitev za obdelavo svojih določenih osebnih podatkov kadar koli prekliče, upravljavec pa mora po preklicu privolitve v primeru, kadar za obdelavo njegovih osebnih podatkov ne obstaja nobena druga pravna odlaga, njegove osebne izbrisati iz zbirke osebnih podatkov. Povezava zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov, vendar pa ZVOP-1 in Splošna uredba za razliko od Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20; ZVOPOKD), ki pa se v obravnavanem primeru ne uporablja, ne definirata pomena izraza »povezava zbirk osebnih podatkov«, kar lahko v praksi predstavlja velik problem. IP je zato pomen izraza »povezava zbirk osebnih podatkov« v smislu določb
- poglavja VI. dela ZVOP-1 opisal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi«, kjer je navedel, da se za povezovanje zbirk osebnih podatkov šteje avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. Povezavo zbirk osebnih podatkov je v praksi v mnogih primerih težko razlikovati od pridobivanja in posredovanja osebnih podatkov iz že obstoječih zbirk osebnih podatkov po
- členu ZVOP-1, ki se izvede preko telekomunikacijskega sredstva ali omrežja. Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca ali uporabnika osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po
- členu ZVOP-1 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik ali upravljavec osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Iz posredovane dokumentacije in vaših pojasnil izhaja, da bodo podatke o dodatnem izobraževanju in usposabljanju o tistih udeležencih, ki so podali soglasje za prepis osebnih podatkov v evidenco nadaljnjega izobraževanja in usposabljanja (Katis), ki jo vodi ministrstvo, v Katis vnašali javni zavodi. Javni zavodi bodo osebne podatke v Katis vnašali na način, da bodo v Katis vstopili z digitalnim potrdilom in za tem vanj z uporabo funkcije »Uvoz datoteke javnih zavodov« uvozili tekstovno datoteko z osebnimi podatki, ki jo bodo predhodno pripravili v določeni strukturi. V opisanem primeru tako po mnenju IP ne bo šlo za povezavo zbirk osebnih podatkov, saj se evidenca nadaljnjega izobraževanja in usposabljanja (Katis) ter evidenca javnega zavoda pri uvozu oziroma vnosu osebnih podatkov med sabo ne bosta povezali, pač pa bo javni zavod osebne podatke iz svoje zbirke v evidenco nadaljnjega izobraževanja in usposabljanja (Katis) uvozil oziroma posredoval na način, da bo moral pred tem neposredno vstopiti v Katis, osebne podatke, ki izvirajo iz evidence javnega zavoda, pa bo za tem v Katis uvozil oziroma posredoval s pomočjo tekstovne datoteke, ki jo bo predhodno pripravi v določeni strukturi. Kot pravna podlaga za takšen uvoz oziroma posredovanje osebnih podatkov v evidenco nadaljnjega izobraževanja in usposabljanja (Katis) se bo štela osebna privolitev posameznika (točka (a) člena 6
(1)Splošne uredbe), ki jo bo lahko posameznik, na katerega se osebni podatki nanašajo, kadar koli preklical, pri čemer pa takšen preklic ne bo vplival nana zakonitost obdelave na podlagi privolitve pred njenim preklicem. Kot izhaja iz predstavljene rešitve, je ministrstvo takšno možnost preklica privolitev in s tem povezano ažuriranje podatkov v evidenci nadaljnjega izobraževanja in usposabljanja (Katis) v opisani rešitvi že upoštevalo. Lep pozdrav, Pripravil: Jože Bogataj, namestnik informacijske pooblaščenke Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026