Zaščita finančnih interesov Unije + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.10.2022 Številka: 07120-1/2022/348 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za dodatna pojasnila glede mnenja o zagotovitvi podatkov za zaščito finančnih interesov Unije. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP vam svetuje, da glede na zasledovane cilje natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. Glede na to bo potem lažje presoditi, za kakšne vrste obdelave osebnih podatkov gre v konkretnem primeru. V kolikor potrdite, da bi v konkretnem primeru dejansko šlo za povezovanje osebnih podatkov in bi se le-to izvedlo s pomočjo matične številke poslovnega subjekta, za izvedbo takšnega povezovanja ni treba pridobiti odločbe oziroma predhodnega dovoljenja IP. O b r a z l o ž i t e v: IP uvodoma ponovno poudarja, da v okviru nezavezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali drugem upravnem postopku. IP k pojasnilom, ki so vam bila posredovana dne
- 2022 (dokument številka: 07120-1/2022/220), dodatno pojasnjuje, da je IP nadzorni in prekrškovni organ, ki se do nameravanih (bodočih) obdelav osebnih podatkov ne sme opredeljevati, ampak lahko nudi le splošne usmeritve in interpretacijo zakonodaje na načelni ravni. IP ob tem ponovno izpostavlja, da je Uredba (EU) 2021/241 Evropskega parlamenta in Sveta z dne
- februarja 2021 o vzpostavitvi Mehanizma za okrevanje in odpornost v celoti zavezujoča in se neposredno uporablja v vseh državah članicah EU. Kot taka bi eventualno lahko predstavljala pravno podlago za povezovanje zbirk osebnih podatkov, vendar IP tega v okviru nezavezujočega mnenja ne more dokončno presojati. IP splošno pojasnjuje tudi, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po
- členu ZVOP-1 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to torej šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Za povezovanje v širšem smislu gre po mnenju IP tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk. Glede pridobivanja osebnih podatkov po
- členu ZVOP-1 pa IP pojasnjuje, da mora pooblaščena oseba upravljavca, ki želi osebne podatke pridobiti iz druge, že obstoječe zbirke osebnih podatkov, z ustrezno identifikacijo posebej vstopiti v to drugo zbirko ter za tem v tej zbirki z vnosom iskalnega kriterija pridobiti potrebne osebne podatke, pri čemer pa se tako pridobljeni osebni podatki v drugo zbirko ne vključijo samodejno, pač pa mora to storiti pooblaščena oseba ročno, npr. s prepisom, kopiranjem ali pa s sprožitvijo posebnega ukaza. Na drugi strani pa pri povezavi zbirk osebnih podatkov v širšem smislu pooblaščena oseba upravljavca pri delu s svojo zbirko v iskalnik enostavno vpiše iskalni kriterij (npr. EMŠO), sistem pa ji za tem iz povezanih zbirk samodejno prikliče in pridobi še ostale osebne podatke (npr. osebno ime, naslov prebivališča, ipd.), ki se jih zatem lahko vključi v zbirko, iz katere je bil opravljen priklic podatkov. Pri tem se podatki ažurirajo samo v zbirki, v katero pooblaščena oseba neposredno dostopa, ne pa tudi v drugih povezanih zbirkah. Podatki se pri tem ažurirajo samo v času poizvedbe, kasnejša sprememba podatkov v izvorni zbirki pa se ne odrazi s spremembo podatkov v povezanih zbirkah. IP vam zato sklepno svetuje, da glede na zasledovane cilje in zgornja pojasnila natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. Glede na to bo potem lažje presoditi, za kakšne vrste obdelave osebnih podatkov gre v konkretnem primeru (posredovanje, pridobivanje, povezovanje). V kolikor na ta način ugotovite, da bi v konkretnem primeru šlo za posredovanje oziroma pridobivanje osebnih podatkov, ne obstajajo nobene vaše obveznosti v razmerju do IP. V kolikor pa na ta način potrdite, da bi v konkretnem primeru dejansko šlo za povezovanje osebnih podatkov, pa IP glede na navedbe v vašem zaprosilu za mnenje, iz katerih izhaja, da se namerava želeno povezovanje izvesti s pomočjo matične številke poslovnega subjekta, pojasnjuje, da za izvedbo takšnega povezovanja ni treba pridobiti odločbe oziroma predhodnega dovoljenja IP za vzpostavitev nameravane povezave zbirk osebnih podatkov, saj se matična številka poslovnega subjekta po mnenju IP ne more šteti kot isti povezovalni znak iz
- točke
- člena ZVOP-1, ker ne pomeni enolične identifikacijske številke posameznika, ampak gre za identifikacijsko številko poslovnega subjekta. Prav tako iz določb obeh uredb, navedenih v mnenju št. 07120-1/2022/220, in navedb v vašem zaprosilu za mnenje ne izhaja, da bi zbirke osebnih podatkov, ki naj bi se jih povezovalo, vsebovale občutljive osebne podatke, niti ne bi povezovanje imelo za posledico razkritje občutljivih podatkov. IP zato meni, da bi bilo v tem primeru tako treba upoštevati drugi odstavek
- člena ZVOP-1, ki določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026