Dostop do t.i. distribucijskega modula za namen sporočanja spremenjene višine neprofitne najemnine

Datum

13.11.2025

Številka

07120-1/2025/500

Kategorije

Posredovanje osebnih podatkov, Pravne podlage, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede pravne podlage občin, stanovanjskih skladov in neprofitnih stanovanjskih organizacij za dostop do t.i. distribucijskega modula za namen sporočanja spremenjene višine neprofitne najemnine.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe je zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

IP svetuje, da glede na zasledovane cilje in zgornja pojasnila natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. Glede na to bo potem lažje presoditi, za kakšne vrste obdelave osebnih podatkov gre v konkretnem primeru (posredovanje oziroma pridobivanje, povezovanje). V kolikor bi šlo za povezovanje, je treba opraviti oceno, ali gre za zbirke osebnih podatkov iz prvega odstavka 87. člena ZVOP-2. V kolikor je temu tako, je treba zagotoviti ustrezno zakonsko podlago za takšno povezovanje in izpolniti tudi druge zahteve iz 87. člena ZVOP-2, torej izdelati oceno učinka v zvezi z varstvom podatkom in se posvetovati z nadzornim organom.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako v okviru neobvezujočega mnenja ne more presojati ustreznosti konkretne rešitve, ki jo opisujete v vašem zaprosilu za mnenje.

IP splošno pojasnjuje, da mora imeti upravljavec (v konkretnem primeru subjekti, ki jih naštevate v vašem zaprosilu za mnenje) za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Za vsako obdelavo osebnih podatkov je torej treba zagotoviti eno od navedenih pravnih podlag. Izbira pravne podlage in odgovornost za ustreznost te izbire je na samem upravljavcu. IP ob tem opozarja tudi na določbo drugega odstavka 6. člena ZVOP-2, ki določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. V zakonu (in ne podzakonskem aktu, npr. pravilniku) je torej treba opredeliti vse navedene elemente iz drugega odstavka 6. člena ZVOP-2. IP tako opozarja, da se s pravilnikom lahko podrobneje predpiše posamezna pravila o tehnični izvedbi posameznih postopkov in tudi morebitnih obdelav osebnih podatkov znotraj teh postopkov, nikakor pa se ne sme na ta način določati elementov iz 6. člena ZVOP-2.

IP pojasnjuje, da ZVOP-2 pojem »povezovanje zbirk podatkov« opredeljuje v 12. točki drugega odstavka 5. člena ZVOP-2 kot avtomatsko in elektronsko povezovanje zbirk, ki jih upravljajo upravljavci za različne namene ali po različnih pravnih podlagah, in sicer tako, da se določeni osebni podatki samodejno prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk, tudi če se izvaja le enosmeren pretok osebnih podatkov; zbirke so povezane, če se določeni osebni podatki iz ene zbirke neposredno vključijo v drugo zbirko in se tako druga zbirka poveča ali posodobi ali pa se osebni podatki v njej zaradi točnosti spremenijo. Povezovanje se torej izvede tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko.

IP splošno pojasnjuje tudi, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po 39. členu ZVOP-2 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to torej šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Za povezovanje v širšem smislu gre po mnenju IP tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk.

Glede pridobivanja osebnih podatkov pa IP pojasnjuje, da mora pooblaščena oseba upravljavca, ki želi osebne podatke pridobiti iz druge, že obstoječe zbirke osebnih podatkov, z ustrezno identifikacijo posebej vstopiti v to drugo zbirko ter za tem v tej zbirki z vnosom iskalnega kriterija pridobiti potrebne osebne podatke, pri čemer pa se tako pridobljeni osebni podatki v drugo zbirko ne vključijo samodejno, pač pa mora to storiti pooblaščena oseba ročno, npr. s prepisom, kopiranjem ali pa s sprožitvijo posebnega ukaza. Na drugi strani pa pri povezavi zbirk osebnih podatkov v širšem smislu pooblaščena oseba upravljavca pri delu s svojo zbirko v iskalnik enostavno vpiše iskalni kriterij (npr. EMŠO), sistem pa ji za tem iz povezanih zbirk samodejno prikliče in pridobi še ostale osebne podatke (npr. osebno ime, naslov prebivališča, ipd.), ki se jih zatem lahko vključi v zbirko, iz katere je bil opravljen priklic podatkov. Pri tem se podatki ažurirajo samo v zbirki, v katero pooblaščena oseba neposredno dostopa, ne pa tudi v drugih povezanih zbirkah. Podatki se pri tem ažurirajo samo v času poizvedbe, kasnejša sprememba podatkov v izvorni zbirki pa se ne odrazi s spremembo podatkov v povezanih zbirkah.

IP pojasnjuje, da ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

Zakon o uveljavljanju pravic iz javnih sredstev (Uradni list RS, št. 62/10, s spremembami in dopolnitvami; v nadaljevanju: ZUPJS) v prvem odstavku 49. člena določa, da se za potrebe odločanja o pravicah iz javnih sredstev, načrtovanje politike povečevanja socialne vključenosti, spremljanje stanja ter za znanstvenoraziskovalne in statistične namene vodi informatizirana zbirka podatkov, ki zajema pravice iz javnih sredstev (centralna zbirka podatkov). V naslednjih odstavkih istega člena je določena tudi vsebina te evidence. V drugem odstavku 51. člena ZUPJS je določeno, da pristojno ministrstvo in centri za socialno delo brezplačno pridobivajo podatke za osebe po tem zakonu iz obstoječih zbirk podatkov določenih upravljavcev. Določeno je tudi, katere podatke lahko pridobivajo in med temi upravljavci oziroma njihovimi podatki IP ne najde podatkov, ki jih navajate v vašem zaprosilu za mnenje. V četrtem odstavku 51. člena ZUPJS je določeno še, da pristojno ministrstvo lahko centralno zbirko podatkov iz 49. člena tega zakona poveže z zbirkami podatkov iz drugega odstavka tega člena.

IP nadalje pojasnjuje, da četrti odstavek Stanovanjskega zakona (Uradni list RS, št. 69/03, s spremembami in dopolnitvami; v nadaljevanju: SZ-1) med drugim določa, da se subvencija najemnine ob vsakokratni uskladitvi vrednosti točke v skladu s 116. členom tega zakona, ob spremembi višine stroškov vzdrževanja iz drugega odstavka 118. člena tega zakona in ob spremembi višine priznane prosto oblikovane najemnine na kvadratni meter stanovanjske površine iz prejšnjega člena uskladi tako, da se višina subvencije najemnine preračuna z novo pogodbeno najemnino, ki jo pristojnemu centru za socialno delo vsako leto do 15. marca sporoči najemodajalec stanovanja. Najemodajalec torej ima pravno podlago za sporočanje teh podatkov pristojnemu centru za socialno delo. Ni pa v določbah ZUPJS ali SZ-1 podana pravna podlaga za povezovanje zbirk osebnih podatkov.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more podati dokončnega odgovora o tem, ali gre v primeru, opisanem v vašem zaprosilu za mnenje, za povezovanje zbirk osebnih podatkov v smislu ZVOP-2 ali ne. Presoja glede tega, ali gre v konkretnem primeru za pridobivanje oziroma povezovanje zbirk osebnih podatkov, je primarno v rokah upravljavca osebnih podatkov. IP bi dokončno opredelitev glede tega lahko podal le v konkretnem nadzornem ali drugem upravnem postopku, kjer bi moral natančno proučiti delovanje tehnične rešitve, ki jo navajate v vašem zaprosilu za mnenje. IP vam zato svetuje, da glede na zasledovane cilje in zgornja pojasnila natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. Glede na to bo potem lažje presoditi, za kakšne vrste obdelave osebnih podatkov gre v konkretnem primeru (posredovanje oziroma pridobivanje, povezovanje). V kolikor bi šlo za povezovanje, je treba opraviti oceno, ali gre za zbirke osebnih podatkov iz prvega odstavka 87. člena ZVOP-2. V kolikor je temu tako, je treba zagotoviti ustrezno zakonsko podlago za takšno povezovanje in izpolniti tudi druge zahteve iz 87. člena ZVOP-2, torej izdelati oceno učinka v zvezi z varstvom podatkom (IP ni znano, da bi bila taka ocena izdelana) in se posvetovati z nadzornim organom (IP).

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka