Ugotavljanje identitete posameznika, ki uveljavlja pravico do seznanitve z lastnimi osebnimi podatki

Datum

08.12.2025

Številka

07121-1/2025/1449

Kategorije

Varnost osebnih podatkov, Pravica do seznanitve z lastnimi osebnimi podatki

pri Informacijskem pooblaščencu (IP) smo dne 26. 11. 2025 prejeli vaše vprašanje, ali lahko upravljavec od posameznika, ki uveljavlja pravico do seznanitve po 15. členu Splošne uredbe, zahteva, da se pride osebno identificirati z osebno izkaznico v prostore upravljavca oziroma, ali ni dovolj, če upravljavec od posameznika prejme sken osebne izkaznice. Zahteva je bila podana po e-pošti s prošnjo za posredovanje osebnih podatkov po e-pošti. Splošna uredba v uvodni določbi št. 64 določa, da bi moral upravljavec uporabiti vse razumne ukrepe za preverjanje identitete posameznika, na katerega se nanašajo osebni podatki in ki zahteva dostop do podatkov, zlasti v okviru spletnih storitev in spletnih identifikatorjev.

Naj prej se opravičujemo za pozen odgovor. Do zamude je prišlo zaradi pomote pri odpremi mnenja. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Splošne uredbe (EU) o varstvu podatkov (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih obdelav osebnih podatkov le v nadzornih postopkih.

Po mnenju IP je upravljavec - v primeru prejema posameznikove zahteve za seznanitev po e-pošti, v kateri posameznik zahteva prejem osebnih podatkov prav tako po e-pošti - upravičen do ugotavljanja oziroma preverjanja identitete posameznika na način uporabe varnega elektronskega podpisa ali na način predložitve ustreznega osebnega dokumenta v osebnem stiku, lahko pa tudi na kakšen drug način, ki ga upravljavec v posameznem primeru šteje kot zanesljivega in ki je hkrati objektivno ustrezen, primeren, sorazmeren in v skladu z načelom najmanjšega obsega podatkov.

Obrazložitev

Natančna pravila glede pristopov k ugotavljanju identitete posameznika, ki vloži zahtevo, niso predpisana niti v Splošni uredbi niti v ZVOP-2.

Drugi odstavek 11. člena Splošne uredbe določa, da kadar lahko upravljavec v primerih iz prvega odstavka tega člena dokaže, da ne more identificirati posameznika, upravljavec o tem po možnosti ustrezno obvesti posameznika, na katerega se nanašajo osebni podatki; v takih primerih se 15. do 20. člen ne uporablja, razen kadar posameznik za uresničevanje svojih pravic na podlagi teh členov zagotovi dodatne informacije, s katerimi ga je mogoče identificirati.

Drugi odstavek 12. člena Splošne uredbe določa, da upravljavec posamezniku olajša uresničevanje njegovih pravic iz 15. do 22. člena Splošne uredbe; v primerih iz drugega odstavka 11. člena Splošne uredbe upravljavec ne zavrne ukrepanja na zahtevo posameznika za uresničevanje njegovih pravic iz členov 15 do 22, razen če upravljavec dokaže, da ne more identificirati posameznika, na katerega se nanašajo osebni podatki.

V konkretnem primeru je nevarnost zlorabe povečana, ker želi posameznik prejeti osebne podatke po e-pošti. Ta, za razliko od klasične priporočene pošiljke ali priporočene pošiljke s povratnico, namreč ne zagotavlja dokazljive osebne vročitve točno določenemu posamezniku, razen če gre za uporabo varnega e-poštnega predala. Zato je še toliko bolj pomembno, da ni dvoma o identiteti prejemnika, saj bi posredovanje osebnih podatkov osebi, ki ni posameznik, na katerega se nanašajo osebni podatki, pomenilo resno kršitev varstva osebnih podatkov. Upravljavec je dolžan skrbeti za varnost osebnih podatkov v skladu z 32. členom in (f) točko prvega odstavka 5. člena Splošne uredbe, ki določa, da se osebni podatki obdelujejo na način, ki zagotavlja ustrezno varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo z ustreznimi tehničnimi ali organizacijskimi ukrepi.

Zaradi specifike konkretnega primera je lahko utemeljeno, da upravljavec zahteva ugotavljanje identitete z osebnim dokumentom v osebnem stiku, če posameznik ne zagotovi drugih zanesljivih dokazil. Posredovanje skena osebne izkaznice namreč ni povsem zanesljiva metoda, saj njen posestnik ni nujno oseba, za katero je bila osebna izkaznica izdana, poleg tega na podlagi skena ni možno zanesljivo preverjati pristnosti dokumenta.

Posameznik ima vedno tudi možnost, da se na upravljavca obrne s klasično zahtevo v papirni obliki, v kateri kot način prevzema navede pošiljanje osebnih podatkov na naslov prebivališča, kar upravljavec izvede z osebno vročeno pošiljko (priporočeno ali priporočeno s povratnico ali vročitev po ZUP).

V zvezi z vašim vprašanjem vam predlagamo tudi pregled mnenja IP št. 07121-1/2024/830, ki je dostopno na spletni strani IP.

Veliko uporabnih informacij glede uresničevanja pravice do dostopa pa je na voljo tudi v smernicah Evropskega odbora za varstvo podatkov št. 01/2022, ki so dostopne na: https://www.ip-rs.si/go?u=https%253A%252F%252Fwww.edpb.europa.eu%252Four-work-tools%252Four-documents%252Fguidelines%252Fguidelines-012022-data-subject-rights-right-access_sl.

Prijazen pozdrav.

Pripravil: dr. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

dr. Jelena Virant Burnik

informacijska pooblaščenka