Skupno upravljanje pri uporabi sistema »Pladenj«

Datum

03.02.2026

Številka

07121-1/2026/62

Kategorije

Bančništvo, Posredovanje osebnih podatkov, Skupni upravljavci

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede skupnega upravljanja pri uporabi sistema »Pladenj« v relaciji med bankami in hranilnicami (v nadaljevanju: banke) ter Ministrstva za digitalno preobrazbo (MDP). Kot ste pojasnili banke menijo, da so le vir podatkov ter da ne sodelujejo pa pri določanju sredstev in namenov obdelave, in zato ocenjujejo, da je opredelitev skupnega upravljanja napačna. Glede na to, da je IP na temo »Pladnja« že izdal navedeno odločbo, v kateri je podrobno razdelal vlogo skupnega upravljavstva, prosite za potrditev stališča bank, kot tudi dejstva, da se navedena

odločba IP ne nanaša na zasebni sektor, ki naj bi nastopal zgolj kot vir podatkov za državne organe, ki za pridobivanje podatkov izberejo rešitev »pladenj« (posledično banke, ki nastopajo zgolj kot vir podatkov pri izmenjavi podatkov preko pladnja, ne nastopajo kot skupni upravljavci).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uvodoma moramo izpostaviti, da se IP v okviru nezavezujočih mnenj ne more in ne sme opredeljevati, ali je konkreten postopek pri določenem zavezancu in/ali konkretna tehnična rešitev skladna z zakonodajo o varstvu osebnih podatkov; zakonitost in skladnost obdelav osebnih podatkov v okviru konkretnih postopkov obdelav osebnih podatkov pri določenem zavezancu lahko IP preveri le v okviru uradnega inšpekcijskega postopka in v okviru svojih pristojnosti.

Kot ste pojasnili, je stališče bank, da se odločba IP na temo »Pladnja«, ne nanaša na zasebni sektor, ki nastopa zgolj kot vir podatkov za državne organe, ki za pridobivanje podatkov izberejo rešitev »pladenj« in da posledično banke, ki nastopajo zgolj kot vir podatkov pri izmenjavi podatkov preko pladnja, ne nastopajo kot skupni upravljavci).

IP je dne 1.6 .2022 izdal odločbo št. 0612-23/2019/19, s katero ste seznanjeni, in v kateri je izdatno pojasnil, zakaj gre pri uporabi sistema Pladenj za skupno upravljanje. Zadevna odločba se je sicer pretežno nanašala na kontekst državnih organov[1], kar pa še ne pomeni, da ni relevantna tudi za podatkovne vire, ki nimajo vloge državnih organov. Banke kot podatkovni vir prav gotovo ne morejo imeti vloge obdelovalca, saj osebnih podatkov ne obdelujejo v imenu upravljavca, torej imajo lahko v relaciji do MDP kvečjemu status ločenega ali skupnega upravljavca.

Drži, da je zakonodajalec pristojnim ministrstvom podelil pristojnost odločanja nad tem, s katerimi informacijskimi sredstvi bo zagotavljal cilj, dosego katerega mu nalaga mdr. 11. člen Stanovanjskega zakonika (SZ-1) in da imajo upravljavci osebnih podatkov kot uporabniki storitev informacijsko komunikacijske infrastrukture in skupnih informacijskih rešitev (DRO, Pladenj) zelo omejeno ali ničelno možnost vplivanja na tehnične specifikacije informacijskih rešitev ter na postopke in ukrepe zavarovanja podatkov, ki se obdelujejo s pomočjo teh tehničnih rešitev. Upravljavci pa so z materialno zakonodajo zavezani glede vrst osebnih podatkov, ki jih lahko posredujejo z zakonom določenim uporabnikom. Kot upravljavci so v tem delu zavezani za točnost podatkov, ki jih posredujejo, za namen, določen z materialnim predpisom. V navedeni odločbi je bil sprejet zaključek, da ponudnik in uporabniki storitve Pladnja, ki omogoča obdelavo osebnih podatkov na način proženja poizvedb in posredovanja podatkov na podlagi le teh, nastopajo v okviru te konkretne obdelave kot skupni upravljavci, saj vsak od sodelujočih določa namen in sredstva obdelave, s tem pa vpliva na obdelavo osebnih podatkov. Skupno določanje namenov temelji na t.i. sovpadajoči odločitvi (»converging decision«), saj zavezanec in uporabniki storitve zasledujejo medsebojno povezana oz. dopolnjujoča se namena - hitro in učinkovito izvajanje poizvedb s strani odjemalcev in posredovanje podatkov s strani virov podatkov, ne da bi bili ti obremenjeni s tehničnimi specifikami posameznih podatkovnih virov na eni strani ter vzpostavljanje in zagotavljanje takšnih gradnikov informacijskega sistema državne uprave, ki bo institucijam (odjemalcem, virom podatkov) omogočala učinkovito izvajanje njihovih nalog.

Skupno določanje sredstev temelji na ugotovitvi, da uporabniki storitev Pladnja sprejmejo odločitev, da bodo podatke, za katere je tako določeno v materialnem predpisu, posredovali preko tehničnega posrednika (gradnik Pladenj), ki omogoča razbremenitev odjemalcev in virov podatkov tehničnih specifičnosti različnih informacijskih sistemov na eni strani, s tem pa vplivajo oz. omogočajo obdelavo podatkov na način, kot ga je določil upravljavec Pladnja.

Kot izhaja iz Smernic EDPB 07/2020 o pojmih upravljavec in obdelovalec na podlagi Splošne uredbe o varstvu podatkov (ver. 2.0, 7.7.2021; v nadaljevanju: Smernice EDPB) ni nujno, da so upravljavci v okviru skupnega upravljanja »enakovredni«, t.j. da imajo enakomerno porazdeljeno moč odločanja glede sredstev in namenov obdelave, podobno kot tudi državni organi (viri podatkov) v relaciji do ponudnika Pladenja nimajo enake moči odločanja kot slednji. Banke je kot vir podatkov in s tem upravljavce določil zakon (npr. SZ-1) - namen in sredstva obdelave so namreč lahko določeni tudi v nacionalni in EU zakonodaji, pri čemer je za ustrezno presojo ključno, kdo dejansko izvršuje vpliv nad obdelavo osebnih podatkov. Kot izhaja iz smernic: »Odločitve se lahko štejejo za sovpadajoče glede namenov in sredstev, če se dopolnjujejo in so potrebne za obdelavo tako, da imajo oprijemljiv vpliv na določitev namenov in sredstva za obdelavo. Treba je poudariti, da mora biti pojem sovpadajočih odločitev obravnavan v zvezi z nameni in sredstvi obdelave, ne pa tudi z drugimi vidiki poslovnega razmerja med strankama. Kot tako je pomembno merilo za ugotavljanje sovpadajoče odločitve v tem kontekstu, ali obdelava ne bi bila mogoča brez sodelovanje obeh strani pri namenih in sredstvih v smislu, da je obdelava s strani vsake stranke.« Smernice EDPB nadalje pojasnjujejo, da je sovpadajoča odločitev glede namenov vzpostavljena, »kadar na temelju določene obdelave osebnih podatkov dva akterja zasledujeta medsebojno povezana oz. dopolnjujoča se namena.« Sovpadajoča odločitev glede sredstev pa obstoji tedaj, »ko eden od vpletenih subjektov zagotovi sredstva za obdelavo in jih drugim subjektom omogoči za obdelavo osebnih podatkov. Subjekt, ki se odloči za uporabo teh sredstev, da se lahko osebni podatki obdelujejo za določen namen, sodeluje tako tudi pri določanju načinov obdelave.« Navedeno po mnenju IP ne velja zgolj za državne organe, temveč v konkretnem kontekstu tudi za banke.

Iz zadevne odločbe in zgoraj navedenega izhaja, da bi moral ponudnik sistema Pladenj z uporabniki Pladnja skleniti medsebojni dogovor, s katerim se skupni upravljavci dogovorijo o ustrezni medsebojni razdelitvi izvajanja obveznosti, kot so določene v Splošni uredbi, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14. Razdelitev obveznosti bi morala temeljiti na zmožnosti (v odvisnosti od dejanskega vplivanja na obdelavo osebnih podatkov) izvajanja obveznosti.

Lepo vas pozdravljamo,

dr. Jelena Virant Burnik,

Informacijska pooblaščenka

Pripravil:

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke

---

[1]Ne pa v celoti, saj so npr. pri Zakonu o uveljavljanju pravic iz javnih sredstev (ZUPJS) upravljavci – viri podatkov med drugim tudi kreditne institucije, družbe za upravljanje, borzno posredniške hiše, zavarovalnice ipd.