Mnenje Informacijskega pooblaščenca

Datum

28.07.2026

Številka

07121-1/2026/727

Kategorije

Informiranje posameznika, Pravne podlage, Privolitev

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje obdelave osebnih podatkov v okviru platforme za souporabo električne energije.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec (v konkretnem primeru zavod in zveza) mora pred uvedbo posamezne rešitve presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo obdelovani v njenem okviru.

Pred uvedbo konkretne rešitve je upravljavec v skladu z zahtevami 13. člena Splošne uredbe dolžan uporabnike seznaniti z rešitvijo, namenom in načinom njene uvedbe, njenim delovanjem, s primeri in nameni, za katere bodo pridobljeni podatki uporabljeni ter drugimi informacijami o obdelavi osebnih podatkov, do katere bo prišlo pri njeni uporabi.

Preveriti je treba, ali za upravljavca velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov, v vsakem primeru pa je izdelava takšne ocene priporočljiva.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij, ocen ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti rešitve (platforme za souporabo električne energije), ki ste jo opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP tako splošno pojasnjuje, da mora upravljavec pred uvedbo posamezne rešitve presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo obdelovani v njenem okviru. Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Ob tem IP posebej poudarja, da je vsaka od navedenih samostojna pravna podlaga za obdelavo osebnih podatkov. IP opozarja, da mora upravljavec pri uvedbi tovrstnih rešitev zagotoviti skladnost s Splošno uredbo ter tako poleg ustrezne pravne podlage upoštevati tudi vsa temeljna načela iz 5. člena Splošne uredbe, še posebej IP izpostavlja t.i. načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. Obseg obdelave je torej treba presojati glede na konkreten namen obdelave, kar je presoja upravljavca. Upravljavec mora nadalje tudi temeljito presoditi dopustnost in utemeljenost namena, za katerega želi uvesti rešitev, ter ali je uporaba rešitve v dane namene primerna in sorazmerna ter opraviti predhodno presojo, ali je mogoče uporabiti alternativno možnost, ki manj posega v zasebnost, ali bi isti namen lahko zadovoljivo dosegel tudi z uvedbo ukrepov, ki manj posegajo v zasebnost posameznikov.

IP ponavlja, da v okviru neobvezujočega mnenja ne more dokončno odgovarjati na vprašanja iz vašega zaprosila za mnenje, poudarja pa, da to v primerih izpolnjevanja obveznosti v okviru skrbnega preverjanja strank v skladu z določbami Zakona o preprečevanju pranja denarja in financiranja terorizma (ZPPDFT-2; Uradni list RS, št. 48/22, 145/22, 17/25, 56/25) predstavlja točka (c) prvega odstavka 6. člena Splošne uredbe. Prav tako IP pojasnjuje, da je eden bistvenih elementov za veljavnost privolitve kot pravne podlage njena svobodnost. IP poudarja, da o svobodnosti privolitve lahko govorimo le v primeru, da njena zavrnitev nima kakršnihkoli negativnih posledic za posameznika. V konkretnem primeru se tako pri vašem drugem vprašanju pogodba v smislu točke (b) vsekakor zdi precej bolj ustrezna za zagotovitev pravne podlage kot pa privolitev v smislu točke (a) prvega odstavka 6. člena Splošne uredbe. Ostali pogoji, po katerih se šteje, da je privolitev veljavna, določeni v 7. členu Splošne uredbe. Privolitev posameznika mora biti konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk ali kakršnakoli nedejavnost tako ne pomeni privolitve. Posameznik mora torej jasno podati privolitev za zbiranje in obdelavo svojih osebnih podatkov za konkreten namen. Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.

Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP: https://www.ip-rs.si/?id=102

IP nadalje pojasnjuje, da je pred uvedbo konkretne aplikacije upravljavec v skladu z zahtevami 13. člena Splošne uredbe dolžan uporabnike seznaniti z aplikacijo, namenom in načinom njene uvedbe, njenim delovanjem, s primeri in nameni, za katere bodo pridobljeni podatki uporabljeni ter drugimi informacijami o obdelavi osebnih podatkov, do katere bo prišlo pri njeni uporabi. IP pozdravlja navedbe v vašem zaprosilu za mnenje glede namena izvedbe tega dejanja, ob tem pa poudarja, da je bistveno, da se jasno opredeli pravna podlaga za vsako posamezno obdelavo osebnih podatkov za določen namen. Glede rokov hrambe je bistveno upoštevanje načelo omejitve shranjevanja, v skladu s katerim morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; za daljše obdobje pa se lahko shranjujejo le, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89(1) Uredbe, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. IP ob tem pojasnjuje, da v primerih, ko področni predpisi ne določajo rokov hrambe, se roki hrambe dokumentacije, določijo skladno z zakonskimi in izkustvenimi predvidevanji o tem, koliko časa bo dokumentacijo treba hraniti za zagotavljanje pravne varnosti. Po mnenju IP je treba posamezno dokumentacijo vsekakor hraniti najmanj toliko časa, dokler je mogoče uveljavljati posameznih pravic, ki izhajajo iz posameznih postopkov oziroma medsebojnih razmerij strank. Pri določanju roka hrambe tovrstne dokumentacije je tako treba (med drugim) upoštevati tudi zastaralne roke s področja obligacijskega ali kaznovalnega prava ter morebitne področne predpise, ki bi določali roke hrambe posamezne področne dokumentacije.

IP poudarja, da mora upravljavec ob tem poskrbeti tudi za ustrezno varnost uporabe posamezne rešitve (s t.i. tehnično-organizacijskimi ukrepi za zagotavljanje varnosti osebnih podatkov) in nosi tudi odgovornost za ustrezno izvedbo teh ukrepov.

IP splošno vsem subjektom, ki razmišljajo o uvedbi podobnih rešitev, kot jo navajate v vašem zaprosilu za mnenje, priporoča, da v skladu s 35. členom Splošne uredbe izvedejo oceno učinka v zvezi z varstvom osebnih podatkov. Gre za vnaprejšnjo presojo, ali oziroma pod kakšnimi pogoji bi bila predlagana rešitev zakonita, sorazmerna, transparentna, varna itd. Zelo pomembno je izhajati iz težav, ki naj bi jih reševali z uvedbo rešitve, pri čemer je treba realno oceniti, ali se bo na tak način dejansko doseglo zasledovane cilje in ali teh ciljev ni mogoče doseči na drug način, ki bi manj posegal v pravice posameznika.

IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena.

Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf

IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama. Glede na navedbe v vašem zaprosilu za mnenje IP meni, da bi morda ob uvedbi konkretne rešitve lahko bili izpolnjeni najmanj kriteriji iz točke 1 (obsežno vrednotenje in profiliranje posameznikov) oziroma 5 (množičnost obdelave) navedenega seznama. IP vsekakor ob implementaciji podobnih rešitev priporoča ustrezno izvedbo predhodnih ocen učinkov na varstvo osebnih podatkov. IP v zvezi z oceno učinkov poudarja tudi, da je v primeru preostalih visokih tveganj obvezna izvedba predhodnega posvetovanja z nadzornim organom v skladu s 36. členom Splošne uredbe.

Več informacij o sami izdelavi ocene učinka je na voljo v smernicah, ki jih je pripravil IP in so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Smernice_o_ocenah_ucinka__DPIA__julij2018.pdf

Glede vlog posameznih udeleženih subjektov IP poudarja, da je presoja glede tega na njihovi strani in IP tega ne more storiti namesto njih. Kadar ima določen subjekt posebno zakonsko pooblastilo, da opravlja določene obdelave osebnih podatkov, je vsekakor v tem okviru samostojni upravljavec oziroma potencialni skupni upravljavec, kadar gre za primere iz 26. člena Splošne uredbe.

IP glede pogodbene obdelave uvodoma pojasnjuje, da v skladu s 4. členom Splošne uredbe pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem »obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

Pogodbeni obdelovalci so tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. IP poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. V vlogi obdelovalca bo tako nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. Pogodbeni obdelovalec tako pravzaprav izvaja določene naloge v imenu in na račun upravljavca, ki bi jih drugače lahko izvajal sam upravljavec osebnih podatkov, pa se je ta odločil, da za to pooblasti pogodbenega partnerja.

Za določitev medsebojnega razmerja so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo. Za razlikovanje med upravljavcem in obdelovalcem osebnih podatkov je tako ključno, da je obdelovalec samostojna, od upravljavca ločena pravna entiteta, in da osebne podatke vselej obdeluje le v imenu in za račun upravljavca. Gre torej za primere, ko upravljavec, ki bi posamezne aktivnosti v zvezi z osebnimi podatki lahko izvedel sam, sprejme odločitev, da jih bo iz različnih razlogov zaupal obdelovalcu. Ker slednji dela v imenu in za račun upravljavca, je eden pomembnih elementov razmerja med njima tudi nadzor upravljavca nad obdelavo osebnih podatkov, ki jo zanj izvaja obdelovalec.

Razmerje med upravljavcem in obdelovalcem ureja 28. člen Splošne uredbe, kjer je določeno, da obdelavo s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Ta pogodba ali drug pravni akt zlasti določa, da obdelovalec:

a)osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca, vključno glede prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo, razen če to od njega zahteva pravo Unije ali pravo države članice, ki velja za obdelovalca; v slednjem primeru obdelovalec o tej pravni zahtevi pred obdelavo podatkov obvesti upravljavca, razen če zadevno pravo prepoveduje takšno obvestilo na podlagi pomembnih razlogov v javnem interesu;

b)zagotovi, da so osebe, ki so pooblaščene za obdelavo osebnih podatkov, zavezane k zaupnosti ali jih k zaupnosti zavezuje ustrezen zakon;

c)sprejme vse ukrepe, potrebne v skladu s členom 32;

d)spoštuje pogoje iz odstavkov 2 in 4 za zaposlitev drugega obdelovalca;

e)ob upoštevanju narave obdelave pomaga upravljavcu z ustreznimi tehničnimi in organizacijskimi ukrepi, kolikor je to mogoče, pri izpolnjevanju njegovih obveznosti, da odgovori na zahteve za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki, iz poglavja III;

f)upravljavcu pomaga pri izpolnjevanju obveznosti iz členov 32 do 36 ob upoštevanju narave obdelave in informacij, ki so dostopne obdelovalcu;

g)v skladu z odločitvijo upravljavca izbriše ali vrne vse osebne podatke upravljavcu po zaključku storitev v zvezi z obdelavo ter uniči obstoječe kopije, razen če pravo Unije ali pravo države članice predpisuje shranjevanje osebnih podatkov;

h)da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz tega člena, ter upravljavcu ali drugemu revizorju, ki ga pooblasti upravljavec, omogoči izvajanje revizij, tudi pregledov, in pri njih sodeluje.

Tak pisni dogovor zagotavlja, da se tako upravljavec kot obdelovalec zavedata svojih pravic in obveznosti v zvezi z obdelavo osebnih podatkov. Odgovornost za zakonito obdelavo osebnih podatkov je primarno na strani upravljavca in ostaja njegova odgovornost tudi po njihovem posredovanju pogodbenemu obdelovalcu. Ob tem pa IP opozarja, da ima v določenem delu obdelovalec podobne obveznosti kot upravljavec osebnih podatkov in je neposredno odgovoren za zakonito obdelavo osebnih podatkov v okviru svojih pooblastil. Pravila zakonite obdelave osebnih podatkov mora poznati in jih v praksi tudi ustrezno izvrševati. IP posebej opozarja na točko (g) dogovora iz 28. člena Splošne uredbe, saj se v praksi pogosto izkaže, da se vprašanju ravnanja s podatku po zaključku storitev oziroma pogodbenega razmerja nameni premalo pozornosti.

IP ponovno poudarja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi in presojati vloge posameznih udeleženih subjektov v okviru delovanja rešitve, ampak tako presojo lahko izvede le v okviru konkretnega nadzornega ali drugega upravnega postopka. IP sklepno svetuje, da natančno preučite dejansko stanje in naravo medsebojnega odnosa vaše stranke z drugimi vključenimi deležniki v smislu pojasnil, ki jih IP podaja v tem mnenju.

IP ponavlja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka