Obdelava osebnih podatkov s strani centrov za socialno delo v postopkih odločanja in izdajanja odločb brez podpore informacijskega sistema po ZDOsk-1 - DOPOLNITEV MNENJA

Datum

06.10.2025

Številka

07120-1/2025/437

Kategorije

Postopki na centrih za socialno delo

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za dopolnitev mnenja IP št. 07120-1/2025/41, in sicer vas zanima, ali je dovoljeno, da v postopkih ročne izdaje odločb za pravico do dolgotrajne oskrbe na domu in prevedb iz institucionalnega varstva v dolgotrajno oskrbo v instituciji, na novo nastajajo ločene zbirke osebnih podatkov? Pojasnjujete, da naj bi bile novo nastale zbirke podatkov (ki niso definirane v ZDOsk-1) v skladu z navodili pristojnega ministrstva vodene v programu Excel.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Vhodna točka bi lahko hranila zadevne osebne podatke v programu Excel – naloženo v Krpan CSD pod sledečimi pogoji:

-ima vhodna točka pravno podlago za zbiranje in nadaljnjo obdelavo (hrambo) osebnih podatkov, ki naj bi jih hranili v aplikaciji, in

-so osebni podatki, ki naj bi se v skladu z navodilom ministrstva hranili v programu Excel, osebni podatki iz predhodne alineje (isti nabor podatkov), in

-se osebni podatki v programu Excel obdelujejo za namene, za katere ima vhodna točka podlago za njihovo obdelavo iz prve alineje v aplikaciji (isti nameni obdelave), in

-je v programu Excel zagotovljen isti nivo varnosti osebnih podatkov kot v aplikaciji.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov. Konkretno presojo lahko oziroma mora opraviti izključno upravljavec osebnih podatkov.

Navodilo ministrstva iz dopisa št. 1222-218/2023-2720-157, z dne 10. 9. 2025, se glasi: »Po vzpostavitvi informacijske podpore za odločanje o upravičenosti do dolgotrajne oskrbe bo potrebno na tak način pripravljene odločbe vnesti v aplikacijo zaradi elektronskega vodenja podatkov. Iz tega razloga predlagamo, da se začasno vzporedno vodi evidenca izdanih odločb (številka zadeve v Krpanu, ime in priimek ter EMŠO vlagatelja), da ne pride do izgube podatkov (vodenje evidence v programu Excel – naloženo v Krpan CSD)«.

IP pojasnjuje, da se Splošna uredba uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi [t.i. ročna obdelava] za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke (prvi odstavek 2. člena Splošne uredbe). Pojem zbirke je opredeljen v 6. točki prvega odstavka 4. člena in »pomeni vsak strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi«. Splošna uredba pojem »zbirka« opredeljuje široko, zlasti s sklicevanjem na »vsak« strukturiran niz osebnih podatkov. Zato je treba definicijo razlagati široko, tudi z namenom preprečiti ogrožanje visoke ravni varstva, ki ga zagotavlja Splošna uredba. Tako bodo v definicijo verjetno zajeti vsi nabori podatkov, ki so združeni v skladu z določenimi merili, ki omogočajo, da se podatki brez večjih težav najdejo. Sodišče EU je namreč presodilo, da je zahteva, da mora biti niz osebnih podatkov »strukturiran v skladu s posebnimi merili«, namenjena zgolj temu, da se omogoči, da se podatki o neki osebi enostavno najdejo. Sodišče je posebej poudarilo, da za obstoj »zbirke« ni treba osebne podatke voditi »v obliki kartotek, posebnih seznamov ali drugih sistemov razvrščanja«.

Splošna uredba torej ne določa podrobnih pravil, v skladu katerimi mora biti zbirka strukturirana, ne njene oblike – ali jo je potrebno voditi npr. elektronsko (posebna informacijska rešitev, excel ali drug način elektronske hrambe) ali v papirni obliki.

V konkretnem primeru bi bilo dopustno, da vhodna točka hrani zadevne osebne podatke v programu Excel – naloženo v Krpan CSD pod pogoji, da:

-ima vhodna točka pravno podlago za zbiranje in nadaljnjo obdelavo (hrambo) osebnih podatkov, ki naj bi jih hranili v aplikaciji, in

-so osebni podatki, ki naj bi se v skladu z navodilom ministrstva hranili v programu Excel, osebni podatki iz predhodne alineje (isti nabor podatkov), in

-se osebni podatki v programu Excel obdelujejo za namene, za katere ima vhodna točka podlago za njihovo obdelavo iz prve alineje v aplikaciji (isti nameni obdelave), in

-je v programu Excel zagotovljen isti nivo varnosti osebnih podatkov kot v aplikaciji.

Ob izpolnjevanju zgornjih pogojev začasno vodenje zbirke v programu Excel načeloma ni nedopustno; v kolikor so izpolnjeni zgornji pogoji namreč ne moremo govoriti o vzpostavitvi nove zbirke, temveč gre za drugo informacijsko rešitev za vodenje iste zbirke.

Lepo vas pozdravljamo.

Pripravila:

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik,

informacijska pooblaščenka

---

[1]Iz uvodne določbe št. 15 Splošne uredbe izhaja, da mora biti varstvo posameznikov tehnološko nevtralno in neodvisno od uporabljenih tehnik.

[2]Glej sodbo C-25/17, Jehovan todistajat, odst. 57.

[3]Ibid., odst. 58.

[4]Za vsako obdelavo osebnih podatkov (vključno s hrambo) je potrebno imeti ustrezno pravno podlago. Obdelava osebnih podatkov bo zakonita le, v kolikor je izpolnjen eden izmed pogojev, določenih v prvem odstavku 6. člena ali drugem odstavku 9. člena Splošne uredbe, pri čemer je pomembno izpostaviti, da se točka (f) prvega odstavka (zakoniti interesi) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.