Obdelava osebnih podatkov v postopkih javnega naročanja

Datum

04.08.2026

Številka

07120-1/2026/356

Kategorije

Evidence dejavnosti obdelave

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov v postopkih javnega naročanja in obveznosti vodenja evidence dejavnosti obdelave.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da je treba tudi osebne podatke, prejete v ponudbah ponudnikov (npr. podatki o zakonitih zastopnikih, kontaktnih osebah, strokovnem kadru, referencah, ipd.) v okviru javnega naročila, vključiti v ustrezno evidenco dejavnosti obdelave osebnih podatkov.

Evidenca dejavnosti obdelave in dnevnik obdelave dva različna instituta varstva osebnih podatkov, ki se vodita z različnim namenom in imata različno vsebino.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP ob tem dodaja, da je mnenje IP, ki ga navajate v vašem zaprosilu za mnenje (št. 0712-217/2007/2), v določeni meri še vedno aktualno, ne pa v celoti (še posebej ne glede drugega vprašanja). IP tako meni, da je treba tudi osebne podatke, prejete v ponudbah ponudnikov (npr. podatki o zakonitih zastopnikih, kontaktnih osebah, strokovnem kadru, referencah, ipd.) v okviru javnega naročila, vključiti v ustrezno evidenco dejavnosti obdelave osebnih podatkov.

IP pojasnjuje, da je vaš organ v skladu s 30. členom Splošne uredbe o varstvu podatkov kot upravljavec osebnih podatkov v evidenci dejavnosti obdelave zavezan voditi vse obdelave osebnih podatkov, ki jih izvaja. Javni naročnik, ki izvaja javno naročilo v skladu z Zakonom o javnem naročanju (ZJN-3; Uradni list RS, št. 91/15, 14/18, 121/21, 10/22, 74/22 – odl. US, 100/22 – ZNUZSZS, 28/23, 88/23 – ZOPNN-F, 83/25 – ZOUL), deluje na podlagi zakona, iz tega pa praviloma izvira tudi pravna podlaga za obdelavo osebnih podatkov v smislu točke (c) prvega odstavka 6. člena Splošne uredbe.

IP nadalje pojasnjuje, da je evidenca dejavnosti obdelave primarno namenjena internemu pregledu in nadzoru nad postopki obdelav osebnih podatkov, ki jih izvaja posamezni upravljavec oziroma obdelovalec. Pripraviti je torej treba opis vsake zbirke osebnih podatkov, ki se vodi, zlasti ločeno glede na namen obdelave in rok hrambe osebnih podatkov. Evidenca dejavnosti obdelave se vodi v pisni, vključno v elektronski obliki, vsebuje pa elemente iz prvega odstavka 30. člena Splošne uredbe o varstvu podatkov.

IP sicer splošno meni, da je glede samega vodenja evidence dejavnosti obdelave treba slediti smislu instituta, ki zahteva, da upravljavec na pregleden način vodi popis svojih zbirk oziroma dejavnosti obdelave – ločeno zlasti glede na namen obdelave in rok hrambe. Iz prakse se kaže, da je na splošno v postopkih javnih naročil lahko v skladu z namenom instituta smiselno ločeno voditi evidenco za dejavnosti obdelave pred oddajo javnega naročila in po oddaji, saj so roki in namen pred oddajo vezani zlasti na izkazovanje zakonitosti vodenja postopka javnega naročila (akt oblasti), po oddaji javnega naročila pa na samo izvajanje pogodbe in dokazovanje zakonitosti izvedbe posla (akt poslovanja).

Obveznosti upravljavcev in obdelovalcev v zvezi z vodenjem evidenc dejavnosti obdelav, ki izhajajo iz Splošne uredbe o varstvu podatkov, je IP sicer podrobno opisal na svoji spletni strani:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/evidenca-dejavnosti-obdelave/

IP nadalje pojasnjuje, da sta evidenca dejavnosti obdelave in dnevnik obdelave dva različna instituta varstva osebnih podatkov, ki se vodita z različnim namenom in imata različno vsebino. Medtem ko je namen evidence dejavnosti obdelave pojasnjen zgoraj, je namen vodenja dnevnika obdelave zagotavljanje t.i. sledljivosti (revizijski sledi) dejanj obdelave osebnih podatkov, zagotavljati pa morajo (najmanj) vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Glede vodenja dnevnika obdelave IP pojasnjuje tudi, da njegovo vodenje po ZVOP-2 ni obvezno za vse programske rešitve oziroma v terminologiji ZVOP-2 »avtomatizirane sisteme obdelave osebnih podatkov«, temveč le v tistih primerih, ki jih določa prvi odstavek 22. člena ZVOP-2:

-ko gre za obsežne obdelave posebnih vrst osebnih podatkov, ali

-kadar gre za redno in sistematično spremljanje posameznikov, ali

-kadar je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali

-če tako določa zakon.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka