Dostop stečajnega upravitelja do CRP

Datum

20.03.2025

Številka

07120-1/2025/115

Kategorije

Posredovanje osebnih podatkov, Pravne podlage, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja podatkov iz Centralnega registra prebivalstva stečajnemu upravitelju.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito.

Če se podatki iz četrtega odstavka 291. člena ZFPPIPP obdelujejo v informatizirani obliki in je zagotovljena tehnična izvedljivost neposrednega elektronskega dostopa do njih, imajo upravitelji ne glede na določbe zakona, ki ureja posamezno evidenco, register ali javno knjigo, pravico do neposrednega elektronskega dostopa. Takšna določba pa po mnenju IP ne more predstavljati pravne podlage, da bi stečajni upravitelji dostopali do celotnih evidenc in sami brskali oziroma izbirali, kateri osebni podatki iz teh zbirk so zanje in za konkreten postopek pomembni, ampak bi bilo za vsak posamezen primer evidence treba narediti oceno učinkov in urediti morebiten neposredni elektronski dostop na način, da stečajni upravitelji lahko dostopajo zgolj do tistih osebnih podatkov, za katere je mogoče vnaprej predvideti, da so pomembni za konkretne postopke, ki jih vodijo.

Upravljavec CRP lahko posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdrževanje registrov in uradnih evidenc državnim organom in drugim uporabnikom, za izvrševanje njihovih, z zakonom določenih nalog. Če slednji v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, lahko iz CRP dobijo naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča.

ZVOP-2 v okviru 87. člena ureja povezovanje t.i. posebej občutljive zbirke osebnih podatkov, ki pomenijo večje tveganje oziroma večji poseg v zasebnost posameznika, medtem ko povezave uradnih evidenc in javnih knjig, ki ne vsebujejo zgoraj navedenih vrst osebnih podatkov, posebej ne ureja, kar pomeni, da so povezave takih uradnih evidenc in javnih knjig dopustne pod pogojem, da za takšno obdelavo obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (oziroma iz drugega odstavka 9. člena Splošne uredbe, če gre za povezovanje posebnih vrst osebnih podatkov) ter če je zagotovljena ustrezna varnost osebnih podatkov, vključno z zagotavljanjem dnevnika obdelave iz 22. člena ZVOP-2.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne more konkretno odgovoriti na vaša vprašanja, ampak v nadaljevanju podaja splošna pojasnila.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Poleg tega ZVOP-2 vsebuje tudi posebne določbe glede posredovanja osebnih podatkov (39. - 41. člen). Skladno s prvim odstavkom 39. člena ZVOP-2 lahko osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom ZVOP-2, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon določa drugače. Prejemnik podatkov sme osebne podatke obdelovati samo za namen, za uresničevanje katerega se mu posreduje. Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

pravno podlago za pridobitev zahtevanih osebnih podatkov;

namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

vrste osebnih podatkov, ki naj se mu posredujejo;

obliko in način pridobitve zahtevanih osebnih podatkov.

IP pojasnjuje tudi, da Zakon o finančnem poslovanju, postopkih zaradi insolventnosti in prisilnem prenehanju (Uradni list RS, št. 176/21 – UPB, 178/21 – popr., 196/21 – odl. US, 157/22 – odl. US, 35/23 – odl. US, 57/23 – odl. US, 102/23, v nadaljevanju ZFPPIPP) v četrtem odstavku 291. člena določa, da morajo banke, borznoposredniške družbe, klirinškodepotna družba, sodišča, davčne uprave in drugi upravljavci zbirk podatkov upravitelju na njegovo zahtevo posredovati vse podatke, vključene v zbirkah podatkov, ki jih upravljajo, pomembne za ugotovitev pravnega položaja in premoženja stečajnega dolžnika, ter poslov, ki bi lahko imeli značilnosti izpodbojnih pravnih ravnanj iz 271. člena tega zakona. V šestem odstavku istega člena je določeno, da če se podatki iz četrtega odstavka tega člena obdelujejo v informatizirani obliki in je zagotovljena tehnična izvedljivost neposrednega elektronskega dostopa do njih, imajo upravitelji ne glede na določbe zakona, ki ureja posamezno evidenco, register ali javno knjigo, pravico do neposrednega elektronskega dostopa. Upravljalec evidence, registra oziroma javne knjige zagotovi prenos zahtevanih podatkov. Navedena določba torej omogoča neposredni elektronski dostop stečajnih upraviteljev, če je zagotovljena tehnična izvedljivost le-tega. Takšna določba pa po mnenju IP ne more predstavljati pravne podlage, da bi stečajni upravitelji dostopali do celotnih evidenc in sami brskali oziroma izbirali, kateri osebni podatki iz teh zbirk so zanje in za konkreten postopek pomembni, ampak bi bilo za vsak posamezen primer evidence treba narediti oceno učinkov v zvezi z varstvom podatkov in urediti morebiten neposredni elektronski dostop na način, da stečajni upravitelji lahko dostopajo zgolj do tistih osebnih podatkov, za katere je mogoče vnaprej predvideti, da so pomembni za konkretne postopke, ki jih vodijo. Ob tem bi bilo treba upoštevati tudi določbe 22. člena ZVOP-2 o vodenju dnevnika obdelave.

Nadalje ZFPPIPP v osmem odstavku 384. člena določa, da morajo banke, borznoposredniške družbe, klirinškodepotna družba, sodišča, davčne uprave in drugi upravljavci zbirk osebnih in drugih podatkov upravitelju na njegovo zahtevo posredovati vse podatke, vključene v zbirkah osebnih in drugih podatkov, ki jih upravljajo, pomembne za ugotovitev pravnega položaja in premoženja stečajnega dolžnika, premoženja njegovega zakonca ali zunajzakonskega partnerja ter poslov, ki bi lahko imeli značilnosti izpodbojnih pravnih ravnanj iz 271. člena tega zakona. V devetem odstavku istega člena je določeno, da so podatki iz osmega odstavka tega člena zlasti:

številke denarnih računov ter stanje in promet na teh računih,

številke računov vrednostnih papirjev in drugih finančnih instrumentov ter stanje in promet na teh računih,

stanje denarnih in drugih depozitov pri banki, borznoposredniški družbi ali drugi osebi,

podatki o življenjskih in premoženjskih zavarovanjih,

lastninska in druge stvarne pravice na nepremičninah,

podatki, vpisani v registru prometnih dovoljenj,

podatki, vpisani v registru plovil in letal in

podatki o pokojninskem in zdravstvenem zavarovanju.

ZFPPIPP v enajstem odstavku 384. člena določa še, da se smejo podatki iz osmega odstavka tega člena uporabiti samo:

za ugotovitev premoženja stečajnega dolžnika in za uveljavitev zahtevkov za izročitev tega premoženja ali

za ugotovitev poslov, ki bi lahko imeli značilnosti izpodbojnih pravnih ravnanj iz 271. člena tega zakona, in za uveljavitev izpodbojnih in povračilnih zahtevkov po pravilih o izpodbijanju teh dejanj.

IP nadalje pojasnjuje, da Zakon o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – UPB, 3/22 – ZDeb, 32/24; v nadaljevanju: ZCRP) v drugem odstavku 12. člena določa, da lahko upravljavec CRP posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdrževanje registrov in uradnih evidenc državnim organom in drugim uporabnikom, za izvrševanje njihovih, z zakonom določenih nalog. V skladu z drugim odstavkom 23. člena ZCRP uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov, in uporabniki, ki so pooblaščeni z osebno pisno privolitvijo posameznika, na katerega se podatki nanašajo, lahko iz CRP pridobivajo le v zakonu oziroma osebni privolitvi navedene osebne podatke. Če v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, lahko iz CRP dobijo naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča. Vsekakor pa je ob tem treba upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Iz navedenega izhaja, da morajo imeti uporabniki konkretno zakonsko podlago za pridobivanje podatkov iz CRP, obenem pa mora ta zakonska podlaga tudi izrecno predpisovati kategorije podatkov, do katerih je uporabnik upravičen. Ob odsotnosti izrecne navedbe kategorij podatkov v zakonu (ali po moči zakonu vsaj enakovrednemu predpisu, npr. evropska uredba), lahko uporabniki, ki sicer imajo zakonsko podlago, torej dostopajo le do imena in priimka, kraja rojstva, leta rojstva, spola, državljanstva, prebivališča in vrste prebivališča. IP ob tem pojasnjuje, da mora biti pravna podlaga ustrezno konkretizirana. Splošno sklicevanje na sprejete akte ne zadošča za konkretno opredeljen namen obdelave osebnih podatkov. Le ustrezno konkretizirana navedba pravne podlage, iz katere izhaja namen obdelave osebnih podatkov, namreč sploh omogoča presojo, ali so izpolnjeni pogoji za obdelavo osebnih podatkov (vključno z načelom najmanjšega obsega podatkov in omejitvijo namena obdelave iz 5. (b) in (c) člena Splošne uredbe). Izkazati bi bilo torej treba, da je vsaka konkretna poizvedba nujno potrebna za izvrševanje (konkretno opredeljenih) zakonitih pristojnosti stečajnih upraviteljev, ki lahko izhajajo iz slovenskega ali evropskega pravnega reda.

Treba je upoštevati tudi, da je podlaga za pridobivanje osebnih podatkov v osmem odstavku 384. člena ZFPPIPP omejena le na osebne podatke, ki so pomembni za ugotovitev pravnega položaja in premoženja stečajnega dolžnika in njegovega partnerja, ter poslov, ki bi lahko imeli značilnosti izpodbojnih pravnih ravnanj iz 271. člena ZFPPIPP.

IP dodaja še, da ZVOP-2 v 87. členu ureja povezovanje zbirk osebnih podatkov. V prvem odstavku omenjenega člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

IP nadalje pojasnjuje, da ZVOP-2 v okviru 87. člena ureja le t.i. posebej občutljive zbirke osebnih podatkov, ki pomenijo večje tveganje oziroma večji poseg v zasebnost posameznika, medtem ko povezave uradnih evidenc in javnih knjig, ki ne vsebujejo zgoraj navedenih vrst osebnih podatkov, posebej ne ureja, kar pomeni, da so povezave takih uradnih evidenc in javnih knjig dopustne pod pogojem, da za takšno obdelavo obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (oziroma iz drugega odstavka 9. člena Splošne uredbe, če gre za povezovanje posebnih vrst osebnih podatkov) ter če je zagotovljena ustrezna varnost osebnih podatkov, vključno z zagotavljanjem dnevnika obdelave iz 22. člena ZVOP-2. IP glede pravne podlage za povezovanje uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2, podaja stališče, da mora biti v takih primerih načeloma zagotovljena pravna podlaga v smislu točke (c) 6. člena Splošne uredbe. Zakon mora torej določiti možnost upravljavca zbirke osebnih podatkov za pridobivanje osebnih podatkov iz druge uradne evidence, javne knjige ali druge zbirke osebnih podatkov, s katero se želi v konkretnem primeru povezati, ter določiti tudi vrste osebnih podatkov, ki se lahko pridobivajo. Ob tem je treba upoštevati tudi zahteve Splošne uredbe in ZVOP-2 glede izdelave ocene učinka na varstvo podatkov. Glede na te zahteve bo namreč tudi v številnih primerih povezovanja uradnih evidenc in javnih knjig, ki sicer ne spadajo v okvir prvega odstavka 87. člena ZVOP-2, treba izdelati predhodno oceno učinka na varstvo podatkov. Več informacij o oceni učinka je dostopnih na spletni strani IP:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/ocena-učinka-v-zvezi-z-varstvom-podatkov/

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. IP namreč skladno s četrtim odstavkom 41. člena ZVOP-2 v primeru zavrnitve zahteve za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig nastopa kot pritožbeni organ, če specialni predpis za posamezne primere ne določa drugače.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka