Ocena zakonitosti zahtev po podatkih za skrbni pregled

Datum

20.07.2026

Številka

07121-1/2026/708

Kategorije

Definicija OP, Informiranje posameznika, Posredovanje osebnih podatkov, Pravne podlage, Upravljanje gospodarskih družb, Zakoniti interesi, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis v zvezi s preliminarnim seznamom podatkov, potrebnih za izvedbo skrbnega pregleda, ki vam ga je posredoval eden izmed interesentov v okviru odprtega razpisa, s katerim zbirate nezavezujoče ponudbe za odkup glavne dejavnosti upravljanja stanovanjskih stavb in ostalih nepremičnin. Menite, da je del priloženega seznama sporen iz stališča varovanja osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim zaprosilom.

1.

IP ne more vnaprej odobriti različnih obrazcev, storitev, (nezavezujočih) ponudb, ocen ali rešitev, ki jih uvajajo posamezni upravljavci, ali jih preveriti z vidika njihove skladnosti z veljavnimi predpisi s področja varstva osebnih podatkov.

2.

Upravljavec mora imeti za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago.

3.

V primeru, da obdelava osebnih podatkov temelji na zakonitem interesu upravljavca, mora ta na podlagi okoliščin posameznega primera obdelave izvesti t. i. predhodni test tehtanja, s katerim oceni, ali so izpolnjeni pogoji za uporabo zakonitega interesa kot ustrezne pravne podlage.

O b r a z l o ž i t e v :

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku. IP ne more vnaprej odobriti različnih obrazcev, storitev, (nezavezujočih) ponudb, ocen ali rešitev, ki jih uvajajo posamezni upravljavci, ali jih preverjati z vidika njihove skladnosti z veljavnimi predpisi na področju varstva osebnih podatkov. Zato IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja ne more presojati skladnosti preliminarnega seznama podatkov potrebnih za izvedbo skrbnega pregleda (v nadaljevanju: preliminarni seznam), ki ste ga priložili v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP ugotavlja, da je iz priloženega seznama mogoče razbrati, da se precejšen delež navedenih podatkov ne nanaša na podatke v zvezi z določenimi ali določljivimi posamezniki, temveč na podatke v zvezi s pravno osebo – podjetjem. Po definiciji iz člena 4(1) Splošne uredbe „osebni podatek“ pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom. Določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Posledično je, glede na definicijo osebnega podatka, treba v vsakem konkretnem primeru in okoliščinah ugotoviti, ali nek podatek omogoča določljivost posameznika. Pri določitvi, ali nek podatek predstavlja osebni podatek ali ne, je ključen test o določljivost posameznika. Pri določljivosti posameznika je treba upoštevati vsa sredstva, za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za neposredno ali posredno identifikacijo posameznika. 

IP dalje pojasnjuje, da mora upravljavec imeti za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Pravne podlage za obdelavo osebnih podatkov določa 6. člen Splošne uredbe. Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)

posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)

obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)

obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)

obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)

obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)

obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP meni, da bi v konkretnem primeru pravno podlago za prenos osebnih podatkov iz enega upravljavca na drugega upravljavca potencialno lahko predstavljala točka (f) prvega odstavka 6. člena Splošne uredbe. Ta določa, da je obdelava osebnih podatkov zakonita, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. 

V zvezi z zagotavljanjem ustrezne pravne podlage za obdelavo osebnih podatkov na podlagi zakonitega interesa je zlasti pomembno, da upravljavec – še preden pride do obdelave osebnih podatkov posameznikov – na podlagi okoliščin posameznega primera obdelave osebnih podatkov izvede t. i. predhodni test tehtanja, s katerim oceni, ali so izpolnjeni pogoji za uporabo zakonitega interesa kot ustrezne pravne podlage. S takšnim testom, ki mora biti zaradi namenov dokazovanja v pisni obliki, upravljavec znotraj svojih procesov presoja, ali so nameni, za katere si prizadeva, zakoniti, ali je obdelava podatkov primerna in nujna za doseganje teh namenov ter ali obstaja ravnovesje med zasledovanim ciljem na eni strani in posegom v pravice in svoboščine posameznikov na drugi. Za uporabo pravne podlage iz točke (f) prvega odstavka 6. člena Splošne uredbe morajo biti torej podani trije kumulativni pogoji:

-

interes upravljavca mora biti zakonit oz. legitimen (torej upravičen, sprejemljiv, osnovan na zakonu), takšen interes pa mora biti jasno izražen, resničen in obstoječ ter utemeljen na nacionalnem pravu ali pravnih načelih;

-

obdelava mora biti nujna in potrebna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec (ali omenjena obdelava v čim manjši meri vpliva na oz. ogroža pravico posameznikov do varstva osebnih podatkov). Taka obdelava je nujna, če ni nobenega drugega ukrepa, ki bi isti cilj dosegel z manjšim vplivom na pravico do varstva osebnih podatkov;

-

interesi ali temeljne pravice in svoboščine posameznika ne prevladajo nad interesi upravljavca. Na tem mestu je potrebno izvesti test tehtanja med interesi upravljavca in interesi ali temeljnimi pravicami in svoboščinami posameznika (v tem kontekstu potrebno pretehtati tudi okvir razumnih pričakovanj posameznikov). V vašem primeru bi bila na mestu potrebna torej presoja; ali osebe, katerih osebni podatki bi bili posredovani (kupci, zaposleni, …), lahko razumno pričakujejo, da bodo njihovi podatki, ki so vam jih v preteklosti posredovali za konkreten namen (sklenitev kupoprodajne pogodbe, pogodbe o zaposlitvi, …), uporabljeni za obdelavo s strani interesenta za odkup glavne dejavnosti podjetja. Pri tehtanju prevladujočih interesov (v povezavi z oceno tveganja) je treba absolutno upoštevati tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije glede posledic obdelave) in sorazmernosti (npr. ali so bili sprejeti ustrezni zaščitni ukrepi).

IP pojasnjuje, da je pri prenosu podatkov k novemu upravljavcu pomembno, da se upoštevajo vsa temeljna načela obdelave osebnih podatkov iz 5. člena Splošne uredbe. Osebni podatki se morajo obdelovati zakonito, pošteno in na pregleden način. Poleg tega se osebni podatki, zbrani za določene, izrecne in zakonite namene, ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (načelo omejitve namena). Upravljavec osebnih podatkov mora biti sposoben dokazati, da se podatki obdelujejo v skladu s temeljnimi načeli varstva osebnih podatkov (načelo odgovornosti).

IP ob tem še poudarja, da mora biti podana ena izmed pravnih podlag iz prvega odstavka 6. člena Splošne uredbe tako za prvotno pridobitev podatkov iz seznama kot tudi za njihov prenos na interesenta. Ob tem IP posebej opozarja tudi na določbe 13. in 14. člena Splošne uredbe, v skladu s katerimi mora (novi) upravljavec osebnih podatkov v primeru, ko so osebni podatki bili (13. člen) ali pa ko niso bili (14. člen) pridobljeni neposredno od posameznika, na katerega se ti nanašajo, temu posamezniku zagotoviti informacije iz prvega in drugega odstavka omenjenih členov. Novi upravljavec (v konkretnem primeru interesent) mora torej posameznikom zagotoviti navedene informacije.

V upanju, da ste prejeli odgovore na vaša vprašanja vas lepo pozdravljamo, 

dr. Jelena Virant Burnik

Informacijska pooblaščenka