Ukrepanje IP ob nedavni kršitvi varstva osebnih podatkov

Datum

19.11.2025

Številka

07121-1/2025/1349

Kategorije

Inšpekcijski postopki, Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ukrepanja IP ob nedavni konkretni kršitvi varstva osebnih podatkov na Upravi za varno hrano, veterinarstvo in varstvo rastlin. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V tretjem odstavku 34. člena Splošne uredbe je določeno, kdaj sporočilo posamezniku, na katerega se nanašajo osebni podatki, o kršitvi varstva osebnih podatkov ni potrebno, med drugim tudi takrat, kadar bi to zahtevalo nesorazmeren napor. V takih primerih se namesto tega objavi javno sporočilo ali izvede podoben ukrep, s katerim so posamezniki, na katere se nanašajo osebni podatki, enako učinkovito obveščeni.

IP je v konkretnem primeru uvedel inšpekcijski postopek zaradi suma neustreznega zagotavljanja varnosti podatkov in bo v primeru ugotovljenih kršitev tudi ukrepal v skladu s svojimi pristojnostmi.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP splošno pojasnjuje, da 34. člen Splošne uredbe v prvem odstavku določa, da kadar je verjetno, da kršitev varstva osebnih podatkov povzroči veliko tveganje za pravice in svoboščine posameznikov, upravljavec brez nepotrebnega odlašanja sporoči posamezniku, na katerega se nanašajo osebni podatki, da je prišlo do kršitve varstva osebnih podatkov. Za obveščanje posameznikov Splošna uredba postavlja standard 'veliko tveganje', ki je višja stopnja ogroženosti pravic in svoboščin posameznikov, kot npr. velja za uradno obvestilo nadzornemu organu. Stopnjo tveganja je treba ocenjevati v vsakem primeru posebej, upoštevaje verjetnost nastanka posledic in resnost teh posledic. Treba je zlasti upoštevati, da je potreba po obveščanju večja, če obstaja velika verjetnost neugodnih posledic, pri tem pa lahko ukrep obveščanja zmanjša tveganje za nastanek teh posledic. 

V drugem odstavku 34. člena Splošne uredbe je določena vsebina sporočila posamezniku, v tretjem odstavku pa je določeno, kdaj tako sporočilo posamezniku ni potrebno, med drugim tudi takrat, kadar bi to zahtevalo nesorazmeren napor. V takih primerih se namesto tega objavi javno sporočilo ali izvede podoben ukrep, s katerim so posamezniki, na katere se nanašajo osebni podatki, enako učinkovito obveščeni. Ob tem IP dodaja, da je Uprava za varno hrano, veterinarstvo in varstvo rastlin javno sporočilo na svoji spletni strani objavila dne 6. 11. 2025.

IP ob tem dodaja tudi, je v konkretnem primeru uvedel inšpekcijski postopek zaradi suma neustreznega zagotavljanja varnosti podatkov in bo v primeru ugotovljenih kršitev tudi ukrepal v skladu s svojimi pristojnostmi. Več o tem si lahko preberete v naslednjem obvestilu:

https://www.ip-rs.si/novice/informacijski-pooblaščenec-preiskuje-kršitev-varnosti-podatkov-pri-uvhvvr-1762432397.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka