Obveznost izdelave ocene učinka

Datum

22.07.2026

Številka

07121-1/2026/711

Kategorije

Ocene učinkov v zvezi z varstvom podatkov, Občutljivi OP / posebne vrste OP, Zbirke osebnih podatkov, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obveznosti priprave ocene učinka v zvezi z varstvom osebnih podatkov za Register endoprotetike Slovenije (v nadaljevanju: RES).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP izven konkretnih nadzornih ali drugih upravnih postopkov ne sme presojati, ali so v konkretnem primeru izpolnjeni kriteriji za določene obveznosti zavezancev (kot je npr. obveznost izdelave ocene učinka), saj je to primarno odgovornost zavezanca.

V postopku sprejemanja ZDigZ je bilo pripravljenih kar nekaj verzij t.i. zakonodajne ocene učinka, na katere je IP podal tudi svoja mnenja.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov presojati, ali so v konkretnem primeru izpolnjeni kriteriji za določene obveznosti zavezancev (kot je npr. obveznost izdelave ocene učinka), saj je to primarno odgovornost zavezanca.

IP tako splošno pojasnjuje, da je bistvo ocene učinka v zvezi z varstvom osebnih podatkov vnaprejšnja presojo, ali oziroma pod kakšnimi pogoji bi bila predlagana rešitev zakonita, sorazmerna, transparentna, varna itd. IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena.

Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf

IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama.

V pomoč pri presoji, ali je v določenem primeru obvezna izdelava ocene učinka, so vam lahko smernice o ocenah učinka, ki jih je sprejel Evropski odbor za varstvo podatkov:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp248_rev.01_sl.pdf

IP ob tem izpostavlja tudi določbo desetega odstavka 35. člena Splošne uredbe, kjer je določeno, da kadar je pravna podlaga za obdelavo v skladu s točko (c) ali (e) člena 6(1) pravo Unije ali pravo države članice, ki velja za upravljavca, to pravo ureja zadevno posebno dejanje obdelave ali niz zadevnih dejanj obdelave, in je bila ocena učinka v zvezi z varstvom podatkov že izvedena v okviru splošne ocene učinkov med sprejemanjem te pravne podlage, se odstavki 1 do 7 ne uporabljajo, razen če države članice menijo, da je treba tako oceno opraviti pred dejavnostmi obdelave. IP ob tem dodaja, da je bilo v postopku sprejemanja ZDigZ pripravljenih tudi kar nekaj verzij t.i. zakonodajne ocene učinka, na katere je IP podal tudi svoja mnenja (mnenje na oceno učinka št. 07122-1/2023/23 z dne 24. 4. 2023, mnenje na oceno učinka v sklopu mnenja IP št. 007-14/2023/14 z dne 29. 6. 2023, mnenje na oceno učinka št. 07122-1/2024/76 z dne 22. 11. 2024, mnenje na oceno učinka št. 07122-1/2025/6 z dne 19. 2. 2025).

IP pojasnjuje, da je na strani 14 zgoraj navedenih smernic določeno, da ocena učinka v zvezi z varstvom podatkov ni potrebna za dejanja obdelave, ki jih je preveril nadzorni organ ali pooblaščena oseba za varstvo podatkov in ki se izvajajo na način, ki se od predhodnega preverjanja ni spremenil. IP pojasnjuje tudi, da to po drugi strani pomeni, da bi bilo treba oceno učinka v zvezi z varstvom podatkov izvesti za vsako obdelavo podatkov, pri kateri so se pogoji izvajanja (obseg, namen, zbrani osebni podatki, identiteta upravljavcev ali prejemnikov podatkov, obdobje hrambe podatkov, tehnični in organizacijski ukrepi itd.) spremenili, odkar jih je nadzorni organ ali pooblaščena oseba za varstvo podatkov predhodno preveril, in za katero je verjetno, da bo povzročila veliko tveganje.

IP ob tem predpostavlja, da se pogoji obdelave osebnih podatkov v RES v zadnjem obdobju oziroma od priprave zakonodajne ocene učinka niso bistveno spremenili. Če je temu tako, potem na podlagi navedenega IP neobvezujoče meni, da bi bilo verjetno težko trditi, da je ocena učinka v opisanem primeru obvezna, je pa priporočljiva zlasti v delu, kjer bi se pogoji obdelave osebnih podatkov v RES morda bistveno razlikovali od drugih vključenih zbirk osebnih podatkov. Ob tem IP dodaja, da je v primeru spremenjenih pogojev oziroma okoliščin obdelave izvedba ocene učinka lahko fokusirana (samo) na te vidike oziroma vidike, ki so se morda spremenili od priprave zakonodajne ocene učinka.

IP sklepno ponovno poudarja, da je to vendarle primarno odločitev upravljavca, ki je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil: Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka