Paketni izvoz podatkov iz CRP

Datum

08.09.2025

Številka

07120-1/2025/380

Kategorije

Občine, Pravne podlage, Pridobivanje OP iz zbirk, Varnost osebnih podatkov

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede možnosti paketnega izvoza podatkov iz Centralnega registra prebivalstva (CRP). Predlagate, da se za komunalna podjetja omogoči strukturiran prenos podatkov preko portala e-Občina z določenimi podatkovnimi polji, s čimer bi zagotovili ažurno evidenco uporabnikov in skladnost z zakonodajo. IP prosite za možnost uvedbe nove oblike pripravljenih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v mnenju ne more presojati zakonitosti konkretnih obdelav osebnih podatkov ali ustreznosti tehničnih rešitev za njihovo pridobivanje (npr. paketnega prenosa podatkov prek portala e-Občina).

Vsaka rešitev za strukturiran prenos podatkov je dopustna le pod pogojem, da za to obstaja pravna podlaga, da se posredujejo zgolj nujno potrebni podatki, da je prenos varen in sledljiv ter da upravljavec pred posredovanjem presodi utemeljenost zahteve in skladnost z nalogami občine.

Šele ko občina zakonito pridobi osebne podatke, jih lahko v skladu s šestim odstavkom 21.a člena ZLS posreduje komunalnim podjetjem, in sicer le v obsegu, ki je nujno potreben za izvajanje prenesenih nalog. Komunalna podjetja sama nimajo samostojne pravne podlage za neposredno pridobivanje osebnih podatkov iz CRP.

Obrazložitev

Uvodoma poudarjamo, da IP izven nadzornega postopka ne more presojati zakonitosti obdelav osebnih podatkov. To pomeni, da IP v okviru mnenja ne more potrjevati ustreznosti posameznih rešitev niti vnaprej dopuščati predlaganega načina pridobivanja podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita.

Vsak upravljavec mora imeti za obdelavo osebnih podatkov, vključno z njihovim zbiranjem, uporabo ali posredovanjem, zakonito in ustrezno pravno podlago iz prvega odstavka 6. in 9. člena Splošne uredbe (6. člen ZVOP-2). Izbira pravne podlage je odvisna od konkretnih okoliščin, odgovornost zanjo pa nosi upravljavec. Pri tem je treba spoštovati tudi načelo najmanjšega obsega podatkov, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je nujno potrebno za namene, za katere se obdelujejo (točka c prvega odstavka 5. člena Splošne uredbe). To pomeni, da je dopustno obdelovati samo toliko osebnih podatkov, kolikor je to res nujno potrebno za dosego zakonitega namena obdelave.

Pravila glede posredovanja osebnih podatkov so določena v členih 39 do 41 ZVOP-2. Prvi odstavek 41. člena med drugim določa, da mora vsaka zahteva za posredovanje vsebovati navedbo pravne podlage, namena, vrste osebnih podatkov ter oblike in načina pridobitve, razen če drug zakon določa drugače.

Zakon o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – uradno prečiščeno besedilo, 3/22 – ZDeb in 32/24; v nadaljevanju ZCRP) določa, da lahko uporabniki, ki imajo zakonsko podlago ali osebno privolitev posameznika, pa v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, pridobijo iz CRP le natančno določen nabor podatkov (ime in priimek, kraj in leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča). Postopek pridobivanja in posredovanja podatkov podrobneje ureja Uredba o vodenju in vzdrževanju centralnega registra prebivalstva ter postopku za pridobivanje in posredovanje podatkov, ki v četrtem odstavku 26. člena določa, da mora vsaka zahteva vsebovati navedbo pravne podlage in namena, za katerega zahteva podatke, opis podatkov in časovni okvir, v katerem jih potrebuje.

IP je že večkrat zavzel stališče, da Zakon o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; v nadaljevanju ZLS) javnim podjetjem ne daje pravice za pridobivanje osebnih podatkov iz uradnih evidenc državnih organov neposredno, pač pa ravno nasprotno, določa, da te podatke javna podjetja lahko dobijo od občine.

ZLS pa opredeljuje pooblastila občine glede obdelave osebnih podatkov v 21.a členu v povezavi z 21. členom tega zakona. Občina v skladu z 21. členom samostojno opravlja lokalne zadeve javnega pomena (izvirne naloge), ki jih določi s splošnim aktom občine ali so določene z zakonom. V skladu z 21.a členom ZLS občina pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva. Navedene določbe predstavljajo izrecno zakonsko podlago za pridobivanje osebnih podatkov s strani posamezne občine, ki jih potrebuje za izvajanje katere od zakonsko podeljenih nalog.

Pot, po kateri javna podjetja pridobivajo osebne podatke, kot tudi pravna podlaga, po kateri smejo javna podjetja pridobivati podatke, ki jih potrebujejo za opravljanje javne službe, je opredeljena v šestem odstavku 21.a člena ZLS, ki določa, da lahko občina zaradi izvajanja nalog iz svoje pristojnosti v skladu z nameni in pod pogoji, določenimi v zakonu, posreduje pridobljene podatke fizičnim in pravnim osebam. ZLS torej ne predvideva možnosti, da bi javna podjetja osebne podatke pridobivala neposredno iz uradnih evidenc, ki jih vodijo državni organi, temveč določa, da jih lahko prejmejo le preko občine.

Vaše vprašanje dopustnosti paketnega prenosa podatkov iz CRP se tako nanaša primarno na občino kot upravičenca za pridobivanje osebnih podatkov, ki so potrebni za izvajanje z zakonom določenih pristojnosti. Šele če ima občina zagotovljeno zakonito pridobivanje osebnih podatkov, lahko komunalna podjetja od občine zahtevajo posredovanje teh podatkov. Če pa občina nima zagotovljenega ustreznega načina za pridobivanje teh podatkov, jih tudi komunalno podjetje ne more pridobiti.

IP ob tem poudarja, da mora biti iz vsake posamezne zahteve jasno razvidno, za katero konkretno nalogo iz pristojnosti občine se pridobivajo osebni podatki, kako je bil glede na to določen konkretni nabor posameznikov ter katere vrste in obseg podatkov se pridobivajo iz CRP. MNZ kot upravljavec CRP mora namreč pred vsakim posredovanjem presoditi utemeljenost zahteve in njeno skladnost z nalogami občine, hkrati pa zagotoviti varnost osebnih podatkov ter možnost naknadne sledljivosti vsakega posredovanja v skladu z 24., 25. in 32. členom Splošne uredbe. Povsem enako pa velja pri nadaljnjem posredovanju osebnih podatkov s strani občine komunalnim podjetjem.

Morebitne težave izvajalcev gospodarskih javnih služb pri obračunavanju cen storitev, ki jih izpostavljate, ne morejo vplivati na obstoj in zakonitost pravne podlage za obdelavo. Vsaka rešitev za strukturiran prenos podatkov je dopustna le pod pogojem, da za to obstaja pravna podlaga, da se posredujejo zgolj nujno potrebni podatki, da je prenos varen in sledljiv ter da upravljavec pred posredovanjem presodi utemeljenost zahteve in skladnost s konkretnimi nalogami iz pristojnosti občin.

IP se sicer strinja, kot izhaja iz vaših navedb, da so komunalna podjetja dolžna spoštovati načelo točnosti iz točke d prvega odstavka 5. člena Splošne uredbe. Vendar je treba upoštevati, da so komunalna podjetja do osebnih podatkov upravičena le posredno, prek občine, in zgolj v obsegu, ki je nujno potreben za izvajanje prenesenih nalog, ob tem pa morajo dosledno spoštovati vse zahteve iz Splošne uredbe in ZVOP-2.

Lepo vas pozdravljamo,

Pripravila:

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka