27.10.2026
07121-1/2026/1107
Definicija OP, Pravne podlage, Uradni postopki
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov lastnikov podjetij v postopkih javnega naročanja.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
IP v okviru mnenja ne more presojati ustreznosti oziroma skladnosti določb javnega naročila in obdelav osebnih podatkov v okviru izvrševanja javnega naročila, ki ste jih opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.
Vse zahteve javnega naročila morajo biti povezane in sorazmerne s predmetom javnega naročila.
Če gre pri bivših lastnikih za fizične osebe, gre za obdelavo osebnih podatkov, kar pomeni, da je za njihovo posredovanje treba zagotoviti ustrezno pravno podlago.
IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako v okviru mnenja ne more presojati ustreznosti oziroma skladnosti določb javnega naročila in obdelav osebnih podatkov v okviru izvrševanja javnega naročila, ki ste jih opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.
IP uvodoma pojasnjuje, da osebni podatki predstavljajo skladno s prvo točko 4. člena Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Osebni podatki so torej vsi podatki, ki posredno ali neposredno kažejo na posameznike. Skladno z navedeno definicijo je pravni objekt varstva osebnih podatkov lahko le posameznik, torej fizična oseba, ne pa pravna oseba. Tudi obdelava podatkov subjekta, ki opravlja dejavnost kot s.p., ne pomeni obdelave varovanih osebnih podatkov. Gre namreč za podatke, ki se nanašajo na opravljanje gospodarske dejavnosti kot podjetnika oziroma podatke, s katerimi nastopa na trgu kot poslovni subjekt in ne za osebne podatke posameznika.
IP tako splošno pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:
a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Ob tem je treba upoštevati, da se zadnja alinea ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.
V kolikor torej obstaja ena izmed zgoraj naštetih podlag za obdelavo osebnih podatkov, je takšna obdelava skladna z zakonodajo. Zakonsko podlago v smislu točke (c) prvega odstavka 6. člena Splošne uredbe v konkretnem primeru predstavlja Zakon o javnem naročanju (ZJN-3; Uradni list RS, št. 91/15, 14/18, 121/21, 10/22, 74/22 – odl. US, 100/22 – ZNUZSZS, 28/23, 88/23 – ZOPNN-F, 83/25 - ZOUL), ki v členih 75 - 77 določa pogoje za sodelovanje ponudnikov v postopkih javnega naročanja. V prvem odstavku 76. člena ZJN-3 je tako določeno, da naročnik lahko določi objektivna pravila in pogoje za sodelovanje, ki se lahko nanašajo na ustreznost za opravljanje poklicne dejavnosti, ekonomski in finančni položaj ter tehnično in strokovno sposobnost. Naročnik v postopek javnega naročanja vključi le tiste zahteve, ki so potrebne za zagotovitev, da ima kandidat ali ponudnik ustrezne pravne in finančne zmogljivosti ter tehnične in strokovne sposobnosti za izvedbo javnega naročila, ki se oddaja. Vse zahteve morajo biti povezane in sorazmerne s predmetom javnega naročila.
Naročnik sme v skladu z navedenimi določbami ZJN-3 od ponudnikov zahtevati vsa ustrezna dokazila o izpolnjevanju v javnem naročilu določenih pogojev. ZJN-3 je torej glede pogojev, ki jih morajo izkazati ponudniki, pustil naročnikom dokaj širok okvir možnosti za določitev dokazil v posameznem postopku javnega naročila, s katerimi morajo ponudniki izkazati izpolnjevanje pogojev za sodelovanje v javnem naročilu. Če so po oceni naročnika med temi pogoji tudi podatki o bivših lastnikih ponudnikov, to lahko zahteva, vsekakor pa mora biti sposoben izkazati, da je to potrebno za izvedbo konkretnega javnega naročila. Če gre pri bivših lastnikih za fizične osebe, gre za obdelavo osebnih podatkov, kar pomeni, da je za njihovo posredovanje treba zagotoviti ustrezno pravno podlago v skladu s pojasnili iz prejšnjih odstavkov. Če tako te podatke obdeluje zasebno podjetje (ne sam ponudnik v okviru postopka javnega naročanja), mora tudi to imeti pravno podlago tako za pridobitev teh podatkov kot tudi za njihovo nadaljnjo obdelavo oziroma posredovanje. Pri tem je pomembno tudi, ali podatke pridobiva iz javne baze ali na drug način. IP izpostavlja tudi, da je v primeru, da npr. naročnik pooblasti tretje podjetje za obdelavo teh podatkov, slednji v vlogi obdelovalca in morata z naročnikom izpolniti vse zahteve 28. člena Splošne uredbe, še posebej tretjega odstavka, kar pomeni, da morata skleniti pisni akt, kjer določita medsebojne pravice in obveznosti ter opredelita najmanj vsebino, predpisano v navedenem odstavku.
Ob tem IP opozarja tudi na splošno načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izpolnitev zakonitega namena obdelave (v konkretnem primeru torej dokazovanje izpolnjevanja pogojev javnega naročila s strani ponudnika).
IP sklepno ponavlja, da v okviru mnenja ne more dokončno presojati konkretnega ravnanja posameznega upravljavca. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov.
Lepo vas pozdravljamo.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I
dr. Jelena Virant Burnik,
Informacijska pooblaščenka