Pobuda za enoten, varen, strojno berljiv in revizijsko sledljiv sistem dostopa do podatkov državljanov in podjetij, vključno z upravljanjem digitalnih ključev, HSM/KMS, API pooblastil in AI a

Datum

26.06.2026

Številka

07121-1/2026/624

Kategorije

Evidence dejavnosti obdelave, Moderne tehnologije, Obveščanje o kršitvah varnosti, Posredovanje osebnih podatkov, Pravica do omejitve, Pravica do seznanitve z lastnimi osebnimi podatki, Pravica do ugovora, Pravne podlage, Pridobivanje OP iz zbirk, Umetna inteligenca, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis z vprašanji glede obsega pravice posameznika, da se seznani z lastnimi podatki, pravne narave nezabeleženih vpogledov v osebne podatke, omejitve avtomatiziranega dostopa ter programskih rešitev, ki temeljijo na sistemih UI.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

IP na splošno pojasnjuje, da Splošna uredba postavlja enotna pravila za varstvo osebnih podatkov v EU, nekatera vsebinska in postopkovna vprašanja pa lahko posebej uredijo države članice. V Sloveniji to ureja ZVOP-2, skupaj s posameznimi področnimi zakoni. Obdelava osebnih podatkov mora biti v prvi vrsti zakonita, kar pomeni, da mora za obdelavo obstajati ena od pravnih podlag, ki jih predpisuje prvi odstavek 6. člena Splošne uredbe kot dopustne podlage za obdelavo osebnih podatkov. Za obdelavo t. i. posebnih vrst osebnih podatkov, ki so bolj občutljive narave so predpisani posebni pogoji varstva v 9. členu Splošne uredbe. Poleg tega mora biti obdelava osebnih podatkov omejena glede na namen, za katerega se podatki zbirajo; osebni podatki pa se lahko hranijo le toliko časa, kolikor je potrebno za izpolnitev konkretnega namena. Posamezniki, na katere se nanašajo osebni podatki imajo tudi določene pravice glede obdelav osebnih podatkov, ki se nanašajo nanje, biti morajo ustrezno informirani o obdelavi osebnih podatkov, zahtevajo pa lahko tudi dostop, popravek ali izbris podatkov. Zagotovljena mora biti tudi ustrezna varnost podatkov.

V nadaljevanju podajamo odgovore na vaša vprašanja.

1.

Ali pravica posameznika do seznanitve z lastnimi podatki vključuje tudi dnevnik vpogledov?

Skladno s prvim odstavkom 15. člena Splošne uredbe, ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov ter določenih informacij, ki so naštete v tem členu.

Sodišče EU je v zadevi Pankki S pojasnilo, da se lahko posredovanje kopije informacij iz dnevniških datotek upravljavca v določenih primerih izkaže za nujno za izpolnitev obveznosti, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi dostop do vseh informacij iz člena 15(1) Splošne uredbe in da se zagotovi poštena in pregledna obdelava, ki tako temu posamezniku omogoča, da v celoti uveljavlja pravice, ki jih ima na podlagi te uredbe.

Vsebina dnevniških datotek pa se od upravljavca do upravljavca razlikuje, pri čemer postajajo sodobni dnevniški zapisi vse bolj obsežni. Vsebina dnevnika obdelav je sicer predpisana v prvem in drugem odstavku 22. člena ZVOP-2 ter v prvem in drugem odstavku 47. člena ZVOPODK, vendar lahko dnevnik obdelav pod določenimi pogoji vsebuje tudi dodatne vsebine. Dnevniške datoteke razkrivajo obstoj obdelave osebnih podatkov, kar pomeni, da mora imeti posameznik, na katerega se ti podatki nanašajo, dostop do te informacije. Vendar to ne pomeni, da so posamezniku vedno in brezpogojno na voljo prav vsi podatki in informacije, vsebovane v dnevniku obdelav. Opisana možnost uresničevanja pravice do dostopa do osebnih podatkov bo torej odvisna od posameznega primera.

2.

Ali ima posameznik pravico vedeti, kdo je njegove podatke izvozil, posredoval, dešifriral ali uporabil v avtomatiziranem postopku?

Točka (c) prvega odstavka 15. člena Splošne uredbe določa, da ima posameznik pravico pridobiti od upravljavca informacije glede uporabnikov ali kategorij uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnikov v tretjih državah ali mednarodnih organizacijah. To velja smiselno tudi za opisane primere obdelave, seveda odvisno od konkretnih okoliščin primera. Kot je to izpostavilo Sodišče EU, pa pravica do dostopa do osebnih podatkov ne zajema take pravice v zvezi z informacijami o identiteti zaposlenih navedenega upravljavca, ki so izvedli ta dejanja pod njegovim vodstvom in v skladu z njegovimi navodili, razen če so te informacije nujne za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki so mu podeljene s to uredbo, in se upoštevajo pravice in svoboščine teh zaposlenih. Pravica do varstva osebnih podatkov namreč ni absolutna pravica, saj jo je treba obravnavati glede na vlogo, ki jo ima v družbi, in jo uravnotežiti s pravicami ali svoboščinami drugih, pri čemer je treba upoštevati, da to ne sme „povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij“.

3.

Ali mora upravljavec podatkov posamezniku omogočiti razumljivo razlago uporabe API dostopov, certifikatov, pooblastil in digitalnih ključev?

Skladno s prvim odstavkom 12. člena Splošne uredbe mora upravljavec sprejeti ustrezne ukrepe, s katerimi zagotovi posamezniku vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34 Splošne uredbe, ki so povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, posebej namenjene otrokom. Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno z elektronskimi sredstvi.

Če je bila v danem primeru obdelava osebnih podatkov opravljena s pomočjo v vprašanju opisanih instrumentov in posameznik skuša uveljavljati eno ali več izmed pravic, naštetih v 12. členu Splošne uredbe, potem mu mora upravljavec omogočiti razumljivo razlago. Vendarle pa je posameznikova pravica do razumljive razlage omejena na način, da njegova zahteva ne sme biti pretirana ali očitno neutemeljena, kar mora dokazati upravljavec (5. odstavek 12. člena Splošne uredbe).

4.

Ali je nezabeležen vpogled v osebne podatke kršitev varstva osebnih podatkov?

IP izven konkretnih nadzornih ali drugih upravnih postopkov ne more preverjati zakonitosti in primernosti obdelave osebnih podatkov. Presoja bo odvisna od posameznega primera.

5.

Ali lahko posameznik zahteva omejitev avtomatiziranega dostopa, kadar pravna podlaga ni jasno izkazana?

Kot izpostavljeno uvodoma, mora biti za obdelavo osebnih podatkov podana ena od pravnih podlag, ki jih predpisuje prvi odstavek 6. člena Splošne uredbe. Vse pravne podlage so si med seboj enakovredne. Pravne podlage so: privolitev, pogodbena obdelava, izpolnjevanje zakonskih obveznosti, zaščita življenjskega interesa, opravljanje nalog v javnem interesu ter zakoniti interes.

V primeru, da upravljavec ne izkaže ustrezne pravne podlage za dostop do osebnih podatkov, je lahko podana kršitev določil Splošne uredbe. IP ob tem vnovič poudarja, da ne sme izven konkretnih nadzornih ali drugih upravnih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov.

Posameznik lahko v zvezi s takšno obdelavo pri upravljavcu uveljavlja tudi pravico do omejitve obdelave (18. člen Splošne uredbe) ali, kadar so za to izpolnjeni pogoji, pravico do ugovora (21. člen Splošne uredbe), pri čemer IP v mnenju ne more presojati, ali so pogoji za uveljavljanje navedenih pravic v posameznem primeru izpolnjeni.

6.

Ali je programska rešitev, AI agent ali zunanji digitalni posrednik obdelovalec, uporabnik ali pooblaščeni tehnični posrednik?

Splošna uredba ločuje med dvema skupinama akterjev, ki sodelujejo pri obdelavi osebnih podatkov: upravljavci so pravne ali fizične osebe, ki sami ali skupaj (v tem primeru gre za skupne upravljavce) usmerjajo obdelavo z določanjem njenih namenov in sredstev, lahko pa jo tudi prepustijo tretji osebi, ki v tem primeru nastopa v vlogi obdelovalca. Njihove vloge, in posledično tudi odgovornosti, v verigi obdelav podatkov se razlikujejo. Presoja, v kateri izmed vlog nastopa akter (na primer podjetje ali druga organizacija), bo odvisna od okoliščin posameznega primera. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku.

V upanju, da ste prejeli odgovore na vaša vprašanja vas lepo pozdravljamo,

dr. Jelena Virant Burnik

Informacijska pooblaščenka

---

[1]Sodba Sodišča EU z dne 22. 6. 2023 v zadevi Pankki S (C-579/21), para. 69.

[2]Povzeto po ibid., para. 77.–80.