22.10.2026
07121-1/2026/1070
Informiranje posameznika, Moderne tehnologije, Sodni postopki, Umetna inteligenca
Informacijski pooblaščenec (v nadaljevanju: IP)a je prejel vaš dopis glede dostopa stranke do digitalnega sodnega postopka in odgovorni rabi umetne inteligence (v nadaljevanju: UI). Zanima vas, kako pri razvoju digitalnega sodnega spisa zagotoviti čim širši in hkrati varen dostop stranke do podatkov in dokumentov njenega lastnega postopka, katere varovalke bi bilo treba upoštevati pri oblikovanju enotnega digitalnega prostora stranke, kako zagotoviti transparentnost obdelave podatkov, sledljivost dostopov ter ustrezno razmejitev pravic posameznih udeležencev postopka, katere pogoje bi bilo treba posebej upoštevati pri uporabi UI za procesno informiranje in podporo strankam ter kako je mogoče pri razvoju takšnih sistemov hkrati okrepiti dostopnost informacij posamezniku in varstvo osebnih podatkov.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z osmim odstavkom 70. člena Uredbe (EU) 2024/1689 Evropskega parlamenta in Sveta z dne 13. junija 2024 o določitvi harmoniziranih pravil o umetni inteligenci in spremembi uredb (ES) št. 300/2008, (EU) št. 167/2013, (EU) št. 168/2013, (EU) 2018/858, (EU) 2018/1139 in (EU) 2019/2144 ter direktiv 2014/90/EU, (EU) 2016/797 in (EU) 2020/1828 (Akt o umetni inteligenci) in prvim odstavkom 10. člena Zakona o izvajanju uredbe (EU) o določitvi harmoniziranih pravil o umetni inteligenci (Uradni list RS, št. 85/25, ZIUDHPUI) ter v skladu s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
1.IP ni pristojen za nadzor dejanj obdelave sodišč, kadar delujejo kot sodni organ in tako tudi ni pristojen za presojo urejenosti pravic, ki pripadajo posameznikom v sodnem redu in v sodnih postopkih. Dostop strank do podatkov in listin, ki se nahajajo v sodnem spisu, se presoja po procesnih pravilih, ki urejajo konkretni sodni postopek.
2.Sodišča morajo tudi pri obdelavi osebnih podatkov v okviru sodnih postopkov poleg zahtev postopkovnih predpisov, ki urejajo pravice strank in drugih udeležencev v postopku, spoštovati določbe Splošne uredbe in ZVOP-2, kar med drugim pomeni, da morajo imeti za vsakršno obdelavo osebnih podatkov ustrezno in zakonito pravno podlago, upoštevati vsa načela v zvezi z obdelavo osebnih podatkov ter zagotoviti ustrezno zavarovanje osebnih podatkov. Sodišče sámo na podlagi določb veljavnih postopkovnih in materialnih predpisov presoja, kateri osebni podatki so potrebni za odločanje v konkretnem postopku ter je odgovorno za zakonitost njihove obdelave. Sem sodijo tudi presoje, kako, v kakšnem obsegu in kdo lahko oz. mora biti seznanjen s posameznimi dokumenti in podatki v okviru različnih sodnih postopkov ter skrb, da se navedeno izvaja na način, ki je hkrati skladen z zahtevami Splošne uredbe in ZVOP-2.
3.Splošna uredba je tehnološko nevtralna, zato mora vsaka obdelava osebnih podatkov izpolnjevati vse zahteve iz Splošne uredbe in ZVOP-2, ne glede na to, ali se podatki obdelujejo v okviru UI sistemov ali pa je za njihovo obdelavo uporablja kakšno drugo, manj sofisticirano orodje.
4.IP poudarja, da izvajanje pregleda ali podajanje predhodnega soglasja k obrazcem, storitvam, aplikacijam ali drugim rešitvam upravljavcev z vidika njihove skladnosti z veljavnimi predpisi s področja varstva osebnih podatkov ne sodi v pristojnost IP. IP prav tako tudi ni pristojen za razlago drugih vidikov uporabe in razvoja tehnoloških rešitev.
IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. Obenem IP tudi niso znane podrobnosti konkretnih tehnoloških rešitev, ki bi bile uporabljene v primerih, navedenih v zaprosilu za mnenje, zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.
Prav tako IP ni pristojen za izvajanje nadzora nad konkretnimi dejanji obdelave sodišč v okviru sodne funkcije, kot tudi ne more presojati o drugih vidikih, ki so še pomembni za zakonitost uporabe tehnoloških rešitev in sodijo izven pristojnosti IP (kot npr. ocena zasnove tehnične rešitve oziroma sistema umetne inteligence (v nadaljevanju: sistemi UI), zanesljivosti in točnosti tehnične rešitve, dostopa strank do podatkov in dokumentov lastnega sodnega postopka oziroma do konkretnega (digitalnega) sodnega spisa, idr.).
IP je kot neodvisen državni organ pristojen za izvajanje nadzora na več področjih. Glede sistemov UI izvaja pristojnosti na dveh področjih, na področju Akta o umetni inteligenci in na področju varstva osebnih podatkov. Glede varstva osebnih podatkov je Informacijski pooblaščenec edini nadzorni organ v Republiki Sloveniji in je torej pristojen tudi za nadzor nad obdelavami osebnih podatkov pri razvoju in delovanju sistemov UI, če obdelujejo osebne podatke.
V nadaljevanju podajamo ločena pojasnila glede obeh področij, na katerih je glede sistemov UI pristojen Informacijski pooblaščenec.
I. Obveznosti na področju varstva osebnih podatkov
IP uvodoma opozarja, da skladno s tretjim odstavkom 55. člena Splošne uredbe ni pristojen za nadzor dejanj obdelave sodišč, kadar delujejo kot sodni organ. Že iz 20. in 122. uvodne izjave Splošne uredbe izhaja, da pristojnost nadzornih organov ne bi smela obsegati obdelave osebnih podatkov, kadar sodišča delujejo kot sodni organ, da se zaščiti neodvisnost sodstva pri opravljanju sodnih nalog, vključno z odločanjem, ter da bi moral biti vsak nadzorni organ na ozemlju svoje države članice pristojen za izvajanje pooblastil in opravljanje nalog, ki so mu bile podeljene v skladu s Splošno uredbo. Tudi ZVOP-2 v prvem odstavku 57. člena določa, da nadzorne osebe niso pristojne za nadzor in izrekanje sankcij glede obdelav osebnih podatkov, izvršenih v okviru izvajanja zadeve sodišča iz 6. točke drugega odstavka 5. člena tega zakona, ali s tem povezanega odločanja strokovnih sodelavcev ali sodniških pomočnikov po odredbi sodišča, kot to opredeljuje zakon, ki ureja sodišča, ali po določbah drugih zakonov, ki določajo njihovo samostojno delovanje. V kolikor pa gre za samostojno administrativno dejavnost, pa se ta upošteva in obravnava ločeno.
Navedena omejitev pristojnosti IP pa ne pomeni, da sodišča pri opravljanju sodne funkcije niso dolžna spoštovati predpisov s področja varstva osebnih podatkov, saj morajo pri obdelavi osebnih podatkov spoštovati poleg postopkovnih in materialnih predpisov v zvezi s sodnimi postopki, ki jih vodijo, tudi vsa relevantna pravila s področja varstva osebnih podatkov, med drugim morajo imeti za obdelavo osebnih podatkov ustrezno pravno podlago, spoštovati načela v zvezi z obdelavo osebnih podatkov, zagotavljati izvajanje pravic posameznikov ter zagotoviti ustrezno varnost obdelave. Glede na to, da je Splošna uredba tehnološko nevtralna, mora vsaka obdelava osebnih podatkov izpolnjevati vse zahteve iz Splošne uredbe in ZVOP-2, ne glede na to, ali se podatki obdelujejo v okviru UI sistemov ali pa je za njihovo obdelavo uporablja kakšno drugo, manj sofisticirano orodje. Pri oblikovanju enotnega digitalnega prostora stranke bi bilo zato treba upoštevati vse varovalke in obveznosti, ki jih določa varstvo osebnih podatkov.
V okviru izpolnjevanja zahtev Splošne uredbe IP posebej poudarja tudi pomen spoštovanja načela preglednosti iz 5. člena Splošne uredbe, ki je podrobneje konkretizirano zlasti v 12., 13. in 14. členu. V konkretnem primeru bi to pomenilo, da bi moral upravljavec, pred uvedbo konkretne rešitve v obliki enotnega digitalnega prostora stranke, uporabnike, katerih osebne podatke bi zajemal prostor, seznaniti z rešitvijo, namenom in načinom njene uvedbe, njenim delovanjem ter drugimi informacijami o obdelavi osebnih podatkov, do katere bo prišlo pri njeni uporabi. Uporabniki bi tako morali npr. prejeti informacije o: upravljavcu (s kontaktnimi podatki upravljavca in njegovega predstavnika, če obstaja) ter kontakt pooblaščene osebe za varstvo podatkov (če je imenovana); namenih ter pravni podlagi za obdelavo osebnih podatkov; uporabnikih osebnih podatkov; obdobju hrambe osebnih podatkov; pravicah posameznika, itd. Navedene informacije morajo biti posameznikom zagotovljene na jasen, pregleden in razumljiv način ter morajo biti lahko dostopne, obenem pa dovolj celovite, da posamezniku omogočajo ustrezno razumevanje obdelave njegovih osebnih podatkov ter lažje uveljavljanje svojih pravic, kot to izhaja iz 12. člena Splošne uredbe. IP je za pomoč upravljavcem pri obveščanju posameznikov glede obdelave osebnih podatkov pripravil posebno rubriko, ki je dostopna na spletni strani IP. Na tej podstrani lahko najdete tudi vzorca obvestila posameznikom po 13. oziroma 14. členu Splošne uredbe.
Od navedene obveznosti glede preglednosti pa je potrebno razlikovati sledljivost obdelav osebnih podatkov v obliki dnevnikov obdelave. Ti so namenjeni zagotavljanju t.i. sledljivosti (revizijski sledi) dejanj obdelave osebnih podatkov, zagotavljati pa morajo (najmanj) vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Vsak posamezni upravljavec lahko ob upoštevanju ocene učinka določi dodatne vsebine dnevnika obdelave, a le v smislu morebitnega povečanja obsega dejanj obdelave. Sledljivost kot tehnična in organizacijska zahteva ni izrecno navedena med načeli v 5. členu Splošne uredbe, a je pomemben ukrep pri zagotavljanju varnosti obdelave po 32. členu Splošne uredbe. ZVOP-2, za razliko od Splošne uredbe, katera ne določa univerzalne obveznosti beleženja vsakega vpogleda za vse upravljavce, uvaja strožja in konkretnejša pravila glede dnevnikov obdelave, saj v 22. členu določa obveznost vodenja dnevnika obdelave, njegovo vsebino, namen njegove uporabe in rok hrambe.
Vodenje dnevnikov obdelav podatkov je obvezno:
1.če se v avtomatiziranih sistemih obdelave osebnih podatkov izvajajo obsežne obdelave posebnih vrst osebnih podatkov, ali
2.če gre za redno in sistematično spremljanje posameznikov, ali
3.če je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali
4.če tako določa zakon.
Pri oblikovanju enotnega digitalnega prostora ali drugih tehničnih rešitev, je tako potrebno upoštevati organizacijske in tehnične ukrepe za varnost osebnih podatkov, ki so odvisni od različnih okoliščin obdelave podatkov. Zato je pomembno zagotoviti ustrezno beleženje dostopov in dejanj uporabnikov, upravljanje uporabniških pravic ter možnost naknadnega preverjanja izvedbenih operacij.
Več informacij o področju varstva osebnih podatkov in umetne inteligence lahko najdete na spletni strani.
II. Obveznosti v skladu z Aktom o umetni inteligenci
Akt o UI temelji na kategorizaciji sistemov UI glede na tveganja, ki jih predstavlja določen sistem UI za varnost, temeljne pravice in zdravje ljudi. Večje kot je tveganje, strožje so obveznosti za akterje, ki sisteme UI ponujajo na trgu, jih dajejo v uporabo drugim ali pa uporabljajo sami.
Akt ureja (določa obveznosti) za tri različne kategorije sistemov UI: prepovedane prakse, visoko tvegane sisteme UI in sisteme UI z omejenimi tveganji (tveganje za preglednost). Vsaka izmed kategorij vsebuje določen sklop pravnih obveznosti ali omejitev, ki je prilagojen naravi konkretnih tveganj. Med visoko tvegane sisteme UI sodijo tudi nekateri sistemi, ki so v uporabi v pravosodju (tč. 8 Priloge III Akta o umetni inteligenci). Visoko tvegani sistemi UI se sicer lahko uporabljajo, vendar le, če izpolnjujejo zahteve Akta.
Pri presoji, katere obveznosti po Aktu o UI se uporabljajo, je potrebno najprej preveriti, ali konkretna rešitev oziroma programska oprema sploh izpolnjuje vse kriterije iz definicije sistema UI po Aktu o UI. V naslednjem koraku je nato treba presoditi, v katero kategorijo tveganja se sistem uvršča in katere konkretne obveznosti zanj veljajo. Pri tem je potrebno upoštevati značilnosti konkretne rešitve in način njenega delovanja glede na kriterije, ki jih opredeljuje Akt o umetni inteligenci.
Z namenom lažjega zagotavljanja skladnosti in poenotenja interpretacije Akta o UI je Evropska komisija že sprejela nekaj smernic, s katerimi si ponudniki in uvajali sistemov UI lahko pomagajo v postopku razvrščanja sistemov UI in izpolnjevanju obveznosti, ki veljajo za konkreten sistem UI. IP izpostavlja predvsem:
-Smernice Komisije o obveznostih v zvezi z zagotavljanjem preglednosti. (smernice so na voljo samo v angleškem jeziku);
-Osnutek Smernic Komisije o razvrščanju visoko tveganih sistemov umetne inteligence. (smernice še niso sprejete in se lahko še spremenijo pred končno potrditvijo).
Odgovori na pogosta vprašanja o Aktu o umetni inteligenci so na voljo na: https://www.ip-rs.si/umetna-inteligenca/pogosta-vpra%C5%A1anja/
, povezave do smernic in drugih relevantnih dokumentov Komisije pa najdete na: https://www.ip-rs.si/umetna-inteligenca/koristne-povezave/.
V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.
Pripravila: Anja Češarek, mag. prav. Nadzornica za umetno inteligenco
dr. Jelena Virant Burnik, informacijska pooblaščenka