Obdelava kontaktnih podatkov za elektronsko vročanje in elektronsko komunikacijo

Datum

09.06.2026

Številka

07120-1/2026/257

Kategorije

Ocene učinkov v zvezi z varstvom podatkov, Pravne podlage, Pridobivanje OP iz zbirk, Upravni postopki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zbiranja in obdelave kontaktnih podatkov za elektronsko vročanje in elektronsko komunikacijo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more presojati primernosti namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

IP ni pristojen za interpretacijo pravnih podlag glede izvajanja elektronskega vročanja niti za svetovanje v zvezi s to materijo, zato vam priporoča, da se obrnete tudi na MJU oziroma MDP.

IP ne vidi možnosti, da bi zgolj na podlagi določbi ZUP in Uredbe o upravnem poslovanju, ki jih navajate v vašem zaprosilu za mnenje, lahko pridobivali kontaktne podatke od NIJZ.

IP priporoča izdelavo ocene učinka na varstvo podatkov ter posvetovanje z MJU oziroma MDP.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP ob tem poudarja tudi, da ni pristojen za interpretacijo pravnih podlag glede izvajanja elektronskega vročanja niti za svetovanje v zvezi s to materijo, zato vam priporoča, da se obrnete tudi na MJU oziroma MDP.

IP splošno pojasnjuje, da mora upravljavec (v konkretnem primeru vaš zavod) pred uvedbo posamezne rešitve presoditi dopustnost in sorazmernost obdelav osebnih podatkov, ki bodo obdelovani v njenem okviru. Vsaka obdelava osebnih podatkov mora potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

IP pojasnjuje, da v vašem zaprosilu za mnenje navajate različne pravne podlage, ki urejajo elektronsko vročanje in obdelave kontaktnih podatkov v tem okviru, ne gre pa razbrati pravne podlage za želeno konkretno obdelavo osebnih podatkov (zbiranje oziroma pridobivanje preko portala zVEM; ki je v upravljanju NIJZ). IP dodatno pojasnjuje, da Zakon o zbirkah s področja zdravstvenega varstva (Uradni list RS, št. 65/00, s spremembami in dopolnitvami; v nadaljevanju: ZZPPZ)v 14.b členu med drugim določa, katere podatke vsebuje Centralni register podatkov o pacientih (CRPP) in namen obdelave teh podatkov. Med temi podatki so tudi kontaktni podatki (na primer telefonska številka, elektronski naslov, podatek o uporabi namenskih aplikacij). Prav tako kontaktne podatke (elektronski naslov, telefonska številka) vsebuje Evidenca uporabnikov eZdravja kot ena izmed zbirk iz Priloge 2 ZZPPZ, določen pa je tudi način zbiranja teh podatkov, namen njihove obdelave ter upravičenci do teh podatkov. IP poudarja, da gre v primeru omenjenih zbirk podatkov za dve različni zbirki, za vsako posebej pa je torej določen namen obdelave ter način zbiranja (pridobivanja) podatkov.

IP nadalje pojasnjuje, da ZZPPZ v 14.č členu določa, da se CRPP brez plačila stroškov povezuje z zbirkami podatkov in pridobiva zdravstveno dokumentacijo iz 1.a člena tega zakona iz zbirk Osnovna zdravstvena dokumentacija, zbirk iz Priloge 1 tega zakona (Priloga zbirk podatkov s področja zdravstvenega varstva) in zbirk upravljavca ZZZS, kot jih določa zakon, ki ureja zdravstveno varstvo in zdravstveno zavarovanje. Za podatke iz prvega in drugega odstavka tega člena se CRPP povezuje z zbirkami podatkov zavezancev za njihovo posredovanje. NIJZ z zavezanci iz prvega in drugega odstavka tega člena dogovori postopek izmenjave podatkov. Navedena določba ZZPPZ po mnenju IP lahko predstavlja pravno podlago za povezovanje CRPP z zbirkami osebnih podatkov, ki jih navaja določba (Osnovna zdravstvena dokumentacija, zbirke iz Priloge 1 ZZPPZ ter zbirke upravljavca ZZZS), ne pa tudi za obratno povezovanje.

Na podlagi navedenega IP ne vidi možnosti, da bi zgolj na podlagi določbi ZUP in Uredbe o upravnem poslovanju, ki jih navajate v vašem zaprosilu za mnenje, lahko pridobivali kontaktne podatke od NIJZ. Za takšno pridobivanje bi bilo namreč treba zagotoviti ustrezno pravno podlago in jih verjetno pridobivati (takšna možnost v skladu s 14.č členom ZZPPZ že obstaja za NIJZ) iz Centralnega avtentikacijskega sistema oziroma centralne storitve za spletno prijavo in elektronski podpis v upravljanju ministrstva, pristojnega za zagotavljanje elektronskih storitev javne uprave (MDP).

IP sicer splošno vsem subjektom, ki razmišljajo o uvedbi podobnih rešitev, kot jo navajate v vašem zaprosilu za mnenje, priporoča, da v skladu s 35. členom Splošne uredbe o varstvu osebnih podatkov izvedejo oceno učinka v zvezi z varstvom osebnih podatkov. IP je na temo ocene učinkov izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani:

https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf

Gre za vnaprejšnjo presojo, ali oziroma pod kakšnimi pogoji bi bila predlagana rešitev zakonita, sorazmerna, transparentna, varna itd. Zelo pomembno je izhajati iz težav, ki naj bi jih reševali z uvedbo rešitve, pri čemer je treba realno oceniti, ali se bo na tak način dejansko doseglo zasledovane cilje in ali teh ciljev ni mogoče doseči na drug način (npr. z uporabo drugih sredstev za dosego cilja), ki bi manj posegal v pravice posameznika.

IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena. Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf

IP ob tem priporoča, da se v okviru ocene učinka še posebej skrbno obdelajo pravna podlaga in namen(i) obdelave ter obravnavajo tveganja in ukrepi za njihovo zamejitev. Posebno pozornost je treba nameniti tudi spoštovanju načela najmanjšega obsega podatkov ter sorazmernosti, torej ali res ni mogoče namenov, ki naj bi se jih zasledovalo, doseči z milejšimi ukrepi, ki bi manj posegali v zasebnost posameznika. Kvalitetno izdelana ocena učinka bo podala odgovore na številna vprašanja v zvezi z uvedbo predlagane rešitve in omogočila odločitev o (ne)dopustnosti uvedbe tega ukrepa oziroma morebitnih potrebnih prilagoditvah pred njegovo uvedbo.

Ob tem IP opozarja tudi na to, da ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

IP splošno pojasnjuje, da je izdelava ocene učinka naloga upravljavca oziroma vseh vključenih upravljavcev (in morebitnih obdelovalcev). IP vam tako svetuje, da natančno proučite delovanje predvidene tehnične rešitve ter natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. IP tako svetuje, da v pripravo oceno učinka vključite predstavnike vseh vključenih upravljavcev (in morebitnih obdelovalcev), saj je za njeno izdelavo potrebno poznavanje vključenih sistemov, same tehnične rešitve in tudi tveganj, ki se ob tem pojavljajo. IP ob tem ponovno poudarja, da je ocena učinkov primarno namenjena upravljanju s tveganji in njihovi minimizaciji. Ob tem prinaša tudi druge pozitivne učinke, predvsem pa je namenjena pravočasni identifikaciji tveganj in sprejemu ustreznih ukrepov za njihovo obvladovanje tveganj, s čimer lahko upravljavci (in obdelovalci) preprečite, da bi prišlo do kršitve zakonodaje.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more presojati primernosti namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka