Posredovanje osebnih podatkov iz CRP

Datum

09.04.2026

Številka

07120-1/2026/149

Kategorije

Občine, Posredovanje osebnih podatkov, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zakonitosti zavrnitve posredovanja podatkov iz CRP s strani pristojnega ministrstva (MNZ RS).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Osebe javnega sektorja posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače.

Upravljavec CRP lahko posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdrževanje registrov in uradnih evidenc državnim organom in drugim uporabnikom, za izvrševanje njihovih, z zakonom določenih nalog.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru, zato v nadaljevanju podaja splošna pojasnila.

IP uvodoma pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Pooblastila občine glede obdelave osebnih podatkov Zakon o lokalni samoupravi(Uradni list. RS, 1 94/07 6/08, 79/09, 51/10, 40/12 6 ZUJF,14/15 - ZUUJFO, 11/18 - ZSPDSLS-1, 30/18, 61/20 6 ZIUZEOP-A, 80/20 6 ZIUOOPE, 62/24 6 odl. US; v nadaljevanju: ZLS) opredeljuje v 21.a 11 v povezavi z 21. 11 tega zakona. Ob
0dina v skladu z 21. 11 ZLS samostojno opravlja lokalne zadeve javnega pomena (izvirne naloge), ki jih dolo
0di s splo
61nim aktom ob
0dine ali so dolo
0dene z zakonom. V skladu z drugim odstavkom istega 11 ob
0dina za zadovoljevanje potreb svojih prebivalcev opravlja dolo
0dene naloge, med drugim skrbi za varstvo zraka, tal, vodnih virov, za varstvo pred hrupom, za zbiranje in odlaganje odpadkov in opravlja druge dejavnosti varstva okolja.

V skladu z 21.a členom ZLS občina pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe. Občina pridobiva in obdeluje o posameznikih naslednje osebne podatke: EMŠO, osebno ime, naslov stalnega ali začasnega prebivališča, datum in kraj rojstva oziroma datum smrti, podatke o osebnih vozilih, podatke o nepremičninah ter druge osebne podatke v skladu z zakonom. Občina pridobiva te osebne podatke neposredno od posameznika, na katerega se podatki nanašajo. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. Upravljavec zbirke podatkov mora občini omogočiti dostop tudi do drugih podatkov iz zbirke, če je to določeno z zakonom in če te podatke občina potrebuje za izvajanje svojih z zakonom določenih pristojnosti. Navedene določbe predstavljajo izrecno zakonsko podlago za pridobivanje osebnih podatkov s strani posamezne občine, ki jih potrebuje za izvajanje katere od zakonsko dodeljenih nalog.

IP dodaja, da Zakon o centralnem registru prebivalstva (ZCRP; Uradni list RS, 1 72/06 6 UPB, 3/22 6 ZDeb, 32/24) v drugem odstavku 12. 11 dolo
0da, da lahko upravljavec CRP posreduje podatke iz CRP za vzpostavitev oziroma za vodenje in vzdr
7eevanje registrov in uradnih evidenc dr
7eavnim organom in drugim uporabnikom, za izvr
61evanje njihovih, z zakonom dolo
0denih nalog. V skladu z drugim odstavkom 23. 11 ZCRP uporabniki osebnih podatkov, ki imajo zakonsko podlago za pridobivanje podatkov, in uporabniki, ki so poobla1
0deni z osebno pisno privolitvijo posameznika, na katerega se podatki nana
61ajo, lahko iz CRP pridobivajo le v zakonu oziroma osebni privolitvi navedene osebne podatke.
0ce v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravi
0deni, lahko iz CRP dobijo naslednje podatke: ime in priimek, kraj rojstva, leto rojstva, spol, dr
7eavljanstvo, prebivali1de in vrsta prebivali1a. Vsekakor pa je ob tem treba upo1tevati naelo najmanj1ega obsega podatkov, ki dolo
0da, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Iz navedenega izhaja, da morajo imeti uporabniki konkretno zakonsko podlago za pridobivanje podatkov iz CRP, obenem pa mora ta zakonska podlaga tudi izrecno predpisovati kategorije podatkov, do katerih je uporabnik upravičen. Ob odsotnosti izrecne navedbe kategorij podatkov v zakonu (ali po moči zakonu vsaj enakovrednemu predpisu, npr. evropska uredba), lahko uporabniki, ki sicer imajo zakonsko podlago, torej dostopajo do imena in priimka, kraja rojstva, leta rojstva, spola, državljanstva, prebivališča in vrste prebivališča. IP ob tem pojasnjuje, da po njegovem mnenju interni akt občine ne predstavlja ustrezne pravne podlage v smislu zgornjih pojasnil.

IP opozarja tudi, da ZVOP-2 vsebuje tudi posebne določbe glede posredovanja osebnih podatkov (39. - 41. člen). Skladno s prvim odstavkom 39. člena ZVOP-2 lahko osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom ZVOP-2, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon določa drugače. Prejemnik podatkov sme osebne podatke obdelovati samo za namen, za uresničevanje katerega se mu posredujejo. Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Za dopustnost posredovanja osebnih podatkov morajo biti tako (poleg v prejšnjih odstavkih navedenih materialnopravnih pogojev) izpolnjeni tudi formalni pogoji iz prvega odstavka 41. člena ZVOP-2. Vsebina pisne zahteve je torej z ZVOP-2 točno določena in med drugim vsebuje tudi pravno podlago za pridobitev zahtevanih osebnih podatkov ter predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni. Vsaka zahteva mora vsebovati vse naštete elemente, sicer posredovanje ni upravičeno. IP ob tem poudarja, da mora biti pravna podlaga za to, da zadostuje kriterijem dopustne obdelave osebnih podatkov, ustrezno konkretizirana. Le ustrezno konkretizirana navedba pravne podlage, iz katere izhaja namen obdelave osebnih podatkov, namreč sploh omogoča ustrezno presojo, ali so izpolnjeni pogoji za posredovanje osebnih podatkov. Ob tem je treba upoštevati tudi že omenjeno načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno (seveda ob obstoju pravne podlage) obdelovati (v konkretnem primeru posredovati) samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov (v konkretnem primeru MNZ RS), ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. IP namreč skladno s četrtim odstavkom 41. člena ZVOP-2 v primeru zavrnitve zahteve za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig nastopa kot pritožbeni organ, če specialni predpis za posamezne primere ne določa drugače.

IP vas zato poziva, da v kolikor želite vložiti uradno pritožbo v skladu s četrtim odstavkom 41. člena ZVOP-2 zoper zavrnitev posredovanja želenih osebnih podatkov s strani konkretnega upravljavca (MNZ RS), to storite, saj iz prejetega gradiva to ni jasno razvidno.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka