Zakonita izmenjava osebnih podatkov med organi

Datum

02.07.2026

Številka

07120-1/2026/305

Kategorije

Davčni postopki, Posredovanje osebnih podatkov, Pridobivanje OP iz zbirk, Upravni postopki, Uradni postopki, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je prejel dopis, v katerem prosite za mnenje glede obdelave osebnih podatkov pri izvajanju drugega odstavka 8. člena Zakona o nujnih ukrepih za zagotavljanje javne varnosti (v nadaljevanju ZNUZJV). Pojasnjujete, da navedena določba predvideva, da davčni organ po izdaji sklepa o izvršbi na prejemke iz naslova denarne socialne pomoči o tem obvesti krajevno pristojni center za socialno delo (v nadaljevanju CSD), ta pa presodi nadaljnje ravnanje po 14. členu ZNUZJV oziroma po prvem in drugem odstavku 99. člena Zakon o starševskem varstvu in družinskih prejemkih (v nadaljevanju ZSDP-1). Zanima vas predvsem, kako določiti krajevno pristojni CSD in kako pri tem zakonito obdelovati osebne podatke med FURS, resornim ministrstvom oziroma pristojnimi CSD.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

Ustavno sodišče je do končne odločitve zadržalo izvrševanje celotnega 8. člena ZNUZJV, zaradi česar IP ne more podajati usmeritev za konkretno izvajanje drugega odstavka tega člena.

Vsaka morebitna izmenjava osebnih podatkov med FURS, resornim ministrstvom in CSD mora temeljiti na jasni in izvršljivi pravni podlagi, določenem namenu ter vnaprej opredeljenih vlogah posameznih organov.

Morebitna prihodnja rešitev mora biti zasnovana ciljno in v skladu z načelom najmanjšega obsega podatkov, tako da se obdelujejo le podatki, ki so nujni za zakonit namen, dostop do njih pa je varen in sledljiv.

Obrazložitev

IP uvodoma poudarja, da lahko v okviru nezavezujočih mnenj podaja le splošna pojasnila in usmeritve s področja varstva osebnih podatkov. IP kot nadzorni oziroma inšpekcijski organ izven konkretnega nadzornega postopka ne more presojati zakonitosti posamezne obdelave osebnih podatkov, potrjevati izbrane tehnične ali organizacijske rešitve oziroma vnaprej odločati, ali je določen način posredovanja osebnih podatkov v konkretnem primeru dopusten. Takšna presoja bi lahko pomenila prejudiciranje odločitve v morebitnem kasnejšem inšpekcijskem ali drugem postopku.

IP prav tako ni pristojen za obvezno razlago določb ZNUZJV, ZDavP-2, ZSV, ZSDP-1 ali ZUP oziroma za presojo pravilnosti vodenja konkretnih davčnih, socialnovarstvenih ali drugih upravnih postopkov. Za sistemsko razlago ZUP je pristojno ministrstvo, pristojno za javno upravo, za razlago ZDavP-2 ministrstvo, pristojno za finance, za razlago predpisov s področja socialnega varstva in družinskih prejemkov pa Ministrstvo za demografijo, družino in socialne zadeve.

Za odgovor na vaše vprašanje je bistveno, da je Ustavno sodišče s sklepom št. U-I-26/26-18, U-I-24/26-20 z dne 2. 4. 2026 do končne odločitve zadržalo izvrševanje 8. člena ZNUZJV. Zadržanje se nanaša na celoten 8. člen ZNUZJV, torej tudi na drugi odstavek, ki ureja obveščanje krajevno pristojnega CSD. Ker se navedena določba trenutno ne uporablja, IP ne more podajati usmeritev za njeno konkretno izvajanje ali izbirati med posameznimi izvedbenimi rešitvami.

Ob upoštevanju navedenega lahko IP poda le splošna izhodišča z vidika varstva osebnih podatkov, ki bi jih morali pristojni organi upoštevati pri morebitni prihodnji ureditvi oziroma izvedbeni rešitvi, če bi zanjo obstajala jasna in izvršljiva pravna podlaga. Vsako posredovanje osebnih podatkov med FURS, resornim ministrstvom in CSD namreč pomeni obdelavo osebnih podatkov. Takšna obdelava mora imeti ustrezno pravno podlago, določen in zakonit namen ter mora biti omejena na podatke, ki so za ta namen potrebni.

Pri organih javnega sektorja pravna podlaga za obdelavo osebnih podatkov praviloma izhaja iz zakona, kadar je obdelava potrebna za izpolnitev zakonske obveznosti upravljavca ali za opravljanje naloge v javnem interesu oziroma pri izvajanju javne oblasti. Z vidika načela odgovornosti mora biti za vsak tok podatkov jasno opredeljeno, kateri organ osebne podatke obdeluje, za kakšen namen, na kateri pravni podlagi, katere podatke obdeluje, komu jih posreduje in kako zagotavlja varnost ter sledljivost obdelave.

Pri morebitni prihodnji ureditvi obveščanja CSD bi bilo treba posebej ločiti dve vprašanji. Prvo je vprašanje določitve krajevno pristojnega CSD, drugo pa vprašanje pravne podlage in obsega podatkov za samo obvestilo, ki bi ga FURS posredoval pristojnemu CSD. V zvezi s prvim vprašanjem je lahko relevanten 81. člen ZSV, ki ureja krajevno pristojnost CSD glede na stalno oziroma začasno prebivališče osebe oziroma glede na druge navezne okoliščine, ki jih določa ta člen. V zvezi z razkritjem oziroma posredovanjem podatkov s strani davčnega organa pa bi bilo treba upoštevati zlasti določbe ZdavP-2, med drugim 10. člen glede dolžnosti dajanja podatkov davčnemu organu, 24. člen glede razkritja podatkov za potrebe vodenja postopkov ter 26. člen glede spontane izmenjave podatkov. Upoštevati je treba tudi splošna pravila ZUP glede pristojnosti in pridobivanja podatkov v upravnem postopku, kolikor se uporabljajo v konkretnem postopkovnem okviru.

IP pri tem ne more potrditi konkretne pravne podlage ali izbrati izvedbene rešitve namesto pristojnih organov.

Lahko pa na splošni ravni poudari, da se z vidika varstva osebnih podatkov kot ustreznejše nakazujejo rešitve, pri katerih se obvestilo usmeri ciljno na krajevno pristojni CSD, brez širšega razpošiljanja podatkov organom, ki jih ne potrebujejo za svojo zakonsko nalogo. Če lahko FURS na podlagi svojih zakonitih dostopov oziroma v sodelovanju s pristojnimi organi določi pričakovani krajevno pristojni CSD, se z vidika načela najmanjšega obsega podatkov kot ustreznejša kaže neposredna in sledljiva obvestitev (le) tega CSD.

Morebitna vloga resornega ministrstva pri takšni izmenjavi podatkov bi morala biti vnaprej opredeljena. Razvidno bi moralo biti, ali in na kateri pravni podlagi resorno ministrstvo osebne podatke prejme, za kakšen namen jih obdeluje, komu jih posreduje in koliko časa jih hrani. Kadar organ podatkov ne potrebuje za izvedbo lastne zakonske naloge, mora biti pravna podlaga za njegovo vključitev posebej jasno utemeljena.

Glede na navedeno IP sklepno poudarja, da je treba zaradi zadržanja izvrševanja 8. člena ZNUZJV najprej upoštevati učinke sklepa Ustavnega sodišča. Konkretno rešitev za izmenjavo osebnih podatkov bo mogoče oblikovati šele ob jasni in izvršljivi pravni podlagi za obveščanje krajevno pristojnega CSD. Pristojni organi naj zato morebitno prihodnjo rešitev oblikujejo skupaj s FURS in po potrebi z drugimi pristojnimi organi, pri čemer naj vnaprej opredelijo namen obdelave, zakonsko podlago za vsak tok podatkov, vloge posameznih organov, najmanjši potreben obseg podatkov ter način zagotavljanja varnosti in sledljivosti.

IP je v nadaljevanju na voljo za dodatno posvetovanje glede konkretneje oblikovane rešitve z vidika varstva osebnih podatkov.

Lepo vas pozdravljamo.

Pripravil:

Grega Rudolf, mag.

svetovalec pooblaščenca za mednarodno sodelovanje

Dr. Jelena Virant Burnik

informacijska pooblaščenka