Obdelava OP s strani upravnika

Datum

01.04.2025

Številka

07121-1/2025/412

Kategorije

Posredovanje osebnih podatkov, Pravica do seznanitve z lastnimi osebnimi podatki, Stanovanjsko in nepremičninsko pravo

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zakonitosti pridobivanja osebnih podatkov s strani upravnika večstanovanjske stavbe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov upravniku.

Če upravnik z občino v imenu in za račun etažnih lastnikov sklepa določen pravni posel (npr. pogodbo o ustanovitvi stavbne pravice), je glede na določbe SZ-1 občini dolžan posredovati tiste podatke etažnih lastnikov, ki so potrebni za sklenitev te pogodbe. IP ob tem opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Splošna uredba v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega ravnanja, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP uvodoma pojasnjuje tudi, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

IP pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Za vsako obdelavo osebnih podatkov mora torej obstajati pravna podlaga. Splošno velja, da lahko upravnik osebne podatke pridobiva oziroma posreduje le, če razpolaga z ustrezno pravno podlago. V primeru obdelave osebnih podatkov s strani upravnikov je treba upoštevati tudi določbe Stanovanjskega zakona (SZ-1; Uradni list RS, št. 69/03, 18/04 – ZVKSES, 47/06 –ZEN, 45/08 –ZVEtL, 57/08, 62/10 –ZUPJS, 56/11–odl. US, 87/11, 40/12 –ZUJF, 14/17 – odl. US, 27/17, 59/19, 189/20 - ZFRO, 90/21, 18/23 ZDU-1O, 77/23 – odl. US, 61/24), Stvarnopravnega zakonika (SPZ; Uradni list RS, št. 87/02, 91/13, 23/20) in Pravilnika o upravljanju večstanovanjskih stavb (Uradni list RS, št. 60/09, 87/11, 85/13, 52/22). SZ-1 tako v tretjem odstavku 50. člena določa, da je upravnik na podlagi tega zakona pooblaščen za obdelavo osebnih podatkov, ki jih je dolžan zbirati, voditi in posredovati pristojnim organom v skladu s tem zakonom. Nadalje SZ-1 v prvem odstavku 53. člena določa, da se razmerja med etažnimi lastniki in upravnikom uredijo s pogodbo o opravljanju upravniških storitev, ki lahko, poleg pooblastil iz 50. člena tega zakona, določi za upravnika še druge pravice in obveznosti. Upravnik lahko posreduje osebne podatke etažnih lastnikov le takrat, kadar je to potrebno za namen izpolnjevanja pogodbe o upravljanju večstanovanjske stavbe, ki so jo etažni lastniki sklenili z upravnikom oziroma za izvrševanje pooblastil, ki jih ima upravnik po 50. členu SZ-1.

Glede posredovanja osebnih podatkov tretjim osebam IP pojasnjuje, da je upravnik skladno z določbo drugega odstavka 48. člena SZ-1 pooblaščenec etažnih lastnikov, ki jih zastopa v poslih, ki se nanašajo na upravljanje večstanovanjske stavbe, in skrbi, da se izvršujejo pravice in obveznosti iz sklenjenih poslov s tretjimi osebami. Pri sklepanju pravnih poslov s tretjimi osebami nastopa upravnik v imenu in za račun etažnih lastnikov (68. člen SZ-1), razen če SZ-1 ali pogodba o upravljanju upravniških storitev ne določata drugače. Če torej upravnik s konkretno občino v imenu in za račun etažnih lastnikov sklepa določen pravni posel (npr. pogodbo o ustanovitvi stavbne pravice), je glede na določbe SZ-1 občini dolžan posredovati tiste podatke etažnih lastnikov, ki so potrebni za sklenitev te pogodbe. IP ob tem opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

IP pojasnjuje, da je treba od primera do primera presojati, ali ima upravnik katero izmed zgoraj navedenih pravnih podlag in katere osebne podatke potrebuje za opravljanje posameznih nalog oziroma izvrševanje svojih pooblastil, ki pa so v omenjenih predpisih precej natančno določena. Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca (v konkretnem primeru torej upravnika), ki mora pri tem upoštevati konkretne okoliščine in namene obdelave.

IP ob tem dodaja, da je v zvezi z vprašanji upravljanja večstanovanjskih stavb pripravil tudi Smernice za upravnike večstanovanjskih stavb, ki so objavljene na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_za_upravnike_vecstanovanjskih_stavb.pdf

IP pojasnjuje tudi, da Splošna uredba v 15. členu ureja pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki. Tako v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

a) namene obdelave;

b) vrste zadevnih osebnih podatkov;

c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;

d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

f) pravico do vložitve pritožbe pri nadzornem organu;

g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4) Splošne uredbe (EU) o varstvu podatkov, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Zahteva se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Rok za odločitev upravljavca je en mesec od prejema zahteve. Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti v 15 dneh od prejema odgovora.

IP vam svetuje, da pri upravljavcu (FURS) podate zahtevo za seznanitev z lastnimi osebnimi podatki in počakate na njihov odgovor oziroma na potek roka za odgovor. IP svetuje tudi, da v zahtevi natančno opredelite, kaj v zvezi z vašimi osebnimi podatki vas posebej zanima (kot ste to opredelili v zaprosilu za mnenje, ki ste nam ga poslali). Za podrobnejše informacije v zvezi z navedeno pravico in kako jo uveljavljati, vas napotujemo na našo spletno stran, kjer lahko najdete tudi (neobvezujoč) obrazec zahteve:

https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/

Iz informacij upravljavca, ki jih boste pridobili na podlagi 15. člena Splošne uredbe, naj bi bilo razvidno, ali je vaše osebne podatke obdeloval na zakoniti pravni podlagi. Ob tem IP dodaja, da v skladu s prvim odstavkom 89. člena Zakona o finančni upravi (ZFU; Uradni list RS, št. 25/14, 39/22, 14/23, 47/24 – odl. US, 104/24 – ZDDV-1O) uslužbencu finančne uprave ni dovoljeno uporabljati informacij, podatkov ali spoznanj, do katerih ima dostop pri opravljanju nalog finančne uprave, v neslužbene namene, razen s soglasjem predstojnika v raziskovalne ali izobraževalne namene, pri čemer ne sme razkriti osebnih podatkov, podatkov, ki so davčna tajnost, poslovnih skrivnosti in drugih varovanih podatkov.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni navedeni pogoji za obdelavo osebnih podatkov, ki jih navajate v vašem zaprosilu za mnenje, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

V kolikor menite, da so vam bile v konkretnem primeru kršene vaše pravice v zvezi z varstvom osebnih podatkov, lahko pri IP vložite prijavo po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. To lahko storite tudi preko obrazca, ki je dostopen na spletni strani IP:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka