prosilec - Onkološki inštitut Ljubljana

Številka: 090-197/2026/12

Datum: 22. 10. 2026

Informacijski pooblaščenec (v nadaljevanju IP) po namestnici informacijske pooblaščenke, Kristini Kotnik Šumah, po pooblastilu št. 100-17/2006/229 z dne 6. 11. 2024, izdaja na podlagi 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 - ZUstS-A; v nadaljevanju ZInfP), tretjega in četrtega odstavka 27. člena Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; v nadaljevanju ZDIJZ), prvega odstavka 248. in prvega odstavka 251. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; v nadaljevanju ZUP), o pritožbi …….. (v nadaljevanju prosilka) z dne 20. 4. 2026, zoper odločbo Onkološkega inštituta Ljubljana, Zaloška cesta 2, 1000 Ljubljana (v nadaljevanju organ) št. 045-0002/2026 z dne 31. 3. 2026 (v nadaljevanju izpodbijana odločba), v zadevi dostopa do informacije javnega značaja, naslednjo

ODLOČBO:

1.     Pritožbi prosilke z dne 20. 4. 2026, zoper odločbo Onkološkega inštituta Ljubljana št. 045-0002/2026 z dne 31. 3. 2026 se delno ugodi in se odločbo Onkološkega inštituta Ljubljana št. 045-0002/2026 z dne 31. 3. 2026 v 1. točki izreka dopolni in v drugi in tretji delno, šesti, sedmi alineji 3. točke odpravi ter se odloči: Organ je dolžan prosilki v roku enaintridesetih (31) dni od vročitve te odločbe posredovati fotokopije naslednjih dokumentov:

- sklep o imenovanju št. 0206-0007/2023 z dne 11. 7. 2023,

- elektronsko sporočilo brez prilog z dne October 12, 2023, ob 2:10 PM, pri čemer mora organ med naslovniki prekriti vse razen … in elektronsko sporočilo brez prilog z dne October 2, 2024, ob 2:24 PM, pri čemer mora organ med naslovniki prekriti vse razen ….,

- Task-naročilnica št. CLNSD-3671 in št. CLNSD 2993, pri čemer mora prekriti navedbo zaposlenih pri zunanjem izvajalcu in njihove elektronske naslove ter elektronski naslov zaposlene pri organu in EMŠO številko,

- dokument Onkološki inštitut Ljubljana, Analiza tveganja, št. dokumenta 4.0.0.

- Zapisnik št. 1/2019 prvega nadzora Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov na OI v letu 2019, od začetka dokumenta do »Ugotovitve nadzora« in od »V Ljubljani« do konca dokumenta,

- Zapisnik št. 2/2019 drugega nadzora Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov na OI v letu 2019, od začetka dokumenta do »Ugotovitve nadzora« in od »V Ljubljani« do konca dokumenta,

- Zapisnik št. 1/2020 prvega nadzora Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov na OI v letu 2020, od začetka dokumenta do »Ugotovitve nadzora« in od »V Ljubljani« do konca dokumenta,

- Zapisnik št. 2/2020 drugega nadzora Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov na OI v letu 2020, od začetka dokumenta do »Ugotovitve nadzora« in od »V Ljubljani« do konca dokumenta,

- Zapisnik št. 1/2021 prvega nadzora Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov na OI v letu 2021, od začetka dokumenta do »Ugotovitve nadzora« in od »V Ljubljani« do konca dokumenta,

- Zapisnik št. 1/2023 prvega nadzora Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov na OI v letu 2023, od začetka dokumenta do »Ugotovitve nadzora« in od »V Ljubljani« do konca dokumenta,

- Zapisnik št. 1/2024 nadzora Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov na OI v letu 2024, od začetka dokumenta do »Ugotovitve nadzora« in od »V Ljubljani« do konca dokumenta.

2.     V preostalem delu se pritožba zavrne.

3.     Posebni stroški v postopku reševanja te pritožbe niso nastali.

Obrazložitev:

(1) Prosilka je dne 2. 3. 2026 na organ naslovila zahtevo za dostop do informacije javnega značaja, ki se nanaša na dostop do dokumentacije v zvezi s preverjanjem izvajanja Pravilnika o varstvu osebnih in drugih podatkov na Onkološkem inštitutu Ljubljana ter na okoliščine obravnave incidenta dostopa do občutljivih osebnih podatkov, ki ga organ vodi pod oznako spisa 608-0040/2025 v obliki fotokopij. V 14 točkah je zahtevala:

1.    Kopije sklepov o imenovanju, ki so veljali v obdobju od 1. 1. 2019 do 31. 12. 2024, in sicer: sklep o imenovanju pooblaščene osebe za varstvo osebnih podatkov (skladno s 5. členom Pravilnika), sklep o imenovanju 5-članske Komisije za nadzor izvajanja določil Pravilnika (skladno s 7. členom Pravilnika) ter sklep o imenovanju delovne skupine za informacijsko varnost (skladno z 8. členom Pravilnika).

2.    Kopije vseh zapisnikov sej in opravljenih nadzorov Komisije za nadzor izvajanja določil Pravilnika za obdobje od 1. 1. 2019 do 31. 12. 2024. Glede na to, da 7. člen Pravilnika določa, da komisija o ugotovitvah zapiše zapisnik, ki ga vroči generalnemu direktorju, zahteva tudi dokazila o vročitvi teh zapisnikov generalnemu direktorju. Če se komisija ni sestajala ali zapisniki ne obstajajo, je zahtevala pisno potrdilo organa o tem dejstvu.

3.    Kopijo internih navodil, politik ali načrtov, ki jih je sprejel organ na podlagi 2. odstavka 4. člena Pravilnika in s katerimi so določeni postopki za vzpostavitev zakonitih podlag za obdelavo osebnih podatkov.

4.    Kopijo akta ali tabele (matrike), ki določa obseg dostopnih pravic do informacijskega sistema za delovno mesto zdravnik specialist, skladno z 41. členom Pravilnika.

5.    Kopijo podpisane Izjave o varovanju osebnih podatkov (skladno s 46. členom Pravilnika) za zaposleno dr. … ter kopijo akta oziroma odredbe o dodelitvi pravic dostopa do informacijskega sistema za navedeno zaposleno, vse, kar je veljalo v obdobju od 1. 1. 2019 do 31.12. 2024.

6.    Kopije vseh pisnih opozoril, sklepov ali drugih delovnopravnih ukrepov, ki so bili izrečeni zaposleni dr. …. v zvezi s področjem varstva osebnih podatkov.

7.    Kopijo dokumenta Popis informacijskih sredstev (skladno s 25. členom Pravilnika) ter kopijo dokumenta Ocena tveganja informacijske varnosti (27. člen Pravilnika) za obdobje 2019 do 2024, oboje z morebitnimi spremembami.

8.    Kopijo politike ali navodil, ki urejajo uporabo zasebnih naprav (računalnikov, telefonov) za službene namene oz. za dostop do informacijskega sistema zavoda (skladno s 26. členom Pravilnika).

9.    Kopijo Politike upravljanja z varnostnimi incidenti (30. člen Pravilnika), ki določa postopke ukrepanja ob zaznavi kršitev varnosti osebnih podatkov.

10.  Izpis iz Evidence dejavnosti obdelave (14. člen pravilnika) za zbirke, v katere je bil opravljen nepooblaščen vpogled s strani dr. ….. v zgoraj citirani zadevi, iz katerega so razvidni določeni nameni obdelave in kategorije uporabnikov.

11.  Kopijo naročilnice, računa in Pogodbe o obdelavi osebnih podatkov (15. člen pravilnika) z zunanjim izvajalcem, ki ga je organ angažiral za pripravo izpisa dnevnikov obdelave v prosilkinem primeru, kot se navaja v dopisu zadeve št. 608-0040/2025.

12.  Popis spisa in kopijo celotnega spisa zadeve št. 608-0040/2025 (brez dopisov, ki jih je poslala prosilka ali jih je že prejela) ter kopijo celotne korespondence z IP v primeru, ki je obravnaval prosilko.

13.  Seznam vseh prijav kršitev varnosti osebnih podatkov, ki jih je organ poslal IP v obdobju od 1. 1. 2019 do 31. 12. 2024 in se nanašajo na nepooblaščene vpoglede ali obdelave osebnih podatkov s strani zaposlenih.

14.  Kopije tistih delov Letnih poročil o delu organa za leta 2019, 2020, 2021, 2022, 2023 in 2024, ki se nanašajo na področja: kakovosti in varnosti, informatike in informacijske varnosti, delovanja notranjih nadzornih mehanizmov, ki se nanašajo na obvladovanje tveganj na področju informacijske varnosti in varstva osebnih podatkov pacientov.

(2) O zahtevi z dne 2. 3. 2026 je organ odločil z odločbo št. 045-0002/2026 z dne 31. 3. 2026 (v nadaljevanju izpodbijana odločba), s katero je s prvo točko v celoti ugodil zahtevi prosilke v 1. točki in ji je posredoval kopijo imenovanja pooblaščene osebe za varstvo osebnih podatkov št. 03-ZŠK- 480/2018 z dne 24. 5. 2018 in kopijo imenovanje komisije za nadzor izvajanja določil Pravilnika o varstvu osebnih in drugih podatkov št. 03-ZŠK-728/2018 z dne 10. 7. 2018. Ugodil ji je v 4. točki zahteve in posredoval Matriko, ki določa obseg dostopnih pravic do informacijskega sistema za delovno mesto zdravnik. Glede 10. točke zahteve ji je posredoval Izpis iz Evidence dejavnosti obdelave za zbirke, v katere je bil opravljen nepooblaščen vpogled s strani dr. …. v zadevi št. 608-0040/2025, iz katerega so razvidni določeni nameni obdelave in kategorije uporabnikov. Ugodil ji je glede 13. točke zahteve in ji posredoval seznam prijav kršitev, in sicer za leto 2020 - uradno obvestilo o kršitvi varnosti osebnih podatkov z dne 10. 4. 2020 in za leto 2024 - uradno obvestilo o kršitvi varnosti osebnih podatkov z dne 5. 4. 2024.

Z drugo točko izreka je zahtevi prosilke delno ugodil: - v 5. točki in ji posredoval: Podpisano izjava o varstvu osebnih podatkov s strani dr. …., pri čemer je prekril rojstne podatke in naslov javne uslužbenke iz razloga varstva osebnih podatkov. Delno je ugodil zahtevi prosilke v 6. točki ter ji posredoval kopijo Pisnega opozorila št. 073-0013/2025 - 1 z dne 6. 8. 2025 in kopijo Pisnega opozorila št. 073-0013/2025 - 2 z dne 9.10. 2025, pri čemer je v obeh opozorilih prekril osebne podatke; in sicer naslov javne uslužbenke ter ime in priimek pacientke v obrazložitvi opozorila, iz razloga varstva osebnih podatkov. Delno je ugodil tudi glede 11. točke zahteve in ji posredoval kopijo Pogodbe o obdelavi osebnih podatkov z obdelovalcem …. d. o. o., z dne 1. 1. 2024, v kateri je prekril ime in priimek ter kontaktne podatke skrbnika pogodbe na strani obdelovalca, iz razloga varstva osebnih podatkov in račun št. 2025150219 z dne 31. 10. 2025 ter račun št. 2025150247 z dne 23. 12. 2025, s prilogama, pri čemer se prekrijejo ime in priimek fizičnih oseb na izdanih računih: prodajalec in fakturist, iz razloga varstva osebnih podatkov.

S tretjo točko izreka izpodbijane odločbe je organ zavrnil dostop do:

- kopije sklepa o imenovanju delovne skupine za informacijsko varnost (točka 1 zahteve),

- kopije Zapisnikov opravljenih nadzorov (točka 2 zahteve),

- kopije dokazil o vročiti zapisnikov generalnemu direktorju oz. kopijo pisnega potrdila organa o dejstvu, da se komisija ni sestajala ali da zapisniki ne obstajajo (točka 2 zahteve),

- kopije Akta oziroma odredbe o dodelitvi pravic dostopa do informacijskega sistema za dr. …. (točka 5 zahteve),

- kopije Popisa informacijskih sredstev in kopije Ocene tveganj informacijske varnosti (točka 7 zahteve),

- kopije naročilnice z zunanjim izvajalcem, ki je pripravil izpis (točka 11 zahteve) in

- popisa spisa ter kopije celotne zadeve št. 608-0040/2025 ter kopije korespondence z IP v prosilkinem primeru (točka 12 zahteve).

S četrto točko izreka je organ prosilko napotil na spletno stran organa glede kopije internih navodil, politik ali načrtov, ki jih je sprejel organ, s katerimi so določeni postopki za vzpostavitev zakonitih podlag za obdelavo osebnih podatkov (točka 3 zahteve), kopijo politike in navodil, ki urejajo uporabo zasebnih naprav za službene namene oz. za dostop do informacijskega sistema zavoda (točka 8 zahteve) in kopijo Politike upravljanja z varnostnimi incidenti, ki določa postopke ukrepanja ob zaznavi kršitev varnosti osebnih podatkov (točka 9 zahteve) na povezavo: https://www. onko-i.si/fileadmin/onko/datoteke/dokumenti IJZ/2026/Krovna politika varovanja informacij in upravljanja informacijske podpore 2025-pdf. Prav tako je napotil na spletno stran organa glede kopije Letnih poročil organa za leta 2019, 2020, 2021, 2022, 2023 in 2024 na povezavo: https://www.onko-i.si/o-nas/organiziranost/ informacije-javnega- znacaja/dokumenti-ijz.

Iz vsebine obrazložitve izpodbijane odločbe izhaja, da je uradna oseba pri pristojnih službah in v dokumentnem sistemu organa preverila ali organ dejansko razpolaga z vsemi zahtevanimi dokumenti. Po prejemu dokumentov je uradna oseba preverila ali je dostop do zahtevanih dokumentov potrebno zavrniti na podlagi katerega izmed enajstih zakonsko določenih pogojev iz prvega odstavka 6. člena ZDIJZ. Ugotovljeno je bilo, da ima prosilka do dokumentov, o katerih je odločil organ s prvo točko izreka, prost dostop. Z drugo točko izreka izpodbijane odločbe je organ odločil o dostopu do tam navedenih dokumentov, podatke pa delno prekril zaradi varstva osebnih podatkov. Glede tretje točke izreka izpodbijane odločbe je organ odločil, da se dostop do tam navedenih dokumentov v pretežnem delu zavrne, ker ne obstajajo. Glede kopije vseh zapisnikov o opravljenih nadzorih Komisije za nadzor izvajanja določil Pravilnika za obdobje od 1. 1. 2019 do 31.12. 2024, ki jih je prosilka zahtevala z 2. točko zahteve, je organ odločil, da obstaja izjema iz 11. točke prvega odstavka 6. člena ZDIJZ. Ob tem je navedel, da zapisniki vsebujejo konkretne ugotovitve o pomanjkljivostih v procesih dela in da notranje kontrole opozarjajo in predlagajo odpravo pomanjkljivosti. Razkritje teh informacij bi potencialno omogočilo nepooblaščenim tretjim osebam, da prepoznajo in zlorabijo ugotovljene napake in pomanjkljivosti v procesu dela in na ta način s svojimi prepovedanimi ravnanji povzročijo dodatne težave in zaplete pri delu organa. Zaradi navedenega, je omejitev dostopa do zapisnikov nadzora v celoti nujna za nemoteno notranje delovanje organa. Dokument Ocena tveganj informacijske varnosti (pri organu dokument: Analiza tveganja), ki ga je zahtevala prosilka v 7. točki zahteve, je označen kot poslovna skrivnost. Dokument opisuje tveganja za poslovne procese s področja informacijske varnosti pri organu in je namenjen seznanitvi zaposlenih ter določenih pogodbenih sodelavcev, saj vsebuje informacije, ki so namenjene samo osebam, ki jih potrebujejo pri izvajanju svojega dela. Glede na to, da je poslovodstvo predmetni dokument določilo kot poslovno skrivnost, uradna oseba ne dvomi, da dokument, ki se nanaša na informacijske procese v organu vsebuje podatke, katerih razkritje bi lahko organu povzročilo škodo in motnje v delovanju organa. V dokumentu so navedena kritična mesta in točke v informacijskih procesih organa, katerih razkritje nepooblaščenim osebam bi lahko imelo za posledico napad ali zlorabo informacijskega sistema. Uradna oseba je prosilki zavrnila dostop do zahtevane informacije na podlagi 2. točke prvega odstavka 6. člena ZDIJZ, iz razloga, da se zahteva nanaša na podatek iz dokumenta, ki je bil označen kot poslovna skrivnost in bi njegovo razkritje povzročilo motnje pri delovanju oziroma dejavnosti organa. Prosilka je v 12. točki zahtevala tudi popis spisa in kopijo celotnega spisa zadeve št. 608-0040/2025 (z izjemo dopisov, ki jih je poslala ali prejela ona) ter kopijo celotne korespondence z IP v njenem primeru. Uradna oseba je zahtevo iz 12. točke zavrnila iz razloga varstva osebnih podatkov, prav tako je zahteva podana na način, da ni mogoč niti delni dostop do zahtevanih podatkov. Ob tem je organ navedel, da se zahteva nikoli ne presoja z vidika posameznega prosilca, ampak z učinkom erga omnes. Glede na to, da je prosilka v zahtevi konkretno navedla svoj primer, na katerega se nanaša njena zahteva, je uradna oseba dostop do zahtevanih dokumentov zavrnila v celoti. Že sam podatek, da organ vodi postopek v zvezi s prosilko, prestavlja osebni podatek, s katerim se javnost ne sme seznaniti, ker je prosilka v zahtevi navedla, da gre za njen primer, v konkretnem primeru tudi s prekritjem osebnih podatkov na zahtevanih dokumentih ne bi mogli zagotoviti anonimnosti posameznika, na katerega se podatki nanašajo. Ob tem se organ sklicuje na prakso Upravnega sodišča RS. V konkretnem primeru ni pomembno, da je prosilka po ZDIJZ zahtevala dokumente v povezavi z njo. Informacija javnega značaja je lahko prosto dostopna, le če se z njo lahko seznani kdorkoli drug, ki bi organu postavil isto zahtevo. Nihče ne bi imel pravice dostopati do istih dokumentov, če bi jih pri organu zahteval. Tudi delni dostop ni mogoč, ker bi organ s potrditvijo obstoja dokumentov potrdil, da razpolaga z dokumenti, ki se nanašajo na morebitne postopke v zvezi s prosilko. Že sam ta podatek pa predstavlja varovan osebnih podatek prosilke, za katerega ne obstaja pravna podlaga za razkritje. 

(3) Zoper odločbo organa je prosilka dne 20. 4. 2026 vložila pritožbo, v kateri izpodbija vse točke odločbe in navaja, da je tudi v dokumentih iz prve točke določene podatke prekril in da izpodbijana odločba nasprotuje posredovanim informacijam. Glede prve točke zahteve prosilka navaja razlog zmotne in nepopolne ugotovitve dejanskega stanja. Organ je posredoval sklep o imenovanju komisije za nadzor izvajanja določil pravilnika o varstvu osebnih in drugih podatkov z dne 10. 7. 2018. Sedmi člen Pravilnika o varstvu osebnih in drugih podatkov na Onkološkem inštitutu Ljubljana (v nadaljevanju Pravilnik) ki je objavljen na spletni strani organa, določa, da se takšna komisija imenuje za obdobje štirih let. Mandat komisije, ki je bila imenovana 10. 7. 2018, je zato potekel 10. 7. 2022. Ker je pritožnica zahtevala dokumente za obdobje do 31. 12. 2024, je zavezanec prve stopnje neupravičeno opustil posredovanje sklepa o imenovanju za obdobje po poteku prvega mandata, odločbe pa v tem delu tudi ni mogoče preizkusiti. Prav tako je zavezanec zmotno ugotovil neobstoj sklepa o imenovanju delovne skupine za informacijsko varnost. 8. člen navedenega pravilnika o varstvu osebnih podatkov generalnemu direktorju imperativno odreja imenovanje te skupine, zato bi takšen dokument moral obstajati. Če ne obstaja, pa bi moral zavezanec to ustrezno utemeljiti. Glede druge točke zahteve prosilka izpodbija odločitev organa o zavrnitvi dostopa do zapisnikov sej in opravljenih nadzorov Komisije za nadzor izvajanja določil Pravilnika o varstvu osebnih in drugih podatkov. Meni, da se je organ neutemeljeno skliceval na izjemo varstva notranjega delovanja organa iz 11. točke prvega odstavka 6. člena ZDIJZ, odločbe pa v tem delu ni mogoče preizkusiti. Organ ni izvedel zahtevanega in strogo konkretiziranega škodnega testa, ki je nujen zakonski pogoj za uporabo te izjeme. Utemeljitev organa v izpodbijani odločbi se izčrpa v abstraktnem in pavšalnem navajanju možnosti, da bi tretje osebe prepoznale in zlorabile ugotovljene napake ter pomanjkljivosti v procesu dela. Takšna argumentacija ne dosega pravnega standarda dokazovanja resne motnje pri delovanju organa. Računsko sodišče Republike Slovenije je v revizijskem poročilu z naslovom Učinkovitost zagotavljanja informacijske podpore na Onkološkem inštitutu Ljubljana, številka 322-1/2023-25 z dne 5. 11. 2025, na straneh 51 in 52 že javno razkrilo in podrobno dokumentiralo disfunkcionalnost ter pomanjkljivosti notranjega nadzora pri organu. Ker so sistemske napake in ranljivosti zavezanca že dejstvo, s katerim je javnost seznanjena prek uradnega poročila vrhovne revizijske institucije, razkritje zahtevanih zapisnikov ne more povzročiti specifične in nove motnje v delovnem procesu zavezanca, ki bi upravičevala prikrivanje teh dokumentov. Podredno, tudi če bi pritožbeni organ ocenil, da so izpolnjeni formalni pogoji za izjemo notranjega delovanja, v obravnavani zadevi izrecno meni, da je podan prevladujoč interes javnosti, da se seznani z dejanskim stanjem in načinom obravnave občutljivih osebnih podatkov in varnostnih incidentov v eni izmed osrednjih nacionalnih zdravstvenih ustanov. Organ obdeluje in uporablja masovne zbirke posebnih vrst osebnih podatkov pacientov, zato je transparentnost njegovega delovanja pri zagotavljanju informacijske varnosti, varstva osebnih podatkov in odpravljanju ugotovljenih kršitev nujna za ohranjanje zaupanja javnosti v zdravstveni sistem. Interes javnosti po razkritju teh informacij nedvomno pretehta nad interesom organa po prikrivanju lastnih administrativnih in varnostnih pomanjkljivosti. Glede odločitve organa o 3., 8., 9. in 14. točke zahteve, kjer zavezanec prosilko napotuje na spletne objave, navaja, da na spletni strani v tem trenutku niso dostopni dokumenti za vse zahtevano obdobje, to je od 1. 1. 2019 do 31. 12. 2024, niti niso dostopni vsi zahtevani dokumenti, kar naj se preveri s samim vpogledom na spletne strani organa iz odločbe. Glede 5. točke zahteve, s katero je zahtevala izjavo o varovanju osebnih podatkov za dr. ….. ter kopijo akta oziroma odredbe o dodelitvi pravic dostopa do informacijskega sistema za navedeno zaposleno, vse, kar je veljalo v obdobju od 1. 1. 2019 do 31.12. 2024, prosilka meni, da bi moral obstajati akt oziroma odredbe o dodelitvi pravic dostopa do informacijskega sistema za imenovano zaposleno. 41. člen Pravilnika zahteva, da se zaposlenemu dodeli strogo določen obseg dostopnih pravic, kar pomeni, da mora o tem obstajati dokument o dodelitvi pravic. Revizijsko poročilo Računskega sodišča na 45. strani sicer ugotavlja odsotnost centralne evidence dostopnih pravic, vendar to ne izključuje obstoja posamičnih aktov o dodelitvi pravic. Glede 6. točke zahteve prosilka meni, da bi morala o izvedenem internem nadzoru obstajati obsežna spremljajoča dokumentacija. Ta dokumentacija po naravi stvari obsega poročila pooblaščene osebe za varstvo podatkov, zapisnike o izvedenem nadzoru, izpise iz revizijskih sledi, ki so služili kot dokazna podlaga za izdajo opozoril, ter odredbe o omejitvi obdelave osebnih podatkov oziroma odvzemu dostopnih pravic kršiteljici. Ker zahteva pritožnice izrecno zajema tudi druge delovnopravne ukrepe v zvezi s področjem varstva osebnih podatkov, je zavezanec z neposredovanjem celotnega spisa interne preiskave, ki je rezultirala v izdanih opozorilih, nepopolno ugotovil dejansko stanje in pritožnici prikril obstoječe dokumentarno gradivo. Glede 7. točke zahteve prosilka meni, da bi popis informacijskih sredstev moral obstajati, ker Pravilnik nalaga obveznost vodenja ter vzdrževanja popisa informacijskih sredstev. Glede ocene tveganj informacijske varnosti meni, da izjema poslovne skrivnosti po 2. točki prvega odstavka 6. člena ZDIJZ ni podana. Že zgoraj citirano revizijsko poročilo Računskega sodišča na 43. strani izrecno ugotavlja, da je bil register tveganj za področje informacijske podpore pripravljen zgolj v osnutku in ni bil sprejet oziroma potrjen s strani odgovornih oseb. Dokument, ki predstavlja zgolj osnutek in primarno izkazuje neizpolnjevanje zakonskih obveznosti organa na področju informacijske varnosti, ne more izpolnjevati objektivnega kriterija poslovne skrivnosti. Njegovo razkritje ne more povzročiti občutne gospodarske škode, temveč kvečjemu razkriva nezakonito in malomarno ravnanje javnega zavoda, prikrivanje takšnega ravnanja pa ne uživa pravnega varstva. Prav tako meni, da je dokument absolutno javen, ker se nanaša na izvajanje javne službe in porabo javnih sredstev. Vzpostavitev, vzdrževanje in ocenjevanje informacijske varnosti v osrednji javni zdravstveni ustanovi se financira izključno izjavnih sredstev in je neločljivo povezano z izvajanjem javne zdravstvene službe. Organ bi moral omogočiti vsaj delni dostop, prekriti pa le specifične tehnične detajle, katerih razkritje bi neposredno omogočalo kibernetski vdor, medtem ko bi moral preostali del dokumenta, vključno z metodologijo, splošnimi ugotovitvami in opredeljenimi tveganji, posredovati. Glede 10. točke zahteve izpodbijana odločba zahtevi v celoti ugodi, pri čemer pa iz posredovanih dokumentov izhaja, da se ji posreduje le izpis iz dnevnika sledljivosti dostopov oziroma revizijsko sled za zadevo, ki jo organ vodi v spisu št. 608-0040/2025, ki kronološko prikazuje posamezne vpoglede zaposlene v informacijski sistem. Organ pa ne posreduje niti v tem delu ne odloči o izpisu iz evidence dejavnosti obdelave za zbirke, v katere je bil opravljen nepooblaščen vpogled. Glede 11. točke zahteve izpodbija ugotovitev o neobstoju naročilnice zunanjemu izvajalcu, saj bi jih glede na predpise s področja javnega naročanja moral imeti. Glede 12. točke zahteve prosilka meni, da je organ napačno uporabil izjemo varstva osebnih podatkov in institut delnega dostopa. Glede 13. točke zahteve prosilka navaja, da je zahtevala seznam prijav. Iz 36. strani revizijskega poročila Računskega sodišča izrecno izhaja, da organ vodi evidenco varnostnih dogodkov v službi za kakovost in sektorju za informatiko. Organ bi moral posredovati izpis iz teh uradnih evidenc za zahtevano obdobje. Prav tako je organ prikril obstoj prijav iz leta 2025, ko se je ugotovila kršitev na škodo pritožnice.

(4) Organ je z dopisom št. 045-0002/2026-4 z dne 5. 5. 2026 pritožbo prosilke kot dovoljeno, pravočasno in podano s strani upravičene osebe, dne 8. 5. 2026, odstopil IP v pristojno reševanje. Ob tem je navedel, da organ deluje zakonito, gospodarno in transparentno in da očitki prosilke, da prikriva podatke in gradivo ne držijo. Računsko sodišče Republike Slovenije je v revizijskem poročilu o Učinkovitosti zagotavljanja informacijske podpore na Onkološkem inštitutu Ljubljana, podalo mnenje, da je informacijske podpora delno učinkovita in mu podalo priporočila za sistemsko upravljanje informacijske podpre, katere organ upošteva pri nadaljnjem upravljanju z informacijsko podporo. Prav tako ne držijo navedbe prosilke, da na spletni strani organa niso dostopni vsi zahtevani dokumenti. Organ ima na spletni strani med dokumenti IJZ med drugim objavljena Letna poročila o delu organa. Pri Zasebnosti in varstvu osebnih podatkov pa ima med drugim objavljeno Krovno politiko varovanja informacij.

(5) IP je zaradi razjasnitve dejanskega stanja, s pozivom, št. 090-197/2026/3 z dne 6. 8. 2026 in št. 090-197/2026/8 z dne 7. 9. 2026, organ pozval na podajo pojasnil in posredovanje dodatne dokumentacije. Organ je odgovoril z dopisom, št. 045-0002/2026-4 z dne 3. 9. 2026 in št. 045-0002/2026-10 z dne 14. 9. 2026, s katerima je (brez prilog) IP seznanil prosilko. Prosilka je dne 28. 9. 2026 podala izjasnitev, v kateri navaja, da je organ kasneje našel sklep o imenovanju komisije iz leta 2023, ki ni bil evidentiran v sistemu ODOS in naročili v sistemu ClickUp. Predlaga, da IP tudi pri drugih dokumentih, za katere organ trdi, da jih nima, preveri, ali jih je iskal zunaj sistema ODOS. To je posebej pomembno pri dokazilih o pošiljanju zapisnikov nadzora vodstvu in pri elektronski prošnji za dodelitev dostopnih pravic dr. …. Ukinitev elektronskih predalov nekdanjih zaposlenih ali časovna oddaljenost dogodkov sama po sebi ne pojasni, ali je bila oziroma ni bila službena korespondenca shranjena v spisu oziroma dokumentarnem sistemu ali ohranjena pri drugih pošiljateljih in prejemnikih. Predlaga, da organ pojasni, kako je dokumente iskal. Pri zapisnikih nadzora in analizi tveganja prosilka meni, da je možen delni dostop, saj so navedbe organa pavšalne in neizkazane. Glede 13. točke zahteve navaja, da je zahtevala seznam vseh prijav za obdobje 2019-2024, ne kopij prijav ali prijave iz leta 2025.

Pritožba je delno utemeljena.

(6) Uvodoma IP pojasnjuje, da je kot organ druge stopnje v skladu z 247. členom ZUP dolžan preizkusiti odločbo v delu, v katerem jo prosilka izpodbija. Odločbo preizkusi v mejah pritožbenih navedb, po uradni dolžnosti pa preizkusi, ali ni prišlo v postopku na prvi stopnji do bistvenih kršitev postopka in ali ni prekršen materialni zakon. Prosilka odločbo izpodbija v zavrnilnem delu.

(7) V obravnavanem primeru v tem pritožbenem postopku ostaja sporno vprašanje, ali je organ prosilki omogočil dostop do vseh dokumentov, s katerimi razpolaga. Z izpodbijano odločbo je namreč v celoti ugodil oziroma delno ugodil ali zavrnil dostop do določenih dokumentov, pri čemer prosilka dvomi, da je bilo glede obstoja dokumentov dejansko stanje popolno ugotovljeno in meni, da pri organu obstajajo dokumenti, ki ustrezajo njeni zahtevi. Glede zapisnikov o opravljenem nadzoru Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih podatkov in glede analize tveganj pa prosilka meni, da se je organ napačno skliceval na to, da so dokumenti izvzeti zaradi izjeme. Prav tako meni, da se je organ napačno skliceval na izjemo varstva osebnih podatkov, ko je zahtevala popis spisa in dokumente zadeve, v kateri so bile obravnavane kršitve v zvezi z njo.

Vprašanje obstoja dokumentov

(8) Informacija javnega značaja je po določbi prvega odstavka 4. člena ZDIJZ informacija, ki izvira iz delovnega področja organa, nahaja pa se v obliki dokumenta, zadeve, dosjeja, registra, evidence ali dokumentarnega gradiva (v nadaljevanju dokument), ki ga je organ izdelal sam, v sodelovanju z drugim organom ali pridobil od drugih oseb. Iz navedene definicije so razvidni trije osnovni pogoji, ki morajo biti kumulativno izpolnjeni, da lahko govorimo o obstoju informacije javnega značaja, in sicer:

1.     informacija mora izvirati iz delovnega področja organa;

2.     organ mora z njo razpolagati;

3.     nahajati se mora v materializirani obliki.

(9) Kot izhaja iz določbe prvega odstavka 4. člena ZDIJZ in tudi določbe prvega odstavka 1. člena ZDIJZ, informacijo javnega značaja predstavlja samo dokument, ki že obstaja, je že ustvarjen, oz. dokument, ki ga je organ v okviru svojega delovnega področja že izdelal oz. pridobil. Gre za pogoj, ki je v teoriji poznan kot »kriterij materializirane oblike«.

Glede prve točke zahteve

(10) S prvo točko zahteve je prosilka zahtevala, za obdobje 1. 1. 2019 do 31. 12. 2024, vse sklepe o imenovanju pooblaščene osebe za varstvo osebnih podatkov, sklepe o imenovanju komisije za nadzor izvajanja določil Pravilnika o varstvu osebnih in drugih podatkov na Onkološkem inštitutu (v nadaljevanju Pravilnik) ter sklepe o imenovanju delovne skupine za informacijsko varnost. Z izpodbijano odločbo ji je organ omogočil dostop do dveh sklepov o imenovanju, in sicer do sklepa o imenovanju pooblaščene osebe za varstvo osebnih podatkov in sklepa o imenovanju komisije za nadzor izvajanja določil Pravilnika o varstvu osebnih in drugih podatkov na Onkološkem inštitutu, zavrnil pa je dostop do sklepov o imenovanju delovne skupine za informacijsko varnost, ker z njim ne razpolaga. V pritožbenem postopku je organ pojasnil, na kakšen način je iskal zahtevano dokumentacijo. Obstoj dokumentacije je preveril v dokumentarnem sistemu ODOS in v glavni pisarni organa oziroma pri pooblaščeni osebi za varstvo osebnih podatkov. Kot je razvidno iz elektronske sporočila z dne 3. 2. 2026, je bil obstoj dokumentov preverjen v dokumentaciji bivše DPO, kjer je bil zabeležen sklep o imenovanje komisije št. 03-ZŠK-728/2018 z dne 10. 7. 2018, ki je bil že posredovan prosilki. V dokumentnem sistemu ODOS za obdobje od 1. 1. 2019 do 31. 12. 2024 ni bilo evidentiranega nobenega sklepa. Prvi sklep o imenovanju komisije je v ODOS-u evidentiran v letu 2026, pod številko 0206-0007/2026. Ta sklep ne ustreza zahtevi prosilke, saj se ne nanaša na zahtevano obdobje (2019-2024). Po ponovnem preverjanju je uradna oseba organa na drugi poziv IP dostavila sklep o imenovanju št. 0206-0007/2023 z dne 11. 7. 2023. Kot je razvidno, je bil uradni osebi sklep posredovan naknadno s strani ene od članic komisije. IP ugotavlja, da sklep o imenovanju št. 0206-0007/2023 z dne 11. 7. 2023 ustreza zahtevi prosilke, zato je z izrekom te odločbe odločbo organa dopolnil in mu naložil, da ga posreduje. Glede sklepov o imenovanju delovne skupine za informacijsko varnost ni bilo najdenih dodatnih dokumentov. Kot je razvidno iz posredovanih dokumentov, je obstoj dokumentov preverjala vodja glavne pisarne v sistemu ODOS po različnih ključnih besedah, vendar akta oziroma odredbe o tem ni našla. Prav tako se sklepi o imenovanju delovne skupine za informacijsko varnost ne nahajajo na intranetu organa med Seznamom internih aktov. IP tako zaključuje, da v pritožbenem postopku ni bilo ugotovljeno, da organ razpolaga s sklepi o imenovanju delovne skupine za informacijsko varnost, zato je organ zahtevo v tem delu utemeljeno zavrnil. 

Glede druge točke zahteve v delu, ki se nanaša na vročitev zapisnikov (Komisije za nadzor izvajanja določil Pravilnika) generalnemu direktorju

(11) Z drugo točko zahteve je prosilka zahtevala dostop do zapisnikov Komisije za nadzor izvajanja določil Pravilnika in dokazila o vročitvi zapisnikov generalnemu direktorju. Glede dostopa do zapisnikov se bo IP opredelil v nadaljevanju, glede dokazil o vročitvi pa je bil v pritožbenem postopku preverjen obstoj v dokumentaciji bivše DPO, kjer so evidentirani zapisniki opravljenih nadzorov. Vročitev zapisnikov je bila preverjena še pri članih komisije za nadzor oziroma pri drugih zaposlenih in iz prejetih elektronskih sporočil iz leta 2023 in 2024 je razvidno, da je bivša DPO po opravljenem nadzoru zapisnike poslala generalnemu direktorju, strokovnemu direktorju, glavni medicinski sestri idr. DPO je zapisnike o nadzoru pošiljala na osebne službene elektronske naslove. Za izkaz vročanja starejših zapisnikov iz leta 2019, 2020 in 2022, ni bilo mogoče pridobiti dokazil, saj je v letih od 2019 do 2023 prišlo do menjav generalnega in strokovnega direktorja ter glavne medicinske sestre. Njihovi elektronski naslovi so bili ob prenehanju zaposlitve pri organu ukinjeni. Tudi oseba, ki je bila v obdobju od 1. 1. 2019 do 31.12. 2024 imenovana za DPO (……), ni več zaposlena pri organu, njen elektronski naslov je bil ukinjen. IP ugotavlja, da je bilo v zahtevanem obdobju (1. 1. 2019 do 31. 12. 2024) izdanih 7 zapisnikov. Za dva, in sicer iz leta 2023 in leta 2024 je organ našel dokazilo o tem, da sta bila poslana generalnemu direktorju, in sicer tako da sta jih uradni osebi posredovali članica komisije oziroma pravnica pri organu, glede drugih je organ prepričljivo obrazložil, zakaj dokazil o pošiljanju ne more pridobiti. Ker elektronsko sporočilo z dne October 12, 2023, ob 2:10 PM, ki je naslovljeno med drugim na ….., ki je v tem obdobju opravljal funkcijo generalnega direktorja organa in elektronsko sporočilo z dne October 2, 2024, ob 2:24 PM, ki je naslovljeno med drugim na …. Zlato, ki je v tem obdobju opravljala funkcijo generalne direktorice organa, ustreza dokazilu, da je bil zapisnik Komisije za nadzor izvajanja določil Pravilnika vročen generalnemu direktorju, je IP delno odpravil tretjo alinejo tretje točke izreka izpodbijane odločbe in organu naložil, da prosilki omogoči dostop do obeh elektronskih sporočil na način, da je izmed naslovnikov razvidno, da sta bila poslana generalnemu direktorju.

Glede pete točke zahteve

(12) S peto točko zahteve je prosilka zahtevala kopijo podpisane Izjave o varovanju osebnih podatkov (skladno s 46. členom Pravilnika) za zaposleno dr. ….. ter kopijo akta oziroma odredbe o dodelitvi pravic dostopa do informacijskega sistema za navedeno zaposleno, vse, kar je veljalo v obdobju od 1. 1. 2019 do 31.12. 2024. Z izpodbijano odločbo je organ prosilki omogočil dostop do podpisane izjave o varstvu osebnih podatkov za navedeno zaposleno. Zahtevo za dostop do akta oziroma odredbe o dodelitvi pravic dostopa do informacijskega sistema pa je zavrnil, ker z dokumentom ne razpolaga. V pritožbenem postopku je bilo pojasnjeno, da je bil obstoj akta oz. odredbe o dodelitvi pravic dostopa do informacijskega sistema za zadevno zaposleno preverjen pri sodelavcih v Službi za informatiko, kjer so sporočili, da akta oz. odredbe o dodelitvi nimajo in ne obstaja. Pojasnjeno je bilo, da se pravice dostopa dodeljujejo na podlagi pisne prošnje, ki jo po elektronski pošti posreduje uporabnikov nadrejeni. Elektronskega sporočila nadrejenega za zadevno zaposleno v službi za informatiko nimajo več, saj je od tega minilo že več let. O navedeni preveritvi se je prepričal tudi IP in vpogledal v posredovana elektronska sporočila uradne osebe in komunikacije s Službo za informatiko z dne 9. in z dne 13. 3. 2026, z dne 12. in z dne 13. 8. 2026 ter z dne 8. in z dne 10. 9. 2026. Ob tem IP ugotavlja, da posebnega akta ali odredbe ne predvideva niti Pravilnik o varstvu osebnih podatkov pri organu, iz njega izhaja le, da se zaposlenemu dodeli strogo določen obseg dostopnih pravic, kar pa ne pomeni, da bi moral o tem nujno obstajati dokument. Katere pravice so na splošno dodeljene za zdravnike pa je razvidno iz Matrike, ki določa obseg dostopnih pravic do informacijskega sistem, do katerega je organ prosilki že omogočil dostop z izpodbijano odločbo.

Glede šeste točke zahteve

(13) S šesto točko je prosilka zahtevala kopije vseh pisnih opozoril, sklepov ali drugih delovnopravnih ukrepov, ki so bili izrečeni zaposleni dr. …… v zvezi s področjem varstva osebnih podatkov. Z izpodbijano odločbo je organ prosilki omogočil dostop do dveh pisnih opozoril, prosilka pa v pritožbi meni, da bi morala o izvedenem internem nadzoru obstajati obsežna spremljajoča dokumentacija. Ta dokumentacija po naravi stvari obsega poročila pooblaščene osebe za varstvo podatkov, zapisnike o izvedenem nadzoru, izpise iz revizijskih sledi, ki so služili kot dokazna podlaga za izdajo opozoril, ter odredbe o omejitvi obdelave osebnih podatkov oziroma odvzemu dostopnih pravic kršiteljici. Ob tem prosilka navaja, da njena zahteva izrecno zajema tudi druge delovnopravne ukrepe v zvezi s področjem varstva osebnih podatkov, je zavezanec z neposredovanjem celotnega spisa interne preiskave, ki je rezultirala v izdanih opozorilih, nepopolno ugotovil dejansko stanje in pritožnici prikril obstoječe dokumentarno gradivo. Z vpogledom v zahtevo prosilke in v posredovani pisni opozorili IP ugotavlja, da je prosilka zahtevala kopije delovnopravnih ukrepov. Glede obstoja teh je organ preveril v kadrovski službi, v personalni mapi zaposlene in v dokumentnem sitemu ODOS in ji posredoval dve opozorili. S tem v zvezi prosilka ne podaja navedb, vztraja pa da je v tej točki zahteve zahtevala še zapisnike, poročila, torej vso dokumentacijo, ki je služila izreku opozoril.

(14) Celoten spis interne preiskave ne predstavlja izreka delovno pravnega ukrepa. Prosilka je zahtevala le ukrepe, ne pa celotne spremljajoče dokumentacije, na podlagi katere je bil ukrep sprejet. V pritožbi sama ilustrira svojo razširitev, in sicer navaja, da je zahtevala vse dokazne podlage, ki so služile izdaji opozorila, kar pa nedvomno pomeni nekaj drugega kot delovnopravni ukrep, ki je le eventualni zaključek preiskave. Gre torej za razširitev prvotne zahteve oziroma za novo zahtevo po ZDIJZ, ki ne more biti predmet tega pritožbenega postopka. Pri tem IP opozarja, da prosilec v pritožbenem postopku ne more razširiti ali vsebinsko spremeniti zahteve. 133. člen ZUP določa, da lahko stranka po uvedbi postopka do izdaje odločbe na prvi stopnji razširi ali spremeni postavljeni zahtevek, če se razširjeni oziroma spremenjeni zahtevek opira na iste bistvene sestavine dejanskega stanja in je organ pristojen za njegovo reševanje. Iz navedene določbe izhaja, da je sprememba oziroma razširitev zahtevka mogoča do izdaje odločbe na prvi stopnji, ne pa šele v pritožbenem postopku. Povedano drugače, prosilec v pritožbi ne more od organa zahtevati, da opravi novo oziroma po vsebini drugačno iskanje dokumentov na podlagi novih vsebinskih iskalnih kriterijev, ki jih v prvotni zahtevi ni navedel in jih organ ob odločanju na prvi stopnji, glede na vsebino prvotne zahteve, ni mogel predvideti. Takšna zahteva presega predmet prvotnega postopka in jo je treba obravnavati kot novo zahtevo.

Glede s sedmo točko zahteve zahtevani popis informacijskih sredstev

(15) S sedmo točko zahteve je prosilka zahtevala Kopijo dokumenta Popis informacijskih sredstev (skladno s 25. členom Pravilnika) ter kopijo dokumenta Ocena tveganja informacijske varnosti (27. člen Pravilnika) za obdobje 2019 do 2024, oboje z morebitnimi spremembami. Z izpodbijano odločbo je organ zavrnil dostop do Ocene tveganja zaradi obstoja izjeme, o čemer bo IP več v nadaljevanju te odločbe, glede dostopa do dokumenta Popis informacijskih sredstev je organ dostop zavrnil, ker z njim ne razpolaga. Glede načina preveritve dejanskega stanja je bilo v pritožbenem postopku ugotovljeno, da je uradna oseba organa za dostop do informacije javnega značaja v notranji organizacijski enoti Službe za informatiko preverila obstoj dokumenta Popis informacijskih sredstev, kjer ji je bilo pojasnjeno, da ta dokument pri organu ne obstaja. O tem se je prepričal tudi IP in vpogledal v uradni zaznamek uradne osebe z dne 12. 8. 2026, iz katerega izhaja, da je uradna oseba pri organu, pristojna za informacije javnega značaja, ….., pri …… preverila, ali ima organ dokument, ki vsebuje popis informacijskih sredstev. Slednji je sporočil, da ga organ nima. Dokaz, da je uradna oseba pri organu, pristojna za informacije javnega značaja, opravila v notranji organizacijski enoti Službe za informatiko poizvedbe pa izhaja tudi iz elektronskega sporočila z dne 9. oziroma z dne 13. 3. 2026. IP tako ugotavlja, da je organ opravil preveritve in dokumenta Popis informacijskih sredstev ni našel. Čeprav kot navaja tudi prosilka iz Pravilnika izhaja, da naj bi takšen dokument organ izdelal. Da bi organ s takšnim dokumentom razpolagal, pa ne izhaja niti iz Revizijskega poročila z naslovom Učinkovitost zagotavljanja informacijske podpore na Onkološkem inštitutu Ljubljana. Nasprotno iz poročila na strani 43 celo izhaja, da ga organ nima.[1]

Glede v 11. točki zahteve zahtevanih naročilnic

(16) Z izpodbijano odločbo je organ zavrnil dostop do naročilnic, ker naj z njimi ne bi razpolagal. Po v pritožbenem postopku opravljeni ponovni poizvedbi o pravni podlagi za naročanja storitev izpisov sledljivosti, je bila uradni osebi za dostop do informacij javnega značaja pri organu iz Službe za informatiko organa poslana Pogodba za vzdrževanje programske opreme, naknadno pa še dva taska (naročilnici) za izpise dnevnikov sledljivosti (CLSD-2993 in CLSD-3671). Ker organ z izpodbijano odločbo ni pravilno ugotovil dejanskega stanja, in sicer da razpolaga z dvema naročilnicama, je o njiju odločil IP v pritožbenem postopku. Ker so se v obeh dokumentih nahajale informacij, za katere IP ni našel pravne podlage za razkritje (elektronski naslovi, imena in priimki zaposlenih pri zunanjem izvajalcu, EMŠO številke), je hkrati naložil organu, da te podatke prekrije.

Glede 13. točke zahteve

(17) Z navedeno točko je prosilka zahtevala seznam vseh prijav kršitev varnosti osebnih podatkov, ki jih je organ poslal IP v obdobju od 1. 1. 2019 do 31. 12. 2024 in se nanašajo na nepooblaščene vpoglede ali obdelave osebnih podatkov s strani zaposlenih. S prvo točko izreka izpodbijane odločbe je organ navedel, da se ji posreduje seznam kršitev in ob tem navedel:

- 2020 – uradno obvestilo o kršitvi osebnih podatkov z dne 10. 4. 2020,

- 2024 - uradno obvestilo o kršitvi osebnih podatkov z dne 5. 4. 2024.

V pritožbenem postopku je organ pojasnil, da so bile prijave kršitev za zaprošeno obdobje preverjene v dokumentarnem sistemu ODOS, nato pa še v dokumentih pooblaščene osebe. Najdeni sta bili dve prijavi, katerih seznam je bil poslan prosilki. Prosilka je zahtevala seznam in ne samih prijav, kar ji je bilo posredovano. Ob tem se je organ opredelil do pritožbenih navedb prosilke, da ni upošteval prijave iz leta 2025 in navedel, da leto 2025 ni bilo zahtevano obdobje. IP se strinja z organom, da prosilka s svojimi navedbami nedovoljeno širi zahtevo v pritožbi, saj je v zahtevi zahtevala le seznam prijav, ki ga je organ v izreku odločbe zanjo ustvari. Nedovoljena širite zahteve pa predstavlja v pritožbi podana zahteva tudi za leto 2025 oziroma za dokumente, ki presegajo seznam prijav. Glede širitev zahteve v pritožbenem postopku se je IP opredelil že zgoraj (glej točko 14 te odločbe).

(18) V pritožbenem postopku je bilo tako ugotovljeno, da organ ne razpolaga s sklepi o imenovanju delovne skupine, preostalimi dokazili o vročitvi zapisnikov generalnemu direktorju, z aktom oziroma odredbo o dodelitvi pravic zadevni zaposleni do informacijskega sistema in s popisom informacijskih sredstev. Glede na ugotovljeno dejansko stanje in podana pojasnila organa, IP ne vidi razlogov, da bi podvomil v dejstvo, da organ z zahtevanimi dokumenti ne razpolaga. Organ je namreč smiselno in celovito pojasnil, na kakšen način je iskal zahtevane dokumente (z vpogledom v dokumentarni sistem ODOS) in prišel do ugotovitve, da z drugimi dokumenti, kot jih je že posredoval prosilki oziroma IP, ne razpolaga. Prosilka se v svojih navedbah sicer sklicuje na pravne podlage, na podlagi katerih bi organ moral voditi nekatere od zahtevanih dokumentov, vendar je bilo tudi za določene hkrati ugotovljeno, da jih organ nima (Revizijsko poročilo Računskega sodišča). V pritožbenem postopku pa je IP dopolnil ugotovitveni postopek na način, da je organu naložil, da opravi dodatne preveritve in o tem dostavi dokazila. Z vpogledom v ta dokazila se je IP prepričal, da organ s preostalimi zahtevanimi dokumenti ne razpolaga.

(19) IP tako nima nikakršnega razloga, da ne bi sledil navedbam organa, da zahtevani dokumenti pri organu ne obstajajo, prav tako IP tudi ob reševanju te pritožbe ni mogel posumiti, da organ z dokumenti razpolaga, vendar jih v celoti ne posreduje oziroma ne želi posredovati prosilki (2. odstavek 10. člena ZInfP). IP ob tem pojasnjuje, da v pritožbenem postopku glede dostopa do informacij javnega značaja nima pristojnosti, da bi se spuščal v presojo zakonitosti in smotrnosti ravnanja organa ter v vprašanje pravilnosti poslovanja organa. V postopku dostopa do informacij javnega značaja se lahko presoja (le) vprašanje, ali zahtevane informacije javnega značaja dejansko obstajajo pri organu, v materializirani obliki.

(20) Glede na navedeno IP v postopku po ZDIJZ ni pristojen ugotavljati, ali je bila dokumentacija pravilno ustvarjena, hranjena in uničena, oziroma ali je odbiranje, izločanje in uničevanje izvedeno pravilno in skladno s predpisi. Ugotavljanje, zakaj določene dokumentacije ni, oziroma ali bi morala biti, je torej v pristojnosti drugih organov, in sicer upravne inšpekcije. Takšno stališče je zavzelo tudi Upravno sodišče v sodbi pod opr. št. IU 1198/2016-22 z dne 10. 5. 2017, točka 10. in 11. IP je organ, ki je, na podlagi prvega odstavka 2. člena ZInfP, pristojen za odločanje o pritožbi zoper odločbo, s katero je organ zavrgel ali zavrnil zahtevo ali drugače kršil pravico do dostopa ali ponovne uporabe informacije javnega značaja ter v okviru postopka na drugi stopnji tudi za nadzor nad izvajanjem zakona, ki ureja dostop do informacij javnega značaja, in na njegovi podlagi izdanih predpisov. Zato IP, skladno z načelom zakonitosti, organu ne more naložiti, naj prosilki posreduje dokumente, s katerimi ne razpolaga.

Glede 3., 8., 9., 10. in 14 točke zahteve in napotila organa na javno objavljene podatke

(21) S tretjo točko zahteve je prosilka zahtevala dostop do kopije internih navodil, politik ali načrtov, ki jih je sprejel organ na podlagi 2. odstavka 4. člena Pravilnika in s katerimi so določeni postopki za vzpostavitev zakonitih podlag za obdelavo osebnih podatkov. Z osmo točko je zahtevala kopijo politike ali navodil, ki urejajo uporabo zasebnih naprav (računalnikov, telefonov) za službene namene oz. za dostop do informacijskega sistema zavoda (skladno s 26. členom Pravilnika). Z deveto točko je zahtevala kopijo Politike upravljanja z varnostnimi incidenti (30. člen Pravilnika), ki določa postopke ukrepanja ob zaznavi kršitev varnosti osebnih podatkov. S 14. točko zahteve pa je zahtevala kopije tistih delov Letnih poročil o delu organa za leta 2019, 2020, 2021, 2022, 2023 in 2024, ki se nanašajo na področja: kakovosti in varnosti, informatike in informacijske varnosti, delovanja notranjih nadzornih mehanizmov, ki se nanašajo na obvladovanje tveganj na področju informacijske varnosti in varstva osebnih podatkov pacientov. Prosilka je v pritožbi navedla, da je postopanje organa nezakonito, ker ni bilo jasnega napotila in ker niso javno objavljeni podatki za celotno zahtevano obdobje. V pritožbenem postopku je organ na vprašanje IP kateri javno objavljeni dokument ustreza kateri od točk zahteve, pojasnil, da dokument »Krovna politika varovanja informacij in upravljanja informacijske podpore« predstavlja temeljni in izhodiščni dokument na področju upravljanja informacijske podpore pri organu in varovanja informacij. V dokumentu so določena pravila in postopki, na podlagi katerih organ skrbi, da so podatki in informacije s katerimi razpolagajo zaposleni, sodelavci in pogodbeni obdelovalci pogodbeni izvajalci in zunanji izvajalci ustrezno varovani in določa način upravljanja informacijske podpore pri organu. Glede na to, da dokument celostno obravnava politiko varovanja informacij, so v njem med drugim določene tudi politika upravljanja z varnostnimi incidenti (točka 17 dokumenta), kar je prosilka zahtevala v 9. točki in politika uporabe zasebnih naprav (BY0D) v delovnem okolju (točka 18 dokumenta), kar je prosilka zahtevala v 8. točki zahteve. IP je vpogledal v dokument »Krovna politika varovanja informacij in upravljanja informacijske podpore«[2] in ugotavlja, da dokument celostno ureja vprašanja, ki jih v obravnavanih točkah podaja prosilka in da so iz njega razvidne informacije, ki jih je zahtevala. IP prav tako ugotavlja, da peti odstavek 6. člena ZDIJZ določa, da organ lahko prosilcu ne posreduje zahtevane informacije, ki je dostopna v prosto dostopnih javnih evidencah ali na drug način že enostavno javno dostopna (objava v uradnem glasilu, publikacijah organa, medijih, strokovni literaturi, svetovnem spletu in podobno), in mu posreduje samo napotilo, kje se informacija nahaja. V 4. točki izpodbijane odločbe je organ navedel povezavo do dokumenta, tako da je to svojo obveznost izpolnil. S 14. točko zahteve je prosilka zahtevala dostop do letnih poročil. Tudi ta so javno objavljena, o čemer se je prepričal IP z vpogledom v spletno stran organa. Na spletni strani so razvidna vsa zahtevana letna poročila oziroma za leti 2019 in 2020 Program dela in finančni načrti: za leto 2019,[3] leto 2020,[4] leto 2021,[5] za leto 2022,[6] za leto 2023[7] in za leto 2024.[8]

(22) Z 10. točko zahteve je prosilka zahtevala izpis iz Evidence dejavnosti obdelave (14. člen pravilnika) za zbirke, v katere je bil opravljen nepooblaščen vpogled s strani zadevne zaposlene v zgoraj citirani zadevi, iz katerega so razvidni določeni nameni obdelave in kategorije uporabnikov. Z izpodbijano odločbo je organ prosilki omogočil dostop do izpisa iz dnevnika sledljivosti dostopov oziroma revizijsko sled za zadevo št. 608-0040/2025, ki kronološko prikazuje posamezne vpoglede zadevne zaposlene v informacijski sistem. Prosilka meni, da to ni bil predmet njene zahteve, ampak da je zahtevala evidenco dejavnosti. Organ je s tem v zvezi v pritožbenem postopku pojasnil, da je preveril ali pri organu obstaja dokument Evidenca dejavnosti obdelave za zbirke. Na spletni strani organa je objavljen dokument Evidenca dejavnosti obdelave za zbirke, ki je prosto dostopen na povezavi EVIDENCE DEJAVNOSTI OBDELAVE 2O25.pdf. Z vpogledam v navedbeno spletno stran[9] IP ugotavlja, da je razvidna evidenca dejavnosti obdelave osebnih podatkov.

(23) IP tako zaključuje, da je z napotilom organa, s katerim je bila prosilka v pritožbenem postopku seznanjena oziroma z izpodbijano odločbo napotena, je organ izpolnil svojo obveznost dostopa do v zgoraj navedenih točkah zahtevanih informacij. Za svoje postopanje je imel pravno podlago v petem odstavku 6. člena ZDIJZ.

Glede 12. točke zahteve

(24) Prosilka je v 12. točki zahtevala popis spisa in kopijo celotnega spisa zadeve št. 608-0040/2025 (brez dopisov, ki jih je poslala prosilka ali jih je že prejela) ter kopijo celotne korespondence z IP v primeru, ki je obravnaval prosilko. Z izpodbijano odločbo je organ zahtevo iz 12. točke zavrnil iz razloga varstva osebnih podatkov, prav tako je organ ocenil, da je zahteva podana na način, da ni mogoč niti delni dostop do zahtevanih podatkov, s čimer se IP strinja. Prosilka je namreč dostop do navedenih dokumentov zahtevala na način, da se je skliceval na konkretno zadevo, ki se nanaša nanjo, zaradi česar je organ pravilno ugotovil, da anonimizacija zahtevanih informacij ni možna. V tej zvezi se IP sklicuje tudi na svojo prakso (npr. odločbe št. 090/139/2017, št. 090-185/2017, št. 090-185/2017, št. 090-37/2017, št. 090-52/2018, št. 090-121/2019, št. 090-57/2020), pa tudi na sodno prakso, npr. sodbe Upravnega sodišča št. I U 1588/2012-20, št. I U 1391/2013-27 in št. I U 684/2014-24, v katerih je sodišče zavzelo stališče, da anonimizacija dokumentov ni mogoča v primeru, ko prosilec zahteva podatke po imenu in priimku posameznika. IP poudarja, da se je treba pri presoji, ali lahko prosilec pridobi zahtevane dokumente, vprašati, ali gre za informacije, ki bi jih lahko pridobil tudi kdorkoli drug, ki bi organu postavil isto zahtevo. Za uveljavljanje pravice dostopa do informacij javnega značaja namreč ni bistveno, ali ima prosilec posebne razloge, zaradi katerih zahteva informacije, temveč je treba presoditi, ali gre za dokumente, ki so prosto - javno dostopni vsakomur. ZDIJZ namreč sam po sebi ne daje organom pravne podlage, da razkrivajo oziroma dajejo na razpolago osebne podatke posameznikov, s katerimi razpolagajo zaradi izvrševanja svojih zakonitih pristojnosti. Tudi sama zahteva, vložena s strani osebe, katere osebni podatki se zahtevajo, tega ne omogoča, oziroma takšne zahteve ni mogoče obravnavati kot »privolitve« v obdelavo osebnih podatkov na način »prostega dostopa«, tudi če bi prosilec to izrecno izjavil. Gre za varovalko, ki primarno varuje prav posameznike pred nezakonitim razkritjem osebnih podatkov v postopku dostopa do informacij javnega značaja. V postopku po ZDIJZ je dolžnost organa prve stopnje kot tudi IP, da vselej varuje varovane osebne podatke (in druge izjeme po ZDIJZ) v takšnem obsegu, kot da bi bil prosilec katerakoli tretja oseba (načelo erga omnes). Glede na navedeno je neutemeljena in nerelevantna pritožbena navedba prosilke, da gre za njene osebne podatke, saj se dostop do informacij javnega značaja nikoli ne presoja v luči, kaj je prosilcu znano, temveč kot rečeno, ali gre za prosto dostopne informacije javnega značaja, ki so lahko prosto dostopne vsakomur. Organ je tako z izpodbijano odločbo pravilno zavrnil dostop do z 12. točko zahteve zahtevanih informacij, ker bi s tem razkril varovane osebne podatke, delni dostop pa v primeru, ko je postavljena poimenska zahteva, ni mogoč.

Glede z drugo točko zahteve zahtevanih zapisnikov o opravljenih nadzorih Komisije za nadzor izvajanja določil Pravilnika o varstvu osebnih in drugih podatkov in glede s 7. točko zahteve zahtevane Ocene tveganj informacijske varnosti

(25) Glede kopije vseh zapisnikov o opravljenih nadzorih Komisije za nadzor izvajanja določil Pravilnika za obdobje od 1. 1. 2019 do 31.12. 2024, ki jih je prosilka zahtevala z 2. točko zahteve, je organ odločil, da obstaja izjema iz 11. točke prvega odstavka 6. člena ZDIJZ. Ob tem je navedel, da zapisniki vsebujejo konkretne ugotovitve o pomanjkljivostih v procesih dela in da notranje kontrole opozarjajo in predlagajo odpravo pomanjkljivosti. Razkritje teh informacij bi potencialno omogočilo nepooblaščenim tretjim osebam, da prepoznajo in zlorabijo ugotovljene napake in pomanjkljivosti v procesu dela in na ta način s svojimi prepovedanimi ravnanji povzročijo dodatne težave in zaplete pri delu organa. Zaradi navedenega, je omejitev dostopa do zapisnikov nadzora v celoti nujna za nemoteno notranje delovanje organa. Dokument Ocena tveganj informacijske varnosti (pri organu dokument: Analiza tveganja), ki ga je zahtevala prosilka v 7. točki zahteve, je označen kot poslovna skrivnost. Organ v izpodbijani odločbi navaja, da dokument opisuje tveganja za poslovne procese s področja informacijske varnosti pri organu in je namenjen seznanitvi zaposlenih ter določenih pogodbenih sodelavcev, saj vsebuje informacije, ki so namenjene samo osebam, ki jih potrebujejo pri izvajanju svojega dela. Glede na to, da je poslovodstvo predmetni dokument določilo kot poslovno skrivnost, uradna oseba ne dvomi, da dokument, ki se nanaša na informacijske procese v organu vsebuje podatke, katerih razkritje bi lahko organu povzročilo škodo in motnje v delovanju organa. V dokumentu so navedena kritična mesta in točke v informacijskih procesih organa, katerih razkritje nepooblaščenim osebam bi lahko imelo za posledico napad ali zlorabo informacijskega sistema. Organ je prosilki zavrnil dostop do zahtevane informacije na podlagi 2. točke prvega odstavka 6. člena ZDIJZ, iz razloga, da se zahteva nanaša na podatek iz dokumenta, ki je bil označen kot poslovna skrivnost in bi njegovo razkritje povzročilo motnje pri delovanju oziroma dejavnosti organa. V pritožbenem postopku je prosilka vztrajala pri dostopu do obeh dokumentov in meni, da izjeme od dostopa za navedenih dveh dokumentov niso podane.

(26) Ker je organ dostop do dokumenta Analiza tveganja zavrnil zaradi izjeme poslovne skrivnosti, ga je IP v pritožbenem postopku pozval, da poda navedbe glede navedene izjeme. V 8. alineji poziva IP št. 090-197/2026/3 z dne 6. 8. 2026 je IP organ izrecno opozoril, da dostavi akt organa, ki ureja poslovno skrivnost in se opredeli do pogojev, ki jih za izpolnitev poslovne skrivnosti določa ZPosS (- je skrivnost, ki ni splošno znana ali lahko dosegljiva osebam v krogih, ki se običajno ukvarjajo s to vrsto informacij; - ima tržno vrednost; - imetnik poslovne skrivnosti je v danih okoliščinah razumno ukrepal, da jo ohrani kot skrivnost) oziroma da organ navede, katero izjemo za dostop do tega dokumenta zatrjujete, saj se obenem sklicujete, da naj bi razkritje povzročilo motnje pri delovanju organa, pri čemer ni razvidno, ali meni, da bi razkritje celote ali le dela povzročilo motnje. Organ je v odgovoru z dne 3. 9. 2026 navedel, da je Analiza tveganja dokument, ki vsebuje podrobne in varnostno občutljive informacije o arhitekturi informacijskega sistema, prepoznanih ranljivostih, možnih načinih napada, obstoječih zaščitnih ukrepih ter kritičnih informacijskih in komunikacijskih procesih organa. Razkritje takšnih podatkov nepooblaščenim osebam oziroma njihovo posredovanje po neustrezno zaščitenih poteh bi lahko povečalo izpostavljenost organa kibernetskim in drugim varnostnim tveganjem. Organ kot javni zdravstveni zavod obdeluje posebej občutljive osebne in zdravstvene podatke pacientov, informacijski sistemi organa pa podpirajo ključne zdravstvene, diagnostične in raziskovalne procese. Morebitna zloraba podatkov iz navedene analize bi lahko ogrozila zaupnost, celovitost in razpoložljivost informacijskih sistemov, varnost podatkov pacientov ter neprekinjeno izvajanje zdravstvene dejavnosti. Ker organ kljub opozorilu IP, da za izpolnitev izjeme poslovne skrivnosti ZPosS kumulativno določa tri pogoje, razen navedbe, da je dokument označen z oznako poslovna skrivnost ni podal ne navedbene ne dokazne podlage za utemeljitev te izjeme, je IP zaključil, da ta ni podana. Ker pa bi navedbe, ki jih je podal organ v zvezi s tem dokumentov predstavljale okoliščine, na podlagi katerih bi lahko bila podana izjema notranjega delovanja, je IP v nadaljevanju presojal dostop do tega dokumenta v luči te izjeme. Z vidika te izjeme je IP presojal tudi dostop do Zapisnikov, za katere je že organ z izpodbijano odločbo odločil, da je podana izjeme notranjega delovanja organa.

(27) Po izjemi iz 11. točke prvega odstavka 6. člena ZDIJZ organ prosilcu zavrne dostop do zahtevane informacije, če se zahteva nanaša na podatek iz dokumenta, ki je bil sestavljen v zvezi z notranjim delovanjem oziroma dejavnostjo organov, in bi njegovo razkritje povzročilo motnje pri delovanju oziroma dejavnosti organa. Za obstoj opisane izjeme morata biti torej kumulativno izpolnjena dva pogoja, in sicer:

(1) podatek mora izhajati iz dokumenta, ki je bil sestavljen v zvezi z notranjim delovanjem oz. dejavnostjo organa in

(2) razkritje takšnega podatka bi povzročilo motnje pri delovanju oz. dejavnosti organa (t. i. specifični škodni test).

Z obravnavano izjemo, ki jo pozna tudi večina primerjalno pravnih ureditev, se varujejo podatki, ki nastajajo ob oblikovanju politike organa. Gre za dokumente za notranjo rabo organa, iz katerih izhaja postopek oziroma način dela organa, kot tudi njegova notranja politika, oziroma proces, ki varuje notranje razmišljanje organa, s čimer naj bi se omogočilo odkrito in odprto razmišljanje organa, ki pa bi bilo ovirano, če bi bilo povsem odprto za javnost. Gre za situacije, ko razumno varovanje procesa »notranjega razmišljanja« organa ni nujno v neskladju z načelom odprtosti.

(28) Za podatke, ki so sestavljeni v zvezi z notranjim delovanjem, se v teoriji pogosto navajajo naslednji primeri: vsa notranja korespondenca med funkcionarji in uradniki vlade (uprave), ki je namenjena pripravi odločitev vlade (uprave) oziroma drugih zavezancev, interna komunikacija organa, zlasti dopisi, zapisniki, mnenja, poročila, navodila, smernice in drugi interni dokumenti. Primerjalno-pravno so kot takšna izjema priznana tudi občutljiva notranja navodila in načrti, ki določajo način zbiranja in izvajanja raznih vrst nadzora. Opisano izjemo pozna tudi večina primerjalno-pravnih ureditev, v katerih zakoni varujejo »notranji proces razmišljanja organa«. Varujejo se podatki, ki nastajajo ob oblikovanju politike organa. Gre za dokumente za notranjo rabo organa, iz katerih izhaja postopek oziroma način dela organa, kot tudi njegova notranja politika. To je v pravni teoriji znano kot »deliberative process privilege«, torej proces, ki varuje notranje razmišljanje organa, s čimer naj bi se omogočilo odkrito in odprto razmišljanje organa, ki pa bi bilo ovirano, če bi bilo povsem odprto za javnost. Obenem pa je namen te izjeme tudi preprečiti škodo, ki bi nastala pri kakovosti odločanja organa, saj razumno varovanje procesa »notranjega razmišljanja« organa ni nujno v neskladju z načelom odprtosti uprave. Če bi namreč vsi tovrstni dokumenti postali javni, bi to lahko resno ogrozilo kritično, inovativno in učinkovito delo javnega sektorja.

(29) Večina držav na različne načine varuje interna mnenja, nasvete, izmenjavo pogledov, ki se dogajajo med pripravo odločitev, dopušča pa razkritje podatkov o dejstvih iz takšnih dokumentov. V ameriškem pravu je razlika med »facts« in »opinions« utemeljena z argumentom, da namen varstva notranjega delovanja organov ni v tem, da bi javnosti preprečevali dostop do golih dejstev oz. faktičnih podatkov o delu organov. Namen te izjeme je varovati proces notranjega razmišljanja in oblikovanja mnenj, zato je poudarek na drugem elementu (»opinions«). Objava podatkov o dejstvih namreč ne vpliva na uradnikovo svobodo »kreativnega« razmišljanja znotraj organa, medtem ko objava podatka o mnenju lahko zaviralno vpliva na proces razmišljanja uradnikov (več o tem: Komentar Zakona o dostopu do informacij javnega značaja s pravom EU in primerjalno-pravno prakso, Inštitut za javno upravo pri Pravni fakulteti v Ljubljani, Ljubljana 2005 - Komentar ZDIJZ, str. 133 in nasl.). Primerjalno-pravno so kot takšna izjema priznana tudi občutljiva notranja navodila in načrti.

Posebej glede Analize tveganj

(30) Čeprav takšni dokumenti ne ščitijo samega procesa odločanja v organu ali njegove notranje politike, pa so lahko zasnovani na način, ki je tesno povezan z delovanjem organa oziroma opravljanjem njegovih temeljnih nalog, njihovo razkritje pa bi lahko pomenilo ogrozitev izvajanja njegovega poslanstva in funkcij (kot denimo razkritje podatka o lokaciji in načinu zavarovanja pomožnih agregatov v kliničnem centru). Po mnenju IP je prvi pogoj za navedeno izjemo podan, saj gre za dokument, ki je pripravljen za notranje delovanje organa. Na njem je navedeno, da je namenjen seznanitvi zaposlenih in določenih pogodbenih sodelavcev in vsebuje informacije, ki so namenjene samo osebam, ki jih potrebujejo pri izvajanju svojega dela. Po vsebini gre za opis različnih tveganj (naravnih pojavov, človeških pojavov, nezakonitih dejanj, ipd…), posledic tveganj in ukrepov, ki jih je oziroma jih ni treba v zvezi s temi tveganji sprejeti z vidika informacijske varnosti na posameznih področjih dela organa (finance, proces bolnišničnega zdravljenja, ambulantnega zdravljenja, diagnostične dejavnosti, v pravni službi, obračunu storitev in zdravstveni administraciji, procesu upravljanja z zdravili, .obvladovanja kakovosti in varnosti pacientov, kliničnih raziskav, epidemiologije in registra raka, poslovanja z dospelo in odposlano pošto v vložišču, informacijskega procesa).

(31) Glede drugega pogoja pa IP ugotavlja, da ta ni izpolnjen. Drži navedba organa, da dokument identificira različna kritična mesta in točke v informacijskih procesih organa, ki so dovzetni za različna identificirana tveganja, vendar glede na kvaliteto, natančnost in specifičnost informacij v dokumentu, njihovo razkritje nepooblaščenim osebam ne bi moglo imeti za posledico napada ali zlorabe informacijskega sistema, kot to trdi organ. Analiza tveganja je dokument, katerega sprejem predvideva že zakonodaja z različnih področji, kot na primer s področja varstva osebnih podatkov, s področja varstva pri delu, zdravstvene dejavnosti, informacijske varnosti, ipd. in je namenjena sistematičnemu prepoznavanju, vrednotenju in obvladovanju nevarnosti ter negotovosti, ki bi lahko negativno vplivale na delovanje organizacije, izvedbo projekta, varnost zaposlenih ali delovanje informacijskih sistemov. Prav tako v zahtevanem dokumentu iz opisa potencialnih tveganj ne izhaja konkretna opredelitev fizičnih lokacij, konkretnih šibkosti v informacijskem sistemu, oziroma ne izhaja opis vrste programske zaščite, sploh vrste IKT sistemov in podobno. Dokument je na splošni ravni in bi v pretežnem delu lahko veljal za marsikateri javni zdravstveni zavod s tem obsegom dejavnosti. Prav tako predlagani ukrepi ne dosegajo tolikšne mere specifičnosti in konkretnosti, da bi njihovo poznavanja kakorkoli lahko pripomoglo k večji ogroženosti informacijskega sistema, kot pa pri zlo namernih napadalcih obstaja že brez njegovega poznavanja. Za razliko od v praksi IP (v zvezi s prakso Upravnega sodišča RS) prepoznanih motenj za notranje delovanje, IP v obravnavnem primeru, teh ne zazna. Kot izhaja, na primer, iz zadeve IP št. 090-189/2010 (v zvezi s tem sodba UPRS I U 1943/2012-9, z dne 12. 3. 2014), kjer je prosilec zahteval dokumentacijo o delovanju in varnostnih mehanizmih osrednjega državnega računovodskega sistema MFERAC, je IP odločil, da podatki, ki bi neposredno razkrili specifične ranljivosti, strukturo ali varnostne protokole sistema, pomenijo izjemo po ZDIJZ (ogrožanje varnosti in delovanja sistema). Kar pa ne velja za splošne opise, metodologije in informacije o upravljanju sistema, ki morajo biti dostopni javnosti. Smiselno enako je IP zavzel stališče v zadevah Ministrstva za obrambo (opr. št. 090-287/2021/2 z dne 4. 11. 2021, potrjena s sodbo Upravnega sodišče RS I U 1825/2021-23 z dne 10. 3. 2025 in št. 090-113/2022-13 z dne 2. 6. 2022), v katerih je IP odločil, da bi na področju kriptografske zaščite tajnih podatkov z razkritjem npr. zahteve za označevanje, nameščanje in uporabo kriptografske opreme, nalaganje kriptografskih ključev, zahteve za generiranje in razdeljevanje kriptografskih ključev, bilo ogroženo operativno delovanje organa, torej tako razpoložljivost komunikacijsko informacijskih sistemov, kakor tudi varnost tajnih podatkov v komunikacijsko informacijskih sistemih organa, ki se zagotavlja tudi z uporabo odobrenih šifrirnih rešitev in ima zelo pomemben in neposreden vpliv na delovanje organa. IP tako zaključuje, da dokument Analiza tveganja, ki opisuje tveganja za poslovne procese s področja informacijske varnosti pri organu, ne vsebuje informacij, ki bi lahko povzročile motenj na delovanje organa, zato drugi pogoj ni izpolnjen za navedeno izjemo in tako sama izjema iz 11. točke prvega odstavka 6. člena ZDIJZ ni izpolnjena.

Posebej glede zapisnikov Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov pri organu

(32) Prosilka je z drugo točko zahteve med drugim zahtevala dostop do zapisnikov Komisije za nadzor nad izvajanjem določil Pravilnika o varstvu osebnih in drugih podatkov pri organu za obdobje 1. 1. 2019 do 31. 12. 2024. Organ je identificiral 7 zapisnikov, in sicer zapisnik št. 1/2019, št. 2/2019, št. 1/2020, št. 2/2020, št. 1/2021, št. 1/2023 in št. 1/2024 (v nadaljevanju zapisniki). IP ugotavlja, da je prvi pogoj za izjemo notranjega delovanja izpolnjen, saj gre za zapisnike delovnega telesa (Komisije), ki je ustanovljen za nadzor delovanja organa na določenem področju. Namen komisije je oprava nadzora s področja varstva osebnih podatkov, z ugotovitvami pa mora seznaniti generalnega direktorja organa (tako 7. člen Pravilnika). Glede drugega pogoja IP pritrjuje organu, da bi seznanitev javnosti z vsebino zapisnikov povzročilo motnje v delovanju organa. Zapisniki vsebujejo konkretne ugotovitve o pomanjkljivostih v procesih dela v zapisniku opredeljenih lokacij in kakšne konkretne ukrepe komisija predlaga za odpravo pomanjkljivosti. Razkritje teh informacij bi potencialno omogočilo nepooblaščenim tretjim osebam, da prepoznajo in zlorabijo ugotovljene napake in pomanjkljivosti v procesu dela in na ta način s svojimi prepovedanimi ravnanji povzročijo dodatne težave in zaplete pri delu organa oziroma jim omogočijo »navodilo« kje in na kakšen način lahko dostopijo do varovanih osebnih podatkov. Zaradi navedenega IP pritrjuje organu, da je omejitev dostopa do zapisnikov nadzora nujna za nemoteno notranje delovanje organa. Kljub temu pa IP ugotavlja, da celotna vsebina zapisnikov ne vsebuje takšnih informacij, katere je IP prepoznal kot takšne, da bi povzročile motnje. Namreč, uvodni del zapisnika vsebuje navedbo o identifikaciji zapisnika, datumu, številki in lokaciji, kjer se je nadzor izvaja ter navedba prisotnih na nadzoru. Prav tako IP meni, da motenj ne bi povzročila navedba pravne podlage za nadzor in čemu je komisija posvetila pozornost, saj že iz 35. in 37. člena Pravilnika izhaja, katere ukrepe morajo zaposleni sprejeti, da bodo osebni podatki varovani. Enako pa velja za zaključek zapisnika, od koder je razviden kraj in čas njegovega nastanka, komu se pošilja in kdo je zapisnik sestavil. IP tako meni, da organ ni pravilno uporabil 7. člena ZDIJZ, ki določa, da če dokument ali njegov del le delno vsebuje informacije iz 5.a ali 6. člena ZDIJZ in jih je mogoče izločiti iz dokumenta, ne da bi to ogrozilo njihovo zaupnost, pooblaščena oseba organa izloči te informacije iz dokumenta ter seznani prosilca z vsebino oziroma mu omogoči ponovno uporabo preostalega dela dokumenta. Z izrekom te odločbe je tako IP delno odpravil drugo alinejo 3. točke izreka izpodbijane odločbe in organu naložil, da prosilki omogočil delni dostop do zapisnikov, kot izhaja iz prve točke izreka te odločbe. Pri tem je IP upošteval, da so člani komisije zaposleni pri organu in tako javni uslužbenci, za razkritje katerih obstaja pravna podlaga v prvi točki tretjega odstavka 6. člen ZDIJZ.

(33) Na podlagi zgoraj navedenih argumentov in pravnih podlag IP zaključuje, da je pritožba prosilke delno utemeljena, zato je odločil, kot to izhaja iz 1. točke izreka te odločbe. V preostalem delu je IP pritožbo na podlagi prvega odstavka 248. člena ZUP zavrnil.

(34) V skladu s petim odstavkom 213. člena ZUP, ki se smiselno uporablja tudi za odločbo o pritožbi (prvi odstavek 254. člena ZUP), se v izreku odloči tudi o tem, ali so nastali stroški postopka. IP je ugotovil, da v tem postopku posebni stroški niso nastali, kot to izhaja iz 2. točke izreka te odločbe.

(35) Ta odločba je v skladu s 30. točko 28. člena Zakona o upravnih taksah (Uradni list RS, št. 106/2010, s spremembami in dopolnitvami) oproščena plačila upravne takse.

Pouk o pravnem sredstvu:

Zoper to odločbo ni dovoljena pritožba, pač pa je dopusten upravni spor, ki se lahko sproži s tožbo pri Upravnem sodišču Republike Slovenije, Fajfarjeva 33, 1000 Ljubljana, v roku 30 dni od dneva prejema te odločbe. Tožba se lahko vloži pisno po pošti, po elektronski poti ali osebno pri navedenem sodišču. Če se tožba pošlje priporočeno po pošti, se za dan izročitve sodišču šteje dan oddaje na pošto. Tožba z morebitnimi prilogami se vloži v najmanj treh izvodih. Tožbi je treba priložiti tudi to odločbo v izvirniku ali prepisu.

Postopek vodila:

Manja Resman, univ. dipl. prav.,

svetovalka Informacijskega pooblaščenca

Informacijski pooblaščenec:

mag. Kristina Kotnik Šumah, univ. dipl. prav.,

namestnica informacijske pooblaščenke

[1] »2.3.3.a Ugotovili smo, da je zavod izvajal različne aktivnosti za analizo obvladovanja tveganj informacijske varnosti, vendar pa ocenjujemo, da ta zaradi raznolikosti in kompleksnosti informacijskega okolja zavoda in zaradi neobstoja celovitega popisa informacijskih sredstev zavoda (povezava s točko 2.3.1.a) ni bila celovita oziroma po vsebini ni sledila določbam uredbe za povezane subjekte. Brez ustrezne dokumentacije in popisa sredstev je namreč težko določiti, katere informacijske rešitve in kateri elementi tehnične infrastrukture so kritični, kako so med seboj povezani in kateri podatki se v njih obdelujejo, kar otežuje ustrezno analizo, oceno in vrednotenje tveganj ter pripravo učinkovitih ukrepov za obvladovanje tveganj.«. Poročilo je dostopno na: https://www.rs-rs.si/fileadmin/user_upload/Datoteke/Revizije/2025/IS-OnkInst/ISOI-RSP-revizijsko-porocilo.

[2] https://www.onko-i.si/fileadmin/onko/datoteke/dokumenti_IJZ/2026/Krovna_politika_varovanja_informacij_in_upravljanja_ informacijske_podpore_2025.pdf.

[3] https://www.onko-i.si/fileadmin/onko/datoteke/dokumenti/Novice/Program_dela_in_financni_nacrt_za_leto_2020.pdf.

[4] https://www.onko-i.si/fileadmin/onko/datoteke/dokumenti/Novice/Program_dela_in_financni_nacrt_za_leto_2020.pdf.

[5] https://www.onko-i.si/fileadmin/onko/datoteke/dokumenti/2022/AD3_Letno-porocilo-bolnisnic-za-leto-2021_17.2.2022.pdf.

[6] htttps://www.onko-i.si/fileadmin/onko/datoteke/dokumenti_IJZ/2023/Letno-porocilo_2022_FINAL.pdf.

[7] https://www.onko-i.si/fileadmin/onko/datoteke/dokumenti_IJZ/2024/Letno-porocilo-BOL-2023_FINAL.pdf..

[8] https://www.onko-i.si/fileadmin/onko/datoteke/dokumenti_IJZ/2024/Letno-porocilo-BOL-2023_FINAL.pdf.

[9] https://www.onko-i.si/fileadmin/onko/datoteke/dokumenti_IJZ/EVIDENCE_DEJAVNOSTI_OBDELAVE_2025.pdf.