Posredovanje podatkov o nočitvah

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za sestanek glede izvajanja Dogovora o posredovanju podatkov med AJPES in SOS o gostih in prenočitvah iz knjige gostov ter podatkov iz registra nastanitvenih obratov za potrebe občin ter glede tega, ali gre pri tovrstnih podatkih za varovane osebne podatke in v zvezi s tem za obdelavo podatkov iz sistema eTurizem in poročanja o nočitvah občinam za izvajanje njihovih nalog.

V nadaljevanju vam na podlagi informacij, ki ste nam jih posredovali, skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov oz. Uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo pojasnila IP.

Pojasnjujemo, da IP o dogovoru, ki ga navajate, ni odločal v inšpekcijskem postopku. K že posredovanemu mnenju pa glede na vaše navedbe pojasnjujemo, da statistični podatki, na podlagi katerih posameznik ni določen ali določljiv ne predstavljajo osebnih podatkov.

Prav tako pojasnjujemo, da v primeru, ko gre pri opravljanju določene dejavnosti za obdelavo podatkov poslovnega subjekta, ki opravlja dejavnost, to ne pomeni obdelave varovanih osebnih podatkov. Ko gre namreč za podatke, ki se ne nanašajo na določeno ali določljivo fizično osebo kot posameznika, temveč na poslovni subjekt oz. fizično osebo v vlogi osebe, ki opravlja dejavnost v skladu z veljavnimi predpisi (npr. kot samostojni podjetnik) ne gre za obdelavo osebnih podatkov. Upoštevajoč zgoraj navedeno, torej ne gre za osebne podatke, kadar gre za podatke, ki so povezani z opravljanjem dejavnosti poslovnega subjekta ali posameznika v funkciji poslovnega subjekta. Obdelava takih podatkov pa presega pristojnosti IP, namreč IP je pristojen zgolj za nadzor nad zakonitostjo obdelave osebnih podatkov. Takšno stališče je že zavzelo tudi Ustavno sodišče RS v odločbah št. U-I-84/03 in št. U-I-298/04.

Za posredovanje zgoraj omenjenih podatkov, če ne gre za osebne podatke, torej z vidika varstva osebnih podatkov ni potrebna posebna pravna podlaga. Vsak od udeleženih upravljavcev pa mora za posamezne konkretne podatke presoditi, kdaj gre za varovane osebne podatke in kdaj ne. Le za varovane posebne podatke je torej treba za obdelavo v skladu z že podanimi pojasnili (tudi v mnenju št. 07120-1/2020/631, z dne 4. 12. 2020) zagotoviti ustrezne pravne podlage za obdelavo.

Povsem konkretne presoje zakonitosti obdelave osebnih podatkov pa lahko IP izvede le v inšpekcijskem postopku. Zato ocenjujemo, da v zvezi z vašimi dilemami sestanek ni potreben, saj IP tudi na sestanku konkretne presoje namesto upravljavcev ali uporabnikov ne more in ne sme izvesti.

Lepo vas pozdravljamo,

Pripravila:

Alenka Jerše, univ. dipl. prav.

namestnica informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka