Povezovanje evidenc

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede povezovanja določenih zbirk osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju: ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

V kolikor se namerava želeno povezovanje Evidence prodanih elektronskih vinjet s Centralnim registrom prebivalstva izvesti s pomočjo EMŠO, IP meni, da bi morala vaša družba za povezovanje podati vlogo IP za izdajo odločbe o povezovanju zbirk osebnih podatkov v skladu s tretjim odstavkom 84. člena ZVOP-1. 

O b r a z l o ž i t e v:

IP uvodoma poudarja, da v okviru nezavezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali drugem upravnem postopku.

Glede povezovanja zbirk osebnih podatkov IP uvodoma splošno pojasnjuje, da povezovanje zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov in se zato z vidika določb Splošne uredbe o varstvu podatkov in ZVOP-1 šteje za zakonito le in kolikor je za takšno ravnanje izpolnjen vsaj eden od pogojev, določenih v členu 6(1) oziroma v primeru, ko se s pomočjo povezave posredujejo tudi t. i. posebne vrste osebnih podatkov, vsaj eden od pogojev iz člena 9(2) Splošne uredbe o varstvu podatkov. V Republiki Sloveniji je povezava zbirk osebnih podatkov iz uradnih evidenc in javnih knjig posebej urejena v 6. poglavju VI. dela (Področne ureditve) še vedno veljavnega ZVOP-1, kjer je v prvem odstavku 84. člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek 84. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek 84. člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku 84. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov.

Iz zgoraj citiranih določb 84. člena ZVOP-1 je razvidno, da če katera od zbirk od zbirk osebnih podatkov vsebuje občutljive osebne podatke ali če je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka (npr. EMŠO, davčne številke ali številke zdravstvenega zavarovanja), povezava zbirk osebnih podatkov ni dovoljena brez predhodnega dovoljenja državnega nadzornega organa (IP). IP ob upoštevanju določb 84. člena ZVOP-1 v upravnem postopku odločanja o izdaji odločbe oz. dovoljenja za povezavo zbirk osebnih podatkov takšno dovoljenje izda v primeru, če sta kumulativno izpolnjena dva pogoja, in sicer:

• da takšno povezavo določa zakon, torej da za povezavo zbirk osebnih podatkov obstaja ustrezna pravna podlaga iz člena 6 oz. 9. Splošne uredbe o varstvu podatkov;
• da upravljavci, katerih zbirke se bodo povezovale, zagotavljajo zavarovaje oz. varnost osebnih podatkov, ki ustreza zahtevam 24. in 25. člena ZVOP-1 ter člena 25 in 32 Splošne uredbe o varstvu podatkov.

IP nadalje pojasnjuje da v svojem zaprosilu za mnenje pravilno ugotavljate, da je IP dne 6. 1. 2022 izdal odločbo za povezovanje Evidence registrskih označb vozil z neplačano cestnino s Centralnim registrom prebivalstva (v nadaljevanju: CRP). Glede Evidence prodanih elektronskih vinjet pa je vaša družba kot vlagatelj dne 16. 9. 2021 zaprosila zgolj za njeno povezovanje z Evidenco registriranih vozil (v zvezi s tem je IP dne 29. 12. 2021 izdal sklep, ki ga prav tako navajate v vašem zaprosilu za mnenje), ne pa tudi za njeno povezovanje s CRP. Na podlagi navedenega in glede na navedbe v vašem zaprosilu za mnenje, iz katerih izhaja, da se namerava želeno povezovanje izvesti s pomočjo EMŠO, IP meni, da bi morala vaša družba za povezovanje Evidence prodanih elektronskih vinjet s CRP podati vlogo IP za izdajo odločbe o povezovanju zbirk osebnih podatkov v skladu s tretjim odstavkom 84. člena ZVOP-1. 

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka