pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da ste občine do zdaj za izvajanje svojih zakonsko določenih nalog podatke pridobivale iz Centralnega registra prebivalstva (CRP) tudi preko možnosti paketnega dostopa in paketnega izvoza podatkov, ki je bil omogočen preko Portala eObčine. Na podlagi odločbe IP pa so bile občinam ukinjene vse možnosti paketnega dostopa, na voljo so zgolj določeni moduli, ki omogočajo individualna iskanja in pridobivanje statističnih podatkov. Izpostavljate, da so za nemoteno izvajanje določenih občinskih nalog nujni celoviti in ažurni podatki iz CRP. Zato IP prosite za:

1.     pojasnilo, na kakšen način lahko občine v prihodnje zakonito izvajate naloge, za katere je potreben paketni uvoz podatkov iz CRP,

2.     informacijo, ali se načrtujejo morebitne zakonodajne spremembe ali druge rešitve, ki bi občinam zagotovile ustrezen dostop do podatkov,

3.     usmeritve za prehodno obdobje, dokler ne bo vzpostavljena dolgoročna rešitev.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

IP v mnenju ne more podati konkretnih rešitev niti svetovati, kako naj občina kot upravljavec zakonito izvaja naloge iz svoje pristojnosti, prav tako pa ne more predlagati tehničnih načinov za pridobivanje potrebnih podatkov, saj je to odgovornost upravljavca.

Odločba IP o prepovedi paketnega dostopa in paketnega izvoza podatkov iz CRP nikakor ne pomeni, da občine niso upravičene do pridobitve osebnih podatkov za izvajanje svojih nalog, če so podatki pridobljeni na zakonit način in se pri njihovi obdelavi dosledno spoštujejo vsa druga pravila varstva osebnih podatkov.

Vsaka rešitev za paketni dostop in izvoz osebnih podatkov je dopustna le pod pogojem, da za to obstaja pravna podlaga, da se posredujejo zgolj nujno potrebni podatki, da je prenos varen in sledljiv ter da upravljavec CRP pred posredovanjem presodi utemeljenost zahteve in skladnost z nalogami občine.

O b r a z l o ž i t e v:

IP glede dopustnosti dostopa in paketnega izvoza podatkov iz CRP prejema številna vprašanja zavezancev. Na eno izmed njih smo odgovorili že v mnenju št. 07120-1/2025/380 z dne 8. 9. 2025, ki je dostopno na https://www.ip-rs.si/mnenja-zvop-2/paketni-izvoz-podatkov-iz-crp-1757328021. Druga mnenja s podobno tematiko pa so objavljena na spletni strani https://www.ip-rs.si/mnenja-zvop-2/ (kategorija »Občine«).

Uvodoma poudarjamo, da IP v okviru mnenja ne more podati konkretnih rešitev niti svetovati, kako naj občina kot upravljavec zakonito izvaja naloge iz svoje pristojnosti. Prav tako IP ne more predlagati tehničnih načinov za pridobivanje potrebnih podatkov, saj je to izključna odgovornost upravljavca. V nadaljevanju zato podajamo pojasnila glede relevantne pravne podlage in pogojev, ki morajo biti izpolnjeni, da je obdelava osebnih podatkov dopustna.

Vsak upravljavec mora imeti za obdelavo osebnih podatkov, vključno z njihovim zbiranjem, vpogledom vanje, uporabo ali posredovanjem, zakonito in ustrezno pravno podlago iz prvega odstavka 6. in 9. člena Splošne uredbe (6. člen ZVOP-2). Izbira pravne podlage je odvisna od konkretnih okoliščin, odgovornost zanjo pa nosi upravljavec. Ni odveč poudariti, da  morata pri posredovanju oziroma pridobivanju osebnih podatkov imeti za takšno obdelavo ustrezno pravno podlago oba upravljavca, tako tisti, ki podatke posreduje, kot tudi tisti, ki jih pridobiva, saj morata biti vsak zase sposobna dokazati zakonitost obdelave (drugi odstavek 5. člena Splošne uredbe). Pravila glede posredovanja osebnih podatkov so določena v členih 39 do 41 ZVOP-2. Prvi odstavek 41. člena med drugim določa, da mora vsaka zahteva za posredovanje vsebovati navedbo pravne podlage, namena, vrste osebnih podatkov ter oblike in načina pridobitve, razen če drug zakon določa drugače.

Zakon o centralnem registru prebivalstva (Uradni list RS, št. 72/06 – uradno prečiščeno besedilo, 3/22 – ZDeb in 32/24; v nadaljevanju ZCRP) določa, da lahko uporabniki, ki imajo zakonsko podlago ali osebno privolitev posameznika, pa v zakonu oziroma pooblastilu nimajo konkretno opredeljenih podatkov, do katerih so upravičeni, pridobijo iz CRP le natančno določen nabor podatkov (ime in priimek, kraj in leto rojstva, spol, državljanstvo, prebivališče in vrsta prebivališča). Postopek pridobivanja in posredovanja podatkov podrobneje ureja Uredba o vodenju in vzdrževanju centralnega registra prebivalstva ter postopku za pridobivanje in posredovanje podatkov, ki v četrtem odstavku 26. člena določa, da mora vsaka zahteva vsebovati navedbo pravne podlage in namena, za katerega zahteva podatke, opis podatkov in časovni okvir, v katerem jih potrebuje.

Zakon o lokalni samoupravi (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, s spremembami in dopolnitvami; v nadaljevanju ZLS) pa opredeljuje pooblastila občine glede obdelave osebnih podatkov v 21.a členu v zvezi z 21. členom tega zakona. Občina v skladu z 21. členom ZLS samostojno opravlja lokalne zadeve javnega pomena (izvirne naloge), ki jih določi s splošnim aktom občine ali so določene z zakonom. V skladu z 21.a členom ZLS občina pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva. Navedene določbe predstavljajo izrecno zakonsko podlago za pridobivanje osebnih podatkov s strani posamezne občine, ki jih potrebuje za izvajanje katere od zakonsko podeljenih nalog.

V zvezi z vašimi vprašanji najprej izpostavljamo, da odločba IP o prepovedi paketnega dostopa in paketnega izvoza podatkov iz CRP, na katero opozarjate, še nikakor ne pomeni, da občine niso upravičene do pridobitve osebnih podatkov za izvajanje svojih nalog, če so podatki pridobljeni na zakonit način in se pri njihovi obdelavi dosledno spoštujejo vsa druga pravila varstva osebnih podatkov. Iz omenjene odločbe IP izhaja zgolj, da mora biti iz vsake posamezne zahteve jasno razvidno, za katero konkretno nalogo iz pristojnosti občine se pridobivajo osebni podatki, kako je glede na to določen nabor posameznikov ter katere vrste in kakšen obseg podatkov se pridobiva iz CRP. Ministrstvo za notranje zadeve kot upravljavec CRP mora namreč pred vsakim posredovanjem presoditi utemeljenost zahteve, njeno skladnost z nalogami občine ter hkrati zagotoviti varnost osebnih podatkov in sledljivost vsakega posredovanja v skladu s členi 24., 25. in 32. Splošne uredbe. Omogočanje avtomatiziranega in rednega paketnega dostopa ter paketnega izvoza osebnih podatkov posameznikov iz CRP brez posamične zahteve, kot jo predvidevata ZCRP in ZLS, pa nima ustrezne pravne podlage.

Morebitne praktične težave občin, ki jih omenjate, na obstoj in zakonitost pravne podlage za obdelavo osebnih podatkov ne morejo vplivati. Vsaka rešitev za paketni dostop in paketni izvoz osebnih podatkov je namreč dopustna le pod pogojem, da za to obstaja pravna podlaga, da se posredujejo zgolj nujno potrebni podatki, da je prenos varen in sledljiv ter da upravljavec pred posredovanjem presodi utemeljenost zahteve in skladnost s konkretnimi nalogami občine. Odgovornost za skladnost s temi zahtevami nosi upravljavec, ki tega ne more preložiti na IP.

Glede morebitnih sprememb zakonodaje oziroma drugih načrtovanih rešitev, ki bi občinam zagotovile ustreznejši dostop do podatkov, pa vam svetujemo, da se obrnete na pristojno Ministrstvo za notranje zadeve, saj IP ni pristojen predlagatelj predpisov niti vam ne more nuditi konkretnih usmeritev za ravnanje v trenutni situaciji.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik,

informacijska pooblaščenka