Vzpostavitev enotne točke dostopa do nepremičnin

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede povezovanja oziroma pridobivanja zbirk osebnih podatkov ob vzpostavitvi enotne točke dostopa do nepremičnin v okviru prenosa 18. člena Direktive (EU) 2024/1640. 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more podati dokončnega odgovora o tem, ali gre v primeru, opisanem v vašem zaprosilu, za povezovanje zbirk osebnih podatkov v smislu ZVOP-2.

ZVOP-2 pojem »povezovanje zbirk podatkov« opredeljuje v 12. točki drugega odstavka 5. člena ZVOP-2 kot avtomatsko in elektronsko povezovanje zbirk, ki jih upravljajo upravljavci za različne namene ali po različnih pravnih podlagah, in sicer tako, da se določeni osebni podatki samodejno prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk, tudi če se izvaja le enosmeren pretok osebnih podatkov; zbirke so povezane, če se določeni osebni podatki iz ene zbirke neposredno vključijo v drugo zbirko in se tako druga zbirka poveča ali posodobi ali pa se osebni podatki v njej zaradi točnosti spremenijo.

Kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. Upravljavec oziroma obdelovalec mora pred začetkom povezovanja teh zbirk izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe

O b r a z l o ž i t e v:

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretne rešitve, ki jo opisujete v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, niti vam ne more svetovati glede posameznih konkretnih vprašanj v zvezi z delovanjem rešitve, ampak v nadaljevanju podaja splošna pojasnila.

IP pojasnjuje, da ZVOP-2 pojem »povezovanje zbirk podatkov« opredeljuje v 12. točki drugega odstavka 5. člena ZVOP-2 kot avtomatsko in elektronsko povezovanje zbirk, ki jih upravljajo upravljavci za različne namene ali po različnih pravnih podlagah, in sicer tako, da se določeni osebni podatki samodejno prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk, tudi če se izvaja le enosmeren pretok osebnih podatkov; zbirke so povezane, če se določeni osebni podatki iz ene zbirke neposredno vključijo v drugo zbirko in se tako druga zbirka poveča ali posodobi ali pa se osebni podatki v njej zaradi točnosti spremenijo. Povezovanje se torej izvede tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko.

IP splošno pojasnjuje tudi, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po 39. členu ZVOP-2 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to torej šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Za povezovanje v širšem smislu gre po mnenju IP tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk.

Glede pridobivanja osebnih podatkov pa IP pojasnjuje, da mora pooblaščena oseba upravljavca, ki želi osebne podatke pridobiti iz druge, že obstoječe zbirke osebnih podatkov, z ustrezno identifikacijo posebej vstopiti v to drugo zbirko ter za tem v tej zbirki z vnosom iskalnega kriterija pridobiti potrebne osebne podatke, pri čemer pa se tako pridobljeni osebni podatki v drugo zbirko ne vključijo samodejno, pač pa mora to storiti pooblaščena oseba ročno, npr. s prepisom, kopiranjem ali pa s sprožitvijo posebnega ukaza. Na drugi strani pa pri povezavi zbirk osebnih podatkov v širšem smislu pooblaščena oseba upravljavca pri delu s svojo zbirko v iskalnik enostavno vpiše iskalni kriterij (npr. EMŠO), sistem pa ji za tem iz povezanih zbirk samodejno prikliče in pridobi še ostale osebne podatke (npr. osebno ime, naslov prebivališča, ipd.), ki se jih zatem lahko vključi v zbirko, iz katere je bil opravljen priklic podatkov. Pri tem se podatki ažurirajo samo v zbirki, v katero pooblaščena oseba neposredno dostopa, ne pa tudi v drugih povezanih zbirkah. Podatki se pri tem ažurirajo samo v času poizvedbe, kasnejša sprememba podatkov v izvorni zbirki pa se ne odrazi s spremembo podatkov v povezanih zbirkah.

IP v okviru neobvezujočega mnenja ne more podati dokončnega odgovora o tem, ali gre v primeru, opisanem v vašem zaprosilu za mnenje, za povezovanje zbirk osebnih podatkov v smislu ZVOP-2 ali pa za pridobivanje osebnih podatkov prek telekomunikacijskih sredstev oziroma omrežij. IP bi dokončno opredelitev glede tega lahko podal le v konkretnem nadzornem ali drugem upravnem postopku, kjer bi moral natančno proučiti delovanje tehnične rešitve, ki jo navajate v vašem zaprosilu za mnenje. IP vam zato svetuje, da glede na zasledovane cilje in zgornja pojasnila natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. Glede na to bo potem lažje presoditi, za kakšne vrste obdelave osebnih podatkov gre v konkretnem primeru (pridobivanje, povezovanje).

IP sicer glede na podana pojasnila v vašem zaprosilu za mnenje in opredelitev posameznih podatkovnih tokov za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, meni, da je vsekakor verjetno, da gre v konkretnem primeru za povezovanje zbirk osebnih podatkov. Iz vašega zaprosila za mnenje IP namreč sklepa, da bi se uradna oseba prijavila v en informacijski sistem, ta pa bi lahko pridobil podatke iz večjega števila različnih evidenc.

IP ob tem ponovno poudarja, da dokončno presojo glede tega lahko poda le v konkretnem nadzornem ali drugem upravnem postopku. Presoja glede tega, ali gre v konkretnem primeru za povezovanje zbirk osebnih podatkov ali ne, je primarno v rokah upravljavca osebnih podatkov.

IP pojasnjuje tudi, da ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe. Med naštetimi osebnimi podatki so torej tudi podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, kar pomeni, da mora vsakršno njihovo povezovanje določati zakon, pred začetkom njihovega povezovanja pa je obvezna izdelava ocene učinka na varstvo podatkov.

IP splošno pojasnjuje, da je izdelava ocene učinka naloga upravljavca oziroma vseh vključenih upravljavcev (in morebitnih obdelovalcev). IP vam tako svetuje, da natančno proučite delovanje predvidene tehnične rešitve ter natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev, ki jih navajate v vašem zaprosilu za mnenje. IP tako svetuje, da v pripravo oceno učinka vključite predstavnike vseh vključenih upravljavcev (in morebitnih obdelovalcev), saj je za njeno izdelavo potrebno poznavanje vključenih sistemov, same tehnične rešitve in tudi tveganj, ki se ob tem pojavljajo. IP ob tem poudarja, da je ocena učinkov primarno namenjena upravljanju s tveganji in njihovi minimizaciji. Ob tem prinaša tudi druge pozitivne učinke, predvsem pa je namenjena pravočasni identifikaciji tveganj in sprejemu ustreznih ukrepov za njihovo obvladovanje tveganj, s čimer lahko upravljavci (in obdelovalci) preprečite, da bi prišlo do kršitve zakonodaje.

IP ob tem opozarja tudi na obveznost zagotavljanja tehničnih in organizacijskih ukrepov za zagotavljanje varnosti obdelave osebnih podatkov v skladu s 24. in 32. členom Splošne uredbe.

Glede roka hrambe IP najprej ponavlja, da se ne more konkretno opredeliti glede predvidene rešitve dnevniških evidenc v vašem zaprosilu za mnenje, zato splošno pojasnjuje, da Splošna uredba v zvezi s shranjevanjem osebnih podatkov v členu 5.1(e) določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; za daljše obdobje pa se lahko shranjujejo le, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89(1) Uredbe, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (»omejitev shranjevanja«). Navedeno je treba razlagati skupaj s c) točko prvega odstavka 5. člena (načelo najmanjšega obsega podatkov), ki določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Peti odstavek 22. člena ZVOP-2 določa, da se vsebina dnevnika obdelave hrani dve leti od zaključka koledarskega leta, v katerem so bila zabeležena dejanja obdelave, če drug zakon ne določa drugače.  Kadar je z oceno učinka ali analizo upoštevnih tveganj ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati s podaljšanjem roka hrambe, se sme dnevnik obdelave hraniti največ pet let od zaključka koledarskega leta, v katerem so bila zabeležena dejanja obdelave; kadar so za seznanitev s podatki iz dnevnika določene omejitve iz 18. člena ZVOP-2, se vsebina dnevnika obdelave hrani dve leti po prenehanju omejitev, če drug zakon ne določa drugače. IP ob tem dodaja, da je torej, v kolikor področna zakonodaja tako določa, rok hrambe lahko tudi ustrezno daljši.

Če torej upravljavec v konkretnem primeru z oceno učinka v zvezi z varstvom podatkov ugotovi tveganje, ki ga je mogoče učinkovito upravljati s podaljšanjem roka hrambe dnevnika obdelave, lahko ta rok podaljša na maksimalno 5 let od zaključka koledarskega leta, v katerem so bila zabeležena dejanja obdelave. IP meni, da to velja splošno za vse dnevnike obdelave, ki jih vodi posamezni upravljavec, ob tem pa IP opozarja, da je treba ločevati v ZVOP‑2 opredeljene dnevnike obdelave od vsebinsko širšega področja t. i. dnevniških zapisov (t.i. logi), ki se običajno samodejno ustvarjajo na ravni operacijskih sistemov, rešitev ali aplikacij. Možno je sicer, da takšen dnevniški zapis vsebuje tudi elemente, kot jih zahteva dnevnik obdelave po ZVOP‑2, vendar to ni nujno. Poleg tega dnevniški zapisi nastajajo v različnih sistemih in se ne nanašajo samo na obdelavo osebnih podatkov, temveč na različne vidike delovanja informacijskih sistemov. Z dnevniki obdelave so mišljeni posebni dnevniški zapisi, ki praviloma beležijo človeške manipulacije s podatki in so namenjeni temu, da se pri notranjem ali zunanjem nadzoru odkrijejo nezakonitosti (npr. nepooblaščen dostop do podatkov), medtem ko so dnevniški zapisi (na primer sistemska dnevniška datoteka operacijskega sistema strežnika ali delovne postaje) primarno namenjeni varnosti in ustreznemu delovanju sistemov in rešitev, posledično pa za njihove roke hrambe ne veljajo nujno določbe ZVOP‑2, temveč gre lahko za samostojno odločitev zavezanca glede roka hrambe.

IP sklepno poudarja tudi, da mora biti glede na 38. člen Ustave vsaka obdelava osebnih podatkov primarno opredeljena z zakonom in ne podzakonskim aktom. IP ob tem opominja tudi na določbo drugega odstavka 6. člena ZVOP-2, ki določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. določiti tudi vrste osebnih podatkov, ki se lahko pridobivajo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi. V zakonu (in ne podzakonskem aktu, npr. pravilniku) je torej treba opredeliti vse navedene elemente iz drugega odstavka 6. člena ZVOP-2. S pravilnikom se lahko ureja posamezna tehnična vprašanja oziroma podrobneje predpisujejo pravila, ki se nanašajo npr. na tehnično izvedbo posameznih postopkov in tudi morebitnih obdelav osebnih podatkov znotraj teh postopkov, nikakor pa se ne sme s podzakonskim aktom določati elementov iz 6. člena ZVOP-2.

Lepo vas pozdravljamo,

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka