Vsi upravljavci osebnih podatkov (torej tudi upravni organi, ko obdelujejo osebne podatke) morajo za vsako obdelavo osebnih podatkov (zbiranje, pridobivanje, posredovanje, uporaba itd.), izkazati ustrezno pravno podlago, kot to določa 6. člen Splošne uredbe o varstvu podatkov(SUVP, Ur, l. EU, št. OJ L 119) v povezavi s 6. členom Zakona o varstvu osebnih podatkov(ZVOP-2, Ur. l. RS, št. 163/22).


Glede posredovanja osebnih podatkov med upravnimi organi za potrebe vodenja in odločanja v upravnem postopku (npr. odločanja o pravici do subvencioniranega bivanja) bi tako prišli v poštev zlasti pravni podlagi po točki (c) zakonska obveznost, ki velja za upravljavca osebnih podatkov ali točki (e) opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu glede na prvi odstavek 6. člena SUVP. V tem kontekstu velja še poudariti, da pravne podlage iz 6. člena SUVP med seboj niso v hierarhičnem razmerju, torej so med seboj enakovredne; se ne izključujejo in medsebojno niso pogojene. Z drugimi besedami to pomeni, da v primeru, da upravljavec za konkretno obdelavo osebnih podatkov (npr. za njihovo posredovanje) izkaže ustrezno pravno podlago (npr. zakon po točki (c) prvega odstavka 6. člena SUVP), ni dolžan za isto obdelavo osebnih podatkov iskati pravne podlage še drugje (npr. v pridobivanju privolitev, razen če bi tako zahtevo določal zakon ali če ne bi šlo za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja – glej tretji odstavek 6. člena ZVOP-2) (več o tem Pirc Musar (ur.), Komentar Splošne uredbe o varstvu podatkov, 2020, str. 158).


V povezavi z obema omenjenima pravnima podlagama je potrebno upoštevati tudi drugi odstavek 6. člena ZVOP-2, v zvezi s katerim je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju na podlagi teh dveh pravnih podlag zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.


Uradne osebe, ki upravne postopke vodijo, si morajo glede obstoja relevantnih dejstev v postopku stalno prizadevati, da dosežejo najvišjo stopnjo gotovosti ter pri tem po uradni dolžnosti slediti načelu materialne (stvarne, objektivne, dejanske, popolne...) resnice z ugotavljanjem resničnega dejanskega stanja v postopku. Naloga organa pri vodenju upravnih postopkov je torej na ravni gotovosti ugotavljati objektivno stanje stvari ter ob enem varovati javni interes in pravice drugih. Za ugotovitev dejanskega stanja in razjasnitev zadeve, lahko uradna oseba, ki upravni postopek vodi, odredi izvedbo vsakršnega dokaza, če spozna, da je to potrebno za razjasnitev zadeve. Da bi to nalogo lahko opravila in našla materialno resnico, ima uradna oseba v postopku posebna preiskovalna pooblastila, ki jih izvaja po uradni dolžnosti (glej Kerševan in Androjna, Upravno procesno pravo, 2017, str. 85, 245, ter drugi odstavek 139. člena ZUP).


Zaradi ustavno zagotovljenega varstva osebnih podatkov je z ZUP podrobneje urejeno pridobivanje in razpolaganje z osebnimi podatki strank tako, da bi se po eni strani stranki čim bolj olajšalo dokazovanje v upravnem postopku, po drugi strani pa se ji omogočilo nadzor nad posredovanjem osebnih podatkov, ki se o njej zbirajo v uradnih evidencah različnih organov. Tako je kot načelo določeno, da uradna oseba za potrebe ugotavljanja dejanskega stanja v postopku lahko pridobiva osebne podatke stranke iz uradnih evidenc (o stranki, ki je vložila zahtevo za uvedbo postopka ter v postopkih, uvedenih po uradni dolžnosti, v katerem se odloča o pravici stranke), razen če stranka pridobitev teh podatkov ni izrecno prepovedala (peti in šesti odstavek 139. člena ZUP). Pri posebnih vrstah osebnih podatkih, tj. podatkih, ki štejejo za davčno tajnost, ali se nanašajo na rasno in drugo poreklo, politična, verska in druga prepričanja, pripadnost sindikatu, spolno vedenje, kazenske obsodbe ter zdravstvene podatke, pa je pravilo obrnjeno, saj si te podatke lahko uradna oseba priskrbi le na podlagi izrecne pisne privolitve stranke oziroma druge osebe, na katero se ti podatki nanašajo, ali če tako izrecno določa posebni zakon. ZUP v 139. členu tako vsebuje zadostno pravno podlago za pridobivanje osebnih podatkov stranke iz uradnih evidenc v smislu predpisov, ki urejajo varstvo osebnih podatkov (v zvezi s 6. členom SUVP v povezavi s 6. členom ZVOP-2; glej tudi sedmi odstavek 139. člena ZUP), in to ne glede na to, ali posebni (materialni) zakoni za posamezne vrste upravnih postopkov vsebujejo takšno pravno podlago ali ne (glej Kerševan in Androjna, prav tam, str. 246).


Uradne osebe, ki postopek vodijo, so tiste, ki glede na pogoje področnega zakona same opredelijo, kateri so potrebni (osebni) podatki, ki jih potrebujejo za to, da bodo skladno z načelom materialne resnice odločile v posamezni zadevi.


V danem primeru oba upravljavca osebnih podatkov, tako upravljavec A, ki bi podatke posredoval, kot tudi upravljavec B, ki posredovanje podatkov zahteva, pa sta skladno s 5. členom SUVP ter predvsem t. i. načelom najmanjšega obsega podatkov dolžna upoštevati, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Zaradi navedenega načela je tako tudi organ, ki naj bi osebne podatke posredoval, upravičen presoditi ustreznost zahtevanih posameznih podatkov kot tudi primernost obsega posredovanih podatkov glede na konkretni namen (o tem več tudi Informacijski pooblaščenec, mnenje št. 07121-1/2020/899 z dne 20. 5. 2020).


Poleg dostopa do podatkov iz uradnih evidenc pa je treba posebej omeniti še možnost pridobivanja osebnih podatkov iz drugih zbirk osebnih podatkov na podlagi 34.a člena ZUP, kjer se določa obveznost, da so upravljavci zbirk osebnih podatkov (tako javnopravni kot zasebnopravni subjekti, fizične in pravne osebe), ki razpolagajo s podatki, ki so potrebni za ugotovitev dejstev v zvezi z vodenjem in odločanjem v upravnem postopku, dolžni na podlagi obrazložene zahteve organa, brezplačno, najkasneje v roku 15 dni, posredovati zahtevane podatke. Zahteva mora vsebovati navedbo zahtevanih podatkov, pravno podlago za posredovanje, namen njihove uporabe in številko upravne zadeve (več o razliki med 34.a in 139. členom ZUP tudi Informacijski pooblaščenec v mnenju št. 0712-549/2008/2 z dne 25. 5. 2008).


Po jezikovni razlagi zakonske dikcije bi tako izhajalo, da lahko upravni organi pridobijo vse osebne podatke o stranki (brez izjem), ki jih vodi katerikoli upravljavec v svojih zbirkah, tudi npr. če bi šlo za osebne podatke, ki se vodijo na podlagi posameznikove privolitve. Omejitev, ki jo zakon določa, je zgolj v tem, da morajo zahtevani podatki biti potrebni za ugotovitev dejstev v zvezi z vodenjem in odločanjem v upravnem postopku, kar mora organ v svoji zahtevi posebej obrazložiti. O tem, katere podatke organ prejemnik potrebuje za posamezen postopek, prosto odloči uradna oseba, ki tak postopek vodi (v obziru do tega, da zahteva zgolj tiste podatke, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za ugotovitev dejanskega stanja v postopku). Vprašanje standarda obrazloženosti zahteve oziroma utemeljitve zakonitosti in potrebe po pridobitvi posameznega podatka, da zaprošeni upravljavec zahtevi ugodi oziroma jo zavrne, sodna praksa še ni obravnavala. Organ, ki naj bi zahtevo za posredovanje prejel, ni nadrejen organu, ki naj bi zahtevo poslal in v tem smislu ne more presojati potrebnosti pridobivanja osebnih podatkov s strani organa, ki je za podatke zaprosil, razen v primeru očitne neutemeljenosti zahteve (tako tudi Kovač in Kerševan (ur.), Komentar ZUP, 2020, 1. knjiga, str. 294).

Kljub odsotnosti izrecnih zakonskih omejitev pa je treba vseeno šteti, da bi obveznost posredovanja osebnih podatkov na zahtevo organa izključila vsaka specialna določba o varstvu določene vrste osebnih podatkov, če bi bila kot taka predpisana v posebnem zakonu (npr. zakon, ki ureja podatke s področja zdravstvenega varstva; glej tudi Kerševan in Androjna, prav tam, str. 247).


V zvezi s posredovanjem posebnih vrst osebnih podatkov (glej peti odstavek 139. člena ZUP in prvi odstavek 9. člena SUVP) pa bi kljub odsotnosti varovalk in omejitev od posredovanja teh vrst osebnih podatkov (kot nasprotno to velja za dostop do podatkov iz uradnih evidenc po petem odstavku 139. člena ZUP) veljalo, da organi posredovanje posebnih vrst osebnih podatkov lahko zavrnejo, če v obrazložitvi zahteve za posredovanje, organ, ki zaprosi za podatke ne bi (zadostno) uspel izkazati potrebe po teh podatkih za vodenje in odločanje v njegovem postopku (v tem delu tudi izrecna prepoved tovrstne obdelave osebnih podatkov glede na prvi odstavek 9. člena SUVP, razen izjemoma ob pogojih iz drugega odstavka 9. člena SUVP).


Glede na to, da ZUP natančno ne ureja posledic in postopka, če upravljavec osebnih podatkov zavrne zahtevo za posredovanje podatkov, npr. ker meni, da je neutemeljena ali nedopustna, bi vendar glede na načela varstva osebnih podatkov to moral storiti, če bi po njegovi presoji posredovanje osebnih podatkov predstavljalo nesorazmerno obdelavo osebnih podatkov in s tem kršitev predpisov varstva osebnih podatkov. Za zakonito obdelavo osebnih podatkov namreč ni odgovoren le organ, ki postopek vodi, ampak tudi vsi organi, ki kot upravljavci povezanih podatkov pristojnim za odločanje posredujejo merodajne podatke. Oba organa (organ, ki podatke zahteva ter ločeno tudi organ, ki bi podatke posredoval) sta tako za svojo dejavnost obdelave (pridobivanje vis a vis posredovanje), dolžna izkazati svojo pravno podlago (lahko isto) in zadostiti vsem načelom zakonite in sorazmerne obdelave osebnih podatkov glede na predpise, ki konkretno obdelavo urejajo. V skladu z načelom odgovornosti iz drugega odstavka 5. člena SUVP, odgovornost za zagotavljanje skladnosti obdelave osebnih podatkov, vključno s presojo izpolnjenosti pogojev za posredovanje osebnih podatkov, leži na upravljavcu, ki jo mora biti zmožen tudi dokazati. Med drugim to pomeni, da z določitvijo vsebine javnega razpisa en organ te odgovornosti ne more v celoti preložiti na drugega.


Dodatno velja opozoriti še na to, da je (novi) ZVOP-2 predvidel tudi poseben postopek za posredovanje osebnih podatkov, ki ga izvedejo osebe javnega sektorja, in sicer v 39. členu v povezavi z 41. členom ZVOP-2, ki velja v primerih ko drug zakon ne določa drugače. V tem delu določba 39. člena ZVOP-2 predpisuje možnost posredovanja osebnih podatkov s strani javnih organov tudi izven potreb in namena vodenja upravnih postopkov. Določba 34.a člena ZUP glede posredovanja osebnih podatkov za namen vodenja upravnih postopkov pa v določenem delu predstavlja lex specialis določbo od splošne ureditve posredovanja osebnih podatkov s strani javnih organov iz 39. člena ZVOP-2 (podobno stališče je sicer v relaciji med 39. členom Zakona o davčnem postopku in 41. členom ZUP zajel tudi IP v mnenju št. 07121-1/2023/696 z dne 23. 5. 2023). Glede na to, da je postopek posredovanja osebnih podatkov splošno določen v 41. členu ZVOP-2, ta določba predstavlja lex generalis določbo glede na specialnejšo ureditev posredovanja osebnih podatkov iz 34.a člena ZUP. To pomeni, da mora ob manjkajočih določilih o postopku posredovanja osebnih podatkov (zlasti glede morebitne zavrnitve zahteve), organ subsidiarno upoštevati opredeljena pravila za splošno posredovanje osebnih podatkov iz 41. člena ZVOP-2.


V tem kontekstu četrti odstavek 41. člena ZVOP-2 določa, da kadar je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ (tu Informacijski pooblaščenec). Kadar ta zahtevo zavrne ali kadar na prvi stopnji odloča nadzorni organ sam, lahko vlagatelj zahteva sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek (ZNP, Ur- l- RS, 16/19).