Številka: 0602-11/2024/9
Datum: 17. 6. 2024
Informacijski pooblaščenec (v nadaljevanju IP) po nadzorni osebi izdaja na podlagi 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 34. člena v zvezi z 2. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) ter v zvezi z Zakonom o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, s spremembami in dopolnitvami; v nadaljevanju ZUP), v postopku prijave prijaviteljice s posebnim položajem: …, z dne 27. 2. 2024 zoper upravljavca: …, v zadevi pravice do izbrisa osebnih podatkov
O D L O Č B O
- Ugotovi se, da je upravljavec … v trenutku vložitve prijave prijaviteljice … dne 27. 2. 2024 kršil 17. člen Splošne uredbe v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2 s tem, ko ni pravočasno ustrezno odločil o zahtevi za izbris osebnih podatkov.
- Upravljavcu … se ne odredijo ukrepi glede obdelave osebnih podatkov.
- Prijaviteljici … se v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 0602-11/2024.
- V tem postopku organu posebni stroški niso nastali, vsaka stranka pa sama krije svoje stroške postopka.
O b r a z l o ž i t e v
- Dosedanji potek postopka in relevantne navedbe
Prijaviteljica je 8. 2. 2024 in 18. 2. 2024 pri upravljavcu vložila zahtevo za izbris iz … in izbris osebnih podatkov svoje hčerke. Upravljalec je prijaviteljici po elektronski pošti odgovoril 19. 2. 2024, in sicer, da je podatke izbrisal. Zoper ta odgovor pa je prijaviteljica 27. 2. 2024 vložila prijavo pri IP, v kateri je navedla, da je še vedno članica … ter da upravljavec nezakonito nadaljuje z obdelavo osebnih podatkov njene hčerke.
IP je upravljavca 5. 3. 2024 pozval, da o zahtevi prijaviteljice v celoti pisno odloči v skladu z 12. in 17. členom Splošne uredbe v zvezi s 14. členom ZVOP-2. Odgovor upravljalca je IP prejel 25. 3. 2024. Navedel je, da je po pozivu IP o prijaviteljičini zahtevi za izbris iz … odločil tako, da ji je ugodil in izbrisal zahtevane osebne podatke ter jo o tem tudi pisno obvestil 21. 3. 2024 po elektronski pošti. Ob tem je pojasnil, zakaj postopki v zvezi z njeno zahtevo za izbris niso bili pravilno izpeljani.
IP je zato 5. 4. 2024 prijaviteljici poslal zapis bistvenih ugotovitev in poziv za opredelitev, na katerega je 11. 4. 2024 prejel odgovor, iz katerega izhaja, da od upravljalca ni prejela vseh želenih pojasnil ter da o njeni zahtevi ni bilo odločeno v celoti. IP je 17. 4. 2024 upravljalcu poslal odgovor prijaviteljice in ga pozval na opredelitev do njenih navedb ter posredovanje morebitnih manjkajočih pojasnil in dokazil.
IP je 29. 4. 2024 prejel odgovor upravljalca. Navedel je, da je osebne podatke prijaviteljice in njene hčerke, ki jih je obdeloval v okviru članstva v …, izbrisal 7. 3. 2024, o čemer je prijaviteljico obvestil 21. 3. 2024. Kot razlog za naknaden izbris osebnih podatkov je upravljalec navedel človeško napako, kot dokazilo, da osebnih podatkov prijaviteljice ne obdeluje več, pa je priložil zaslonske slike. Glede zahteve prijaviteljice, da ji upravljalec posreduje tudi podatke, ali je članstvo v … na podlagi njene zahteve za izbris osebnih podatkov njene hčerke prenehalo tudi komu drugemu, pa je upravljalec pojasnil, da ne vodi evidence o sorodstvenih razmerjih posameznih članov …, saj na podlagi prejetih podatkov članov … ne more iz svojih sistemov povezati sorodstvenih ali morebitnih drugih razmerij med člani kluba ali vpisanimi podatki otrok. Upravljalec je torej pojasnil, da ne vodi evidence, ali so osebne podatke prijaviteljičinega otroka za včlanitev v … uporabili tudi drugi posamezniki. Pojasnilo in dokazila je upravljalec poslal tudi prijaviteljici.
IP je 17. 5. 2024 izdal nov zapis ugotovitev, bistvenih za odločitev v tem postopku, in poziv za izjavo pred odločitvijo, na katerega se nobena stranka v postavljenem 10-dnevnem roku od vročitve ni odzvala.
Ker je IP ocenil, da je dejansko stanje za odločitev v tej zadevi popolno ugotovljeno, ni izvedel drugih procesnih dejanj.
- Nadzorni postopek
Prvi odstavek 30. člena ZVOP-2 določa, da lahko posameznik, ki meni, da obdelava njegovih osebnih podatkov s strani upravljavca ali obdelovalca krši določbe Splošne uredbe, tega zakona ali drugih zakonov, ki urejajo obdelavo ali varstvo osebnih podatkov, ali krši določbe s temi zakoni povezanih podzakonskih predpisov ali splošnih aktov za izvrševanje javnih pooblastil, pri nadzornem organu vloži zahtevo v skladu z zakonom, ki ureja splošni upravni postopek, s katero zahteva nadzor zakonitosti obdelave svojih osebnih podatkov, lahko pa v njej predlaga tudi potrebno ukrepanje v skladu s prejšnjim členom v primeru ugotovljenih kršitev, tako da se doseže vzpostavitev zakonitega stanja. Drugi odstavek istega člena ZVOP-2 določa, da vsaka stranka krije svoje stroške postopka.
Zato je IP prijavo obravnaval v postopku, ki se vodi na zahtevo prijavitelja s posebnim položajem, s čimer se zagotavlja pravica do pritožbe po 77. členu Splošne uredbe. V tem nadzornem postopku je ravnal po določbah 30. do 35. člena ZVOP-2 (postopek na podlagi vloge prijavitelja s posebnim položajem). Za ta postopek je med drugim značilno, da IP ravna v skladu s preiskovalnimi in ureditvenimi pooblastili iz 58. člena Splošne uredbe ter 28. in 29. člena ZVOP-2 ter v skladu s splošnimi pravili ZUP.
IP kot nadzorni organ po izvedenem postopku nadzora skladno s prvim odstavkom 34. člena izda odločbo, ki poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
- ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
- ukrepe, odrejene upravljavcu ali obdelovalcu glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
- dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
- Splošno o pravici do izbrisa osebnih podatkov
Posameznik, na katerega se nanašajo osebni podatki, ima na podlagi prvega odstavka 17. člena Splošne uredbe v določenih primerih pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati. Posameznik je do izbrisa upravičen, kadar je podan eden od naslednjih razlogov:
(a) osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
(b) posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
(c) posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
(d) osebni podatki so bili obdelani nezakonito;
(e) osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;
(f) osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).
Postopkovna pravila so urejena v 11. in 12. členu Splošne uredbe, postopkovne določbe pa vsebuje tudi ZVOP-2 v členih od 12 do 21.
Predpisan rok za odgovor upravljavca je en mesec po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev, upravljavec pa je dolžan obvestiti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo (tretji odstavek 12. člena Splošne uredbe).
Obliko odločitve o zahtevi za izbris in njene sestavine za upravljavca v konkretnem primeru določa 14. člen ZVOP-2. Skladno s to določbo upravljavec, ki ni državni organ ali samoupravna lokalna skupnost, obravnava zahtevke posameznika iz 15. do 22. člena Splošne uredbe in druge zahtevke posameznika s področja varstva osebnih podatkov, dostopa do osebnih podatkov, njihovega pridobivanja in obdelave po tem ali drugem zakonu, posameznika seznani z odločitvijo in, če je to predmet zahteve, z osebnimi podatki, ki se nanašajo nanj, v roku, določenem s Splošno uredbo. Če posameznik to zahteva, ga lahko z osebnimi podatki seznani tudi ustno. Odločitev mora vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu v roku 15 dni od seznanitve z odločitvijo po določbah točke f) prvega odstavka 15. člena Splošne uredbe. Odločitev ima lahko obliko uradnega zaznamka, ki se pošlje posamezniku na način, ki omogoča seznanitev z odločitvijo in dokazovanje njenega prejema.
- Presoja prijaviteljičinih navedb
IP ugotavlja, da upravljavec v trenutku vložitve prijave 27. 2. 2024 še ni ustrezno odločil o prijaviteljičini zahtevi za izbris osebnih podatkov, ki jo je podala 8. 2. 2024 in jo dopolnila 18. 2. 2024. To izhaja tudi iz navedb samega upravljavca. Ker je takrat torej že potekel enomesečni rok za odločitev o zahtevi, je IP presodil, da je upravljavec kršil 17. člen v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2. To kršitev pa je upravljavec po vloženi prijavi in pozivu IP odpravil z odgovorom z dne 21. 3. 2024, ki ga je vročil tako IP kot prijaviteljici, s čimer je izpolnil obveznosti po navedenih določbah. V odgovoru je prijaviteljico seznanil, da je njeni zahtevi za izbris osebnih podatkov ugodil.
Iz navedenega izhaja, da je upravljavec osebnih podatkov naknadno izpolnil obveznosti po 12. in 17. členu Splošne uredbe in 14. členu ZVOP-2 s tem, da je izbrisal zahtevane osebne podatke ter o tem prijaviteljico pisno obvestil. Zato je IP v 1. točki izreka te odločbe ugotovil, da je upravljavec v trenutku vložitve prijave dne 27. 2. 2024 kršil 17. člen Splošne uredbe v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2 s tem, ko ni pravočasno ustrezno odločil o zahtevi za izbris osebnih podatkov.
Ker je upravljavec po vložitvi prijave ugotovljeno kršitev pravice do izbrisa osebnih podatkov v celoti odpravil, mu IP posebnih ukrepov v zvezi z obdelavo osebnih podatkov prijaviteljice ni odredil (2. točka izreka odločbe), saj bi bilo to v opisanih okoliščinah nesmiselno. Uporaba nabora popravljalnih ukrepov iz drugega odstavka 58. člena Splošne uredbe se namreč pogojuje tudi s tem, da je zadevni ukrep potreben za zagotovitev skladnosti s to uredbo (prim. 48. točko obrazložitve sklepnih predlogov generalnega pravobranilca Priita Pikamäeja z dne 11. 4. 2024 v zadevi C‑768/21, TR proti Land Hessen).
- Dovoljen obseg pregleda spisa
V 3. točki prvega odstavka 34. člena ZVOP-2 je določeno, da odločba v postopku nadzora po določbah tega oddelka poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
IP prijaviteljici ni omejil pravice do pregledovanja spisa zadeve, ki se vodi pod št. 0602-11/2024, saj za to ni podanih nikakršnih razlogov (3. točka izreka odločbe).
- Stroški postopka
Po prvem odstavku 118. člena ZUP organ v odločbi odloči o stroških postopka, kdo trpi stroške postopka, koliko znašajo ter komu in v katerem roku jih je treba plačati. Posebni stroški v tem nadzornem postopku niso nastali (4. točka izreka odločbe). Prijaviteljica in upravljavec krijeta vsak svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, s spremembami in dopolnitvami) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustno sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana. Tožbo je treba vložiti v tridesetih dneh od vročitve te odločbe, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožbi je treba poleg izvirnika, prepisa ali kopije te odločbe priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z odločbo, pa tudi zanj.
….,
državna nadzornica za varstvo osebnih podatkov