Številka: 07100-10/2023/14
Datum: 19. 6. 2024
Informacijski pooblaščenec (v nadaljevanju IP) po nadzorni osebi izdaja na podlagi 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 34. člena v zvezi z 2. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) in v zvezi z Zakonom o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, s spremembami in dopolnitvami; v nadaljevanju ZUP), v postopku prijave prijaviteljice s posebnim položajem: …, z dne 2. 5. 2023, zoper upravljavca: …, v zadevi pravice do dostopa do osebnih podatkov
O D L O Č B O
- Ugotovi se, da je upravljavec … v trenutku vložitve prijave prijaviteljice … dne 2. 5. 2023 kršil 15. člen Splošne uredbe v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2 s tem, ko ni pravočasno odločil o zahtevi za dostop do osebnih podatkov.
- Upravljavcu … se ne odredijo ukrepi glede obdelave osebnih podatkov.
- Prijaviteljici … se v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 07100-10/2023.
- V tem postopku organu posebni stroški niso nastali, vsaka stranka pa sama krije svoje stroške postopka.
O b r a z l o ž i t e v
- Dosedanji potek postopka in relevantne navedbe
IP je 2. 5. 2023 prejel prijavo … zaradi kršitve pravice do dostopa do osebnih podatkov, ki se nanašajo na njeno hči …. Navedla je, da se je 26. 11. 2022 njena mladoletna hči udeležila …, ki ga je organiziral upravljavec. Ker rezultati njene hčere še tri tedne po tekmovanju niso bili vpisani na upravljavčevi spletni strani, ga je 19. 12. 2022 o tem obvestila preko elektronske pošte in ga pozvala, da omogoči vpogled v osebne podatke hčere (tj. rezultat oziroma dosežene točke ter doseženo mesto in priznanje na tekmovanju). Za vpogled v te podatke je upravljavca ponovno pozvala 28. 2. 2023, ki pa ji je odgovoril, da je o hčerinih rezultatih že pred časom obvestil mentorico in naj se za informacijo obrne nanjo ter da je postopek vpisa po predpisanem roku oziroma objavi uradnih rezultatov povsem drugačen. Nato je prijaviteljica upravljavca 6. 4. 2023 še tretjič pozvala, da ji v osmih dneh sporoči doseženo mesto uvrstitve in priznanje njene hčere, ne le gole točke, a tega ponovno ni storil. Prijaviteljica je ob tem opozorila, da je od tekmovanja minilo več kot pet mesecev, vendar ji upravljavec kot staršu še vedno ni omogočil vpogleda v osebne podatke njene hčere, kamor mesto uvrstitve in doseženo priznanje na omenjenem tekmovanju vsekakor sodita.
IP je upravljavca 4. 5. 2023 pozval, da v roku 15 dni od prejema tega poziva o prijaviteljičini zahtevi pisno odloči v skladu z 12. in 15. členom Splošne uredbe v zvezi s 14. členom ZVOP-2. Odgovor upravljavca je IP je v vednost prejel 21. 5. 2023. Upravljavec je v bistvenem navedel, da je bil obveščen o manjkajočem vpisu dosežka prijaviteljičine hčerke, ter pojasnil, da vpis dosežka na upravljavčevo informacijsko spletno stran po objavi uradnih rezultatov tehnično ni enostaven, ob tem pa je zagotovil prejem priznanja za dosežek na šolski in državni stopnji tekmovanja ob zaključku šolskega leta. Izpostavil je, da naknadni vpis dosežka na strežnik (vpis po objavi uradnih rezultatov tekmovanja) spremeni doseženo mesto deleža tekmovalcev, kar je v nasprotju s pravili tekmovanja, saj se objavljeni dosežki z dnem objave uradnih rezultatov ne smejo spremeniti.
Kljub temu odgovoru pa je prijaviteljica IP 6. 6. 2023 sporočila, da vztraja pri prijavi ter pridobitvi podatkov o mestu uvrstitve in doseženem priznanju na tekmovanju …, ki se nanašajo na njeno hči. Izpostavila je, da upravljavec z zahtevanimi podatki nedvomno razpolaga in o tem priložila dokaze, in sicer izpisek uradnih rezultatov ter elektronsko korespondenco med upravljavcem in osnovno šolo, ki jo hči obiskuje. Iz vsebine tega elektronskega sporočila je mogoče sklepati, da zahtevani osebni podatki obstajajo. Prijaviteljica je ob tem poudarila, da je upravljavcu že večkrat pojasnila, naj ji sporoči doseženo mesto in/ali priznanje na tekmovanju, kar ni vezano na vpis na strežnik, ter opozorila, da je upravljavec 8. 12. 2022 objavil uradne rezultate tekmovanja ter je torej v elektronski in fizični obliki že razpolagal s kriteriji za osvojitev posameznih priznanj, prav tako pa je mentorici že sporočili rezultate njene hčere.
Glede na to je IP upravljavca 8. 6. 2023, 3. 8. 2023 in ponovno 28. 9. 2023 pozval na opredelitev do navedb prijaviteljice, predvsem za pojasnilo o tem, ali razpolaga s podatki o mestu uvrstitve in doseženem priznanju (zlato priznanje/srebrno priznanje/priznanje) ter v takem primeru na posredovanje kopije teh podatkov oziroma dodatno utemeljitev, zakaj z zahtevanimi osebnimi podatki ne razpolaga oziroma jih ne posreduje.
Ker se upravljavec na te pozive ni odzval, ga je IP 9. 11. 2023 poklical, ki je na poizvedbo glede stanja zadeve sporočil, da zadeva zaradi količine delovnih obveznosti ter bolniških odsotnosti še ni rešena, a da namerava v kratkem poslati odgovor ter da se znotraj upravljavca še odločajo, na kakšen način. Ker tudi po tem IP od upravljavca ni prejel nobenega obvestila, ga je 25. 4. 2024 znova pozval, da IP čimprej, najkasneje pa v roku 15 dni pojasni, kako je ravnal glede na vloženo prijavo, ali je prijaviteljici odgovoril skladno z določbami Splošne uredbe in ZVOP-2 oziroma ali je zadevo razrešil na kakšen drugačen način. Ob tem ga je opozoril, da je lahko v primeru nesodelovanja z IP kot nadzornim organom ali zaradi kršitve pravice do varstva osebnih podatkov prekrškovno odgovoren.
Upravljavec je nato IP odgovoril 7. 5. 2024. Navedel je, da podaja informacijo o uvrstitvi na tekmovanju … v šolskem letu 22-23, in sicer se je tekmovalka …, učenka .... razreda v šolskem letu 22-23, na državni stopnji tekmovanja … uvrstila na ... mesto. Ob tem je pojasnil, da v kolikor bi tekmovalka želela še kakršna koli tiskana potrdila, naj se obrne na šolo oz. mentorja. Le-ta lahko tekmovalki izda potrdilo o uspehu z obrazložitvijo, da dosežek ni bil vpisan na … strežnik in da je bil rok za ugovore, ko bi pomanjkljivost še lahko odpravili, zamujen.
IP je 8. 5. 2024 izdal zapis ugotovitev, bistvenih za odločitev v tem postopku, in poziv za izjavo pred odločitvijo, na katerega se nobena stranka v postavljenem 10-dnevnem roku od vročitve ni odzvala. V tem zapisu je ugotovil, da je upravljavec naknadno izpolnil obveznosti po 15. členu Splošne uredbe s tem, da je sporočil zahtevane osebne podatke, ki se nanašajo na prijaviteljičino hči.
Ker je IP ocenil, da je dejansko stanje za odločitev v tej zadevi popolno ugotovljeno, ni izvedel drugih procesnih dejanj.
- Nadzorni postopek
Prvi odstavek 30. člena ZVOP-2 določa, da lahko posameznik, ki meni, da obdelava njegovih osebnih podatkov s strani upravljavca ali obdelovalca krši določbe Splošne uredbe, tega zakona ali drugih zakonov, ki urejajo obdelavo ali varstvo osebnih podatkov, ali krši določbe s temi zakoni povezanih podzakonskih predpisov ali splošnih aktov za izvrševanje javnih pooblastil, pri nadzornem organu vloži zahtevo v skladu z zakonom, ki ureja splošni upravni postopek, s katero zahteva nadzor zakonitosti obdelave svojih osebnih podatkov, lahko pa v njej predlaga tudi potrebno ukrepanje v skladu s prejšnjim členom v primeru ugotovljenih kršitev, tako da se doseže vzpostavitev zakonitega stanja. Drugi odstavek istega člena ZVOP-2 določa, da vsaka stranka krije svoje stroške postopka.
Zato je IP prijavo obravnaval v postopku, ki se vodi na zahtevo prijavitelja s posebnim položajem, s čimer se zagotavlja pravica do pritožbe po 77. členu Splošne uredbe. V tem nadzornem postopku je ravnal po določbah 30. do 35. člena ZVOP-2 (postopek na podlagi vloge prijavitelja s posebnim položajem). Za ta postopek je med drugim značilno, da IP ravna v skladu s preiskovalnimi in ureditvenimi pooblastili iz 58. člena Splošne uredbe ter 28. in 29. člena ZVOP-2 ter v skladu s splošnimi pravili ZUP.
IP kot nadzorni organ po izvedenem postopku nadzora skladno s prvim odstavkom 34. člena izda odločbo, ki poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
- ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
- ukrepe, odrejene upravljavcu ali obdelovalcu glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
- dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
- Splošno o pravici do dostopa do osebnih podatkov
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije, ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti 1) potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, 2) dostop do osebnih podatkov in do njihove kopije ter 3) nekatere informacije v zvezi z obdelavo in pravicami, ki jih nato našteva Splošna uredba. Postopkovna pravila so urejena v 11. in 12. členu te uredbe, postopkovne določbe pa vsebuje tudi ZVOP-2 v členih od 12 do 21.
Predpisan rok za odgovor upravljavca je en mesec po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev, upravljavec pa je dolžan obvestiti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo (tretji odstavek 12. člena Splošne uredbe).
Obliko odločitve o zahtevi za izbris in njene sestavine za upravljavca v konkretnem primeru določa 14. člen ZVOP-2. Skladno s to določbo upravljavec, ki ni državni organ ali samoupravna lokalna skupnost, obravnava zahtevke posameznika iz 15. do 22. člena Splošne uredbe in druge zahtevke posameznika s področja varstva osebnih podatkov, dostopa do osebnih podatkov, njihovega pridobivanja in obdelave po tem ali drugem zakonu, posameznika seznani z odločitvijo in, če je to predmet zahteve, z osebnimi podatki, ki se nanašajo nanj, v roku, določenem s Splošno uredbo. Če posameznik to zahteva, ga lahko z osebnimi podatki seznani tudi ustno. Odločitev mora vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu v roku 15 dni od seznanitve z odločitvijo po določbah točke f) prvega odstavka 15. člena Splošne uredbe. Odločitev ima lahko obliko uradnega zaznamka, ki se pošlje posamezniku na način, ki omogoča seznanitev z odločitvijo in dokazovanje njenega prejema.
- Presoja prijaviteljičinih navedb
IP ugotavlja, da upravljavec v trenutku vložitve prijave 2. 5. 2023 ni ustrezno odločil o prijaviteljičini zahtevi za dostop do osebnih podatkov, ki jo je prvič podala 19. 12. 2022 in nato še 28. 2. 2023 ter 6. 4. 2023. Ker je takrat že potekel enomesečni rok za odločitev o zahtevi, je IP presodil, da je upravljavec kršil 15. člen v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2. To kršitev pa je upravljavec po vloženi prijavi in več pozivom IP odpravil z odgovorom z dne 7. 5. 2024, v katerem je sporočil zahtevane osebne podatke, ki se nanašajo na prijaviteljičino hči. Zato je IP v 1. točki izreka te odločbe ugotovil, da je upravljavec v trenutku vložitve prijave dne 2. 5. 2023 kršil 15. člen Splošne uredbe v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2 s tem, ko ni pravočasno odločil o zahtevi za dostop do osebnih podatkov. IP pa ob tem poudarja, da se ni pristojen spuščati v vprašanje ustreznosti izvedenega tekmovanja oziroma popolnosti obstoječih osebnih podatkov v zvezi s tekmovanjem.
Ker je upravljavec po vložitvi prijave ugotovljeno kršitev pravice do dostopa do osebnih podatkov odpravil, mu IP posebnih ukrepov v zvezi z obdelavo osebnih podatkov prijaviteljice ni odredil (2. točka izreka odločbe), saj bi bilo to v opisanih okoliščinah nesmiselno. Uporaba nabora popravljalnih ukrepov iz drugega odstavka 58. člena Splošne uredbe se namreč pogojuje tudi s tem, da je zadevni ukrep potreben za zagotovitev skladnosti s to uredbo (prim. 48. točko obrazložitve sklepnih predlogov generalnega pravobranilca Priita Pikamäeja z dne 11. 4. 2024 v zadevi C‑768/21, TR proti Land Hessen).
- Dovoljen obseg pregleda spisa
V 3. točki prvega odstavka 34. člena ZVOP-2 je določeno, da odločba v postopku nadzora po določbah tega oddelka poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
IP prijaviteljici ni omejil pravice do pregledovanja spisa zadeve, ki se vodi pod št. 07100-10/2023, saj za to ni podanih nikakršnih razlogov (3. točka izreka odločbe).
- Stroški postopka
Po prvem odstavku 118. člena ZUP organ v odločbi odloči o stroških postopka, kdo trpi stroške postopka, koliko znašajo ter komu in v katerem roku jih je treba plačati. Posebni stroški v tem nadzornem postopku niso nastali (4. točka izreka odločbe). Prijaviteljica in upravljavec krijeta vsak svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, s spremembami in dopolnitvami) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustno sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana. Tožbo je treba vložiti v tridesetih dneh od vročitve te odločbe, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožbi je treba poleg izvirnika, prepisa ali kopije te odločbe priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z odločbo, pa tudi zanj.
….,
državna nadzornica za varstvo osebnih podatkov