Številka: 07101-37/2023/30
Datum: 13. 6. 2024
Informacijski pooblaščenec (v nadaljevanju IP) po nadzorni osebi izdaja na podlagi 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 34. člena v zvezi z 2. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) ter v zvezi z Zakonom o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, s spremembami in dopolnitvami; v nadaljevanju ZUP), v postopku prijave prijavitelja s posebnim položajem: …, ki ga zastopa …, zoper upravljavca: …, v zadevi pravice do dostopa do osebnih podatkov
O D L O Č B O
- Ugotovi se, da je upravljavec … v trenutku vložitve prijave prijavitelja … dne 20. 12. 2023 kršil 15. člen Splošne uredbe v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2 s tem, ko ni pravočasno odločil o zahtevi za dostop do osebnih podatkov, ki se nanašajo na njegovega otroka.
- Ugotovi se, da upravljavec … v času vložitve prijave prijavitelja … dne 5. 4. 2024 z odločitvijo z dne 13. 3. 2024 o zahtevi za dostop do osebnih podatkov, ki se nanašajo na njegovega otroka, ni kršil 15. člena Splošne uredbe.
- Upravljavcu … se ne odredijo ukrepi glede obdelave osebnih podatkov.
- Prijavitelju … se delno omeji pregled spisa zadeve, ki se vodi pod št. 07101-35/2023, in sicer za spodnji del druge strani dokumenta št. 07101-37/2023/12, tj. za besedilo pod navedbo imena v. d. ravnatelja, ki se začne z »Obrazložitev: V dodatno utemeljevanje razloga...« in konča s »...podali obrazložitev«.
- V tem postopku organu posebni stroški niso nastali, vsaka stranka pa sama krije svoje stroške postopka.
O b r a z l o ž i t e v
- Dosedanji potek postopka in relevantne navedbe
IP je 20. 12. 2023 prejel prijavo … zaradi kršitve pravice do dostopa do osebnih podatkov, ki se nanašajo na njegovega otroka. Iz prijave izhaja, da je bila vložena zaradi molka upravljavca, saj prijavitelju na zahtevo za dostop do osebnih podatkov z dne 9. 10. 2023 v predpisanem roku ni odgovoril.
Upravljavec je prijavitelju po telefonskem pogovoru z IP 4. 1. 2024 poslal dokumentacijo, ki se nanaša na njegovega otroka. Pojasnil pa je, da so zaradi občutljivosti nekaterih podatkov le-ti zakriti, saj jih glede na četrti odstavek 15. člena Splošne uredbe ne sme razkriti. Prijavitelj je upravljavca v elektronskem sporočilu z dne 4. 1. 2024 nato dodatno zaprosil, da pojasni razlog za prikrivanje nekaterih podatkov (kdo je pooblaščen, da prihaja oz. pripelje otroka, in naslov prebivališča), 5. 1. 2024 pa mu je upravljavec ponovno odgovoril: »Zaradi občutljivosti nekaterih podatkov, so le ti zakriti, saj jih, glede na 4. odstavek 15. člena Splošne uredbe o varstvu podatkov, ne smemo razkriti«, saj bi s tem neopravičeno razkrivali osebne podatke drugih. Prijavitelj je kljub temu vztrajal pri pridobitvi vseh zahtevanih osebnih podatkov.
IP je ugotovil, da je upravljavec prijavitelju sicer že posredoval zahtevane kopije osebnih podatkov, pri čemer je določene osebne podatke zaradi občutljivosti prekril ter se ob tem skliceval na četrti odstavek 15. člena Splošne uredbe. Te odločitve pa upravljavec ni obrazložil v zadostni meri, saj pavšalno sklicevanje na zakonsko določbo ne omogoča uveljavitve učinkovitega pravnega sredstva niti preizkusa izpodbijane odločitve s strani nadzornega organa. Zato je IP štel, da upravljavec o zahtevi prijavitelja za dostop do osebnih podatkov, ki se nanašajo na njegovega otroka, še ni v celoti odločil in ga 4. 3. 2024 pozval, da o zahtevi prijavitelja pisno odloči v skladu z 12. in 15. členom Splošne uredbe v zvezi s 14. členom ZVOP-2.
Upravljavec je IP 13. 3. 2024 obvestil, da je istega dne prijavitelju odgovoril na zahtevo za posredovanje osebnih podatkov, ki se nanašajo na njegovega otroka. V odgovoru je navedel, da je prijavitelju 4. 1. 2024 že poslal dokumentacijo v zvezi z osebnimi podatki njegovega otroka, ki jo imajo na šoli. Pojasnil pa je, da so podatki o naslovu prebivališča otroka, ki stanuje na istem naslovu kot njegova mati, zakriti glede na 20. člen ZVOP-2 in glede na četrti odstavek 15. člena Splošne uredbe. Pojasnil je, da je te podatke zakril glede na sklep Okrožnega sodišča v …, opr. št. … z dne …, iz katerega izhaja, da ima od 9. 4. 2023 za čas 12 mesecev prepoved približevanja njegovi materi, ki prebiva na istem naslovu kot otrok, ter skladno z načelom minimizacije osebnih podatkov, ker gre za osebne podatke drugih oseb in ne za osebne podatke prijaviteljevega otroka. Ta odgovor je bil prijavitelju vročen s fikcijo 28. 3. 2024, sam pa je navedel, da ga je prejel v poštnem nabiralniku 2. 4. 2024.
Upravljavec je v obvestilu ločeno navedel tudi konkretnejše razloge za zavrnitev, ki pa prijavitelju skladno z 20. členom ZVOP-2 niso dostopni, zato jih IP na tem mestu ne povzema.
Prijavitelj je 5. 4. 2024 v ugovoru, ki ga je podal v roku iz drugega odstavka 14. člena ZVOP-2, zoper odločitev upravljavca navedel, da lahko kakršnokoli omejevanje podatkov otroka staršu določi zgolj sodišče in da želi podatke o otroku kot skrben starš in je v korist otroka. Te navedbe je 10. 4. 2024 še dopolnil ter pojasnil, da upravljavca ves čas prosi in se jim predstavlja kot oče otroka, ki želi otrokove podatke kot skrben starš in je v korist otroka, da se vseskozi do njega vedejo diskriminatorno ter podal nekaj informacij, ki naj bi kazale na zavajanje z strani upravljavca. IP je te navedbe upošteval kot prijavo zoper odločitev upravljavca z dne 13. 3. 2024.
IP je 17. 5. 2024 izdal zapis ugotovitev, bistvenih za odločitev v tem postopku, in poziv za izjavo pred odločitvijo.
Upravljavec se na ta poziv v postavljenem 10-dnevnem roku od vročitve ni odzval. Prijavitelj pa se je 3. 6. 2024 do zapisa ugotovitev IP opredelil ustno, in sicer je v bistvenem navedel: da se z odločitvijo IP ne strinja ter da vztraja pri pridobitvi vseh osebnih podatkov, ki se nanašajo na njegovega otroka; da je komunikacija z upravljavcem slaba oziroma je sploh ni, zato mu tudi ne more pojasniti svoje strani zgodbe; da mu upravljavec preprečuje biti dober oče, kar nedvomno ni v korist otroka; da se upravljavec obnaša, kot da jim želi nagajati, ker je pri IP vložil prijavo; da ga upravljavec vseskozi negativno opisuje, npr. v mnenju CSD za sodišče, da je slab oče, nasilen, nespoštljiv, da otroka zanemarja, da ne delata domačih nalog, ker ne drži; da enostransko delovanje ni v korist otroka ter da ga od njega nepravično oddaljujejo; da upravljavec neutemeljeno meni, da je CSD nad njimi in ga zato nekritično poslušajo, pravice pa bi mu lahko omejilo le sodišče; da ga upravljavec diskriminira ter da se počuti ogroženega; da želi le ustrezno komunicirati z upravljavcem in imeti korekten odnos, da lahko normalno izvršuje svoje starševske pravice. Prijavitelj je IP posredoval tudi poročilo upravljavca za CSD in mnenje CSD sodišču v nepravdni zadevi o predlagani spremembi stikov in nasprotnem predlogu.
Ker je IP ocenil, da je dejansko stanje za odločitev v tej zadevi popolno ugotovljeno, ni izvedel drugih procesnih dejanj.
- Nadzorni postopek
Prijavitelj je pri upravljavcu vložil zahtevo za dostop do osebnih podatkov, ki se nanašajo na njegovega otroka. Skladno s 14. členom ZVOP-2 upravljavci, ki niso državni organi ali samoupravne lokalne skupnosti, o zahtevi praviloma odločijo s pisnim obvestilom. Odločitev mora vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu v roku 15 dni od seznanitve z odločitvijo po določbah točke f) prvega odstavka 15. člena Splošne uredbe. Odločitev ima lahko obliko uradnega zaznamka, ki se pošlje posamezniku na način, ki omogoča seznanitev z odločitvijo in dokazovanje njenega prejema. Zoper molk upravljavca (tj. če posamezniku ne odgovori v enomesečnem ali v izjemoma podaljšanem roku) ali zoper zavrnilni odgovor upravljavca je dopustna prijava, za reševanje katere je pristojen IP.
Prvi odstavek 30. člena ZVOP-2 določa, da lahko posameznik, ki meni, da obdelava njegovih osebnih podatkov s strani upravljavca ali obdelovalca krši določbe Splošne uredbe, tega zakona ali drugih zakonov, ki urejajo obdelavo ali varstvo osebnih podatkov, ali krši določbe s temi zakoni povezanih podzakonskih predpisov ali splošnih aktov za izvrševanje javnih pooblastil, pri nadzornem organu vloži zahtevo v skladu z zakonom, ki ureja splošni upravni postopek, s katero zahteva nadzor zakonitosti obdelave svojih osebnih podatkov, lahko pa v njej predlaga tudi potrebno ukrepanje v skladu s prejšnjim členom v primeru ugotovljenih kršitev, tako da se doseže vzpostavitev zakonitega stanja. Drugi odstavek istega člena ZVOP-2 določa, da vsaka stranka krije svoje stroške postopka.
Zato je IP prijavo obravnaval v postopku, ki se vodi na zahtevo prijavitelja s posebnim položajem, s čimer se zagotavlja pravica do pritožbe po 77. členu Splošne uredbe. V tem nadzornem postopku je ravnal po določbah 30. do 35. člena ZVOP-2 (postopek na podlagi vloge prijavitelja s posebnim položajem). Za ta postopek je med drugim značilno, da IP ravna v skladu s preiskovalnimi in ureditvenimi pooblastili iz 58. člena Splošne uredbe ter 28. in 29. člena ZVOP-2 ter v skladu s splošnimi pravili ZUP.
IP kot nadzorni organ po izvedenem postopku nadzora skladno s prvim odstavkom 34. člena izda odločbo, ki poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
- ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
- ukrepe, odrejene upravljavcu ali obdelovalcu glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
- dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
- Splošno o pravici dostopa posameznika, na katerega se nanašajo osebni podatki
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti (1) potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, (2) dostop do osebnih podatkov in (3) določene informacije, ki jih našteva Splošna uredba. Skladno s tretjim odstavkom 15. člena Splošne uredbe je upravljavec posamezniku dolžan zagotoviti tudi brezplačno kopijo osebnih podatkov, ki se obdelujejo, ta pa po četrtem odstavku istega člena ne sme vplivati negativno na pravice in svoboščine drugih.
Kot zakoniti zastopniki so starši praviloma upravičeni dostopati tudi do osebnih podatkov, ki se nanašajo na njihove otroke. Ob tem pa IP poudarja, da so otroci posamezniki, ki so sami nosilci pravice do dostopa do lastnih osebnih podatkov ter da mora biti korist otroka vedno vodilo pri odločitvah, sprejetih v zvezi z uveljavljanjem te pravice, zlasti kadar jo v otrokovem imenu izvršuje nosilec starševske skrbi.
Prav tako IP izpostavlja, da pravica do varstva osebnih podatkov ni absolutna, kar pomeni, da jo je treba uravnotežiti z drugimi pomembnimi pravicami. Splošna uredba določa razloge in pogoje, pod katerimi lahko upravljavec omeji pravice posameznika na področju varstva osebnih podatkov. 23. člen Splošne uredbe določa, da se lahko pravica do dostopa iz 15. člena omeji, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje določenih interesov, kot so državna varnost, obramba, interesi, povezani na področju kazenskega prava, neodvisnosti sodstva, varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih ter uveljavljanja civilnopravnih zahtevkov. Prav tako pravica do pridobitve kopije osebnih podatkov ne sme vplivati negativno na pravice in svoboščine drugih (četrti odstavek člena 15. Splošne uredbe). To je lahko tudi pravica do varstva osebnih podatkov drugih posameznikov. Upravljavec pa mora biti sposoben dokazati, da bi bile v konkretni situaciji dejansko prizadete pravice ali svoboščine drugih.
Ena izmed omejitev pravice do dostopa je izrecno določena tudi v 20. členu ZVOP-2. Skladno s to določbo lahko upravljavec izjemoma zavrne zahtevo posameznika iz 15. člena Splošne uredbe, vloženo prek zakonitega zastopnika, če obstajajo konkretne in objektivne okoliščine, zaradi katerih bi bilo utemeljeno sklepati, da bi bile zaradi seznanitve z določenimi osebnimi podatki neposredno ali posredno prizadete koristi, pravice ali upravičeni interesi mladoletnih oseb ali oseb, postavljenih pod skrbništvo ali drugih oseb, za katere tako določa zakon, ter če te pravice in interesi pretehtajo nad interesi zakonitega zastopnika za seznanitev. V tem primeru so razlogi za zavrnitev dostopni nadzornemu organu, Varuhu človekovih pravic, kolizijskemu skrbniku, kadar gre za osebne podatke iz zdravstvene dokumentacije, pa zastopniku pacientovih pravic po zakonu, ki ureja pacientove pravice.
- Presoja prijaviteljevih navedb
V konkretnem primeru je prijavitelj kot zakoniti zastopnik od upravljavca 9. 10. 2023 zahteval dostop do osebnih podatkov, ki se nanašajo na njegovega otroka. Upravljavec mu je po poteku enomesečnega roka za odgovor iz 12. člena Splošne uredbe ter po vložitvi prijave pri IP dne 4. 1. 2024 poslal zahtevane dokumente, pri čemer je osebne podatke drugih oseb ter naslov otrokovega prebivališča zakril. To pa je obrazloženo utemeljil šele v odločitvi z dne 13. 3. 2024, in sicer z izjemo na podlagi 20. člena ZVOP-2 ter omejitvijo iz četrtega odstavka 15. člena Splošne uredbe, predvsem zaradi obstoja sklepa o prepovedi približevanja otrokovi materi, dodatne razloge za to pa je pojasnil tudi IP. Slednji zaradi narave vsebine prijavitelju niso dostopni, po oceni IP pa še dodatno omogočajo preizkus pravilnosti izpodbijane odločitve.
IP pojasnjuje, da je treba v primeru konflikta med dvema človekovima pravicama pretehtati, ali in v kakšni meri se sme dopustiti izvrševanje ene pravice na račun oziroma v škodo druge pravice. Osnovna šola kot upravljavec osebnih podatkov je v konkretnem primeru izvedla ustrezno tehtanje med pravicami in koristmi otroka, ki jih mora ustrezno zaščititi, ter pravico prijavitelja kot starša, ter utemeljeno zaključila, da je bilo zakritje nekaterih osebnih podatkov v otrokovo korist. Ker je bil namreč izdan sklep o prepovedi približevanja njegovi materi, otrok pa prebiva na istem naslovu, je tudi po mnenju IP zakritje podatka o naslovu prebivališča primerno, in sicer zaradi varovanja te lokacije. Tudi prekritje osebnih podatkov drugih oseb, ki prihajajo po otroka v šolo, pa je po presoji IP skladno s četrtim odstavkom 15. člena Splošne uredbe, saj bi takšno razkritje lahko negativno vplivalo na njihove pravice in svoboščine, prav tako pa bi bilo lahko takšno razkritje glede na omenjeni sklep o prepovedi približevanja v nasprotju z otrokovo koristjo. Oba razloga za zakritje konkretnih osebnih podatkov je upravljavec tudi dodatno prepričljivo obrazložil, IP pa nima nobenega razloga za dvom v pravilnost izpodbijane odločitve. V konkretnem primeru je treba namreč glede na sklepe sodišč izhajati tudi iz določb Zakona o preprečevanju nasilja v družini (Uradni list RS, št. 16/08, 68/16, 54/17 – ZSV-H in 196/21 – ZDOsk; v nadaljevanju ZPND), predvsem iz 4., 5. in 9.a člena tega zakona, ki predpisujejo posebno varstvo otrok pred nasiljem (pri čemer je otrok žrtev nasilja tudi, če je prisoten pri izvajanju nasilja nad drugim družinskim članom), dolžnost zaščite in spoštovanja integritete žrtve ter varstva podatkov o nastanitvi žrtve in njenih otrok ali drugih ukrepih za njihovo zaščito s strani organizacij.
Prijavitelj pravilnosti izpodbijane odločitve ne more spremeniti z navedbami, ki jih je podal tekom postopka ter na zapis ugotovitev. IP razume, da glede na družinsko situacijo v konkretnem primeru obstajajo določena nesoglasja med prijaviteljem, ki je oče otroka, in šolo kot upravljavcem. Vendar poudarja, da je IP pristojen zgolj za varstvo osebnih podatkov ter da je upravljavec prepričljivo utemeljil razlog za omejitev dostopa do osebnih podatkov otroka v konkretnem primeru. Ob tem izpostavlja, da je treba v biti takšnih konfliktnih situacijah izredno previden, da se ne ravna v nasprotju z otrokovo koristjo. Ali je ravnanje upravljavca izven odločitve o pravici po 15. členu Splošne uredbe, ki ga opisuje prijavitelj, ustrezno, IP ne more presojati. Zaključuje pa, da je upravljavec delno zavrnitev prijaviteljeve zahteve za dostop do osebnih podatkov, ki se nanašajo na njegovega otroka, sicer prepozno, a naknadno obrazloženo in utemeljeno zavrnil, upoštevaje 14. in 20. člen ZVOP-2 ter četrti odstavek 15. člena Splošne uredbe.
Zato je IP v 1. in 2. točki izreka te odločbe ugotovil, da je upravljavec v trenutku vložitve prijave dne 20. 12. 2023 kršil 15. člen Splošne uredbe v zvezi z 12. členom Splošne uredbe in 14. členom ZVOP-2 s tem, ko ni pravočasno odločil o prijaviteljevi zahtevi za dostop do osebnih podatkov, ki se nanašajo na njegovega otroka, ter da v času vložitve prijave dne 5. 4. 2024 z odločitvijo z dne 13. 3. 2024 ni kršil 15. člena Splošne uredbe.
Ker je upravljavec po vložitvi prijave ugotovljeno kršitev pravice do dostopa do osebnih podatkov, ki se nanašajo na prijaviteljevega otroka, v celoti odpravil, mu IP posebnih ukrepov v zvezi z obdelavo osebnih podatkov prijaviteljice ni odredil (3. točka izreka odločbe), saj bi bilo to v opisanih okoliščinah nesmiselno. Uporaba nabora popravljalnih ukrepov iz drugega odstavka 58. člena Splošne uredbe se namreč pogojuje tudi s tem, da je zadevni ukrep potreben za zagotovitev skladnosti s to uredbo (prim. 48. točko obrazložitve sklepnih predlogov generalnega pravobranilca Priita Pikamäeja z dne 11. 4. 2024 v zadevi C‑768/21, TR proti Land Hessen).
- Dovoljen obseg pregleda spisa
V 3. točki prvega odstavka 34. člena ZVOP-2 je določeno, da odločba v postopku nadzora po določbah tega oddelka poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
IP ugotavlja, da ga je upravljavec 13. 3. 2024 obvestil o odgovoru, ki ga je podal prijavitelju na njegovo zahtevo za dostop do osebnih podatkov, ki se nanašajo na njegovega otroka, ob tem pa je IP posredoval dodatno obrazložitev, ki obsega konkretnejše razloge iz 20. člena ZVOP-2, ki prijavitelju niso dostopni. Zato je IP prijavitelju v 4. točki izreka te odločbe delno omejil pregled spisa te zadeve št. 07101-35/2023, in sicer za spodnji del druge strani dokumenta št. 07101-37/2023/12, tj. za besedilo pod navedbo imena v. d. ravnatelja, ki se začne z »Obrazložitev: V dodatno utemeljevanje razloga...« in konča s »...podali obrazložitev«.
- Stroški postopka
Po prvem odstavku 118. člena ZUP organ v odločbi odloči o stroških postopka, kdo trpi stroške postopka, koliko znašajo ter komu in v katerem roku jih je treba plačati. Posebni stroški v tem nadzornem postopku niso nastali (5. točka izreka odločbe). Prijavitelj in upravljavec krijeta vsak svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, s spremembami in dopolnitvami) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustno sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana. Tožbo je treba vložiti v tridesetih dneh od vročitve te odločbe, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožbi je treba poleg izvirnika, prepisa ali kopije te odločbe priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z odločbo, pa tudi zanj.
….,
državna nadzornica za varstvo osebnih podatkov