Pristojnost Informacijskega pooblaščenca pri čezmejni obdelavi osebnih podatkov

Datum

24.04.2025

Številka

07121-1/2025/511

Kategorije

Telekomunikacije in pošta

Pri Informacijskem pooblaščencu (IP) smo 18. 4. 2025 prejeli vaše zaprosilo za mnenje glede nezakonite obdelave osebnih podatkov, saj ste prejeli prevarantski klic klicatelja, ki ima telefonsko številko registrirano pri hrvaškem telefonskem operaterju.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP je za vodenje inšpekcijskega ali nadzornega postopka pristojen le, če ima upravljavec podatkov ustanovitev na ozemlju Republike Slovenije. Če gre za upravljavca iz Hrvaške, bi bil za vodenje postopka nadzora nad obdelavo osebnih podatkov lahko pristojen hrvaški nadzorni organ za varstvo podatkov (

https://azop.hr/

). V takem primeru IP svetuje, da se obrnete neposredno na pristojni nadzorni organ in tam podate svojo prijavo (

https://azop.hr/how-to-lodge-a-complaint/

). Posameznik pa lahko vloži prijavo zoper tujega upravljavca tudi pri IP, četudi IP ni pristojen za obravnavo prijave ali ne nastopa kot vodilni nadzorni organ. IP v takem primeru prijavo posreduje pristojnemu ali vodilnemu nadzornemu organu.

IP se lahko dokončno opredeljuje do konkretnih obdelav osebnih podatkov le v nadzornih ali drugih upravnih postopkih.

IP uvodoma pojasnjuje, da je v skladu s 55. členom Splošne uredbe pristojen le za postopke na ozemlju svoje države članice, torej Republike Slovenije. Poleg tega se ozemeljska veljavnost ZVOP-2 navezuje na obdelavo osebnih podatkov, ki se izvaja v zasebnem sektorju, kadar gre za obdelavo osebnih podatkov, ki se izvaja v okviru dejavnosti ustanovitve upravljavca ali obdelovalca, registrirane v Republiki Sloveniji, čeprav obdelava ne poteka v Sloveniji.

To pomeni, da je vprašanje, kateri organ bo pristojen v konkretni zadevi odvisno od tega, kje v EU ima upravljalec oziroma obdelovalec ustanovitev, sedež ali je registriran. Glavni sedež je v členu 4(16) definiran kot kraj njegove osrednje uprave v Uniji ali, kadar se odločitve o namenih in sredstvih obdelave osebnih podatkov sprejemajo na drugem sedežu upravljavca v Uniji in ima ta sedež pooblastila za izvajanje takih odločitev, sedež, ki sprejema take odločitve. Iz vašega dopisa izhaja, da bi lahko šlo za hrvaškega upravljavca, kar pomeni, da bo v takem primeru za obravnavo vaše prijave najverjetneje pristojen hrvaški nadzorni organ - Agencija za zaštitu osobnih podataka ali na kratko AZOP. Več informacij o tem, kako je mogoče pri njih podati prijavo, je dostopno na strani: https://azop.hr/how-to-lodge-a-complaint/. V vsakem primeru pa lahko posameznik vloži prijavo ali pritožbo tudi pri drugih EU nadzornih organih, zlasti v državi članici, kjer ima običajno bivališče. Ta nadzorni organ (v konkretnem primeru IP), če ugotovi, da je vloga popolna, le to posreduje pristojnemu nadzornemu organu, posameznika pa obvesti o stanju zadeve in o odločitvi o prijavi oziroma pritožbi (tako določa 77. člen Splošne uredbe).

Če bi imel upravljavec v danem primeru ustanovitev v več državah članicah EU ali bi obdelava osebnih podatkov znatno vplivala na posameznike v več državah članicah, bi šlo za čezmejno zadevo. To pomeni, da vsi pristojni nadzorni organi skupaj sodelujejo v okviru postopkov čezmejnega sodelovanja.

IP tako sklepno pojasnjuje, da v primeru obdelave osebnih podatkov, ko ima upravljavec ustanovitev ali glavni sedež v Republiki Hrvaški, ne bo pristojen za vodenje pritožbenega oziroma inšpekcijskega postopka. Če posameznik ni prepričan, kateri nadzorni organ je za konkretnega upravljavca pristojen, lahko pritožbo zoper takega upravljavca vseeno vloži pri IP, IP pa bo njegovo pritožbo posredoval ustreznemu nadzornemu organu, ki je za odločanje o pritožbi pristojen. Če bi šlo za čezmejni postopek, bi IP verjetno nastopal kot zadevni nadzorni organ in sodeloval v postopku z vodilnim nadzornim organom. V vsakem primeru pa je pomembno, da posameznik v prijavi oziroma pritožbi pojasni, glede česa podaja prijavo in opiše vse okoliščine ter predloži dokazila.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka