Dostop do podatkov na portalu po prekinitvi pogodbenega razmerja

Datum

22.02.2023

Številka

07121-1/2023/248

Kategorije

Pravica do prenosljivosti podatkov, Pravica do seznanitve z lastnimi osebnimi podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da vam je ponudnik spletnih storitev po prekinitvi pogodbe onemogočil dostop do njihovega portala, na katerem ste imeli podatke o preteklih računih. Ker si niste napravili kopij računov vas zanima, ali je bilo pravilno, da vam je ponudnik blokiral dostop do vaših plačanih računov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Svoje osebne podatke lahko neodvisno od ukinitve dostopa do elektronskega portala zahtevate od upravljavca osebnih podatkov. Svetujemo vam torej, da vložite zahtevo za dostop do lastnih osebnih podatkov po določbah Splošne uredbe in ZVOP-2, upravljavec pa ima nato največ en mesec časa, da odloči o vaši zahtevi. O morebitni zavrnitvi vaše zahteve lahko na podlagi pritožbe odloča Informacijski pooblaščenec kot nadzorni organ.

Poleg omenjenega ima vsak posameznik tudi pravico do prenosljivosti osebnih podatkov, torej pravico prejeti svoje osebne podatke, ki so jih posredovali upravljavcu, v strukturirani, splošno uporabljani in strojno berljivi obliki, in pravico, da te podatke posreduje drugemu upravljavcu. Prav tako, kadar je to tehnično izvedljivo, ima posameznik pravico zahtevati, da se ti podatki neposredno prenesejo drugemu upravljavcu. Omenimo naj, da se to nanaša le na osebne podatke, ki ste jih posredovali upravljavcu sami.

Obrazložitev

IP ugotavlja, da vam je ponudnik storitve po prekinitvi pogodbe onemogočil neposredni dostop do vaših lastnih osebnih podatkov prek posebnega portala, kjer so vam bili sicer na voljo podatki o preteklih računih. Splošna uredba in ZVOP-2 sicer ne določata obveznosti upravljavca, da mora še naprej po prekinitvi pogodbenega razmerja omogočati enak dostop do osebnih podatkov v smislu denimo neposrednega elektronskega dostopa. Vendar pa imajo posamezniki vedno pravico zahtevati seznanitev z lastnimi osebnimi podatki, ki jih obdeluje upravljavec osebnih podatkov. Ta pravica je opredeljena v 15. členu Splošne uredbe.

Prvi odstavek 15. člena Splošne uredbe tako posamezniku daje pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr.

Glede oblike pridobivanja osebnih podatkov je v tretjem odstavku 15. člena določeno, da upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. Za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju administrativnih stroškov. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana.

Svoje osebne podatke lahko torej neodvisno od ukinitve dostopa do elektronskega portala zahtevate od upravljavca osebnih podatkov, pri čemer si lahko pomagate z neobveznim obrazcem zahteve za dostop do lastnih osebnih podatkov, ki je dosegljiva na spletni strani: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ - obrazec Zahteva za seznanitev z lastnimi osebnimi podatki.

Upravljavec osebnih podatkov ima nato dolžnost, da vam zahtevane osebne podatke in informacije o obdelavi osebnih podatkov zagotovi brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve, ali pa vas obvesti o razlogih za neukrepanje ter o možnosti vložitve pritožbe pri nadzornem organu in možnosti uveljavljanja pravnih sredstev.

Če upravljavec o vaši zahtevi ne odloči v roku enega meseca (kot določa Splošna uredba) ali vašo zahtevo zavrne, se lahko s pritožbo obrnete na Informacijskega pooblaščenca, ki je nadzorni organ, pristojen za obravnavo takšnih pritožb. Tudi za ta primer si lahko pomagate z obrazcem, objavljenim na zgornji povezavi.

Poleg navedenega pa Splošna uredba ureja še eno pravico, ki je lahko relevantna za vaš primer, in sicer pravico do prenosljivosti podatkov iz 20. člena Splošne uredbe. Prvi odstavek navedenega člena namreč določa, da ima posameznik pravico prejeti svoje osebne podatke, ki jih je posredoval upravljavcu, v strukturirani, splošno uporabljani in strojno berljivi obliki, in pravico, da te podatke posreduje drugemu upravljavcu, ne da bi ga upravljavec, ki so mu bili osebni podatki zagotovljeni, pri tem oviral, kadar obdelava osebnih podatkov temelji na privolitvi ali pogodbi in se obdelava izvaja z avtomatiziranimi sredstvi. Pri uresničevanju te pravice ima posameznik pravico, da se osebni podatki neposredno prenesejo od enega upravljavca k drugemu, kadar je to tehnično izvedljivo. Omenimo naj, da se to nanaša le na osebne podatke, ki ste jih posredovali upravljavcu sami.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov