Ozemeljska veljavnost Splošne uredbe

Datum

09.12.2025

Številka

07121-1/2025/1462

Kategorije

Pravica do izbrisa - pozabe, Svetovni splet

Informacijski pooblaščenec (v nadaljevanju: IP) je po elektronski pošti prejel vaše zaprosilo za mnenje. Navajate, da je ponudnik spletnih storitev, ki ima sedež v Združenih arabskih emiratih, v okviru naročene storitve javno objavil vaše ime, priimek, fotografijo in kontaktne podatke. Kasneje ste zahtevali izbris osebnih podatkov z javno dostopne strani, upravljavec pa vam je odgovoril, da bo podatke izbrisal proti plačilu 100 ameriških dolarjev, saj gre za »plačljivo prilagoditev«. Zanima vas, (1) ali se Splošna uredba uporablja, četudi upravljavec nima sedeža v Evropski uniji, (2) ali je zaračunavanje izbrisa osebnih podatkov skladno s Splošno uredbo ter (3) kako vložiti prijavo in katere dokaze priložiti.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Splošna uredba se pod določenimi pogoji uporabljala tudi za upravljavca, ki nima ustanovitve v Evropski uniji, če z obdelavo osebnih podatkov cilja na posameznika v Evropski uniji. Če je to v vašem primeru izpolnjeno, se bo Splošna uredba torej uporabljala, vseeno pa bo lahko njeno izvrševanje oteženo, ker je upravljavec v tretji državi.

Izvrševanje pravice do izbrisa osebnih podatkov mora biti brezplačno, razen če so o zahteve posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali pretirane, zlasti ker se ponavljajo.

Zahtevo za izbris morate najprej vložiti pri upravljavcu, ki vam mora odgovoriti brez nepotrebnega odlašanja, najkasneje pa v enem mesecu. Če upravljavec zahtevo za izbris zavrne ali o njej v predpisanem roku ne odloči, lahko zoper njega vložite pritožbo.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. IP tako ne more presojati zakonitosti obdelave osebnih podatkov, ki jo navajate v vašem zaprosilu za mnenje, niti njihove skladnosti s temeljnimi načeli varstva osebnih podatkov, lahko pa podaja neobvezujoča mnenja in pojasnila.

I.

(konkretno o vaših vprašanjih)

Glede vprašanj, ki ste jih zastavili v vašem zaprosilu, pojasnjujemo:

(1)Ozemeljsko veljavnost Splošne uredbe v primeru, ko osebne podatke posameznika, ki je v EU, obdeluje upravljavec ali obdelovalec, ki nima sedeža v EU, določa člen 3(2) Splošne uredbe. Skladno s to določbo bi se Splošna uredba uporabljala po t. i. »merilu ciljanja« tudi za upravljavca, ki ima sedež v Združenih arabskih emiratih in obdeluje osebne podatke posameznika, ki je v EU in na katerega se nanašajo osebni podatki, <b>če je dejavnost obdelave povezana z nudenjem blaga ali storitev takim posameznikom v EU</b>, ne glede na to, ali je potrebno plačilo posameznika, na katerega se nanašajo osebni podatki, ali s spremljanjem njihovega vedenja, kolikor to poteka v EU.

Vendar pa je treba, da je »merilo ciljanja« izpolnjeno, tudi, da je nudenje blaga ali storitev usmerjeno na osebo v EU. Tako mora ravnanje upravljavca, ki določa sredstva in namene obdelave, dokazovati njegovo namero, da bo ponujal blago ali storitve posamezniku, na katerega se nanašajo osebni podatki in ki je v EU. V vsakem tovrstnem konkretnem primeru je tako treba ugotoviti tudi, ali je jasno, <b>da namerava upravljavec ali obdelovalec nuditi storitve posameznikom, na katere se nanašajo osebni podatki, v eni ali več državah članicah EU</b>.

Pri ugotavljanju izraženega namena upravljavca podatkov, da ponudi blago ali storitve posameznikom, na katere se nanašajo osebni podatki in ki so v EU, se med drugim obravnavajo naslednji dejavniki:

-EU ali vsaj ena država članica je poimensko navedena v povezavi s ponujenim blagom ali storitvijo;

-upravljavec ali obdelovalec podatkov plača upravljavcu iskalnika za storitev internetnega referenciranja, da bi potrošnikom v EU olajšal dostop do svoje spletne strani; ali pa je upravljavec ali obdelovalec začel kampanje trženja in oglaševanja, namenjene naslovnikom v državi EU;

-mednarodna narava določene dejavnosti, kot so nekatere turistične dejavnosti;

-navedba namenskih naslovov ali telefonskih številk, ki so na voljo iz države EU;

-uporaba domenskega imena najvišje ravni, ki ne pripada tretji državi, v kateri je upravljavec ali obdelovalec ustanovljen, na primer „.si“, ali uporaba nevtralnih domenskih imen, kot je „.eu“;

-opis navodil za pot iz ene ali več drugih držav članic EU v kraj opravljanja storitve;

-omemba mednarodnih strank, ki vključujejo stranke s prebivališčem v različnih državah članicah EU, zlasti s predstavitvijo izkušenj takih strank;

-uporaba drugega jezika ali valute kot tiste, ki se na splošno uporablja v državi trgovca, zlasti jezika ali valute ene ali več držav članic EU;

-upravljavec podatkov ponuja dostavo blaga v države članice EU.

Tudi prisotnost več zgoraj naštetih dejavnikov samih po sebi morda ne pomeni jasno izraženega namena upravljavca podatkov, da ponudi blago ali storitve posameznikom, ki so v EU in na katere se nanašajo osebni podatki, vendar je treba vsakega upoštevati pri konkretni analizi, da bi se ugotovilo, ali kombinacija dejavnikov, ki se nanašajo na tržne dejavnosti upravljavca podatkov, lahko skupaj predstavlja nudenje blaga ali storitev takim posameznikom.

Posledično ni podana ozemeljska veljavnost Splošne uredbe, če so blago ali storitve zgolj nenamerno ali naključno zagotovljene osebi na ozemlju EU. Zgolj dostopnost spletne strani upravljavca, obdelovalca ali posrednika v EU sama po sebi ne pomeni zadostnega dokaza, da namerava upravljavec ali obdelovalec nuditi blago ali storitve posameznikom, na katere se nanašajo osebni podatki, v EU.

Torej, če za upravljavca, ki ima sedež v Združenih arabskih emiratih, veljajo navedeni pogoji iz člena 3(2) Splošne uredbe (oziroma drugega odstavka 4. člena ZVOP-2), potem je podana ozemeljska veljavnost Splošne uredbe oziroma ZVOP-2.

(2)Ne, upravljavec ne sme zaračunavati izbrisa osebnih podatkov v smislu izvrševanja pravice do izbrisa po členu 17 Splošne uredbe.

Skladno s členom 12(5) Splošne uredbe se namreč informacije, zagotovljene na podlagi členov 13 in 14, ter vsa sporočila in ukrepi, sprejeti na podlagi členov 15 do 22 in 34, zagotovijo brezplačno, razen če so zahteve posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali pretirane, zlasti ker se ponavljajo.

(3)Pojasnjujemo, da morate pravico do izbrisa osebnih podatkov najprej uveljavljati neposredno pri upravljavcu. Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja. Če upravljavec vašo zahtevo za izbris zavrne ali o njej v predpisanem roku (tj. v enem mesecu po prejemu zahteve, ki pa se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev) ne odloči, lahko vložite pritožbo zoper upravljavca na podlagi 30. člena ZVOP-2, s čimer se zagotavlja tudi pravica do pritožbe po členu 77 Splošne uredbe. Pritožbo naslovite na nadzorni organ za varstvo osebnih podatkov; v Sloveniji je to IP.

Obrazec za vložitev pritožbe ni predpisan. Mora pa pritožba, kot vsaka vloga, obsegati vse, kar je treba, da se jo lahko obravnava. Če boste pritožbo vložili, vam priporočamo uporabo enotne vloge zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava), ki je dostopna na spletni strani https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Glede ustreznosti morebitnih prilog in dokazil pa vam, v načelnem mnenju, podrobnejšega odgovora ne moremo podati.

Več o pravici do izbrisa glede podatkov na spletu in čezmejnih primerih si lahko preberete tudi v naših mnenjih, npr. št. 07121-1/2023/875 z dne 28. 6. 2023, št. 07121-1/2025/593 z dne 15. 5. 2025, št. 07121-1/2021/2477 z dne 14. 12. 2021, št. 07121-1/2024/1183 z dne 7. 10. 2024, št. 07121-1/2020/1077 z dne 15. 6. 2020 in št. 07121-1/2022/766 z dne 8. 7. 2022, oziroma drugih mnenjih, ki so dostopna na spletnem mestu https://www.ip-rs.si/mnenja-zvop-2/.

II.

(dodatne možnosti)

Oziraje se na vašo navedbo, da ima upravljavec sedež v Združenih arabskih emiratih, pojasnjujemo, da ima IP proti upravljavcu, ustanovljenemu izven EU, četudi bi zanj veljala Splošna uredba, žal zelo omejene možnosti ukrepanja, zaradi česar bi vam lahko praktično le stežka pomagal pri uveljavljanju pravic, na primer pravice do izbrisa osebnih podatkov.

Dodatno bi vam svetovali, da se morebiti obrnete na nadzorne organe v državi, kjer ima upravljavec podatkov sedež, da poizveste, ali bi lahko uveljavljali kakšne pravice v zvezi s konkretnim primerom na podlagi njihove nacionalne zakonodaje.

Če upravljavec vaši zahtevi ne bi ugodil, pa dodajamo, da se lahko zahteva za izbris iz rezultatov iskanja naslovi tudi na spletni iskalnik, npr. na Google. Če so izpolnjeni pogoji v smislu člena 17 Splošne uredbe, mora upravljavec posameznega iskalnika s seznama zadetkov, ki se prikažejo po iskanju, opravljenem na podlagi imena osebe, odstraniti povezave na spletne strani, ki jih objavijo tretje osebe in vsebujejo informacije, ki se nanašajo na to osebo, tudi če to ime ali te informacije niso predhodno ali sočasno izbrisane s teh spletnih strani. Pri tem je treba pojasniti, da lahko upravljavec posameznega iskalnika izbriše zgolj zadetke iskanja vašega imena, ne more pa izbrisati dejanskih vsebin na spletni strani.

Več informacij o odstranitvi iz Google zadetkov lahko preberete na: https://tiodlocas.si/top-nasveti/kako-se-odstranite-iz-google-zadetkov/ in na strani https://support.google.com/legal/answer/10769224?hl=sl.

Lepo vas pozdravljamo.

Pripravil

David Bertalanič, mag. prav. raziskovalec pooblaščenca

dr. Jelena Virant Burnik, informacijska pooblaščenka

---

[1]Glej tudi Evropski odbor za varstvo podatkov, Smernice št. 3/2018 o ozemeljski veljavnosti Splošne uredbe o varstvu podatkov (člen 3) (2019) str. 13–22; dostopne na: https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_3_2018_territorial_scope_after_consultation_sl.pdf