Jedro

Iz pritožbe zoper izhaja, da je bila pritožba vložena zoper celoten prvostopenjski akt. Iz pritožbe ne izhaja, da bi prosilec vložil pritožbo izključno zoper odločitev v zvezi s 6. točko njegovega zahtevka.

Če je tožena stranka štela, da so pritožbeni očitki glede 1 do 5. točke zahtevka neutemeljeni, kot pravi v odgovoru na tožbo, bi o tem morala odločati v izreku odločbe po tem, ko bi stranki dala možnost, da se o tem izreče, ne pa da je odločala zgolj o 6. točki iz obrazložitve pritožbe.

Izrek

I. Tožbi se ugodi, izpodbijana odločba Informacijske pooblaščenke št.0710-100/2018/3 z dne 21. 12. 2018 se odpravi in se zadeva vrne Informacijski pooblaščenki v ponovni postopek.

II. Tožena stranka je dolžna tožeči stranki povrniti stroške tega postopka v znesku 347,70 EUR v roku 15 dni od vročitve te sodbe od poteka tega roka dalje do plačila z zakonitimi zamudnimi obrestmi.

Obrazložitev

1. Z izpodbijanim aktom je Informacijska pooblaščenka kot neutemeljeno zavrnila pritožbo prosilca A. A. zoper 6. točko obvestila št. 071-223/2018/2 (285-14) upravljavca evidenc, in sicer zoper Ministrstvo za notranje zadeve (Policija, Štefanova 2, Ljubljana).

2. V obrazložitvi izpodbijanega akta Informacijska pooblaščenka (v nadaljevanju: IP) pravi, da je prosilec dne 16. 10. 2018 po pooblaščencu podal pri upravljavcu zahtevo za seznanitev z lastnimi osebnimi podatki iz evidenc policije. Od upravljavca je zahteval: da potrdi, ali se podatki v zvezi z njim obdelujejo ali ne, ter mu (v kolikor bo to naknadno zahteval) omogoči vpogled v osebne podatke, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj, ter njihovo prepisovanje ali kopiranje; da mu posreduje seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen; da mu posreduje informacijo o virih, na katerih temeljijo zapisi, ki jih o njem vsebuje zbirka osebnih podatkov, in o metodi obdelave; da mu posreduje informacije o namenu obdelave in vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem; da mu posreduje informacije o tem, ali je bilo od 14. 5. 2018 do vključno 20. 8. 2018 vpogledano v evidence osebnih podatkov, ki jih vodi upravljavec zanj, in če je bilo, na podlagi katerega iskalnega ključa oziroma termina, od kod je bilo vpogledano, kdaj in s kakšnim namenom; ob tem je izrecno prosil za podatke o vseh opravljenih vpogledih v navedenem časovnem obdobju.

3. Tožena stranka pravi, da je upravljavec o tej zahtevi odločil dne 12. 11. 2018 z obvestilom št. 071-223/2018/2 (285-14) ter prosilcu posredoval izpis podatkov z zahtevanimi pojasnili o obdelavi podatkov iz točk zahteve od 1 do 5. Prosilčevo zahtevo pa je upravljavec zavrnil v delu, ki se nanaša na vpoglede v evidence policije od 14. 5. 2018 do vključno 20. 8. 2018 (6. točka obvestila). Utemeljil je, da se zahteva v tem delu nanaša na obdelavo podatkov s strani upravljavca (zaposlenih pri upravljavcu), kar pa presega pravico posameznika do seznanitve z osebnimi podatki.

4. Tožena stranka nato v izpodbijanem aktu navaja, da je prosilec dne 30. 11. 2018 zoper obvestilo upravljavca št. 071-197/2018/5 (285-14) vložil pritožbo. Glede na to, da je upravljavec v točkah 1. do 5. tega obvestila prosilčevi zahtevi ugodil, prosilec pa zoper te dele obvestila ni navedel pritožbenih razlogov, IP šteje, da se je prosilec pritožil le zoper 6. točko obvestila upravljavca. Pojasnil je, da »goli« podatki o tem, kolikokrat in kdaj v določenem obdobju so bili osebni podatki posameznika obdelani, ne omogočajo preverjanja zakonitosti te obdelave, ki je v domeni IP. Zato prosilec meni, da bi mu moral upravljavec posredovati najmanj te podatke (torej, ali je v določenem obdobju prišlo do obdelave in kdaj). Upravljavec pa v izpisu ni posredoval niti podatka o tem, ali so se v specificiranem obdobju podatki obdelovali z neposrednimi vpogledi, in če so se, kdaj. Prosilec je opozoril še, da je upravljavec pri izpisu osebnih podatkov spregledal, da je njegov pooblaščenec podal zahtevo za podatke, ki jih potrebuje za učinkovito obrambo prosilca v konkretnem kazenskem postopku, tudi na podlagi 10. člena Zakona o odvetništvu. Pojasnil je, da je pooblaščencu na tej pravni podlagi upravljavec dolžan posredovati vse zahtevane podatke, najmanj pa podatke, ali so se v določenem obdobju podatki obdelovali ali ne in če so se, kdaj.

5. Upravljavec je v dopisu št. 071-223/2018/4 (285-14) z dne 4. 12. 2018, s katerim je odstopil pritožbo v reševanje IP, pojasnil, da je vsebinsko odgovoril na vsa zastavljena vprašanja iz zahtevka, glede odgovora na 6. zahtevo pa vztraja pri že navedenem stališču. 6. Pri uresničevanju pravice do seznanitve z osebnimi podatki, ki jih obdelujejo javni organi, ki so pristojni za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj, drugi organi ali subjekti, ki v skladu s slovenskimi predpisi lahko opravljajo javne funkcije ali izvajajo javna pooblastila za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj, med katere sodi tudi upravljavec, se ne uporabljajo pravila po Uredbi (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), temveč pravila, ki so veljala že pred začetkom uporabe Splošne uredbe. Zato je IP pri uporabi materialnega prava upošteval določbe ZVOP-1. 7. IP ugotavlja, da prosilec v konkretnem primeru ni upravičen do informacij o opravljenih vpogledih znotraj upravljavca v časovnem obdobju od 14. 5. 2018 do vključno 20. 8. 2018. Razlog je v tem, da so po 8. točki 6. člena ZVOP-1 uporabniki osebnih podatkov le fizične ali pravne osebe ali druge osebe javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. To so torej osebe izven organizacijske strukture upravljavca (zunanje fizične ali pravne osebe), ki imajo praviloma na voljo ustrezno pravno podlago, da se jim posredujejo osebni podatki za določen lastni namen (torej ne upravljavčev namen). Podatki o teh osebah so podatki v zvezi s t.i. zunanjo sledljivostjo obdelave podatkov, katere beleženje od upravljavca med drugim zahteva 24. člen ZVOP-1. Ni pa posameznik upravičen do podatkov o t.i. notranji sledljivosti. Navedeno potrjujejo tudi mnenja IP št. 0712- 724/2008/2, št. 0712-1/2014/2773 in št. 0712-1/2014/3051. Stališče IP se glede tega vprašanja ni spremenilo. Glede na navedeno ZVOP-1 v 30. členu posamezniku ne daje pravice do seznanitve s podatki o tem, kdo, zakaj in kdaj je kot zaposleni pri oziroma znotraj upravljavca dostopal do prosilčevih osebnih podatkov. To velja ne glede na to, kakšen je bil namen (razlog) vpogleda ter podlaga za vpogled ter celo, če podlage za vpogled v posameznem primeru sploh ni bilo.

8. IP ne zanika pravice prosilca do pridobitve informacij o tem, ali se podatki obdelujejo ali ne. Toda tudi ta pritožbena navedba ni utemeljena. Posameznik je namreč do te informacije upravičen, a le, če jo posebej zahteva, ker ta informacija ni nadomestek ali alternativa, če je zahtevek za pridobitev notranje sledljivosti zavrnjen. Poleg tega je treba to pravico, ki je urejena v isti določbi kot seznanitev s podatki, tj. v 2. točki prvega ostavka 30. člena ZVOP-1, razumeti kot pravico do osnovnega pojasnila o tem, ali se podatki sploh obdelujejo ali ne. In če je odgovor pritrdilen, je posameznik upravičen tudi do seznanitve s temi osebnimi podatki, če to posebej zahteva. »Obdelava« v skladu s 6. členom ZVOP-1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani, ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje. Zato je prosilec od upravljavca že prejel pritrdilno in s tem ugodilno informacijo o tem, da se njegovi podatki obdelujejo, saj je prejel potrditev in izpis obdelovanih podatkov s 1. in 2. točko izpodbijanega obvestila. Pravico vedeti, ali se podatki obdelujejo, lahko posameznik uveljavlja samostojno ali pa prek pravice do seznanitve. V slednjem primeru je torej pravica vedeti, ali se podatki obdelujejo, že vključena oziroma je že nujni sestavni del realizirane pravice do seznanitve. Poleg tega je pravica vedeti, ali se osebni podatki obdelujejo, po vsebini ozka, saj je namenjena le razrešitvi osnovnega vprašanja o obstoju kakršnekoli obdelave, ker posamezniki včasih tega sploh ne vedo. Podrobnejše informacije pa posameznik, če to želi, pridobi v naslednji fazi z uveljavljanjem pravice do seznanitve s konkretnimi podatki ter pravice do pridobitve dodatnih informacij. Zato upravljavec pri izpolnitvi zahteve za pridobitev informacije, ali se osebni podatki obdelujejo, ni dolžan pojasnjevati, kako, kdaj in kateri podatki se obdelujejo, dovolj je gola potrditev ali zanikanje tega dejstva.

9. IP ugotavlja, da upravljavec z izpodbijanim obvestilom ni izrecno presojal podane zahteve po 10. členu ZOdv. Pojasnjuje pa, da ta določba ureja samostojno in izvirno pravico odvetnika do pridobitve osebnih podatkov, ki se nanašajo na tretje osebe od taksativno naštetih kategorij upravljavcev osebnih podatkov, kar pomeni, da sploh ne gre za pravico prosilca. Zato upravljavec v okviru prosilčeve zahteve za seznanitev z lastnimi osebnimi podatki te zahteve, ki jo upravičeno lahko poda le odvetnik, ni bil dolžan presojati. Ob tem IP še pripominja, da je po 2. členu ZlnfP možno vložiti pritožbo le zoper obvestilo iz 31. člena ZVOP-1. Zoper odločitve, ki so sprejete na podlagi 22. člena ZVOP-1 v povezavi s področnimi podlagami za pridobitev osebnih podatkov (v tem primeru je to 10. člen ZOdv) pa pritožba na tej podlagi ni možna, ker je predpisi ne predvidevajo, kar pomeni, da je taka pritožba nedovoljena v smislu ZUP.

10. Na tej podlagi je organ pritožbo zavrnil kot neutemeljeno.

11. V tožbi tožnik pravi, da naj Upravno sodišče RS izpodbijano odločbo odpravi in samo odloči v tej upravni zadevi, tako da ugodi zahtevi stranke in naloži upravljavcu osebnih podatkov posredovanje podatkov, ki so našteti v 6 točkah, in sicer: (1) naj odgovori, ali se podatki obdelujejo ter naj omogoči vpogled v te podatke; (2)zahteva izpis osebnih podatkov, ki se nanašajo nanj; (3) zahteva seznam uporabnikov, katerim so bili podatki posredovani, kdaj in na kakšni podlagi ter za kakšne namen; (4) naj navede vire, na katerih temeljijo zapisi, in metode obdelave; (5) zahteva vsa potrebna pojasnila v zvezi z namenom obdelave in vrsto osebnih podatkov; (6) če je bilo od 14. 5. 2018 do 20. 8. 2018 vpogledano v njegove evidence, zahteva podatek, na podlagi katerega iskalnega ključa oziroma termina, od kod je bilo vpogledano, kdaj, s kakšnim namenom, pri čemer je zahteval podatke o vseh opravljenih vpogledih.

12. Podrejeno predlaga, da sodišče izpodbijano odločbo odpravi in zadevo vrne v ponovno odločanje ter naloži plačilo vseh stroškov tega postopka.

13. Na podlagi 15. člena Uredbe je posameznik upravičen najmanj do podatka, ali se njegovi osebni podatki obdelujejo ali ne in če se, s kakšnim namenom. V primeru evidenc policije je oblika obdelovanja neposredni vpogled, kot je to upravljavec tudi eksplicitno navedel na drugi strani odgovora z dne 17.9.2018 na prvo zahtevo tožeče stranke.

14. “Goli” podatek, kolikokrat in kdaj v določenem obdobju so bili osebni podatki posameznika obdelani, ne predstavljajo preverjanja zakonitosti te obdelave, ki je v domeni IP. Najmanj te podatke bi upravljavec moral posredovati. Tudi če upravljavec zastopa stališče, da ni dolžan posredovati imena in priimka osebe, zaposlene pri upravljavcu, ki je v evidence vpogledala, je nedvomno dolžan posredovati podatek, ali je v določenem obdobju do obdelave prišlo in če je kdaj. Teh podatkov ni moč šteti za preverjanje zakonitosti samega vpogleda, kot bi to lahko rekli za podatke o osebah, ki so vpogledale, namenu vpogleda, uporabljenem iskalnem ključu itd. Upravljavec pa, kot to izhaja iz izpisa, tožeči stranki, ni posredoval niti podatka o tem, ali so se v specificiranem obdobju podatki obdelovali z neposrednimi vpogledi in če so se, kdaj.

15. Dodatno pa je upravljavec pri svojem izpisu v celoti spregledal, da je B., o.p., d.o.o. zahtevo za podatke podala tudi na podlagi 10.člena Zakona. Gre torej za specifično pravno podlago posredovanja zahtevanih podatkov iz evidence osebnih podatkov, kadar jih odvetnik potrebuje za posamično zadevo.

16. V obravnavani zadevi je bilo upravljavcu eksplicitno pojasnjeno, da zoper A. A. teče kazenski postopek, v katerem ga zagovarjajo odvetniki B., o.p., d.o.o. Zaprošeni podatki, ki se nanašajo nanj, so bistvenega pomena za možnost priprave učinkovite obrambe, do katere ima obdolženi pravico na podlagi 29. člena Ustave RS. Tožeča stranka meni, da mu je na navedeni pravni podlagi upravljavec dolžan posredovati vse zahtevane podatke, najmanj pa podatke o tem, ali so se podatki v določenem obdobju obdelovali, ali ne, in če so se, kdaj. Zgolj tako je odvetniku omogočena priprava obrambe in argumentirano podajanje dokaznih predlogov sodišču. 17. Pravi tudi, da je odločitev nezakonita, saj je obremenjena s kršitvami določb Zakona o splošnem upravnem postopku oziroma Ustave RS, zlasti pravice stranke do pravnega sredstva (25. člen Ustave RS) in pravice do izjave v postopku (22. člen Ustave RS) ter nepravilno uporabo materialnega prava. Tožeča stranka v prvi vrsti opozarja, da se IP v izpodbijani odločbi sploh ni vsebinsko odločila o pritožbi tožeče stranke. IP je namreč popolnoma prezrla, da stranka ni zahtevala zgolj podatkov o opravljenih vpogledih znotraj upravljavca v obdobju od 14. 5. 2018 do 20. 8. 2018 (kar je bilo zahtevano v okviru točke 6.), temveč tudi podatke iz prvih petih točk. 18. O pritožbi tožeče stranke v zvezi s tem delom zahtevka torej IP sploh ni odločila, zaradi česar je očitno, da je izpodbijana pritožba že v posledici te kršitve nezakonita. Na tem mestu tožeča stranka tudi opozarja, da je IP s takšnim postopanjem tudi grobo kršila njeno ustavno pravico do pravnega sredstva (25. člen Ustave RS), prav tako pa tudi pravico do izjave v postopku (22. člen Ustave RS), saj se do njenih pritožbenih navedb, podanih v tej smeri sploh ni opredelila.

19. Pri tem pa je potrebno opozoriti, da je že iz zahteve stranke jasno razvidno, da slednja uveljavlja prav ti pravici, se pravi pravico do seznanitve s konkretnimi podatki oziroma pravico do pridobitve dodatnih informacij, konkretno informacij, kot so konkretizirano navedene v tenorju te tožbe. Tožeča stranka je v predmetnem postopku, kot je razvidno iz vseh njenih vlog, zahtevala tako pridobitev podatka o tem, ali se določeni in konkretni podatki o njej zbirajo, kot tudi, kateri konkretni podatki so se v zvezi z njo zbirali. Ne glede na navedeno, pa je IP ta aspekt uveljavljanja pravice stranke po ZVOP-1 popolnoma spregledala.

20. Glede nepravilne uporabe materialnega prava pa tožeča stranka pravi, da ne obstaja nikakršen pravno utemeljen razlog za to, da bi kdorkoli ločeval med »notranjo« in »zunanjo« sledljivostjo obdelavo podatkov. Dejstvo je namreč, da upravljavec osebnih podatkov le-te obdeluje, zaradi česar je upravičenec upravičen pridobiti podatke o tem, kateri podatki se o njem zbirajo oziroma na kakšen način se zbirajo.

21. Tožeča stranka pri tem opozarja na določilo 1. odstavek 30. člena ZVOP-1 in da mora upravljavec osebnih podatkov posamezniku na njegovo zahtevo dati med drugim tudi (izmed sedmih navedeneih točk v tožbi) informacijo o virih, na katerih temeljijo zapisi, ki jih o posamezniku vsebuje zbirka osebnih podatkov, in o metodi obdelave; dati mu mora informacije o namenu obdelave in vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem (peta in šesta točka).

22. Glede na navedeno torej ne obstaja nikakršen razlog za stališče IP, da stranka nima pravice do podatka o tem, kdo, zakaj in kdaj je znotraj upravljavca dostopal do njegovih osebnih podatkov. Dikcija 30. člena ZVOP-1 je torej do te mere jasna, da nikakor ne omogoča nikakršne dodatne interpretacije (in claris non fit interpretatio), še toliko manj pa je mogoča interpretacija v škodo prosilca.

23. Tožeča stranka pa pri tem ponovno opozarja na to, da je pravico osebe, da se seznani s podatki, ki jih o njej vodijo zbiralci osebnih podatkov, nujno potrebno presojati tudi ob upoštevanju pravice do učinkovite obrambe, do katere ima obdolženi pravico na podlagi 29. člena Ustave RS.

24. V odgovoru na tožbo tožena stranka pravi, da je upravljavec o zahtevi tožeče stranke odločil dne 12. 11. 2018 z obvestilom št. 071-223/2018/2 (285-14), naslovljenim »izpis osebnih podatkov in pojasnilo«, s katerim je tožeči stranki podal odgovor po točkah njene zahteve za seznanitev. Iz obvestila jasno izhaja, da je upravljavec v točkah 1. do 5. tega obvestila zahtevi tožeče stranke iz 1. do 5. točke ugodil, saj ji je v tem delu posredoval izpis podatkov z zahtevanimi pojasnili o obdelavi podatkov, zahtevo tožeče stranke pa je zavrnil le v delu, ki se nanaša na vpoglede v evidence policije (ali je bilo vpogledano in če je bilo, na podlagi katerega iskalnega ključa oziroma termina, od kod je bilo vpogledano, kdaj in s kakšnim namenom), torej v 6. točki obvestila. Tudi upravljavec je v dopisu z dne 4. 12. 2018 pojasnil, da je vsebinsko odgovoril na vsa zastavljena vprašanja iz zahtevka, glede odgovora na 6. zahtevo pa je vztrajal na že navedenem stališču. 25. Tožena stranka zato poudarja, da nikakor ne držijo pavšalne navedbe tožeče stranke, da je upravljavec na njeno zahtevo z obvestilom št. 071-223/2018/2 (285-14) odgovoril »s stališčem, da ne obstaja obveznost policije, da bi te osebne podatke, ki se nanašajo na tožečo stranko razkrila.« Upravljavec je namreč zahtevi delno, v točkah 1. do 5., ugodil, zavrnil pa jo je le v 6. točki spornega obvestila. Iz zmotnega razumevanja odločitve upravljavca, kot da je v celoti zavrnil zahtevo tožeče stranke za seznanitev z lastnimi osebnimi podatki, tako izhajajo neutemeljeni pritožbeni očitki tožeče stranke o bistvenih kršitvah postopka.

26. Tožena stranka glede odločitve upravljavca v 1. do 5. točki obvestila ni navedla nobenih pritožbenih razlogov. V pritožbi je tožeča stranka sicer izpostavila svoje stališče, da je upravičena najmanj do podatka, ali se njeni osebni podatki obdelujejo ali ne, in če se, s kakšnim namenom, odgovor na to vprašanje pa je prejela v 1. ter v 5. točki spornega obvestila upravljavca. Tožeča stranka je v pritožbi nadalje izpostavila, da ji upravljavec v izpisu ni posredoval podatka o tem, ali so se v specificiranem obdobju podatki obdelovali z neposrednimi vpolgedi. Ta pritožbena navedba pa se nanaša izključno na odločitev upravljavca v 6. točki obvestila, torej na podatke o (vseh) neposrednih vpogledih zaposlenih. V zvezi s tem je tožeči stranki že upravljavec pojasnil, da ni upravičena do podatkov o t.i. notranji sledljivosti, čemur je tožena stranka v izpodbijani odločbi pritrdila ter dodatno obrazložila.

27. Pritožbenih razlogov, ki bi se nanašali na odločitev upravljavca v 1. do 5. točki obvestila, tožeča stranka torej v pritožbi, ki jo je obravnavala tožena stranka v postopku št. 0710-100/2018, ni navedla. Ker je strankin pravni interes opredeljen z zahtevo za izdajo ugodilne odločbe, pa tožeča stranka za pritožbo zoper 1. do 5. točko obvestila upravljavca tudi ni imela pravnega interesa. Iz tega razloga je tožena stranka v izpodbijani odločbi izrecno navedla, da šteje, da se tožeča stranka pritožuje zgolj zoper 6. točko obvestila upravljavca, s katero je upravljavec njeno zahtevo zavrnil v delu, ki se nanaša na podatke v zvezi z neposrednimi vpogledi.

28. Po določbi 247. člena ZUP organ druge stopnje preizkusi odločbo v mejah pritožbenih navedb, po uradni dolžnosti pa preizkusi, ali ni prišlo v postopku na prvi stopnji do bistvenih kršitev postopka in ali ni bil prekršen materialni zakon. Pravilo je, da je obseg pritožbenega izpodbijanja omejen s pravovarstvenim interesom oziroma pritožbeno potrebo. V primerih, da vlaga pritožbo stranka, ki v določenem delu ni uspela, v pritožbi pa navede, da se pritožuje zoper odločbo - kar bi lahko pomenilo, da se pritožuje zoper celotno odločbo, torej tudi zoper del, v katerem je zmagala - ni narobe, če drugostopenjski organ šteje, da pritožnik izpodbija odločbo le v delu, v katerem ni zmagal, in pritožbe glede »presežka« ne zavrže. Tako je ravnala tožena stranka tudi v obravnavani zadevi in skladno z zgoraj opisnim štela, da se je tožeča stranka pritožila le zoper 6. točko obvestila upravljavca. Zato so tožbene navedbe, da tožena stranka ni odločila o delu pritožbe oziroma da se ni opredelila do vseh pritožbenih navedb, neutemeljene.

29. ZVOP-1 v 4. točki prvega odstavka 30. člena določa, da je upravljavec dolžan posamezniku na njegovo zahtevo posredovati seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen. S tem pa se zagotavlja sledljivost podatkov, ki je podrobneje urejena v tretjem odstavku 22. člena ZVOP- 1. Po tej določbi mora namreč upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Določba 30. člena ZVOP-1 pa tožeči stranki ne omogoča vpogleda v evidenco obdelav osebnih podatkov s strani pooblaščenih oseb znotraj upravljavca, torej s strani zaposlenih. Po določbi 5. točke prvega odstavka 24. člena ZVOP-1 je upravljavec sicer dolžan omogočiti poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov (t.i. notranja sledljivost), vendar gre v takšnem primeru za enega od ukrepov za zavarovanje osebnih podatkov, s katerim upravljavec preprečuje nepooblaščeno obdelavo osebnih podatkov.

30. Izvajanje notranje sledljivost in utemeljenosti obdelave osebnih podatkov znotraj upravljavca pa tožena stranka po ustaljeni praksi nadzira v okviru rednih preventivnih inšpekcijskih pregledov ali v primeru prijave, iz katere izhaja domneva nezakonite obdelave osebnih podatkov posameznika.

31. V pripravljalni vlogi tožeča stranka ponovno poudarja, da so bili podatki glede navedenih točk posredovani le delno. Predvsem v 2. točki izpisa, tožeči stranki niso bili posredovani vsi podatki, v 5. točki izpisa glede namena obdelave podatkov in vrste osebnih podatkov, pa so bile posredovane le teoretične delitve obdelave podatkov oziroma seznam podatkov, ki jih policija zbira, namesto konkretnih osebni podatkov tožeče stranke. Posledično je stranka s tem pridobila le del podatkov, zahtevanih v točkah od 1 do 5, namesto vseh zahtevanih podatkov. Zato je tožeča stranka posredovanje vseh podatkov, vključno z zahtevo, ki je v tožbi z dne 4. 2. 2019 označena s točko 6, ponovno predlagala v predlogu znotraj pritožbe naslovljene na IP z dne 30. 11. 2018. Ravno glede ključnih podatkov, ki jih stranka potrebuje za pripravo obrambe v kazenskem postopku, je izpis zavrnilen (6. točka), ostali podatki (od 1. do 5. točke), pa kljub na videz vsebinsko ugodnem značaju, z izpisom niso bili v celoti posredovani.

32. IP je s svojo nezakonito odločitvijo kršil določbo 3. točke 2. odstavka 237. člena Zakona o splošnem upravnem postopku, saj tožeči stranki v postopku ni bila omogočena izjava o dejstvih in okoliščinah, ki so pomembni za izdajo odločbe. Izpodbijana odločba pa je posledično nezakonita.

33. V zvezi s trditvijo tožene stranke, da »ni narobe, če organ šteje, da pritožnik izpodbija odločbo le v delu v katerem ni zmagal«, je potrebno poudariti, da je bilo to v konkretnem primeru vsekakor nezakonito, saj je tožeča stranka v predlogu natančno navedla svoje zahteve, tožena stranka pa je to spregledala in vsebinsko odločila le v delu, ki se ji je zdel za tožečo stranko neugoden, namesto da bi odločila o vsem, kar je stranka v predlogu navedla in je zanjo dejansko neugodno. Ker je stranka v izpisu pridobila le delne informacije, želela pa je vse podatke A. A., vodene v kateri koli policijski evidenci, ne le posredovanih, je z namenom, da bi IP odločil o vseh točkah, v predlogu v pritožbi zoper izpis s tem namenom vse točke ponovno navedla. Pravi, da mu je bila kršena pravica iz 30. člena Zakona o varstvu osebnih podatkov (v nadaljevanju: ZVOP-1) v zvezi z 31. členom ZVOP-1 in pravice iz 127. člena ZNPPol v zvezi s 125. ter 123. členom ZNPPol. Pravice iz citiranega ZNPPol tožeči stranki niso bile omogočene, saj iz navedenih evidenc ni prejela vseh zahtevanih lastnih osebnih podatkov, kot je to pravilno zahtevala. Prav tako pa so bile tožeči stranki v postopku kršene tudi pravice iz Ustave RS, zlasti pravice stranke do pravnega sredstva (25. člen Ustave RS) in pravica do izjave v postopku (22. člen Ustave RS) ter pravica do možnosti priprave obrambe v kazenskem postopku (29. členu Ustave RS).

34. V skladu z 29. členom Ustave RS mora biti v kazenskem postopku vsakomur, ki je obdolžen kaznivega dejanja, med drugim ob popolni enakopravnosti med drugim zagotovljen tudi čas in možnost za pripravo svoje obrambe. Navedena ustavna pravica pa je tožeči stranki kršena, zaradi nezakonitega ravnanja upravljavca ter IP. Tožeča stranka posledično izgublja dragocen čas za pripravo svoje obrambe, ker se že več mesecev ukvarja s pridobivanjem lastnih osebnih podatkov, ki bi ji morali biti posredovani že, ko je to prvič zahtevala. Istočasno pa se stranki z zavlačevanjem posredovanja navedenih lastnih osebnih podatkov jemlje tudi možnost priprave svoje obrambe.

35. Pravico do pridobitve lastnih osebnih podatkov pa ima tožeča stranka tudi na podlagi prava EU, in sicer na podlagi Direktive (EU) 2016/680 z dne 27. aprila 2016, o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ (v nadaljevanju: Direktiva), ki v 1. točki (e) 13. člena državam članicam nalaga naj določijo, da upravljavec posamezniku, na katerega se nanašajo osebni podatki, dajo na voljo vsaj informacije o pravici, da od upravljavca zahtevajo dostop do osebnih podatkov in popravek ali izbris osebnih podatkov in omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se ti podatki nanašajo. V skladu z načelom lojalne razlage prava EU bi se morala v skladu z besedilom in namenom določbe navedene Direktive razlagati tudi slovenska zakonodaja. Obveznost lojalne razlage se ne nanaša le na sodišča, ampak na vse državne organe in na nacionalno pravo kot celoto ter nastopi s potekom roka za implementacijo direktive. Iz 1. točke 63. člena navedene direktive izhaja, da države članice zadevne predpise uporabljajo od 6. maja 2018. 36. Tožeča stranka na tej točki ponovno opozarja, da je nujno potrebno pravico osebe do seznanitve s podatki, ki jih o njej vodijo zbiralci osebnih podatkov, presojati ob upoštevanju pravice do učinkovite obrambe, do katere ima tožeča stranka, kot obdolženec v kazenskem postopku pravico na podlagi 29. člena Ustave RS.

37. V zahtevi za seznanitev z osebnimi podatki iz evidence policije je bilo na koncu navedeno, naj se odgovor na zahtevo posreduje pooblaščencem - zagovornikom. Iz zahteve je torej jasno, da te podatke zahtevajo zagovorniki v lastnem imenu v skladu z 10. členom ZOdv. Navedbe v odločbi IPz dne 21. 12. 2018 glede tega, da bi moral za seznanitev z osebnimi podatki po 10. členu ZOdv zahtevo podati sam odvetnik, ne pa tožeča stranka, so tako neutemeljene.

38. Potrebno je poudariti, da se ob kršitvi pravice tožeče stranke do možnosti priprave obrambe v kazenskem postopku po 29. členu Ustave RS, obenem krši tudi pravica opravljanja odvetniškega poklica zagovornikom, saj so pri opravljanju svojega poklica v konkretnem primeru močno omejeni na podlagi nezakonite odločbe IP in posledično oviranem dostopu do nujno potrebnih osebnih podatkov stranke. Posledično je zagovornikom resno onemogočeno izvajanje 2. člena ZOdv, ki v 1. odstavku določa, da odvetnik v okviru opravljanja odvetniškega poklica pravno svetuje, zastopa in zagovarja stranke pred sodišči in drugimi državnimi organi, sestavlja listine in zastopa stranke v njihovih pravnih razmerjih.

Obrazložitev k prvi točki izreka:

39. Tožba je utemeljena.

40. Iz pritožbe zoper prvostopenjski akt, ki je izpis MNZ, Policija št. 071-22372018/2 (285-149) z dne 12. 11. 2018, povsem nedvoumno izhaja, da je bila pritožba zoper prvostopenjski akt vložena zoper celoten prvostopenjski akt. Iz pritožbe ne izhaja, da bi prosilec vložil pritožbo izključno zoper odločitev v zvezi s 6. točko njegovega zahtevka na strani 2 pritožbe, kjer v šestih točkah opredeljuje, katere podatke zahteva. V petem odstavku na strani 3 pritožbe je navedeno, da je policija na zahtevo odgovorila s stališčem, da ne obstaja obveznost policije, da bi te osebne podatke, ki se nanašajo na stranko, razkrila. Tudi nadaljevanje pritožbe se nanaša na vseh 6 točk iz pritožbe na prvi strani pritožbe in ne zgolj na 6. točko zahtevka.

41. Dejstvo, da je MNZ ob odstopu pritožbe v reševanje IP v vlogi z dne 4. 12. 2018, navedel, da je policija „vsebinsko odgovorila na vsa zastavljena vprašanja zahtevka, a da pod vsebino odgovora na 6. zahtevo ostaja pri navedenem stališču,“ ne more biti podlaga za to, da je tožena stranka v izreku odločala zgolj o pritožbi zoper 6. točko obvestila upravljavca št. 071-223/2018/2 (285-14) z dne 12. 11. 2018 oziroma bi morala za takšen izrek izpodbijanega akta predhodno s prosilcem nedvoumno razčistiti obseg pritožbe. Če je tožena stranka štela, da so pritožbeni očitki glede 1 do 5. točke zahtevka neutemeljeni, kot pravi v odgovoru na tožbo, bi o tem morala odločati v izreku odločbe po tem, ko bi stranki dala možnost, da se o tem izreče, ne pa da je odločala zgolj o 6. točki iz obrazložitve pritožbe. Določba prvega odstavka 247. člena ZUP ne pomeni, da organ druge stopnje preizkusi odločbo samo v delu, za katerega drugostopenjski organ šteje, da z njim ni bilo ugodeno zahtevku stranke. Po tem določilu organ na drugi stopnji preizkusi odločbo v delu, v katerem jo izpodbija pritožnik in pritožnik v konkretnem primeru očitno ni vložil pritožbe samo zoper določen (manjši) del prvostopenjskega akta.

42. To pomeni, da ima tožnik prav, da je podana bistvena kršitev določb postopka, ker tožena stranka ni odločila o celotnem zahtevku oziroma o celotni pritožbi prosilca. Po določbi prvega odstavka 213. člena ZUP se v izreku odloči o predmetu postopka in o vseh zahtevkih strank.

43. Iz obrazložitve izpodbijanega akta tudi ni razvidna razložitev zahtevkov prosilca (prva točka prvega odstavka 214. člena ZUP) ter razlogi, ki glede na ugotovljeno dejansko stanje narekujejo takšno odločbo (5. točka prvega odstavka 214. člena ZUP), zato se odločbe ne da preizkusiti (7. točka drugega odstavka 237. člena ZUP), stranki pa tudi ni bila v navedenem smislu dana možnost, da se izjavi o tem, zakaj meni, da s prvostopenjskim aktom v celoti ni bilo ugodeno njenemu zahtevku (3. točka drugega odstavka 237. člena ZUP). Med toženo stranko in prosilcem je namreč lahko sporno, ali je prvostopenjski organ določenim delom zahtevka ugodil ali ne, kakor tudi lahko pride do situacije, da po izdaji prvostopenjske odločbe, upravljavec podatkov ne razkrije vseh podatkov glede na odločitev v prvostopenjskem aktu. Razčiščevanju teh dejstev služi pravica do izjave iz prvega odstavka 9. člena ZUP oziroma prvega odstavka 138. člena ZUP.

44. Gre za bistveno kršitev določb postopka, zaradi katere je sodišče moralo tožbi ugoditi, izpodbijani akt odpraviti in zadevo vrniti toženi stranki v ponoven postopek (tretji odstavek 27. člena ZUS-1, Uradni list RS št. 105/06 z nadaljnjimi spremembami in dopolnitvami do vključno 49/23, prvi in drugi odstavek 25. člena ZUS-1).

45. Ker gre tudi za očitno vsebinsko prepletanje med vsebino pritožbenih navedb pod točko 6. z vsemi preostalimi petimi točkami zahtevka oziroma pritožbe, je sodišče moralo zaradi nezmožnosti preizkusa zakonitosti izpodbijanega akta tožbi ugoditi v celoti. Sodišče je tožbi ugodilo izpodbijani akt odpravilo in zadevo vrnilo IP v ponovno odločanje (3. točka prvega odstavka 64. člena ZUS-1). Tožena stranka mora izdati nov upravni akt v 30 dneh od prejema pravnomočne sodbe v tej zadevi, pri tem pa je vezana na stališča sodišča glede vodenja postopka (četrti odstavek 64. člena ZUS-1).

Obrazložitev k drugi točki izreka:

46. Določilo 3. odstavka 25. člena ZUS-1 določa, da sodišče, kadar ugodi tožbi in upravni akt odpravi, tožniku glede na opravljena procesna dejanja in način obravnavanja zadeve v upravnem sporu prisodi pavšalni znesek povračila stroškov skladno s pravilnikom, ki ga izda minister za pravosodje, prisojeni znesek pa plača toženec. Po določilu 2. odstavka 3. člena Pravilnika o povrnitvi stroškov tožniku v upravnem sporu (Pravilnik, Ur. l. RS št. 24/2007, 107/2013), se tožniku, če je bila zadeva rešena na seji in je tožnik v postopku imel pooblaščenca, ki je odvetnik, se mu priznajo stroški v višini 285,00 EUR. Po določilu zadnjega stavka določila 3. odstavka 25. člena ZUS-1 prisojeni znesek plača toženec. Tožena stranka je dolžna plačati navedeni znesek tožeči stranki, povečan za 22% DDV, kar skupaj znese 347,70 EUR. Ta znesek mora tožena stranka plačati tožeči stranki v 15 dneh od prejema sodbe, v primeru zamude tega roka pa skupaj z zakonitimi zamudnimi obrestmi, ki tečejo od prvega dne po preteku 15 dni po prejemu sodbe do plačila.