Pravica do izbrisa s tuje spletne strani

Datum

25.09.2024

Številka

07121-1/2024/1114

Kategorije

Pravica do izbrisa - pozabe, Svetovni splet

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede izbrisa osebnih podatkov. Pojasnjujete, da so vaši zastareli osebni podatkov objavljeni na določeni tuji spletni strani. Upravljavcu spletne strani ste pisali, naj izbriše podatke, vendar tega ni storil.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Vsak posameznik ima pravico do izbrisa svojih osebnih podatkov pod pogoji iz 17. člena Splošne uredbe. Upravljavec mora o zahtevi posameznika brez nepotrebnega odlašanja oziroma najkasneje v roku enega meseca odločiti, in sicer tako da podatke izbriše in posameznika o tem obvesti ali da posreduje zavrnilno obvestilo. V primeru da upravljavec na zahtevo ne odgovori v roku ali če zavrne zahtevo, lahko posameznik vloži pritožbo pri nadzornem organu za varstvo osebnih podatkov.

Posameznik lahko pritožbo poda pri pristojnem nadzornem organu v državi, kjer ima konkretno podjetje ustanovitev. Pritožbo lahko v vsakem primeru vloži tudi pri IP. Če ima družba ustanovitev v drugi državi članici EU, IP v okviru postopka čezmejnega sodelovanja posreduje pritožbo pristojnemu nadzornemu organu in posameznika obvesti o stanju zadeve in končni odločitvi organa. V kolikor pa gre za upravljavca z ustanovitvijo v tretji državi, je treba preveriti, ali za tega upravljavca velja Splošna uredba in ali je IP pristojen za obravnavo takšne pritožbe.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Pojasnjujemo, da ima vsak posameznik pravico do izbrisa skladno s Splošno uredbo, ki je opredeljena v 17. členu Splošne uredbe. Prvi odstavek 17. člena Splošne uredbe tako določa, da ima posameznik, na katerega se nanašajo osebni podatki pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

-osebni podatki niso več potrebni za namene, za katere so bili zbrani ali kako drugače obdelani;

-posameznik, na katerega se osebni podatki nanašajo, prekliče privolitev, na podlagi katere poteka obdelava, in za obdelavo ne obstaja nobena druga pravna podlaga;

-posameznik, na katerega se osebni podatki nanašajo, ugovarja obdelavi skladno z 21. členom (obdelavi, ki poteka zaradi opravljanja nalog v javnem interesu oz. na podlagi zakonitih interesov upravljavca), pa za njihovo obdelavo ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se osebni podatki nanašajo, obdelavi ugovarja v primeru neposrednega trženja;

-osebni podatki so bili obdelani nezakonito;

-osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

-osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe od mladoletne osebe.

Opozarjamo, da pravica do izbrisa ni neomejena, saj Splošna uredba določa, da izbrisa osebnih podatkov ni mogoče uveljavljati, če je obdelava potrebna npr. za uresničevanje pravice do svobode izražanja in obveščanja, za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene ali npr. za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja in mora v vsakem primeru ugoditi zahtevi (tj. izbrisati podatke in o tem obvestiti) oziroma posredovati zavrnilni odgovor v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev, o čemer vas mora upravljavec obvestiti (tretji odstavek 12. člena Splošne uredbe). Če vam upravljavec v zakonskem roku ne odgovori, ali vam poda zavrnilni odgovor, lahko pri pristojnem nadzornem organu vložite pritožbo. Pravico do izbrisa pri upravljavcu torej uveljavlja posameznik sam, medtem ko pristojni nadzorni organ v primeru kršitve deluje kot pritožbeni organ. Več o pravici do izbrisa si lahko preberete na spletni strani: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/ in o uveljavljanju pravice: https://tiodlocas.si/kako-uveljavim-svoje-pravice/.

Morebitno pritožbo zoper odločitev upravljavca spletne strani lahko podate pri pristojnem nadzornem organu v državi, kjer ima konkretno podjetje ustanovitev. Pritožbo lahko v vsakem primeru vložite tudi pri IP (v pomoč naj vam bo obrazec, ki naj vsebuje vse zahtevane sestavine – glej prijava prijavitelja s posebnim položajem), pri čemer pa pojasnjujemo, da bo v primeru, da gre za upravljavca z ustanovitvijo v drugi državi članici EU, vaša pritožba obravnavana v postopku čezmejnega sodelovanja. To pomeni, da jo IP posreduje pristojnemu nadzornemu organu, vas pa v skladu s 77. členom Splošne uredbe obvesti o stanju zadeve in o odločitvi pristojnega nadzornega organa. V kolikor pa gre v danem primeru za upravljavca z ustanovitvijo v tretji državi, je treba primarno ugotoviti, ali je glede na ozemeljsko veljavnost iz 3. člena Splošne uredbe in 4. člena ZVOP-2 IP pristojen za postopanje v konkretnem primeru. Če je IP pristojen organ in gre za obdelavo, ki jo urejata Splošna uredba in ZVOP-2, se pritožba v takem primeru ne obravnava v okviru postopka čezmejnega sodelovanja, temveč nadzorni organ v skladu s svojimi pristojnostmi vodi postopek samostojno. Vsekakor pa je treba vzeti v obzir, da je v situacijah, ko je ustanovitev upravljavca v tretji državi, nadzor nad izvrševanjem Splošne uredbe v praksi nekoliko otežen.

Lepo vas pozdravljamo,

Pripravila

Neja Domnik, Državna nadzornica za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka