Jedro

Toženka je odločitev oprla na stališče, da smejo operaterji o svojih naročnikih zbirati le v prvem odstavku 110. člena ZEKom taksativno navedene osebne podatke oziroma da se glede na omenjeno zakonsko določbo tožnica ne more sklicevati na osebno privolitev posameznika kot pravno podlago za obdelavo oziroma hrambo podatkov o številki in veljavnosti osebnega dokumenta naročnika po tem, ko je naročniška pogodba že sklenjena. S tem je toženka napačno uporabila materialno pravo. Prvi odstavek 110. člena ZEKom je namreč po mnenju sodišča treba razumeti kot določbo, s katero je bila operaterjem že na podlagi zakona (v smislu določil prvega odstavka 8. oziroma prvega odstavka 10. člena ZVOP-1) dana podlaga za zbiranje v tej določbi naštetih osebnih podatkov svojih naročnikov za namene, določene v drugem odstavku 110. člena ZEKom; ne pa kot določbo, ki bi izključevala možnost, da operater druge osebne podatke zbira oziroma obdeluje na kakšni drugi pravni podlagi, npr. na podlagi osebne privolitve posameznika.

Kot osebno privolitev posameznika, ki pomeni ustrezno podlago za obdelavo osebnih podatkov, je mogoče šteti zgolj tisto izjavo volje posameznika, da se njegovi osebni podatki obdelujejo za določen namen, ki je dana prostovoljno na podlagi informacij, ki mu jih mora zagotoviti upravljavec. Če po tem, ko so mu dane ustrezne informacije, posameznik prostovoljno poda takšno osebno privolitev za obdelavo svojih osebnih podatkov v zasebnem sektorju, o kršitvi njegove pravice do varstva osebnih podatkov ni mogoče govoriti.

Izrek

Tožbi se ugodi in se odločba Informacijskega pooblaščenca RS št. 0613-125/2012/4 z dne 10. 8. 2012 odpravi ter zadeva vrne Informacijskemu pooblaščencu RS v ponovni postopek.

Tožena stranka je dolžna tožeči stranki povrniti stroške tega postopka v znesku 376,20 EUR v roku 15 dni od vročitve te sodbe, od poteka tega roka dalje do plačila z zakonskimi zamudnimi obrestmi.

Obrazložitev

Z izpodbijano odločbo je Informacijski pooblaščenec RS (v nadaljevanju Pooblaščenec oziroma toženka) tožnici naložil, da mora v roku 30 dni od vročitve odločbe iz zbirke naročnikov paketa A. izbrisati številko in datum veljavnosti dokumenta fizične osebe, in sicer pri vseh naročnikih, pri katerih ima že sklenjeno naročniško pogodbo (1. točka izreka), naložil ji je tudi, da v roku 3 dni po odpravi nepravilnosti o tem obvesti Pooblaščenca (2. točka izreka), in ugotovil, da stroški v postopku niso nastali (3. točka izreka).

Kot izhaja iz obrazložitve odločbe, je Pooblaščenec 6. 7. 2012 izvedel inšpekcijski ogled pri tožnici in ugotovil, da ta v okviru naročniških pogodb za paket A. zbira in hrani tudi zgoraj navedene osebne podatke. Pojasnila oziroma stališča, ki jih je o tem podala tožnica, Pooblaščenec kot neutemeljena zavrača. Navaja, da je treba pomen prvega odstavka 110. člena Zakona o elektronskih komunikacijah (v nadaljevanju ZEKom), na katerem temelji odločitev, ugotoviti z razlago, pri čemer je treba upoštevati vse vidike oziroma vse metode razlage skupaj. Jezikovna razlaga privede do zaključka, da z besedo „lahko“ zakon operaterjem podeljuje upravičenje zbirati konkretne, v tej določbi taksativno naštete osebne podatke, pri čemer jim ne podeli upravičenja zbirati še druge podatke. Stališče tožnice, da lahko druge osebne podatke zbira na podlagi osebne privolitve posameznikov v smislu 8. oziroma 10. člena Zakona o varstvu osebnih podatkov (v nadaljevanju ZVOP-1), ne zdrži z vidika logične razlage, saj bi bil tako prvi odstavek 110. člena ZEKom sam s seboj v nasprotju, in sicer njegov uvodni stavek ter na drugi strani 5. in 6. točka, ki določata, da se posamezni podatki zbirajo na željo naročnika oziroma na podlagi plačila, če to želi naročnik. Opisana struktura zakonske določbe daje podlago za stališče, da operaterji lahko zbirajo zgolj v prvem odstavku 110. člena ZEKom taksativno navedene osebne podatke naročnikov. Z vidika sistematične razlage Pooblaščenec ugotavlja, da je ZVOP-1 področni zakon varstva osebnih podatkov, ZEKom pa je specialnejši, saj ureja specifično pravno področje elektronskih komunikacij, vsebuje posebna določila glede obdelave osebnih podatkov ter ureja pravice in dolžnosti operaterjev kot specifične skupine pravnih subjektov. Zakona si sicer v tem delu nista v nasprotju, saj ZVOP-1 napotuje na zakon (v konkretnem primeru ZEKom) kot pravno podlago za obdelavo podatkov. Argument specialnosti se tako lahko uporabi le pri pogoju osebne privolitve. Glede zgodovinske razlage se Pooblaščenec sklicuje na gradivo v Poročevalcih Državnega zbora št. 26/04 in 104/06, iz katerega je mogoče razbrati, da je že ob noveli ZEKom zakonodajalec štel, da drugih podatkov, razen podatkov iz prvega odstavka 110. člena tega zakona, ni dopustno zbirati. Pravica do varstva osebnih podatkov kot ratio legis zakona izhaja tudi iz besedila 1. člena ZEKom, da ta zakon določa pravice uporabnikov, del teh je namreč tudi ustavna pravica do varstva osebnih podatkov. Navedena stališča potrjuje tudi teleološka razlaga glede na namen določbe prvega odstavka 110. člena ZEKom, ki je v tem, da je treba na področju elektronskih komunikacij osebne podatke naročnikov bolj konkretno zavarovati oziroma omejiti moč operaterja v odnosu do naročnikov. V kaznovalnem pravu je uporaba metod razlage res nedopustna, vendar pa gre v tem primeru za inšpekcijski, torej upravnopravni in ne kaznovalni postopek.

Glede ostalih navedb tožnice se Pooblaščenec strinja, da mora pogodbeni obdelovalec ob dostavi pogodbe za paket A. preveriti naročnikovo identiteto; fotokopiranje osebnega dokumenta pa bi bilo v nasprotju s 110. členom ZEKom, načelom sorazmernosti iz 3. člena ZVOP-1 in drugim odstavkom 18. člena ZVOP-1. Upoštevaje stališče, da lahko operater zbira le v prvem odstavku 110. člena ZEKom naštete osebne podatke, ne ZEKom ne ZVOP-1 tožnici ne dopuščata obdelave podatkov o številki in veljavnosti osebnega dokumenta naročnika tudi po sklenitvi naročniške pogodbe, saj s tem namen obdelave preneha. Zakaj bi bila zgolj zaradi teh dveh podatkov tožnici odvzeta pravica do sodnega varstva, ni videti, nenazadnje lahko naročnik osebni dokument zamenja; edini trdni identifikator je davčna številka, ki skupaj z osebnim imenom in naslovom naročnika enolično določa tudi za primer sodnega spora. Podatke po 6. točki prvega odstavka 110. člena ZEKom pa operater lahko zbira le, če naročnikom proti plačilu nudi določene ugodnosti; sem sodijo t.i. paketi za upokojence (in nanje vezan podatek o statusu upokojenca), mlade (podatek o rojstnem datumu) itd. Sicer pa tožnica trditve, da je plačilo naročnikom izvršila z zagotavljanjem ugodnosti, ni dokaz(ov)ala. S sklicevanjem na obveznost poročanja po Zakonu o preprečevanju pranja denarja in financiranja terorizma (v nadaljevanju ZPPDFT) tožnica ne more uspeti, saj se istovetnost posameznika preveri že z vpogledom v osebni dokument, 38. člen ZPPDFT tudi ne zahteva poročanja o osebnih dokumentih, ampak o transakcijah preko davčne številke. Poleg tega se zastavlja vprašanje, zakaj tožnica sporne podatke zbira le pri naročnikih paketa A. Po navedenem Pooblaščenec zaključi, da tožnica osebne podatke o številki in datumu veljavnosti osebnega dokumenta naročnikov paketa A. od trenutka sklenitve naročniške pogodbe dalje hrani in s tem obdeluje nezakonito, brez podlage v ZEKom ali ZVOP-1, ter zato odloči, kot je navedeno v 1. točki te obrazložitve.

Tožnica s tožbo v upravnem sporu izpodbija navedeno odločbo, ker ob njeni izdaji zakon ni bil pravilno uporabljen. Predlaga, da sodišče po opravljeni glavni obravnavi odločbo odpravi, uveljavlja pa tudi povrnitev stroškov postopka z zakonskimi zamudnimi obrestmi.

Prvega odstavka 110. člena ZEKom po njenem mnenju ni treba razlagati, ker je besedilo jasno: z uporabo besede „lahko“ je operaterjem podeljeno upravičenje zbirati v tej določbi navedene vrste osebnih podatkov, toženka pa to zmotno tolmači v smislu „lahko le“, čeprav je takšna besedna zveza uporabljena šele v drugem odstavku 110. člena ZEKom. Tega zakonodajalec ni spremenil, ne ob noveliranju ZEKom in ne v predlogu novega Zakona o elektronskih komunikacijah (v nadaljevanju ZEKom-1), ta rahlja celo sicer restriktiven drugi odstavek določbe. Iz prvega odstavka 110. člena ZEKom tako ne izhaja prepoved operaterjem, da obdelujejo tudi druge osebne podatke, če jim to upravičenje daje kakšen drug zakon. ZVOP-1 obdelavo osebnih podatkov dovoljuje, če tako določa zakon (npr. ZEKom) ali na podlagi osebne privolitve posameznika, v zasebnem sektorju pa tudi, če je to potrebno in primerno za izvedbo pogajanj za sklenitev pogodbe ali za njeno izpolnjevanje. ZEKom in ZVOP-1 nista v neskladju in ju je treba sočasno upoštevati. Pravilna je razlaga, da operaterji lahko / smejo / imajo pooblastilo že na podlagi zakona zbirati (za izvrševanje osnovnih telekomunikacijskih storitev nujno potrebne) podatke o naročnikih, naštete v prvem odstavku 110. člena ZEKom, ki jih lahko / morejo / smejo uporabiti le za namene iz drugega odstavka tega člena ZEKom. Za druge podatke in uporabo za druge namene pa morajo, skladno z 10. členom ZVOP-1, pridobiti soglasje posameznika, razen če je obdelava potrebna in primerna za sklenitev in izvršitev obveznosti iz pogodbenih razmerij ali če jo dovoljuje drug enakovreden predpis.

Operaterji ne izvajajo samo osnovnih telekomunikacijskih storitev, večji imajo tudi funkcijo hibridne finančne institucije (npr. v zvezi s storitvijo Moneta), tako so dolžni spoštovati še druge zakone (ZPPDFT, Zakon o plačilnih storitvah in sistemih) in na tej podlagi obdelovati tudi druge vrste osebnih podatkov, kar dodatno potrjuje nesprejemljivost toženkine razlage. Tudi praksa kaže, da je za sklenitev oziroma izpolnjevanje pogodbe primeren oziroma potreben širši nabor osebnih podatkov od tistega iz prvega odstavka 110. člena ZEKom (npr. podatek o datumu rojstva v povezavi z ugotavljanjem poslovne sposobnosti ali pa zaradi zaščite naročnika s preprečitvijo dostopa do določenih vsebin, podatek o upokojenskem statusu v zvezi z določenimi ugodnostmi, podatki o transakcijskem računu pri plačevanju prek trajnika). Interpretacija toženke bi tožnico onemogočala pri poslovanju in oblikovanju paketov ter s tem posegala v njeno ustavno zajamčeno podjetniško svobodo, pomenila bi diskriminiranje določene vrste gospodarskih subjektov in ustvarjanje neenakopravnosti na trgu.

Obdelava podatkov, na katere se nanaša izpodbijana odločba, je potrebna in primerna za preverjanje istovetnosti posameznika, s katerim operater stopi v pogodbeno razmerje, z namenom zaščite naročnika in tudi interesov tožnice. Številne so namreč zlorabe identitete oziroma ukradenih dokumentov, pogosti pa tudi primeri preklica lastnih dokumentov, potem ko so bili uporabljeni za sklenitev pogodbe, zato da bi se naročnik ob sklicevanju na zlorabo dokumenta izognil svojim pogodbenim obveznostim. Skrbna identifikacija je še bolj pomembna pri sklepanju pogodb za storitev A., ker se naročnik prijavi preko spleta (ob tem vpiše tudi številko in datum veljavnosti osebnega dokumenta); pogodbo nato dostavi tožničin podizvajalec, ki ob tem opravi identifikacijo in preveri osebni dokument naročnika, upoštevaje v prijavo vpisane podatke. Zgolj vpogled v osebni dokument za dokazovanje, da je bila istovetnosti skrbno ugotovljena, ne zadošča, zato se podatki iz dokumenta vpišejo v naročniško pogodbo. Toženka s svojim postopanjem tožnico omejuje pri zbiranju dokazov in ji s tem odvzema pravico do enakega varstva pravic v postopku pred upravnimi in sodnimi organi.

Sicer pa ima tožnica osebno privolitev posameznikov za obdelavo predmetnih osebnih podatkov. Vsak naročnik namreč s sklenitvijo pogodbenega razmerja sprejme njene pogoje poslovanja, s čimer se strinja tudi z obdelavo osebnih podatkov. Pri tem se tožnica sklicuje na Splošne pogoje za izvajanje elektronskih komunikacijskih storitev ter Posebne pogoje za izvajanje storitve A. Podlago za obdelavo na osebnem dokumentu, konkretno na osebni izkaznici zapisanih podatkov daje tudi Zakon o osebni izkaznici (v nadaljevanju ZOIzk), na podlagi katerega bi tožnica pod določenimi pogoji lahko kopirala osebno izkaznico (česar sicer ne počne); ob tej pravici pa ima še toliko bolj pravico zapisati podatke o osebni izkaznici, ki bi se sicer nahajali na kopiji dokumenta.

V nadaljevanju tožbe podrobno izpodbija toženkino interpretacijo prvega odstavka 110. člena ZEKom. V to določbo vključeno besedilo „na željo naročnika“ ne izključuje soglasja za obdelavo osebnih podatkov v smislu ZVOP-1, zmotno pa toženka razlaga tudi 6. alinejo določbe. V 9. členu ZVOP-1 je izpeljano načelo, da je subjektom v javnem sektorju dovoljeno le tisto ravnanje, ki ima podlago v zakonu, kakršnokoli drugačno ravnanje pa prepovedano; takšno sklepanje pa ne velja za zasebni sektor, v katerega sodi tožnica. V Poročevalcih DZ določba prvega odstavka 110. člena ZEKom ni komentirana, kot to razume toženka. Sicer pa se upošteva smisel zakona, razpoznaven prek zakonskega besedila. Iz ZEKom je mogoče izluščiti več namenov, poleg varstva pravic uporabnikov tudi pospeševanje razvoja elektronskih komunikacij in s tem gospodarsko-družbenega razvoja. Nesmiselno pa je tudi trditi, da bi uporaba ZVOP-1 kot področnega zakona, ki ureja prav varstvo osebnih podatkov, zmanjševala varstvo naročnikov.

Poleg vpogleda v upravne spise zadeve tožnica kot dokaz predlaga tožbi priložene Splošne in Posebne pogoje ter predlog ZEKom-1, predlaga pa tudi zaslišanje B.B., C.C., Č.Č., D.D., E.E. in F.F., ki delajo zanjo.

Obenem s tožbo je tožnica podala zahtevo, naj sodišče z začasno odredbo izvršitev izpodbijane odločbe odloži do izdaje pravnomočne sodne odločbe, ki jo je to sodišče zavrnilo s sklepom št. I U 1326/2012-6 z dne 13. 9. 2012, pravnomočnim 18. 10. 2012. Toženka je sodišču predložila upravne spise zadeve in obenem podala odgovor na tožbo, v katerem vztraja pri odločbi in v obrazložitvi le-te navedenih razlogih ter predlaga, da sodišče tožbo kot neutemeljeno zavrne. Dodatno navaja, da je prvi odstavek 110. člena ZEKom v skladu z drugim odstavkom istega člena namenjen zgolj sklepanju in izvrševanju naročniške pogodbe, v drugih delih poslovanja pa sme tožnica osebne podatke pridobivati in hraniti na podlagi osebne privolitve naročnikov. Zgolj naročniška pogodba in s tem zbirka osebnih podatkov, ki se nanaša na naročnike, se razlikuje od morebitnih drugih civilnopravnih razmerij med tožnico in naročniki (kot je pogodba o zagotovitvi posebne ugodnosti, npr. paket za upokojence, za mlade...). Ugodnost sicer še ne pomeni plačila oziroma se ne more nanašati neposredno na naročniško pogodbo, saj vsebino te pogodbe in tudi tožničine zbirke o naročnikih vsebujeta prej razložena namena prvega in drugega odstavka 110. člena ZEKom. Predlaga, da sodišče zasliši prof. dr. G.G. glede uporabe razlagalnih metod.

V nadaljnjih vlogah tožnica in toženka vztrajata pri svojih navedbah ter prerekata navedbe nasprotne stranke.

Tožnica v vlogi z dne 23. 10. 2012 izpostavlja, da ZVOP-1 dovoljuje zbiranje osebnih podatkov na različnih pravnih podlagah in da je vprašanje sorazmernosti mogoče presojati le za vsako od teh podlag posebej. Poudarja, da predmetne osebne podatke obdeluje ne le zaradi sklenitve oziroma izvrševanja pogodbe, kot skuša prikazati toženka, ampak tudi na podlagi soglasja naročnika v skladu s splošnimi pogoji poslovanja. Oporeka stališčem toženke glede kopiranja osebne izkaznice, ki pa ga sama ne izvaja. Drugi odstavek 18. člena ZVOP-1 ne pomeni prepovedi zbiranja podatkov iz osebnega dokumenta, če je za to izkazana druga pravna podlaga. Davčna številka omogoča individualizacijo pogodbene stranke, ne pa tudi identifikacije posameznika, za to je nujen vpogled v osebni dokument, z zapisom podatkov iz tega dokumenta pa tožnica kasneje lahko dokaže skrbno izvedbo identifikacije. Naročniška pogodba je inominatni kontrakt in tudi v ZEKom ni podrobneje definirana. Ni jasno, kako si toženka predstavlja razdelitev pogodbenega razmerja z naročnikom in s tem povezanega zbiranja osebnih podatkov naročnika na naročniški in nenaročniški del, v tem delu so njena izvajanja kontradiktorna in neuporabljiva v praksi. Že po določbah ZEKom operater mora zbirati tudi druge, ne le v prvem odstavku 110. člena navedene osebne podatke o naročniku, npr. prometne podatke. Glede na svoje razumevanje 6. alineje prvega odstavka 110. člena ZEKom tožnica ni nikoli zatrjevala, da bi naročnikom za obdelavo podatkov plačala z zagotovitvijo ugodnosti, izpostavila je le, da so posamezni podatki, ki v prvem odstavku 110. člena ZEKom niso zajeti, potrebni in primerni za sklenitev oziroma izpolnjevanje pogodbe, ko gre za zagotovitev posebnih ugodnosti določenim segmentom uporabnikov.

Toženka v vlogi z dne 16. 11. 2012 navaja, da ZEKom derogira ZVOP-1 v delu, ki se nanaša na osebno privolitev posameznikov; tožnica se tako ne more sklicevati na soglasje posameznikov, saj to glede na ZEKom ni dopustno, razen v primeru plačila. Poudarja, da je upoštevala način sklepanja pogodb za paket A. in da pridobivanju spornih podatkov ni a priori nasprotovala, ampak je odredila njihovo brisanje po sklenitvi pogodbe, ker po tem ni več razlogov za obdelavo. S sklicevanjem na primere preklicev osebnih dokumentov tožnica nasprotuje sama sebi. Toženka ne nasprotuje identifikaciji posameznika z vpogledom v osebni dokument, druga oblika obdelave pa je v nasprotju s 110. členom ZEKom, ki je specialen tudi glede na ZOIzk. Toženka ni odredila uničenja pogodb ali preklica sklenjenih pravnih poslov, ampak se njen ukrep nanaša na dve (ali več) različni zbirki osebnih podatkov (zbirka naročnikov in druge zbirke); kako želi to izpeljati tožnica, se ni opredeljevala. Da ima tožnica splošne pogoje poslovanja, še ne pomeni, da so ti skladni z zakonodajo. Obstoj pogodbe ni bistven za obdelavo osebnih podatkov posameznikov za razmerja, ki nimajo narave naročniškega razmerja, kar sledi iz drugega odstavka 110. člena ZEKom. Sicer pa se po izkušnjah toženke upravljavci osebnih podatkov ne obremenjujejo z obstojem pogodbe in njeno ne/obličnostjo, kot to počne tožnica, ampak enostavno ustvarijo novo zbirko podatkov in za to zbirko na podlagi osebne privolitve posameznikov pridobivajo njihove osebne podatke.

Tožnica v vlogi z dne 20. 12. 2012 vztraja, da je obdelava oziroma hramba predmetnih podatkov potrebna tudi po sklenitvi pogodbe, da lahko pred sodiščem in tudi naročniku v postopku reševanja ugovorov brez dvoma dokaže skrbno izvedbo identifikacije. V nadaljnji vlogi toženka vztraja pri svojih stališčih, tožnica pa opozarja na sprejem oziroma uveljavitev ZEKom-1. Sodišče je o tožbi odločilo brez glavne obravnave in izvajanja predlaganih dokazov, in sicer na podlagi določila 1. alineje drugega odstavka 59. člena Zakona o upravnem sporu (v nadaljevanju ZUS-1).

Obrazložitev k I. točki izreka: Tožba je utemeljena.

Kot sledi iz obrazložitve izpodbijane odločbe, je toženka odločitev izpostavljeno oprla na stališče, da smejo operaterji o svojih naročnikih zbirati le v prvem odstavku 110. člena ZEKom taksativno navedene osebne podatke oziroma da se glede na omenjeno zakonsko določbo tožnica ne more sklicevati na osebno privolitev posameznika v smislu prvega odstavka 8. člena oziroma prvega odstavka 10. člena ZVOP-1 kot pravno podlago za obdelavo oziroma hrambo podatkov o številki in veljavnosti osebnega dokumenta naročnikov paketa A. po tem, ko je naročniška pogodba že sklenjena. Da navedeni podatki pomenijo osebne podatke v smislu 1. točke 6. člena ZVOP-1, sicer v zadevi ni sporno.

Prvi odstavek 110. člena ZEKom, kot je veljal v času inšpekcijskega ogleda in izdaje izpodbijane določbe, je določal: „Operaterji lahko zbirajo o svojih naročnikih naslednje podatke: 1. osebno ime oziroma firmo naročnika in njeno organizacijsko obliko; 2. dejavnost naročnika na njegovo željo; 3. naslov naročnika; 4. naročniško številko oziroma tudi druge elemente oštevilčenja, ki se uporabljajo za vzpostavitev zveze do naročnika; 5. na željo naročnika akademski, znanstveni ali strokovni naziv naročnika ali naslov njegove elektronske pošte; 6. na podlagi plačila dodatne podatke, če to želi naročnik in se s tem ne poseže v pravice tretjih oseb; 7. davčno številko za fizično osebo ter davčno in matično številko za pravno osebo.“ Tudi po mnenju sodišča je treba citirano zakonsko določbo, ki ureja zbiranje (osebnih) podatkov s strani operaterjev o svojih naročnikih na področju elektronskih komunikacij, razlagati v povezavi z ostalimi določili ZEKom in zlasti tudi v povezavi z določili zakona, ki generalno ureja področje varstva osebnih podatkov, to je ZVOP-1. Glede na navedbe strank sodišče na tem mestu pripominja, da vsaka uporaba prava vključuje njegovo razlago, od ne/jasnosti predpisa oziroma njegove določbe pa je odvisno, kako intenzivna uporaba interpretacijskih metod je pri tem potrebna. ZVOP-1 v 8. členu določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (prvi odstavek), ter nadalje, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti ta predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov (drugi odstavek). V 10. členu ZVOP-1, ki ureja pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju (v katerega sodi tudi tožnica, kar med strankama ni sporno), pa je določeno, da se osebni podatki v tem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (prvi odstavek). Ne glede na navedeno pa se, v skladu z drugim odstavkom 10. člena ZVOP-1, v zasebnem sektorju lahko obdelujejo tudi osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Ob razlagi prvega odstavka 110. člena ZEKom skupaj z ostalimi določili tega zakona in skupaj s citiranimi določili ZVOP-1 se po mnenju sodišča argumentacija toženke, na kateri temelji izpodbijana odločba, izkaže kot nepravilna.

Namreč, kot utemeljeno opozarja tožnica, besedilo prvega odstavka 110. člena ZEKom se (je) glasilo: „Operaterji lahko zbirajo o svojih naročnikih naslednje podatke...“. Zakonodajalec torej ni uporabil dikcije „Operaterji lahko zbirajo o svojih naročnikih le / samo / zgolj naslednje podatke...“, ki bi dajala jasno podlago za stališče toženke, da drugih podatkov sploh ne smejo zbirati. Je pa takšno dikcijo uporabil že v naslednjem, drugem odstavku 110. člena ZEKom, ki določa namen obdelave zadevnih podatkov: „Zbrane podatke iz prejšnjega odstavka se lahko uporablja le za: 1. sklepanje, izvajanje, spremljanje in prekinitev naročniške pogodbe, 2. zaračunavanje storitev; 3. pripravo in izdajanje naročniških imenikov v skladu s tem zakonom.“ Že glede na takšno besedilo 110. člena ZEKom je utemeljeno sklepati, da bi zakonodajalec, če naj bi bilo z določilom prvega odstavka 110. člena ZEKom operaterjem prepovedano zbiranje katerihkoli drugih osebnih podatkov, razen tistih, ki so v njem našteti, to jasno določil (z uporabo besed le, zgolj, samo ipd.). Še toliko bolj povedano velja, ker je, kot izhaja iz citiranih določil 8. oziroma 10. člena ZVOP-1, v tem matičnem zakonu kot temeljni princip, ki velja glede pravnih podlag za obdelavo osebnih podatkov, postavljeno, da je obdelava dopustna bodisi na podlagi samega zakona bodisi na podlagi osebne privolitve posameznika (v zasebnem sektorju pa nadalje med drugim tudi, če je obdelava potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe). Če bi zakonodajalec od tega temeljnega principa, ki kot eno izmed pravnih podlag za obdelavo osebnih podatkov v zasebnem sektorju dopušča tudi osebno privolitev posameznika, na področju elektronskih komunikacij želel odstopiti, bi to izrecno oziroma jasno določil, pa tega ni storil ne ob uveljavitvi ZEKom ne ob sprejemu oziroma uveljavitvi ZVOP-1 (s katerim je sicer posegel tudi v ZEKom in to v sam 110. člen) ne ob spremembi ZEKom v letu 2006 (s katero je prav tako posegel v 110. člen), pa tudi ne ob nadaljnjih spremembah tega zakona. Tega ni določil niti ob uveljavitvi novega, sedaj veljavnega ZEKom-1, v katerem je, kot pravilno opozarja tožnica, razrahljan celo sicer restriktivno oblikovan drugi odstavek zadevne določbe (sedaj 148. člena ZEKom-1). Pri tem ni odveč pripomniti, da se, upoštevaje z ZEKom-1 dopolnjeno dikcijo 6. alineje prvega odstavka predmetnega člena, jasno izkaže kot zmotno (tudi v izpodbijani odločbi navedeno) stališče toženke, da lahko operater dodatne podatke na željo naročnika zbira, če to naročniku plača; pravilno je nasprotno, na željo naročnika operater dodatne podatke zbira, če mu naročnik to plača. Prvi odstavek 110. člena ZEKom je glede na povedano po mnenju sodišča treba razumeti kot določbo, s katero je (bila) operaterjem že na podlagi zakona (v smislu določil prvega odstavka 8. oziroma prvega odstavka 10. člena ZVOP-1) dana podlaga za zbiranje posameznih, v tej določbi naštetih osebnih podatkov svojih naročnikov za namene, določene v drugem odstavku 110. člena ZEKom; ne pa kot določbo, ki bi izključevala možnost, da operater druge osebne podatke zbira oziroma obdeluje na kakšni drugi pravni podlagi, npr. na podlagi osebne privolitve posameznika. Da je za posamezne podatke v prvem odstavku 110. člena ZEKom določeno, da se zbirajo na željo naročnika, pa je glede na predhodno povedano po presoji sodišča treba razumeti zgolj specifično obliko oziroma specifično ureditev osebne privolitve posameznika za zbiranje teh podatkov, ne pa kot izključitev osebne privolitve posameznika kot podlage za obdelovanje drugih osebnih podatkov v smislu določil ZVOP-1. Tudi sklicevanje toženke na v Poročevalcih DZ RS objavljeno zakonodajno gradivo za ZEKom in njegovo spremembo stališč sodišča glede razlage relevantnega prava ne more spremeniti. V besedilu, ki ga citira toženka v odločbi, pa tudi v ostalem besedilu tega gradiva ni nikjer jasno navedeno, da se z ZEKom oziroma njegovo spremembo (ki je bila sprejeta že po uveljavitvi ZVOP-1) vzpostavlja ureditev, po kateri lahko operaterji zbirajo zgolj v prvem odstavku 110. člena ZEKom taksativno naštete osebne podatke svojih naročnikov in ki izključuje princip osebne privolitve posameznika kot pravne podlage za obdelavo osebnih podatkov. Povedano drugače, iz gradiva ne izhaja, da bi se predlagatelj zakona ukvarjal prav s tem vprašanjem, ampak toženka to zgolj posredno sklepa oziroma izvaja. To pa ob odsotnosti jasne zakonske določbe, ki bi utemeljevala takšno stališče, ki pomeni odstop od temeljnih principov ZVOP-1 kot matičnega zakona glede varstva osebnih podatkov, ne zadošča. Pri tem sodišče pritrjuje stališču, da volja zakonodajalca ni zavezujoča že sama po sebi, temveč le prek zakonskega besedila, v katerem se in kolikor se v njem izraža. Do drugačne odločitve pa tudi sklicevanje toženke na ratio legis zakona in v zvezi s tem na povsem splošno določbo 1. člena ZEKom ne more pripeljati. Kot pravilno argumentira tožnica, iz določb ZEKom izhaja več namenov, ne le varstvo pravic uporabnikov, v katere sicer toženka utemeljeno vključi tudi pravico do varstva osebnih podatkov. Varstvo osebnih podatkov je res ustavna kategorija (38. člen Ustave RS), ki pa je tudi po presoji sodišča ustrezno urejena z določili oziroma kavtelami ZVOP-1. V skladu s tem zakonom (glej 14. točko 6. člena) je kot osebno privolitev posameznika, ki pomeni ustrezno podlago za obdelavo osebnih podatkov, mogoče šteti zgolj tisto izjavo volje posameznika, da se njegovi osebni podatki obdelujejo za določen namen, ki je dana prostovoljno na podlagi informacij, ki mu jih mora zagotoviti upravljavec. Če po tem, ko so mu dane ustrezne informacije, posameznik prostovoljno poda takšno osebno privolitev za obdelavo svojih predmetnih osebnih podatkov v zasebnem sektorju, o kršitvi njegove pravice do varstva osebnih podatkov ni mogoče govoriti.

Tudi iz drugega odstavka 18. člena ZVOP-1 ne izhaja kaj drugega: ta določa (le), da lahko upravljavec osebnih podatkov pred vnosom v zbirko osebnih podatkov preveri točnost osebnih podatkov z vpogledom v osebni dokument ali drugo ustrezno javno listino posameznika, na katerega se nanašajo; ni pa mogoče te določbe razumeti v smislu, da operaterju prepoveduje hraniti oziroma sploh obdelovati številko in datum veljavnosti osebnega dokumenta naročnika, če je izkazana druga pravna podlaga za to, kot je npr. osebna privolitev posameznika.

Razlogovanje v odgovoru na tožbo in nadaljnjih vlogah, ko toženka rešitev za to, da se izdana odločba vzdrži v veljavi, išče v ločevanju podatkov o naročnikih na tiste podatke, ki se nanašajo na naročniško pogodbo, in ostale podatke, oziroma kot rešitev za hrambo oziroma podatkov, na katere se nanaša odločba, sugerira vzpostavitev nove zbirke podatkov, je neprepričljivo, kot pravilno argumentira tožnica. Predvsem pa sodišče v zvezi s tem meni, da bistvo varstva osebnih podatkov ni v iskanju tovrstnih formalnih rešitev, ampak je ključno vprašanje, ali tožnica pravno podlago za obdelavo predmetnih podatkov ima ali ne, in to bi bilo treba brez dvoma ugotoviti v obravnavanem inšpekcijskem postopku.

Kot sledi iz povedanega, je toženka s tem, ko je odločitev oprla na stališča, navedena v 19. točki te obrazložitve, pri odločanju napačno uporabila materialno pravo, in sicer določbe prvega odstavka 110. člena ZEKom v zvezi z določbami 8. in 10. člena ZVOP-1. Ob njenem napačnem materialnopravnem razlogovanju je posledično v upravnem postopku tudi dejansko stanje v bistvenih točkah ostalo nerazščiščeno, kršena pa so bila tudi pravila postopka, kot bo pojasnjeno v nadaljevanju. Zato je sodišče na podlagi 4. in tudi 2. ter 3. točke prvega odstavka 64. člena ZUS-1 tožbi ugodilo, izpodbijano odločbo odpravilo ter zadevo vrnilo v ponovni postopek.

V pogledu uporabe materialnega prava bo toženka v ponovnem postopku, ob upoštevanju v tej sodbi izraženega pravnega mnenja sodišča (četrti odstavek 64. člena ZUS-1), morala ugotoviti, ali je (bila) podana pravna podlaga, da tožnica obdeluje podatke o številki in datumu veljavnosti osebnega dokumenta naročnikov paketa A. po sklenitvi pogodbe ali ne. Pri tem bo predvsem najprej morala presoditi, ali so posamezniki podali veljavno osebno privolitev za takšno obdelavo v smislu prvega odstavka 10. člena v zvezi s 14. točko 6. člena ZVOP-1, kot to zatrjuje tožnica. Če temu ni tako, pa bo morala ponovno presoditi obstoj podlage za obdelavo podatkov iz drugega odstavka 10. člena ZVOP-1 in se pri tem izreči o vseh navedbah, ki jih je v tem pogledu podala tožnica, razloge pa tudi zapisati v odločbo. Izreče pa naj se tudi o morebitnih drugih zakonskih podlagah za obdelavo predmetnih osebnih podatkov, kolikor se bodo te upoštevaje dejansko stanje zadeve, ki ga je treba popolnoma ugotoviti (kar vključuje tudi ugotavljanje vsebine storitve A. in poslovnih procesov, ki so z njo povezani), izkazale kot relevantne za obravnavani primer. Pri ponovnem odločanju mora toženka seveda upoštevati tudi načelo sorazmernosti iz 3. člena ZVOP-1 in to tudi ustrezno obrazložiti.

V postopkovnem pogledu pa sodišče opozarja, da mora že obrazložitev upravnega akta imeti vse elemente, določene v prvem odstavku 214. člena Zakona o splošnem upravnem postopku. To pomeni, da mora, poleg navedb tožnice o dejstvih, obsegati konkretno in popolnoma ugotovljeno dejansko stanje ter konkretno navedene dokaze, na katere je le-to oprto, razloge, odločilne za presojo posameznih dokazov, jasno navedbo določb vseh predpisov, na katere se opira odločba, ter razloge, ki glede na ugotovljeno dejansko stanje narekujejo takšno odločbo. Z odgovorom na tožbo oziroma celo z nadaljnjimi vlogami v sodnem postopku obrazložitve upravnega akta ni mogoče dopolnjevati oziroma nadomestiti. Če namreč že obrazložitev upravnega akta nima zgoraj navedene vsebine, stranka nima možnosti, da bi v sodnem postopku učinkovito izpodbijala sprejeto odločitev in njene razloge, kar pomeni kršitev njene pravice iz 22. člena Ustave RS; pa tudi sodišče zakonitosti upravnega akta ne more preizkusiti. Še toliko bolj to velja, kadar gre, kot v obravnavanem primeru, za zgolj enostopenjski upravni postopek. V konkretnem primeru namreč toženka določenih dejanskih in pravnih razlogov, ki bi sicer lahko bili pravno pomembni za odločitev, v obrazložitvi izpodbijane odločbe ni navedla ali pa jih je tam zgolj nakazala, ne da bi pri tem zadostila zahtevanemu standardu obrazložitve; bolj argumentirano jih je navajala šele v vlogah, ki jih je podala v sodnem postopku, kar pa, kot rečeno, ne zadošča. Posledično sta se tako pravna kot tudi dejanska podlaga odločitve razčiščevali šele skozi vloge strank v sodnem postopku, namesto v upravnem postopku pred izdajo izpodbijane odločbe.

Obrazložitev k II. točki izreka: Po določbi tretjega odstavka 25. člena ZUS-1 se v primeru, če sodišče tožbi ugodi in upravni akt odpravi, tožniku glede na opravljena procesna dejanja in način obravnavanja zadeve v upravnem sporu prisodi pavšalni znesek povračila stroškov skladno s pravilnikom, ki ga izda minister za pravosodje, prisojeni znesek pa plača toženec. V skladu z drugim odstavkom Pravilnika o povrnitvi stroškov tožniku v upravnem sporu (Uradni list RS, št. 24/07 in 107/13, v nadaljevanju Pravilnik) se tožniku, če je bila zadeva rešena na seji in je tožnika v postopku zastopal pooblaščenec, ki je odvetnik, priznajo stroški v višini 285,00 EUR. Ta znesek se, upoštevaje 4. člen Pravilnika, poveča še za 10 %, če je moral tožnik v postopku stvar dodatno pojasnjevati z obrazloženimi vlogami, kot je bilo to tudi v obravnavanem primeru. Na navedeni pravni podlagi je sodišče odločilo, da je toženka tožnici dolžna plačati stroške v višini 313,50 EUR (285,00 EUR + 10 % od tega zneska), ki se skladno s stališčem Vrhovnega sodišča RS, izraženim v sklepu I Up 408/2008 z dne 25. 9. 2008 in nato še večkrat ponovljenim, povečajo še za DDV po uveljavljani 20 % stopnji (ki je tudi sicer pravilna glede na datum vložitve tožbe ter pripravljalnih vlog tožnice in s tem opravljene odvetniške storitve). Prisojeni skupni znesek 376,20 EUR je toženka dolžna plačati v roku 15 dneh od prejema sodbe, po poteku tega roka pa mora plačati tudi zakonske zamudne obresti, ki tečejo od prvega dne po izteku 15-dnevnega paricijskega roka do plačila.