Izvajanje terenskega nadzora

Datum

09.05.2025

Številka

07121-1/2025/563

Kategorije

Definicija OP, Pravica do izbrisa - pozabe, Pravne podlage, Uradni postopki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ustreznosti izvajanja terenskega nadzora Zavoda IPF.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja ne more presojati skladnosti konkretnega ravnanja, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

Upravljavec mora izkazati, zakaj je za dosego želenega namena (v konkretnem primeru nadzor uporabe avtorskih del) treba obdelovati določene osebne podatke.

Splošna uredba pravico do izbrisa ureja v 17. členu, uresničuje pa jo lahko posameznik, na katerega se nanašajo osebni podatki.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega ravnanja, ki ste ga opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP pojasnjuje, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe. Ta v prvem odstavku 6. člena določa, da je obdelava osebnih podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem je treba upoštevati, da se zadnja točka (f) ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca, ki mora pri tem upoštevati konkretne okoliščine in namene obdelave.

IP nadalje pojasnjuje, da Zakon o kolektivnem upravljanju avtorske in sorodnih pravic (Uradni list RS, št. 63/16, 130/22; v nadaljevanju: ZKUASP) v 4. členu določa, da je kolektivna organizacija pravna oseba, ki je pridobila dovoljenje pristojnega organa in je na podlagi pooblastila imetnika pravic ali tega zakona pooblaščena za kolektivno upravljanje avtorske ali sorodnih pravic v imenu in za račun več kot enega imetnika pravic in v njihovo skupno korist, pri čemer je to njena edina in glavna dejavnost, in izpolnjuje eno ali obe od naslednjih meril:

-je v lasti ali pod nadzorom svojih članov;

-je nepridobitna.

V 16. členu ZKUASP je določena dejavnost oziroma naloge kolektivne organizacije. Določeno je, da kolektivna organizacija v okviru svoje dejavnosti med drugim nadzoruje uporabo avtorskih del iz svojega repertoarja. V 21. členu pa ZKUASP določa, da statut kolektivne organizacije, ki je sestavljen v obliki notarskega zapisa, poleg vsebin, ki jih urejajo drugi predpisi in ta zakon, med drugim določa tudi dejavnost kolektivne organizacije, organe kolektivne organizacije in njihove pristojnosti ter način zbiranja podatkov o avtorskih delih in pravicah, ki jih po pooblastilu imetnika pravic ali po zakonu upravlja kolektivna organizacija, način vodenja repertoarja in način vpogleda v ta repertoar. V prvem odstavku 48. člena ZKUASP določa še, da morajo uporabniki avtorskih del iz repertoarja kolektivne organizacije v roku in obliki, določenima v tem zakonu ali skupnem sporazumu, poslati kolektivni organizaciji podatke o uporabi avtorskih del iz njenega repertoarja, ki so potrebni za zbiranje in delitev avtorskih honorarjev.

Statut zavoda z dne 31. 7. 2024, ki je sestavljen v obliki notarskega zapisa, v 4. členu določa, da kolektivna organizacija v okviru svoje dejavnosti nadzoruje uporabo varovanih fonogramov in videogramov iz svojega repertoarja. V 56. členu statuta pa je določeno, da kolektivna organizacija zbira podatke o fonogramih in videogramih ter o pravicah, ki jih upravlja, zlasti od imetnikov pravic ali njihovih zastopnikov, iz razpoložljivih mednarodnih baz podatkov, od kolektivnih organizacij in z izvajanjem svojih obveznosti iz 35. člena ZKUASP.

IP poudarja, da ni pristojen za presojo načina terenskega izvajanja nadzora s strani zavoda, saj v skladu z 69. členom ZKUASP nadzor na izvajanjem tega zakona izvaja pristojni organ (v skladu s 3. členom ZKUASP je to Urad RS za intelektualno lastnino), razen nad določbo osmega odstavka 40. člena, nad katero nadzor izvaja AJPES, in določbami 48. člena tega zakona, nad katero nadzor izvaja Tržni inšpektorat Republike Slovenije.

Glede obdelave osebnih podatkov ob izvajanju terenskega nadzora pa IP posebej opozarja na načelo najmanjšega obsega osebnih podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je treba obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti (v konkretnem primeru izvajanje nadzora s strani zavoda). V vsakem konkretnem primeru mora upravljavec (v konkretnem primeru zavod) torej izkazati, zakaj je za dosego želenega namena (v konkretnem primeru nadzor uporabe avtorskih del) treba obdelovati določene osebne podatke. Če tega ne more izkazati, gre lahko za nezakonito obdelavo osebnih podatkov.

Ob tem IP posebej opozarja, da osebni podatki predstavljajo skladno s prvo točko 4. člena Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Glede na navedeno lahko (video)posnetki pomenijo varovane osebne podatke po Splošni uredbi le, kadar določajo ali omogočajo določljivost posameznika, predvsem takrat, ko je posameznik na posnetku jasno in nedvoumno razviden in bi se bi se ga dalo na ta način identificirati, prepoznati in določiti ali, ko se hkrati s posnetki obdelujejo tudi drugi osebni podatki o posamezniku (na primer njegovo ime in priimek, njegova letnica rojstva in podobno). Torej, če je ločljivost posnetkov dovolj velika in je posameznike (otroke) na njih mogoče prepoznati, takšno snemanje teoretično lahko predstavlja obdelavo osebnih podatkov. V tem primeru je za njihovo obdelavo treba imeti ustrezno pravno podlago. Možne pravne podlage Splošna uredba določa v prvem odstavku 6. člena. Če posameznika na posnetku ni mogoče prepoznati, veljavne določbe Splošne uredbe ne zavezujejo tistega, ki posnetek nadalje uporablja. Če pa posameznik s posnetka vseeno meni, da se z uporabo posnetka posega v njegove osebnostne pravice, lahko uporabi institute civilnega ali kazenskopravnega varstva, ki mu jih daje zakonodaja in, kot rečeno, sodijo v pristojnost sodišč.

Glede pravice do izbrisa osebnih podatkov IP pojasnjuje, da Splošna uredba to pravico ureja v 17. členu. Ta v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki (v konkretnem primeru osebe na posnetku), pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

a)osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

b)posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

c)posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1) uredbe, za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2) uredbe;

d)osebni podatki so bili obdelani nezakonito;

e)osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom EU ali pravom države članice, ki velja za upravljavca;

f)osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1) uredbe.

Izjemo predstavlja tretji odstavek 17. člena, ki določa, da se prvi odstavek ne uporablja, če je obdelava potrebna:

a)za uresničevanje pravice do svobode izražanja in obveščanja;

b)za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

c)iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

d)za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko raziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

e)za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Splošna uredba o varstvu podatkov torej posameznikom omogoča uveljavljanje pravice do izbrisa pri vseh upravljavcih ne glede na njihovo področje delovanja, vendar ta ni absolutna, ampak njeno uresničevanje poteka v skladu z zgoraj navedenimi pogoji. Ob prejemu vsake zahteve za izbris osebnih podatkov mora upravljavec najprej temeljito preveriti, ali mora dejansko ugoditi zahtevi posameznika in osebne podatke izbrisati ali pa obstajajo drugi razlogi za nadaljnjo hrambo osebnih podatkov, na podlagi katerih se zahtevi za izbris ne more ugoditi.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more dokončno presojati konkretnega ravnanja posameznega upravljavca. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za obdelavo posameznih osebnih podatkov in odgovornost zanjo je vedno na upravljavcu osebnih podatkov.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka