Pridobitev podatkov s strani inšpektorja

Datum

07.08.2024

Številka

07121-1/2024/913

Kategorije

Inšpekcijski postopki

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Opisujete, da ste s strani inšpektorata prejeli obvestilo o kršitvi oz. o nedovoljenem ravnanju z odpadki. Sprašujete se, kako so na podlagi računa, ki je bil odložen med odpadki, prišli do vaših osebnih podatkov. Sprašujete nas naslednje: ali se podatki o bančnih karticah smatrajo kot osebni podatki; po katerem pravnem aktu lahko inšpektorat pridobi tovrstne podatke ter kdo lahko izda te podatke (npr. banka, FURS).

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Na podlagi Splošne uredbe lahko sami prejmete nekatere informacije o obdelavi osebnih podatkov. Posameznik ima skladno s Splošno uredbo pravico neposredno od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in nekatere informacije o obdelavi osebnih podatkov, npr. namene obdelave ter kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom.

Konkretnih postopkov, ki tečejo pred drugimi inšpektorati, IP ne more komentirati, na splošno pa pojasnjuje, da lahko inšpektorji osebne podatke, ki so potrebni za izvedbo inšpekcijskega oz. prekrškovnega postopka pridobivajo tudi od drugih fizičnih oz. pravnih oseb, npr. na podlagi drugega odstavka 19. člena Zakona o inšpekcijskem nadzoru in četrtega odstavka 45. člena Zakona o prekrških.

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošna pojasnila in priporočila.

Pojasnjujemo, da ima vsak posameznik pravico do seznanitve z lastnimi osebnimi podatki, ki je opredeljena v 15. členu Splošne uredbe, na podlagi katere lahko sami prejmete nekatere informacije o obdelavi osebnih podatkov.

Prvi odstavek 15. člena Splošne uredbe tako določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in nekatere informacije o obdelavi osebnih podatkov, med drugim glede namenov obdelave ter kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom (torej kje je upravljavec pridobil vaše osebne podatke).

Skladno s tretjim odstavkom 15. člena Splošne uredbe mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotoviti kopijo osebnih podatkov, ki jih obdeluje.

Pravico do seznanitve lahko uveljavljate sami neposredno pri upravljavcu (v konkretnem primeru inšpektoratu), pri čemer si lahko pomagate z obrazcem »Zahteva za seznanitev z lastnimi osebnimi podatki«, ki je dostopen na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Če bo upravljavec vašo zahtevo po 15. členu Splošne uredbe delno ali v celoti zavrnil ali nanjo ne bo odgovoril v enomesečnem roku, lahko na IP naslovite pritožbo. Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.

V zvezi z vašim vprašanjem nadalje pojasnjujemo, da skladno s 1. točko 4. člena Splošne uredbe pomenijo osebni podatki katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Podatki, zapisani na bančni kartici, kot so npr. ime, priimek in TRR tako načeloma predstavljajo osebne podatke.

V zvezi s pooblastili inšpektorja IP uvodoma pojasnjuje, da skladno s sklepom Ustavnega sodišča Republike Slovenije, št. U I 92/12 13 z dne 10. 10. 2013 (Uradni list RS, št. 89/13) IP ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov, saj bi s tem nedopustno posegel v samostojnost pristojnih državnih organov pri vodenju pravnih postopkov. Kot je v citiranem sklepu zapisalo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (za upravne organe drugi odstavek 120. člena Ustave in za sodišča 125. člen Ustave) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

V nadaljevanju vam zato podajamo zgolj splošna pojasnila. Upravljavec mora imeti za zakonito obdelavo osebnih podatkov ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe, npr. skladno s točko (c) te določbe je obdelava zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca.

V zvezi z izvajanjem inšpekcijskih in prekrškovnih postopkov vas napotujemo na mnenje IP št. 0712-1/2019/549 z dne 10. 3. 2019, ki je dostopno na: https://www.ip-rs.si/mnenja-gdpr/60489fb8eedf5, v katerem smo pojasnili pooblastila inšpektorjev v okviru inšpekcijskega postopka. Poudarili smo, da imajo skladno z določbami prvega odstavka 19. člena Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – uradno prečiščeno besedilo in 40/14; v nadaljevanju: ZIN) inšpektorji pri opravljanju nalog inšpekcijskega nadzora pri fizični ali pravni osebi, pri kateri opravljajo inšpekcijski nadzor, med drugim pravico pregledovati listine, s katerimi lahko ugotovijo istovetnost oseb ter brezplačno pridobiti in uporabljati osebne in druge podatke iz uradnih evidenc in drugih zbirk, ki so potrebni za izvedbo inšpekcijskega nadzora. Poleg tega lahko inšpektorji osebne podatke in druge dokaze, ki so potrebni za izvedbo inšpekcijskega postopka, pridobivajo tudi od drugih pravnih in fizičnih oseb, ki z njimi razpolagajo. Drugi odstavek 19. člena ZIN tako določa, da morajo pravne in fizične osebe, zoper katere se ne vodi inšpekcijski postopek, in ki razpolagajo z domnevnimi dokazi oziroma drugimi, tudi osebnimi podatki, potrebnimi za izvedbo inšpekcijskega nadzora, na zahtevo inšpektorja posredovati dokaze in druge, tudi osebne podatke, oziroma morajo omogočiti zaslišanje prič za pridobitev teh dokazov ali drugih, tudi osebnih podatkov, najkasneje v treh dneh od prejema njegove zahteve.

Kadar inšpektor v pri opravljanju inšpekcijskega nadzora ugotovi kršitev zakona ali drugega predpisa, ki ga nadzoruje, je po določbi prvega odstavka 32. člena ZIN dolžan izvesti tudi postopke v skladu z Zakonom o prekrških (Uradni list RS, št. 29/11 – uradno prečiščeno besedilo, 21/13, 111/13, 74/14 – odl. US, 92/14 – odl. US, 32/16, 15/17 – odl. US, 73/19 – odl. US, 175/20 – ZIUOPDVE, 5/21 – odl. US in 38/24, v nadaljevanju: ZP-1). Izpostavljamo četrti odstavek 45. člena ZP-1, ki določa, da morajo vsi državni organi in nosilci javnih pooblastil sodišču in prekrškovnim organom v postopku o prekršku dajati potrebno pomoč in podatke brezplačno, upravljalci zbirk osebnih podatkov pa brezplačno posredovati osebne podatke, ki so potrebni za ugotovitev dejstev v zvezi s postopkom in za izvršitev sankcij.

Inšpekcijske službe tako v okviru postopka inšpekcijskega nadzora oz. prekrškovnih postopkov v skladu s področno zakonodajo izvršujejo svoja pooblastila, ki so potrebna za izvedbo navedenih postopkov (med drugim pridobivajo potrebne osebne podatke). Ob tem morajo med drugim upoštevati tudi t.i. načelo najmanjšega obsega podatkov, ki določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena obdelave (v konkretnem primeru izvedbo postopka inšpekcijskega nadzora oz. prekrškovnega postopka).

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo