Nepooblaščen vpogled v osebne podatke umrlega

Datum

28.04.2023

Številka

07121-1/2023/575

Kategorije

Inšpekcijski postopki, Pravica do seznanitve z lastnimi osebnimi podatki, OP umrlih, Varnost osebnih podatkov

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da ste od upravljavca osebnih podatkov kot zakoniti dedič pridobili osebne podatke v zvezi z vpogledi v osebne podatke umrlega posameznika. Zanima vas, ali lahko pridobite tudi informacije o namenu vpogleda, oddelku vpogleda v javni instituciji, imenu in priimku zaposlenega ter dokumentacijo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Dedič je od upravljavca upravičen pridobiti osebne podatke o umrlem posamezniku, če umrli posameznik upravljavcu posredovanja njegovih osebnih podatkov ni pisno prepovedal ali če drug zakon ne določa drugače.

Informacije o namenu vpogleda v osebne podatke umrlega posameznika, oddelku vpogleda v javni instituciji ter imenu in priimku zaposlenega niso osebni podatki posameznika, v zvezi s katerim je bil opravljen vpogled, temveč gre za določene informacije o obdelavi osebnih podatkov. Dedič nima pravice dostopa do informacij o obdelavi osebnih podatkov umrlega posameznika po 15. členu Splošne uredbe, pod pogoji iz 9. člena ZVOP-2 pa je upravičen do tiste dokumentacije, ki predstavlja osebne podatke umrlega posameznika.

Izvajanje notranje sledljivosti in utemeljenost obdelave osebnih podatkov znotraj upravljavca IP nadzira v okviru nadzornih postopkov.

Obrazložitev

IP uvodoma pojasnjuje, da se Splošna uredba ne uporablja za obdelavo osebnih podatkov umrlih oseb (uvodna navedba št. 27 Splošne uredbe), zato je treba glede posredovanja osebnih podatkov umrlih upoštevati nacionalno zakonodajo. ZVOP-2 v prvem odstavku 9. člena določa, da se osebni podatki umrlih posameznikov obdelujejo v skladu z zakonom, v drugem odstavku istega člena pa, da upravljavec podatke o umrlem posamezniku posreduje le tistim uporabnikom, ki so za obdelavo osebnih podatkov pooblaščeni z zakonom, in tistim uporabnikom, ki izkažejo pravni interes za uveljavljanje pravic pred subjekti javnega sektorja. Ne glede na določbe prejšnjega odstavka pa skladno s tretjim odstavkom tega člena upravljavec osebne podatke o umrlem posamezniku na njihovo zahtevo posreduje zakoncu, zunajzakonskemu partnerju, otrokom, staršem ali dedičem, če umrli posameznik ni pisno prepovedal upravljavcu posredovanja njegovih osebnih podatkov ali če drug zakon ne določa drugače.

Dedič je torej od upravljavca upravičen pridobiti osebne podatke o umrlem posamezniku, če umrli posameznik upravljavcu posredovanja njegovih osebnih podatkov ni pisno prepovedal ali če drug zakon ne določa drugače.

Pojem osebni podatki pomeni skladno s 1. točko 4. člena Splošne uredbe v zvezi s prvim odstavkom 5. člena ZVOP-2 katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

Pojma osebnih podatkov pa ne gre zamenjevati z informacijami o obdelavi osebnih podatkov. Skladno s prvim odstavkom 15. člena Splošne uredbe ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti (1) potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, (2) dostop do osebnih podatkov in (3) določene informacije, ki se nanašajo na obdelavo osebnih podatkov, na primer o namenih obdelave in uporabnikih oziroma kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki. IP pa poudarja, da dedič nima pravice dostopa do informacij o obdelavi osebnih podatkov umrlega posameznika po 15. členu Splošne uredbe, temveč je na podlagi 9. člena ZVOP-2 upravičen »le« do osebnih podatkov umrlega posameznika.

Ker torej informacije o namenu vpogleda v osebne podatke umrlega posameznika, oddelku vpogleda v javni instituciji ter imenu in priimku zaposlenega, ki je opravil vpogled, niso osebni podatki umrlega posameznika, v zvezi s katerim je bil opravljen vpogled, dedič teh informacij od upravljavca ni upravičen pridobiti. Ob tem IP še dodaja, da posameznik tudi sicer v okviru pravice po 15. členu Splošne uredbe ni upravičen do podatkov o notranji sledljivosti, torej kdo znotraj upravljavca je vpogledoval v osebne podatke, ki se nanašajo nanj. Pod pogoji iz 9. člena ZVOP-2 pa je dedič lahko upravičen do tiste dokumentacije, ki predstavlja osebne podatke umrlega posameznika, kar ne pomeni nujno tudi celotnih dokumentov, v katerem so ti podatki vsebovani.

Izvajanje notranje sledljivost in utemeljenost obdelave osebnih podatkov znotraj upravljavca IP nadzira v okviru nadzornih postopkov. Če menite, da je prišlo do kršitve varstva osebnih podatkov, lahko vložite prijavo (neobvezujoč obrazec je dostopen na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/). Več o vložitvi prijave si lahko preberete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/in%C5%A1pekcijski-nadzor/.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka