Obdelava OP v FB skupini

Datum

28.10.2024

Številka

07121-1/2024/1335

Kategorije

Svetovni splet

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov v Facebook (v nadaljevanju: FB) skupini.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Splošna uredba in ZVOP-2 se uporabljata glede obdelave osebnih podatkov na družbenih omrežjih, če podatki, ki se obdelujejo, ustrezajo definiciji osebnega podatka in ne gre za obdelavo osebnih podatkov v okviru osebne ali domače dejavnosti.

IP kot samostojen in neodvisen državni organ lahko opravlja le nadzor nad izvrševanjem pravice do varstva osebnih podatkov, nedopustnost posegov v pravico do zasebnosti ter osebnostne pravice pa je v pristojnosti civilnih in kazenskih sodišč.

Obrazložitev

IP uvodoma pojasnjuje, da izven nadzornega oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim vprašanjem.

IP uvodoma opozarja, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Ustava RS; Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami). Objava imena in priimka posameznika na socialnih omrežjih sama po sebi ne predstavlja nujno kršitve predpisov s področja varstva osebnih podatkov, lahko pa gre za poseg v pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS, ki sodi v pristojnost sodišč in je varovana z instituti civilnega in kazenskopravnega varstva, za posledico pa ima lahko tudi kazensko in odškodninsko odgovornost.

IP pojasnjuje, da se Splošna uredba uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke. Uporaba pravil s področja varstva osebnih podatkov je v določenih primerih izključena, na primer če gre za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti. V skladu s sodno prakso SEU pa dejavnosti ni mogoče šteti za popolnoma osebno ali domačo v smislu te določbe, če je njen cilj, (1) da se dostop do osebnih podatkov omogoči nedoločenemu številu oseb; ali (2) če se ta dejavnost razširja – četudi le delno – v javni prostor in je tako usmerjena iz zasebnega okolja tistega, ki opravi obdelavo podatkov.

Pravila s področja varstva osebnih podatkov se nadalje uporabljajo le za obdelavo osebnih podatkov, medtem ko ne vplivajo na zakonitost obdelave vseh ostalih podatkov. V skladu z definicijo iz 4(1) člena Splošne uredbe je osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Splošna uredba in ZVOP-2 se tako uporabljata glede obdelave osebnih podatkov na družbenih omrežjih, če podatki, ki se obdelujejo, ustrezajo definiciji osebnega podatka in ne gre za obdelavo osebnih podatkov v okviru osebne ali domače dejavnosti.

IP nadalje pojasnjuje, da bi objave posameznikov znotraj članov zaprte FB skupine morda (če ne bi šlo za objave komercialne narave) lahko razumeli kot izjemo zasebne rabe, saj v skladu z uvodno določbo št. 18 Splošne uredbe osebne ali domače dejavnosti lahko vključujejo tudi korespondenco na družbenih omrežjih, pri čemer tovrstne objave lahko tudi predstavljajo obdelavo osebnih podatkov (npr. objava imena in priimka posameznika). Vendar v tem delu Splošna uredba ne varuje osebnih podatkov, ki izhajajo iz objav posameznikov v FB skupini, kar pa še ne pomeni, da je objavljanje osebnih podatkov znotraj zaprte FB skupine tudi sicer zakonito. Objava osebnih podatkov lahko tudi v primerih, ki ne sodijo v okvir določb Splošne uredbe, kot rečeno, predstavlja poseg v pravico drugih posameznikov do zasebnosti v širšem smislu, katere meje so začrtane v 35. členu Ustave RS (varstvo pravic zasebnosti in osebnostnih pravic). Namreč ravnanje nezakonite objave osebnih podatkov lahko pomeni storitev katerega od kaznivih dejanj zoper čast in dobro ime (za presojo česar pa IP ni pristojen) iz 18. poglavja Kazenskega zakonika (KZ-1; Uradni list RS, št. 50/12-UPB2, s spremembami in dopolnitvami). Nadalje se je v takšnem primeru mogoče pod odločenimi pogoji poslužiti tudi institutov civilnega prava. Tako lahko v skladu s 134. členom Obligacijskega zakonika (OZ; Uradni list RS, št. 97/07 - UPB1, 64/16 – odl. US, 20/18 – OROZ631) od sodišča zahteva, da odredi prenehanje dejanja, s katerim se krši nedotakljivost človekove osebnosti, osebnega in družinskega življenja ali kakšna druga osebnostna pravica, da prepreči tako dejanje ali da odstrani njegove posledice. Poleg tega lahko posameznik, če ocenjuje, da mu je bila s posegom v zasebnost povzročena premoženjska ali nepremoženjska škoda, na podlagi 179. člena OZ zahteva tudi denarno odškodnino. Ob tem IP ponavlja, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov v skladu z 38. členom Ustave RS, nima pa pristojnosti v zvezi z zahtevki posameznikov, ki so namenjeni varstvu pravic zasebnosti in osebnostnih pravic. Za obravnavo teh zahtevkov so pristojna sodišča.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni navedeni pogoji za obdelavo osebnih podatkov. Konkretno presojo zakonitosti obdelave v posameznem primeru lahko IP opravi le v okviru nadzornega ali upravnega postopka.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka