Verodostojnost prejetega dopisa

Datum

24.10.2023

Številka

07121-1/2023/1347

Kategorije

Informiranje posameznika, Pravica do izbrisa - pozabe, Pravica do seznanitve z lastnimi osebnimi podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste na domači naslov že trikrat prejela dopis brez informacij o tem, kje so pridobili vaše osebne podatke. Prosite nas, da preverimo, ali je raziskava iz dopisa resnična in dopis verodostojen?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavci osebnih podatkov so dolžni posameznikom že pred začetkom obdelave podati informacije o namenih in pravni podlagi za konkretno obdelavo osebnih podatkov. Posamezniki imajo pravico od upravljavcev zahtevati informacije o obdelavi svojih osebnih podatkov, prav tako pa lahko zahtevajo izbris zbranih osebnih podatkov. Oboje je mogoče pod določenimi pogoji in skladno z uveljavljenim postopkom.

Zahteva za seznanitev z lastnimi osebnimi in/ali zahteva za izbris osebnih podatkov se najprej vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Rok za odločitev upravljavca je en mesec od prejema zahteve. Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti (na naslov IP) v 15 dneh od prejema odgovora.

Obrazložitev

IP uvodoma poudarja, da lahko podaja zgolj nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati, ali je upravljavec osebnih podatkov za konkretno obdelavo osebnih podatkov zagotovil ustrezno in zakonito pravno podlago ali ne. Popolno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem nadzornem ali drugem upravnem postopku. IP v okviru svojih nalog tudi ne nudi storitve pregleda ali vnaprejšnje odobritve raznih dopisov, ki jih pošiljajo posamezni upravljavci, z vidika njihove verodostojnosti in skladnosti z veljavnimi predpisi.

IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati, na kakšni pravni podlagi in za kater namen je upravljavec pridobil vaše osebne podatke, poudarjamo pa, da Splošna uredba v 13. in 14. členu določa dolžnost upravljavca, da posameznikom (pred samo obdelavo) zagotovi informacije glede obdelave njihovih osebnih podatkov. Informacije se morajo posamezniku zagotoviti na način, določen v 12. členu Splošne uredbe in sicer tako, da so podane na lahko dostopen način in predstavljene v jasnem in razumljivem jeziku, ki je prilagojen glede na tipičnega uporabnika njihovih storitev.

Upravljavec osebnih podatkov mora namreč posameznikom ob pridobitvi njihovih osebnih podatkov podati informacije o obdelavi osebnih podatkov, kot npr. identiteta in kontaktni podatki upravljavca, namen in pravna podlaga za obdelavo osebnih podatkov, uporabniki osebnih podatkov, podatki o morebitnem prenosu osebnih podatkov, obdobje hrambe, itd. Več informacij o obveščanju posameznikov o obdelavi osebnih podatkov je dostopnih na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov

Glede na to, da iz vašega dopisa izhaja, da upravljavec vaše podatke že obdeluje, dodatno pojasnjujemo, da ima vsak posameznik tudi pravico do seznanitve z lastnimi osebnimi podatki skladno s 15. členom Splošne uredbe. Prvi odstavek 15. člena Splošne uredbe določa, da ima posameznik, na katerega se osebni podatki nanašajo, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije, kot so nameni obdelave, pravna podlaga za obdelavo, predvideno obdobje hrambe, uporabniki osebnih podatkov, itd. Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/ oz. v številnih naših že objavljenih mnenjih (npr. mnenje IP št. 07121-1/2022/628 z dne 8. 6. 2022).

Od pošiljatelja (upravljavca osebnih podatkov) lahko tudi zahtevate izbris vaših osebnih podatkov, če menite, da ne obstajajo razlogi za njihovo nadaljnjo obdelavo. O tej zahtevi mora upravljavec odločiti ob upoštevanju določil 17. člena Splošne uredbe, ki ureja t.i. pravico do izbrisa (»pravico do pozabe«). V prvem odstavku tega člena določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

a)osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

b)posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

c)posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1) uredbe, za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2) uredbe;

d)osebni podatki so bili obdelani nezakonito;

e)osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom EU ali pravom države članice, ki velja za upravljavca;

f)osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1) uredbe.

Splošna uredba posameznikom torej omogoča uveljavljanje pravice do izbrisa pri vseh upravljavcih ne glede na njihovo področje delovanja, vendar ta ni absolutna, ampak njeno uresničevanje poteka v skladu z zgoraj navedenimi pogoji. Ob prejemu vsake zahteve za izbris osebnih podatkov mora upravljavec najprej temeljito preveriti, ali mora dejansko ugoditi zahtevi posameznika in osebne podatke izbrisati ali pa obstajajo drugi razlogi za nadaljnjo hrambo osebnih podatkov, na podlagi katerih se zahtevi za izbris ne more ugoditi.

Izjemo predstavlja tretji odstavek 17. člena, ki določa, da se prvi odstavek ne uporablja, če je obdelava potrebna:

a)za uresničevanje pravice do svobode izražanja in obveščanja;

b)za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

c)iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

d)za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko raziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

e)za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Zahteva za seznanitev z lastnimi osebnimi in/ali zahteva za izbris osebnih podatkov se najprej vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Rok za odločitev upravljavca je en mesec od prejema zahteve. Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti v 15 dneh od prejema odgovora.

IP vam upoštevaje navedeno sklepno svetuje, da najprej na pošiljatelja zadevnega dopisa podate zahtevo za seznanitev z lastnimi osebnimi podatki in počakate na njegov odgovor, s katerega naj bi bilo razvidno, ali pošiljatelj vaše osebne podatke obdeluje na zakoniti pravni podlagi ali ne. Če vam pošiljatelj v enem mesecu ne bo odgovoril oz. vam bo vašo zahtevo zavrnil pa se lahko ponovno obrnete na IP, ki bo zoper upravljavca uvedel ustrezen nadzorni postopek.

Če boste kljub prejetim odgovorom s strani upravljavca mnenja, da so vam bile kršene vaše pravice v zvezi z varstvom osebnih podatkov, lahko pri IP vložite tudi prijavo po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. To lahko storite tudi preko obrazca, ki je dostopen na spletni strani IP:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka