Jedro

Večino posameznikov, za katere se v spletnem iskalniku tožeče stranke vodi zgolj ime in priimek, je mogoče identificirati v povezavi s podatkom o tem, da je ta posameznik ustanovitelj ali družbenik ali zastopnik ali član nadzora v določenem subjektu vpisa v sodni register ali zastopnik ali ustanovitelj v določeni enoti poslovnega registra, kar pomeni, da je možna identifikacija na način, ki ne povzroča veliko stroškov, nesorazmernega napora in ne zahteva veliko časa.

V obravnavanem primeru gre za obdelavo podatkov, ker gre za niz delovanj tožeče stranke, ki pomenijo pridobivanje osebnih podatkov od AJPES oziroma iz PRS za ponovno uporabo podatkov vseh enot poslovnega registra v širšem naboru, z zagotovljenimi dnevnimi spremembami, razkrivanje, sporočanje, širjenje ali drugo dajanje tako pridobljenih osebnih podatkov na razpolago uporabnikom storitev preko spletnega iskalnika.

Spletni iskalnik tožeče stranke je mogoče šteti kot zbirko osebnih podatkov skladno s 5. točko 6. člena ZVOP-1, ki določa, da zbirka osebnih podatkov predstavlja vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.

Izrek

I. Tožba se zavrne.

II. Vsaka stranka nosi svoje stroške postopka.

Obrazložitev

1. Tožena stranka je z izpodbijano odločbo tožeči stranki naložila, da mora v roku 8 dni od vročitve odločbe na svoji spletni strani ... uporabnikom njenih storitev prenehati omogočati, da zgolj na podlagi vpisa imena in priimka posameznika – fizične osebe, v iskalnik, ki se nahaja na tej spletni strani tožeče stranke, vpogledajo oziroma se seznanijo s podatkom, ali je posameznik ustanovitelj, družbenik, zastopnik ali član organa nadzora v subjektu vpisa v sodni register in v katerem subjektu vpisa je ta oseba ustanovitelj, družbenik, zastopnik ali član organa nadzora, ter s podatkom, v kateri enoti poslovnega registra je ta oseba zastopnik ali ustanovitelj (1. točka izreka). Tožeča stranka mora najkasneje v roku 3 dni po odpravi nepravilnosti obvestiti toženo stranko in ji posredovati morebitne dokaze o odpravi nepravilnosti (2. točka izreka). Tožena stranka je določila, da posebni stroški niso nastali (3. točka izreka).

2. Tožena stranka v obrazložitvi svoje odločbe navaja, da je inšpektor za varstvo osebnih podatkov pri tožeči stranki po uradni dolžnosti uvedel postopek inšpekcijskega nadzora, kjer je bil opravljen ogled vsebine in delovanja spletne strani www... (oziroma v nadaljevanju tudi aplikacija A.). Iz zapisnika tega ogleda št. 0613-7/2014/3 z dne 8. 8. 2014 je razvidno, da se je tožena stranka prijavila v uporabniški vmesnik na spletni strani www... (v nadaljevanju spletni iskalnik) z uporabniškim imenom in geslom. Ugotovljeno je bilo, da tožeča stranka podatke, ki sestavljajo podatkovno bazo, pridobiva iz dveh virov, in sicer iz uradnih objav Agencije Republike Slovenije za javnopravne evidence in storitve (AJPES) ter iz Poslovnega Registra Slovenije (PRS), ki jih nato povzema v svojo standardizirano bazo (jih „oplemeniti“) in vse zapise uredniško uredi ter z novo dodano vrednostjo obogaten podatek ponudi na voljo uporabnikom njihovih storitev. Sodni register (SReg) in PRS vsebujeta tako podatke, ki nimajo narave osebnih podatkov, kakor tudi podatke, ki predstavljajo osebne podatke iz 1. in 2. točke 6. člena Zakona o varstvu osebnih podatkov (ZVOP-1), kar vse pridobiva tožeča stranka pri AJPES. Tožeča stranka s tem, ko od AJPES pridobiva podatke ustanoviteljev, družbenikov, zastopnikov in članov organov nadzora v subjektu vpisa v SReg ter zastopnikov in ustanoviteljev v enoti PRS, ki so fizične osebe, obdeluje osebne podatke skladno s 3. točko 6. člena ZVOP-1. Pri tem gre za avtomatizirano obdelavo teh podatkov, ker jih tožeča stranka obdeluje s sredstvi informacijske tehnologije. Avtomatizirana je tudi nadaljnja obdelava s tem, ko te podatke v bazi na različne načine ureja in jih potem razkriva oziroma da na razpolago svojim uporabnikom. Nudenje teh podatkov uporabnikom oziroma omogočanje dostopa do podatkov na tak način pa predstavlja obdelavo podatkov kot „sporočanje“ in „širjenje ali drugo dajanje na razpolago“. Z vsem tem pa tožeča stranka postane upravljavec teh osebnih podatkov iz 6. točke 6. člena ZVOP-1. 3. AJPES je izdal odločbo št. 317-622/2012-2 z dne 18. 1. 2013 skladno s katero je tožeči stranki dana pravna podlaga za to, da pridobiva osebne podatke od AJPES oziroma iz PRS za ponovno uporabo podatkov vseh enot poslovnega registra v širšem naboru, z zagotovljenimi dnevnimi spremembami. Vendar gre v obravnavani zadevi tudi za razkrivanje, sporočanje, širjenje ali drugo dajanje tako pridobljenih osebnih podatkov na razpolago uporabnikom storitev, za kar pa tožeča stranka nima pravne podlage. Tožena stranka ugotavlja, da niti Zakon o sodnem registru (ZSReg) niti Zakon o Poslovnem registru Slovenije (ZPRS-1) ne določata splošne in neomejene javnosti podatkov, ki predstavljajo osebne podatke, ampak tako dostopnost ustrezno omejujeta in sicer tako, da subjekt na spletni strani AJPES od podatkov od posameznikov v teh registrih ne more priti samo z uporabo imena in priimka, ampak zgolj z uporabo ustrezne kombinacije imena in priimka z drugimi osebnimi podatki, ki jih zakona taksativno naštevata. Na podlagi navedenega določbe ZSReg in ZPRS-1 ne morejo predstavljati pravne podlage za delovanje iskalnika, tako tudi Upravno sodišče RS v zadevi U 2477/2005-48 z dne 10. 10. 2007. Tožena stranka je tudi ugotovila, da tožeča stranka od posameznikov, katerih podatke pridobiva od AJPES, ni pridobila njihove osebne privolitve za tako posredovanje njihovih osebnih podatkov, niti takih privolitev tožeča stranka ni izkazovala niti navajala. Poleg tega tožeča stranka s posamezniki tudi ni v pogodbenem razmerju, iz katerega bi izhajalo, da lahko za namene izpolnjevanja pogodbe njihove osebne podatke posreduje uporabnikom svojih storitev na ugotovljen način.

4. V zvezi z zatrjevano obdelavo podatkov na podlagi tretjega odstavka 10. člena ZVOP-1 pa tožena stranka ugotavlja, da tudi ta pravna podlaga v obravnavanem primeru ni podana, trditve tožeče stranke pa so enake besedilu predlogov sprememb ZSReg in ZPRS-1, vendar zakonodajalec teh sprememb ni sprejel. Zakonodajalec je takšno odločitev utemeljil na tem, da se za iskanje zahteva, da zainteresirana oseba poda dovolj specifično opredelitev osebe, kar posredno kaže na to, da bi z njo že lahko bila v poslovnem stiku oziroma je pokazala interes za poslovanje s tem subjektom ali enoto, ko je preverila njegove zastopnike in ustanovitelje. Ob tem se je potrebno izogniti primerom seznanjanja z osebnimi podatki, ki se nahajajo v teh registrih za druge, neutemeljene namene, ki z nameni, zaradi katerih se posegi v osebne podatke dopuščajo, nimajo nobene zveze (npr. gola radovednost), bi se pa možnosti uporabe osebnih podatkov za take namene bistveno povečala. Iskanje zgolj z imenom in priimkom razkriva tudi osebne podatke drugih posameznikov, ki se v teh registrih nahajajo in imajo enako ime in priimek, kot iskani posameznik, s čimer pa se posega v pravico teh tretjih oseb, ne da bi bil tak poseg kakorkoli potreben za dosego zasledovanega namena. Tožena stranka je ugotovila, da je tožeča stranka izkazala obstoj nekaterih relevantnih zakonitih interesov predvsem zasebnega sektorja na splošno, ki zahtevajo omejevanje informacijske zasebnosti posameznikov in, ki jih je upošteval tudi zakonodajalec pri sprejemanju sprememb ZSReg in ZPRS-1, vendar pa ni mogoče zaključiti, da bi bilo za uresničevanje teh zakonitih interesov nujno omogočiti dostop od osebnih podatkov posameznikov zgolj na poznavanju njihovega imena in priimka, niti, da taki interesi očitno prevladajo nad interesi teh posameznikov.

5. Na podlagi vsega navedenega je tožena stranka zaključila, da tožeča stranka nima pravne podlage, da osebne podatke posameznikov razkriva, sporoča, širi in daje na razpolago svojim uporabnikom na način, kot je bil ugotovljen v tem postopku, tj. zgolj z vpisom njegovega imena in priimka v spletni iskalnik, ki se nahaja na spletni strani tožeče stranke in da mora s tako obdelavo osebnih podatkov prenehati.

6. Tožeča stranka je zoper navedeno odločbo vložila tožbo, v kateri meni, da je tožena stranka napačno uporabila materialni predpis, ko je ugotovila, da naj bi s tem, ko njen spletni iskalnik omogoča tudi iskanje po imenu in priimku, posegla v zagotovljeno pravico posameznika do varstva osebnih podatkov. Tožena stranka je zmotno ugotovila, da tožeča stranka obdeluje osebne podatke o ustanoviteljih, družbenikih, zastopnikih in članih nadzora v subjektih vpisa v sodni register ter zastopnikov in ustanoviteljev v enoti poslovnega registra, ki so fizične osebe, da aplikacija A. predstavlja zbirko osebnih podatkov in da je tožečo stranko mogoče šteti kot upravljavca navedenih podatkov.

7. Tožeča stranka pridobiva podatke iz dveh virov, njena programska rešitev (spletni iskalnik) pa ne predstavlja priobčitve osebnega podatka niti ne oblikuje zbirke osebnih podatkov, temveč uporabniku omogoča zgolj iskanje po ključni besedi po že objavljenih podatkih v skladu s ZSReg in ZPRS-1. Tožeča stranka podatkov, ki so dostopni v okviru aplikacije A. ne organizira v obliki tabele ali v drugem podobnem strukturiranem nizu in da podatek „ime in priimek“ ne omogoča identifikacije posameznika, zato je napačna ugotovitev tožene stranke, da tožeča stranka vodi zbirko osebnih podatkov smislu 5. točke 6. člena ZVOP-1. Tožeča stranka omogoča lažje iskanje po že javno objavljenih podatkih, zato je tudi ni mogoče šteti za upravljavca osebnih podatkov s smislu 6. točke 6. člena ZVOP-1. Tožeča stranka navaja, da podatek "ime in priimek" ne omogoča identifikacije nosilca, saj zgolj na podlagi tega podatka ni mogoče opraviti identifikacije posameznika, na katerega naj bi se nanašal ta podatek, ker program izmed več zadetkov ne razločuje, ali obstaja več oseb z enakim imenom oziroma priimkom. Pri velikem številu zadetkov pa posameznik na podlagi dobljenih rezultatov tudi ni določljiv brez nesorazmerno velikega napora oziroma časa, kot to zmotno ugotavlja tožena stranka. Ker identifikacija ni možna, je tožena stranka napačno štela, da gre za varovan osebni podatek v smislu 6. člena ZVOP-1. 8. Glede na prvi odstavek 10. člena ZVOP-1 se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. ZSReg določa, kateri podatki se vpisujejo v sodni register in določa, da je podatek o imenu in priimku eden izmed podatkov, ki se vpisuje v sodni register. Glede na določbe 7. člena ZSReg je sodni register javna knjiga in so torej tudi osebni podatki oseb, ki opravljajo neko funkcijo v pravnih subjektih, javni. Enako velja glede podatkov, ki se zbirajo v PRS. Fizična oseba, ki torej vstopa v pravno osebo kot njen ustanovitelj, zastopnik ali član nadzornega sveta, torej eksplicitno dopusti določen poseg v svojo zasebnost, saj s sprejemom funkcije v pravni osebi po samem zakonu pristane tudi na to, da bodo določeni njegovi osebni podatki postali javno dostopni. Namen je jasen; zagotoviti je potrebno javnost in transparentnost in to vseh podatkov, ki so vsebovani v sodnem registru in zaradi tega je dovoljena tudi obdelava teh podatkov.

9. Tožeča stranka v primeru, da sodišče ugotovi, da aplikacija A. predstavlja zbirko osebnih podatkov posameznikov in da je tožeča stranka upravljavec osebnih podatkov, vztraja na stališču, da ima podlago za obdelavo teh podatkov v tretjem odstavku 10. člena ZVOP-1. Tožena stranka je povsem arbitrarno uvedla nove pogoje za presojo obstoja pravne podlage, in sicer pogoje, kot jih določata peti odstavek 7. člena ZSReg in prvi odstavek 22. člena ZPRS-1. Ti dve določbi določata zgolj pogoje pod katerimi AJPES zagotavlja javnost in vpogled v podatke iz sodnega oziroma poslovnega registra, ni pa mogoče teh določb interpretirati na način, da zavezujejo tudi tožečo stranko, ali pa tako, da dopolnjujejo določbe tretjega odstavka 10. člena ZVOP-1. Širjenje dometa določb bi tudi pomenilo poseg v pravico tožeče stranke do svobodne gospodarske pobude. Tožeča stranka je pri tehtanju zakonitih interesov zasebnega sektorja in interesov posameznika uporabila test, ki ga je v Mnenju št. 06/2014 predstavila Delovna skupina 29 (Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC), skladno s katerim je potrebno presojati na eni strani naravo in vir zakonitih interesov upravljavca oziroma tretje stranke ali stranke, ki so jim osebni podatki posredovani ter, ali je obdelava nujno potrebna za doseganje teh interesov ter na drugi strani vpliv, ki jih takšna obdelava ima na posameznike, na katere se nanašajo osebni podatki. Obdelava podatkov o udeležbi posameznikov v pravnih osebah na način, ki je omogočen z aplikacijo A., je predvsem v ekonomskem interesu poslovnih subjektov zasebnega sektorja, da se na hiter in jasen način seznanijo s kom vstopajo v poslovni odnos in je skladna z interesi, ki so zasledovani v ZSReg in ZPRS-1. Tožena stranka spregleda, da aplikacija A. uporabniku zagotovi tudi analizo finančnih podatkov pravnih subjektov, ki uporabniku omogočajo, da pravočasno prepozna tako imenovane delinkventne subjekte, ki jih objave v sodnem in poslovnem registru ne vsebujejo. Storitev aplikacije A. je tako nujno potrebna za sprejemanje hitrih informiranih poslovnih odločitev. Tožeča stranka podatke dnevno posodablja, zato se lahko uporabnik storitve pri sklepanju poslov zanese, da so vsakokrat objavljeni podatki v aplikaciji točni in ažurni. Meni, da vpliv obdelave podatkov posameznika o njegovi funkciji v gospodarskih družbah na posameznika ni takšen, da bi interes posameznika do zasebnosti prevladal nad interesi zasebnega sektorja, ker ti podatki niso občutljivi osebni podatki; so že javno objavljeni; dostop do njih je mogoče naročnikom storitve tožeče stranke; posameznik z vstopom v gospodarsko družbi prevzame posledice takšnega vstopa in lahko pričakuje, da bodo ti podatki tudi javno objavljeni in obdelani na način, da bo mogoče ugotoviti v katerih funkcijah posameznik nastopa; ne nanašajo se na kategorijo posameznikov, ki bi bile posebej občutljive oziroma, ki bi morale uživati posebno zaščito.

10. Tožeča stranka predlaga, da sodišče izpodbijano odločbo odpravi in odloči o obveznosti tožeče stranke, tako, da ugotovi, da ne obstaja njena obveznost, kakor izhaja iz izpodbijane odločbe, toženi stranki pa naloži, da v roku 15 dni tožeči stranki povrne stroške postopka, skupaj z zakonitimi zamudnimi obrestmi od prvega dne po izteku paricijskega roka dalje do plačila. Oziroma podredno, da sodišče izpodbijano odločbo odpravi in vrne zadevo toženi stranki v ponovno odločanje, toženi stranki pa naloži, da v roku 15 dni tožeči stranki povrne stroške postopka, skupaj z zakonitimi zamudnimi obrestmi od prvega dne po izteku paricijskega roka dalje do plačila.

11. Hkrati s tožbo je tožeča stranka vložila zahtevo za izdajo začasne odredbe, ki ji je sodišče ugodilo s sklepom št. I U 817/2016 z dne 13. 6. 2016. 12. Tožena stranka je po pozivu sodišča v skladu z določili 38. člena Zakona o upravnem sporu (v nadaljevanju ZUS-1) predložila predmetne upravne spise ter obenem vložila odgovor na tožbo, v katerem v celoti prereka navedbe tožeče stranke in vztraja pri izpodbijani odločbi. Uvodoma izpostavlja, da gre pri tožbenih navedbah za ponavljanje navedb iz upravnega postopka do katerih se je tožena stranka že opredelila v izpodbijani odločbi. Dodatno navaja, da aplikacija A. izvaja iskanje po podatkih, ki se nahajajo pri tožeči stranki, v njenih podatkovni bazi, pri tem pa ne gre za aplikacijo, ki bi izvajala iskanje po podatkih, ki se nahajajo v bazah AJPES, kot to želi prikazati tožeča stranka. Določbe ZVOP-1 v definiciji zbirke osebnih podatkov nikjer ne omenjajo tabel, ampak zgolj strukturiran niz podatkov. Delovanje aplikacije A. oziroma programske rešitve obravnavanega iskalnika po elektronsko vodeni podatkovni bazi tožeče stranke pa, na ugotovljen način, nedvomno ne bi bilo mogoče, če podatki v bazi tožeče stranke ne bi bili urejeni kot strukturiran niz podatkov. Podatki, ki omogočajo določljivost posameznika niso zgolj imena in priimki posameznikov, ki samo po sebi morda res ne bi omogočali določljivosti, ampak tudi podatek o tem, da je ta posameznik ustanovitelj ali družbenik ali zastopnik ali član nadzora v določenem subjektu vpisa v sodni register ali zastopnik ali ustanovitelj v določeni enoti poslovnega registra, kar pa tožeča stranka vodi v svoji podatkovni bazi. Tožeča stranka izpostavlja primer posameznika z imenom B.B., ki je ustanovitelj družbe C. d.o.o. Za obdelavo osebnih podatkov bi tudi šlo, če se ti ne bi obdelovali v posebni zbirki osebnih podatkov, saj 6. člen ZVOP-1 obdelovanje podatkov opredeljuje najprej kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani medtem, ko obdelavo z obstojem zbirke pogojuje zgolj pri ročni obdelavi teh podatkov, za kar pa v obravnavanem primeru ne gre. V obravnavanem primeru gre za avtomatizirano obdelavo osebnih podatkov s sredstvi informacijske tehnologije. Tožeča stranka selektivno navaja določbe ZSReg in ZPRS-1, da gre za javne podatke, ker ne omeni določb predpisov, ki izrecno določajo omejitve pri dostopanju do osebnih podatkov. Obenem pa je res, da posameznik z vstopom v poslovni subjekt implicitno pristane, da bo moral kot posledico tega dejstva trpeti tudi poseg v pravico do varstva njegovih osebnih podatkov, vendar v mejah, ki jih določa zakon, nikakor pa ne pristane v neomejeno poseganje v njegovo informacijsko zasebnost, kot to želi prikazati tožeča stranka. Tožena stranka v zvezi s posegom v ustavno pravico posameznikov do varovanja osebnih podatkov navaja, da obdelava osebnih podatkov ni nujno potrebna in da je zasledovane cilje zasebnega sektorja mogoče doseči tudi z milejšimi ukrepi oziroma posegi, s katerimi se v manjši meri posega v ustavno pravico posameznikov, tj. z določitvijo kombinacije vhodnih podatkov, če se v bazi iščejo osebni podatki. To predstavlja stališče zakonodajalca k zavrnitvi amandmajev ZSReg in ZPRS-1, s katerimi so predlagatelji sprememb želeli uvesti spremembe iskanja podatkov prav na enak način kot jih ponuja tožeča stranka v okoliščinah obravnavanega primera. Sodišču predlaga, da naj tožbo zavrne kot neutemeljeno.

K točki I izreka:

13. Tožba ni utemeljena.

14. V obravnavani zadevi je predmet sodne presoje pravilnost in zakonitost uvodoma navedene odločbe, s katero je tožena stranka naložila tožeči stranki, da mora v roku 8 dni od vročitve odločbe na svoji spletni strani www... uporabnikom njenih storitev prenehati omogočati, da zgolj na podlagi vpisa imena in priimka posameznika – fizične osebe, v iskalnik, ki se nahaja na tej spletni strani tožeče stranke, vpogledajo oziroma se seznanijo s podatkom, ali je posameznik ustanovitelj, družbenik, zastopnik ali član organa nadzora v subjektu vpisa v sodni register in v katerem subjektu vpisa je ta oseba ustanovitelj, družbenik, zastopnik ali član organa nadzora, ter s podatkom, v kateri enoti poslovnega registra je ta oseba zastopnik ali ustanovitelj ter da jo najkasneje v roku 3 dni po odpravi nepravilnosti o tem obvesti in ji posreduje morebitne dokaze o odpravi nepravilnosti. Odločitev tožene stranke je pravilna in zakonita, zato sodišče skladno z drugim odstavkom 71. člena ZUS-1 ne bo ponavljalo razlogov za odločitev, ampak se v celoti sklicuje na razloge, navedene v izpodbijani odločbi, pri čemer pa v zvezi s tožbenimi ugovori še dodaja:

15. Iz 2. točke 6. člena ZVOP-1 izhaja, da je posameznik določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Ni mogoče pritrditi tožbenim ugovorom tožeče stranke, da podatek "ime in priimek" ne omogoča identifikacije nosilca, ker zgolj na podlagi tega podatka ni mogoče opraviti identifikacije posameznika, na katerega naj bi se nanašal ta podatek. Sodišče pritrjuje ugotovitvam tožene stranke, da je večino posameznikov, za katere se v spletnem iskalniku tožeče stranke vodi zgolj ime in priimek, mogoče identificirati v povezavi s podatkom o tem, da je ta posameznik ustanovitelj ali družbenik ali zastopnik ali član nadzora v določenem subjektu vpisa v sodni register ali zastopnik ali ustanovitelj v določeni enoti poslovnega registra. Kot je bilo v postopku ugotovljeno, si mora uporabnik spletnega iskalnika tožeče stranke le pridobiti izpiske iz sodnega registra za tiste poslovne subjekte, za katere se zanima. Sodišče pritrjuje ugotovitvam tožene stranke, da se v spletnem iskalniku obdelujejo osebni podatki, saj je z imenom in priimkom naveden zastopnik, član vodstva, ustanovitelj ali član nadzornega sveta določenega poslovnega subjekta že določljiv, saj se ga da (v večini primerov) identificirati na način, ki ne povzroča veliko stroškov, nesorazmernega napora in ne zahteva veliko časa. Pri tem je res, da bo pri pogostejših imenih identifikacija posameznika povezana z večjimi stroški in večjim naporom ter porabo več časa, kot v primeru, ko gre za manj pogosta imena. Vendar pa gre v obeh primerih za osebni podatek iz 6. člena ZVOP-1. 16. Po 3. točki 6. člena ZVOP-1 obdelava osebnih podatkov pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana, slednja predstavlja obdelavo s sredstvi informacijske tehnologije (4. točka 6. člena ZVOP-1). V obravnavanem primeru nedvomno gre za obdelavo podatkov, ker gre za niz delovanj tožeče stranke, ki pomenijo pridobivanje osebnih podatkov od AJPES oziroma iz PRS za ponovno uporabo podatkov vseh enot poslovnega registra v širšem naboru, z zagotovljenimi dnevnimi spremembami, razkrivanje, sporočanje, širjenje ali drugo dajanje tako pridobljenih osebnih podatkov na razpolago uporabnikom storitev preko spletnega iskalnika. Tožeča stranka uporablja avtomatizirano obdelavo osebnih podatkov, ker gre za vzpostavitev spletnega iskalnika oziroma aplikacije A., ki deluje na podlagi računalniških programov oziroma programskih rešitev kar pa pomeni, da za opredelitev obdelave osebnih podatkov ni potreben obstoj zbirke osebnih podatkov.

17. Ne glede na to, pa je spletni iskalnik tožeče stranke mogoče šteti kot zbirko osebnih podatkov skladno s 5. točko 6. člena ZVOP-1, ki določa, da zbirka osebnih podatkov predstavlja vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Spletni iskalnik tožeče stranke vsebuje tudi osebna imena (ime in priimek) zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov, vse to pa je mogoče šteti za osebni podatek, saj gre za podatek, ki se nanaša na določljivega posameznika (že opredeljeno zgoraj).

18. ZVOP-1 v 8. členu določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (prvi odstavek). Iz drugega odstavka navedenega člena pa izhaja, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, kamor sodi tudi tožeča stranka, so določene v 10. členu ZVOP-1. V skladu s prvim odstavkom 10. člena ZVOP-1 se tako osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na navedeno se v zasebnem sektorju lahko obdelujejo tudi osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (drugi odstavek 10. člena ZVOP-1). Ne glede na prvi odstavek omenjenega člena ZVOP-1 se lahko v zasebnem sektorju obdelujejo osebni podatki tudi, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki, kar določa tretji odstavek 10. člena ZVOP-1. Temeljni princip varstva osebnih podatkov, ki je ustavno zajamčena pravica (38. člen Ustave RS), je torej, da je obdelava osebnih podatkov posameznika dopustna le, če je zanjo podana ena izmed zakonsko predvidenih pravnih podlag.

19. Tožena stranka je v obravnavani zadevi pravilno ugotovila, da tožeča stranka nima pravne podlage iz 10. člena ZVOP-1, da osebne podatke zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov, ki jih vodi in preko spletnega iskalnika ponuja uporabnikom, razkriva, sporoča, širi in daje na razpolago svojim uporabnikom. V obravnavanem primeru niti ne obstoji zakonska podlaga niti ni osebne privolitve posameznikov, obenem pa tožeča stranka ni v pogodbenih razmerjih s posamezniki (prvi in drugi odstavek 10. člena ZVOP-1). Tožeča stranka se v tožbi neutemeljeno sklicuje na javnost podatkov po ZSReg in ZPRS, ker to, da so določeni osebni podatki v določeni zbirki osebnih podatkov javni, še ne pomeni, da se lahko takšni osebni podatki skupaj z osebnimi podatki iz drugih javno dostopnih zbirk osebnih podatkov ter osebni podatki iz drugih javno dostopnih virov brez izrecne zakonske ali kakšne druge pravne podlage povežejo ali uporabljajo za vzpostavitev in vodenje neke nove zbirke osebnih podatkov ter da se lahko tako zbrani osebni podatki zatem shranjujejo, prilagajajo, uporabljajo, razkrivajo, sporočajo, širijo oziroma dajejo na razpolago drugim uporabnikom(1), kar v obravnavanem primeru dela tožeča stranka.

20. Tožena stranka je ugotovila, da tudi pravna podlaga iz tretjega odstavka 10. člena ZVOP-1 ni podana, kar pomeni, da ni izkazana nujnost obdelave teh podatkov zaradi uresničevanja zakonitih interesov zasebnega sektorja, ki bi očitno prevladovali nad interesi posameznika, na katerega se osebni podatki nanašajo. Sodišče ne vidi razlogov, ki bi omajali ta zaključek. Neutemeljeno je tožbeno grajanje, da bi tožena stranka morala uporabiti test, ki ga je v Mnenju št. 06/2014 predstavila Delovna skupina 29 (Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC). Prvi odstavek 29. člena Direktive o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov(2) določa, da se ustanovi Delovna skupina za varstvo posameznikov pri obdelavi osebnih podatkov, ki ima svetovalni status in deluje samostojno. Delovna skupina med drugim tudi preučuje vsa vprašanja, ki zajemajo uporabo nacionalnih predpisov, sprejetih na podlagi direktive, da bi prispevala k njihovi enoti uporabi in podaja mnenja (prvi odstavek 30. člena). Iz Mnenja št. 06/2014 izhaja, da gre za dokument s priporočili in smernicami nacionalnim državam. Na podlagi navedenega sodišče ugotavlja, da Mnenje št. 06/2014 nima obvezujoče narave. Poleg tega pa je po presoji sodišča tožena stranka v izpodbijani odločbi pravilno uporabila test sorazmernosti, katerega vsebina tehtanja interesov se v celoti prekriva z vsebino testa iz Mnenja št. 06/2014 Delovne skupine 29. Tožena stranka je v odgovoru na tožbo pojasnila, da se je pri uporabi testa sorazmernosti oprla na gradivo v zakonodajnem postopku sprejemanja sprememb ZSReg in ZPRS-1, kar pa nikakor ne pomeni, kot je to navedla že tožena stranka, da tožečo stranko, kot subjekta zasebnega sektorja, zavezujejo te določbe. V zakonodajnem postopku sprejemanja sprememb ZSReg in ZPRS-1 je zakonodajalec zavrnil predlog sprememb iskanja podatkov po SReg in PRS zgolj po imenu in priimku ter je kot iskalni kriterij določil kombinacijo osebnega imena ter EMŠO ali kombinacijo osebnega imena ter davčne številke ali kombinacijo osebnega imena ter naslova prebivališča, vpisanega v registra. Razlog za določitev takšnega iskalnega kriterija je v tem, da se osebni podatki ne razkrivajo po nepotrebnem (zgolj zaradi radovednosti), saj takšen poseg v ustavno pravico do varstva zasebnosti oziroma v pravico posameznika, da obdrži informacije o sebi, ker noče, da bi bili z njimi seznanjeni drugi (informacijska zasebnost) ni nujen niti ni primeren, obenem pa javni interes po večji transparentnosti in preglednosti podatkov ne prevlada nad ustavno zagotovljeno informacijsko zasebnost posameznikov.

K II. točki izreka:

21. Odločitev o zahtevi za povrnitev stroškov postopka temelji na četrtem odstavku 25. člena ZUS-1, po katerem, če sodišče tožbo zavrne ali zavrže, trpi vsaka stranka svoje stroške postopka.

opomba (1) : Prim. odločba Ustavnega sodišča RS v zadevi opr. št. U-I-98/11. opomba (2) :Direktiva Evropskega parlamenta in sveta 95/46 ES z dne 24. oktobra 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov.