Uveljavljanje pravic posameznika

Uveljavljanje pravic posameznika

Datum

Datum

20.05.2025

20.05.2025

Številka

Številka

07121-1/2025/607

07121-1/2025/607

Kategorije

Kategorije

Pravica do izbrisa - pozabe, Pravica do seznanitve z lastnimi osebnimi podatki

Pravica do izbrisa - pozabe, Pravica do seznanitve z lastnimi osebnimi podatki

pri Informacijskem pooblaščencu (v nadaljevanju IP) smo dne 8. 5. 2025 prejeli vaše zaprosilo za mnenje glede tega, kako je mogoče uveljavljati pravice, ki vam pripadajo po predpisih o varstvu osebnih podatkov, saj sumite, da podjetje IPSOS d.o.o. nezakonito obdeluje vaše osebne podatke . 

pri Informacijskem pooblaščencu (v nadaljevanju IP) smo dne 8. 5. 2025 prejeli vaše zaprosilo za mnenje glede tega, kako je mogoče uveljavljati pravice, ki vam pripadajo po predpisih o varstvu osebnih podatkov, saj sumite, da podjetje IPSOS d.o.o. nezakonito obdeluje vaše osebne podatke . 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) in/ali 5. točke prvega odstavka 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) in/ali 5. točke prvega odstavka 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kadar želi posameznik pridobiti podatek, kje je upravljavec pridobil njegove osebne podatke, lahko pri upravljavcu uveljavlja pravice iz Splošne uredbe. Med drugim lahko uveljavlja pravico do dostopa (15. člen), pri čemer mu mora upravljavec omogočiti dostop do informacij o tem, ali obdeluje njegove podatke, kateri podatki to so, na kakšni podlagi poteka obdelava ipd. Prav tako lahko pod določenimi pogoji zahteva izbris podatkov (17. člen).

Kadar želi posameznik pridobiti podatek, kje je upravljavec pridobil njegove osebne podatke, lahko pri upravljavcu uveljavlja pravice iz Splošne uredbe. Med drugim lahko uveljavlja pravico do dostopa (15. člen), pri čemer mu mora upravljavec omogočiti dostop do informacij o tem, ali obdeluje njegove podatke, kateri podatki to so, na kakšni podlagi poteka obdelava ipd. Prav tako lahko pod določenimi pogoji zahteva izbris podatkov (17. člen).

Vsakršna zahteva, s katero se uveljavlja navedena pravica, se mora vložiti neposredno pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Šele če je zahteva zavrnjena (rok za vložitev pritožbe je 15 dni od prejema zavrnilnega odgovora) ali nanjo upravljavec ne odgovori v enem mesecu, je IP pristojen delovati kot pritožbeni organ.

Vsakršna zahteva, s katero se uveljavlja navedena pravica, se mora vložiti neposredno pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Šele če je zahteva zavrnjena (rok za vložitev pritožbe je 15 dni od prejema zavrnilnega odgovora) ali nanjo upravljavec ne odgovori v enem mesecu, je IP pristojen delovati kot pritožbeni organ.

Če ima upravljavec ustanovitev v drugi državi članici EU, lahko IP samo sprejme pritožbo, vendar jo nato (če je popolna) posreduje v obravnavo pristojnemu nadzornemu organu po kraju ustanovitve upravljavca in posameznika obvesti o stanju zadeve.

Če ima upravljavec ustanovitev v drugi državi članici EU, lahko IP samo sprejme pritožbo, vendar jo nato (če je popolna) posreduje v obravnavo pristojnemu nadzornemu organu po kraju ustanovitve upravljavca in posameznika obvesti o stanju zadeve.

Obrazložitev

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov, konkretnih rešitev in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov, konkretnih rešitev in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

Z vidika varstva osebnih podatkov IP pojasnjuje, da kadar želi posameznik pridobiti podatek, kje je upravljavec pridobil njegove osebne podatke, lahko pri upravljavcu osebnih podatkov uveljavlja pravice iz Poglavja III Splošne uredbe (12. do 22. člen), kamor med drugim sodijo pravica do dostopa (15. člen), do popravka (16. člen), do izbrisa (ali pozabe, 17. člen), do omejitve obdelave (18. člen), do prenosljivosti podatkov (20. člen), do ugovora (21. člen) ter pravica, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov (22. člen).

Z vidika varstva osebnih podatkov IP pojasnjuje, da kadar želi posameznik pridobiti podatek, kje je upravljavec pridobil njegove osebne podatke, lahko pri upravljavcu osebnih podatkov uveljavlja pravice iz Poglavja III Splošne uredbe (12. do 22. člen), kamor med drugim sodijo pravica do dostopa (15. člen), do popravka (16. člen), do izbrisa (ali pozabe, 17. člen), do omejitve obdelave (18. člen), do prenosljivosti podatkov (20. člen), do ugovora (21. člen) ter pravica, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov (22. člen).

V vašem primeru IP izpostavlja pravico do dostopa. Skladno s 15. členom Splošne uredbe mora upravljavec posamezniku na njegovo zahtevo posredovati potrditev, ali se v zvezi z njim obdelujejo osebni podatki in omogočiti vpogled ali posredovati reprodukcijo teh osebnih podatkov, torej zagotoviti dostop do njihove vsebine. Če se osebni podatki posameznika pri upravljavcu res obdelujejo, mu mora omogočiti dostop tudi do določenih informacij, to so npr. informacije o namenih obdelave, vrstah zadevnih osebnih podatkov, podatke o uporabnikih, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti o uporabnikih v tretjih državah ali mednarodnih organizacijah in, kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom.

V vašem primeru IP izpostavlja pravico do dostopa. Skladno s 15. členom Splošne uredbe mora upravljavec posamezniku na njegovo zahtevo posredovati potrditev, ali se v zvezi z njim obdelujejo osebni podatki in omogočiti vpogled ali posredovati reprodukcijo teh osebnih podatkov, torej zagotoviti dostop do njihove vsebine. Če se osebni podatki posameznika pri upravljavcu res obdelujejo, mu mora omogočiti dostop tudi do določenih informacij, to so npr. informacije o namenih obdelave, vrstah zadevnih osebnih podatkov, podatke o uporabnikih, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti o uporabnikih v tretjih državah ali mednarodnih organizacijah in, kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom.

Dalje IP izpostavlja tudi pravico do izbrisa osebnih podatkov, ki je možen pod pogoji iz 17. člena Splošne uredbe (med drugim npr. kadar osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani, kadar posameznik prekliče privolitev v obdelavo, pa zanjo ne obstaja druga pravna podlaga ali kadar je bila obdelava nezakonita).

Dalje IP izpostavlja tudi pravico do izbrisa osebnih podatkov, ki je možen pod pogoji iz 17. člena Splošne uredbe (med drugim npr. kadar osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani, kadar posameznik prekliče privolitev v obdelavo, pa zanjo ne obstaja druga pravna podlaga ali kadar je bila obdelava nezakonita).

Vsakršna zahteva, s katero se uveljavlja posamezna pravica, se mora vložiti neposredno pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja, informacije oziroma zavrnilni odgovor pa mora posredovati najkasneje v enem mesecu po prejemu zahteve. Če upravljavec na zahtevo za izbris ne odgovori v enomesečnem roku, lahko posameznik pri IP kot pritožbenem organu vloži pritožbo. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v roku 15 dni od prejema zavrnilnega odgovora upravljavca.[1]

Vsakršna zahteva, s katero se uveljavlja posamezna pravica, se mora vložiti neposredno pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja, informacije oziroma zavrnilni odgovor pa mora posredovati najkasneje v enem mesecu po prejemu zahteve. Če upravljavec na zahtevo za izbris ne odgovori v enomesečnem roku, lahko posameznik pri IP kot pritožbenem organu vloži pritožbo. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v roku 15 dni od prejema zavrnilnega odgovora upravljavca.[1]

Glede navedbe, da ima podjetje sedež v tuji državi IP opozarja še, da pri morebitnem čezmejnem postopku veljajo določene omejitve glede pristojnosti. V skladu s 55. členom Splošne uredbe je namreč IP pristojen le za postopke na ozemlju svoje države članice, torej Republike Slovenije. Pristojnost je konkretno odvisna od tega, kje ima upravljavec svojo glavno ustanovitev. Glavna ustanovitev je opredeljena kot kraj osrednje uprave v EU ali, kadar se odločitve o namenih in sredstvih obdelave osebnih podatkov sprejemajo na drugi ustanovitvi upravljavca v EU in ima ta ustanovitev pooblastila za izvajanje takih odločitev, ustanovitev, ki sprejema take odločitve.

Glede navedbe, da ima podjetje sedež v tuji državi IP opozarja še, da pri morebitnem čezmejnem postopku veljajo določene omejitve glede pristojnosti. V skladu s 55. členom Splošne uredbe je namreč IP pristojen le za postopke na ozemlju svoje države članice, torej Republike Slovenije. Pristojnost je konkretno odvisna od tega, kje ima upravljavec svojo glavno ustanovitev. Glavna ustanovitev je opredeljena kot kraj osrednje uprave v EU ali, kadar se odločitve o namenih in sredstvih obdelave osebnih podatkov sprejemajo na drugi ustanovitvi upravljavca v EU in ima ta ustanovitev pooblastila za izvajanje takih odločitev, ustanovitev, ki sprejema take odločitve.

Če torej sumite, da družba z ustanovitvijo v drugi državi članici EU, nezakonito obdeluje vaše osebne podatke, je verjetno, da bo tam tudi pristojni nadzorni organ. V vsakem primeru pa lahko posameznik vloži pritožbo pri ostalih EU nadzornih organih, zlasti v državi članici, kjer ima običajno bivališče. Skladno s 77. členom Splošne uredbe ta nadzorni organ (iz vašega dopisa je moč sklepati, da je to IP), če ugotovi, da je pritožba popolna, le-to posreduje pristojnemu nadzornemu organu, posameznika pa obvesti o stanju zadeve.

Če torej sumite, da družba z ustanovitvijo v drugi državi članici EU, nezakonito obdeluje vaše osebne podatke, je verjetno, da bo tam tudi pristojni nadzorni organ. V vsakem primeru pa lahko posameznik vloži pritožbo pri ostalih EU nadzornih organih, zlasti v državi članici, kjer ima običajno bivališče. Skladno s 77. členom Splošne uredbe ta nadzorni organ (iz vašega dopisa je moč sklepati, da je to IP), če ugotovi, da je pritožba popolna, le-to posreduje pristojnemu nadzornemu organu, posameznika pa obvesti o stanju zadeve.

V upanju, da smo vam odgovorili na vaša vprašanja, vas lepo pozdravljamo.

V upanju, da smo vam odgovorili na vaša vprašanja, vas lepo pozdravljamo.

dr. Jelena Virant Burnik,

dr. Jelena Virant Burnik,

informacijska pooblaščenka

informacijska pooblaščenka