Pravica do pozabe oz. izbrisa lastnih osebnih podatkov iz spletnega portala

Datum

11.07.2024

Številka

07121-1/2024/796

Kategorije

Pravica do izbrisa - pozabe, Svetovni splet

Pri Informacijskem pooblaščencu (IP) smo dne 24. 6. 2024 prejeli vaš dopis, v katerem pojasnjujete, da naj bi spletni portal ... poobjavil vaše osebne podatki, ki naj bi bili sicer že javno objavljeni v poslovnem registru Ajpes, saj ste kot samostojni podjetnik morali poslovnemu registru poročati svoje bilance in poslovni izpit. Pojasnjujete, da ste portal že zaprosili za izbris osebnih podatkov. Zanima vas, kako lahko postopate, da bi zadevne podatke zavarovali pred javnostjo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Vsak posameznik ima v okviru lastnega varstva osebnih podatkov pravico do pozabe oz. izbrisa lastnih osebnih podatkov. Za uveljavljanje te pravice se mora posameznik obrniti naprej neposredno na upravljavca osebnih podatkov. Šele ob zavrnitvi oz. ob molku odgovora s strani upravljavca, se posameznik lahko s pritožbo obrne na IP.

Obrazložitev

Uvodoma pojasnjujemo, da je IP na področju pravice do pozabe oz. izbrisa osebnih podatkov pritožbeni organ. To pomeni, da skladno z načelom zakonitosti, IP ne more in ne sme v okviru neobveznega mnenja zavzemati stališč, ali bi vam v konkretnem primeru pripadala pravica do pozabe oz. izbrisa ali ne, saj bi s tem lahko prejudiciral svojo odločitev v morebitnem pritožbenem postopku. V nadaljevanju vam zato zgolj neformalno svetujemo, na podlagi naše dosedanje prakse na področju.

Pravica do pozabe oziroma pravica do izbrisa je urejena v 17. členu Splošne uredbe o varstvu podatkov. Ta pravica posamezniku omogoča, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar je podan eden od naslednjih razlogov:

a)osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

b)posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

c)posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);

d)osebni podatki so bili obdelani nezakonito;

e)osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

f)osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

Ob tem je treba izpostaviti, da pravica do pozabe oz. izbrisa ni neomejena. Splošna uredba v tretjem odstavku 17. člena, da se posameznik, na katerega se nanašajo osebni podatki, ne more sklicevati na pravico do izbrisa, če je obdelava potrebna:

a)za uresničevanje pravice do svobode izražanja in obveščanja;

b)za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

c)iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

d)za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 9(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

e)za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

IP v zvezi z uveljavljanjem pravic varstva osebnih podatkov pojasnjuje, da se mora zahteva za pozabo oz. izbris osebnih podatkov vložiti najprej neposredno pri upravljavcu (v vašem primeru pri upravljavcu spletnega portala ...) , za katerega posameznik meni, da obdeluje njegove osebne podatke. Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja. Informacije oziroma zavrnilni odgovor mora posredovati najkasneje v enem mesecu po prejemu zahteve. V skladu z drugim odstavkom 14. člena ZVOP-2 pa mora odločitev upravljavca vsebovati razloge zanjo in informacijo o pravici do pritožbe ter roku za njeno vložitev.

Če upravljavec na zahtevo za seznanitev ali izbris ne odgovori v enomesečnem roku, lahko posameznik pri IP kot pritožbenem organu vloži pritožbo. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v roku 15 dneh od prejema zavrnilnega odgovora upravljavca. Pri uveljavljanju pravice do pritožbe si lahko pomagate tudi z obrazcem, ki ga je v ta namen pripravil IP (https://www.ip-rs.si/obrazci).

Glede nadaljnje obdelave osebnih podatkov objavljenih v poslovnem registru IP zgolj na kratko pojasnjuje, da se sicer osebni podatki ustanoviteljev, družbenikov, članov ali zastopnikov pravnega subjekta, skladno z ZGD-1, ZSReg in ZPRS-1 vpisujejo v sodni/poslovni register, ti podatki pa se vodijo in obdelujejo zaradi varnosti pravnega prometa ter so v predpisanem okviru javni in prosto dostopni v javnih evidencah AJPES, uporabljajo pa se lahko le v skladu z namenom, za katerega so bili zbrani ali se obdelujejo, torej zaradi varnosti pravnega prometa. IP namreč poudarja, da osebni podatki z vpisom v sodni register ne izgubijo statusa varovanega osebnega podatka v zvezi s fizično osebo (npr. podatki zakonitega zastopnika poslovnega subjekta so še vedno varovani osebni podatki, četudi so za določen namen javno objavljeni; enako velja za ime in priimek nosilca s.p., kadar se obdeluje v zvezi s fizično osebo in ne v zvezi z dejavnostjo s.p.). Status varovanega osebnega podatka tako ne velja zgolj za podatke o poslovnih subjektih (četudi so morda v določenem delu enaki kot za fizično osebo - npr. ime in priimek s.p. je enak imenu in priimku fizične osebe, ki je nosilec s.p.).

Pri tem velja upoštevati še 86. člen ZVOP-2, ki določa, da se lahko osebni podatki iz javne knjige, urejene z zakonom (torej tudi iz javnega poslovnega registra), uporabljajo le v skladu z namenom, za katerega so bili zbrani ali se obdelujejo, če je zakoniti namen njihovega zbiranja ali obdelave določen. Torej je treba pri nadaljnji obdelavi osebnih podatkov, pridobljenih iz javnih virov, še vedno izhajati iz namena, zaradi česar so bili osebni podatki zbrani oziroma določeni za javne. Kot je v svoji odločbi zapisalo Ustavno sodišče RS (sicer v zvezi z zemljiškim katastrom; št. U-I-I98/11-17, z dne 26. 9. 2012), namen zarisuje meje dopustne obdelave osebnih podatkov. Tudi ko gre za javno dostopne osebne podatke, je treba pri vsakokratnem načinu njihove obdelave izhajati iz namena, zaradi katerega so bili ti podatki določeni za javne; dejstvo, da je določen osebni podatek z objavo v neki evidenci že postal dostopen javnosti, ne pomeni, da je s tem izgubil naravo osebnega podatka in da je odtlej dopustna vsakršna nadaljnja obdelava takega podatka. Za vsako posamezno obdelavo osebnih podatkov mora namreč obstajati ustrezna in zakonita pravna podlaga glede na 6. oz. 9. člen Splošne uredbe (o tem glej mnenje IP št. 07121-1/2023/1555 z dne 12. 12. 2023).

V upanju, da smo odgovorili na vaše vprašanje, vas lepo pozdravljamo,

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka