Pravica dostopa posameznika, na katerega se nanašajo osebni podatki

Datum

11.05.2023

Številka

07120-1/2023/272

Kategorije

Pravica do seznanitve z lastnimi osebnimi podatki, Obdelava OP javnih uslužbencev in funkcionarjev

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da ste prejeli zahtevo posameznice za vpogled v njene osebne podatke v skladu z 12. in 15. členom Splošne uredbe o varstvu podatkov v zvezi s konkretnim postopkom, ki ga vodite. Zanima vas, če prav razumete, da morate posameznici pokazati le njene osebne podatke v dokumentaciji, ki je nastala tekom postopka, in ne celotnih dokumentov. V zvezi z zahtevo sprašujete še, na kakšen način naj omogočite vpogled, kaj sploh so osebni podatki (npr. ali je tak podatek tudi naziv), kako ravnati glede razkritja podpisov tretjih oseb na dokumentih ter na kakšen način lahko dokažete, da na določenem dokumentu ni osebnih podatkov posameznice.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

Vsak posameznik ima na podlagi 15. člena Splošne uredbe pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov (tj. praviloma kopija osebnih podatkov, ki se obdelujejo) ter določene informacije o obdelavi.

Sodišče Evropske unije je v sodbi C‑487/21 že presodilo, da pravica do kopije pomeni, da je treba posamezniku, na katerega se nanašajo osebni podatki, dati natančno in razumljivo reprodukcijo vseh teh podatkov. Ta pravica pomeni pravico do pridobitve kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki med drugim vsebujejo navedene podatke, če je predložitev take kopije nujna za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uresničevanje pravic po Splošni uredbi, pri čemer je treba upoštevati pravice in svoboščine drugih.

O zahtevi za dostop do osebnih podatkov mora upravljavec, ki ni državni organ ali samoupravna lokalna skupnost, odločiti skladno z 12. in 15. členom Splošne uredbe ter 14. členom ZVOP-2. IP v zvezi z uveljavljanjem pravic po Splošni uredbi nastopa kot nadzorni organ.

Obrazložitev

IP uvodoma opozarja, da v zvezi z uveljavljanjem pravic po Splošni uredbi nastopa kot nadzorni organ, zato v okviru mnenja upravljavcu ne more podati natančnih navodil, kako naj ravna v konkretnem primeru oziroma na kakšen način naj odgovori na konkretno zahtevo posameznika, saj bi s tem lahko prejudiciral svojo odločitev. Zato v nadaljevanju podaja splošne usmeritve glede pravice dostopa posameznika, na katerega se nanašajo osebni podatki, po 15. členu Splošne uredbe.

Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti 1) potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, 2) dostop do osebnih podatkov in 3) določene informacije, ki jih našteva Splošna uredba. Skladno s tretjim odstavkom 15. člena Splošne uredbe je upravljavec posamezniku dolžan zagotoviti tudi brezplačno kopijo osebnih podatkov, ki se obdelujejo, ta pa po četrtem odstavku istega člena ne sme vplivati negativno na pravice in svoboščine drugih.

Osebni podatki so skladno s 1. točko 4. člena Splošne uredbe katera koli informacija v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Pojem osebnega podatka se razlaga široko, pri čemer je pomembno, da se na določljivost posameznika ne gleda zgolj skozi zmožnosti enega subjekta, podjetja, organizacije, temveč širše, glede na vse zbirke osebnih podatkov. Identifikacija z osebnim imenom je sicer res najpogostejša v praksi, vendar osebno ime samo po sebi ni vedno nujno za identifikacijo posameznika. Prav tako je z vidika opredelitve osebnega podatka irelevantno, ali takšen podatek obenem predstavlja informacijo javnega značaja. Glede na to po mnenju IP ni dvoma, da opisna omemba posameznice po funkciji oziroma njen naziv predstavlja osebni podatek, ki se nanaša nanjo, saj je na podlagi teh informacij posameznica določljiva.

Na podlagi pravice po 15. členu Splošne uredbe se lahko posamezniku, ki je vložil zahtevo, posredujejo le osebni podatki, ki se nanašajo nanj. V določenih primerih pa je lahko podana situacija, ko se en osebni podatek nanaša na več oseb, torej ko so lahko osebni podatki tretjih oseb hkrati tudi osebni podatki vlagatelja zahteve (t.i. osebni podatki z dvojno naravo). V teh primerih je treba opraviti ustrezno tehtanje pravic in interesov vseh vpletenih upoštevaje okoliščine konkretnega primera.

Glede načina omogočanja dostopa po 15. členu Splošne uredbe IP pojasnjuje, da je posameznik praviloma upravičen ne le do vpogleda, temveč tudi do kopije osebnih podatkov, ki se nanašajo nanj. To pa ne pomeni nujno celotnega dokumenta, v katerem so ti podatki vsebovani. Kateri podatki so to v konkretnem primeru, boste morali presoditi sami, saj IP v okviru mnenja te presoje kot nadzorni organ ne more opraviti namesto vas.

V zvezi s tem IP dodaja, da je Sodišče Evropske unije v zadevi C‑487/21 že presodilo, da pravica do pridobitve kopije osebnih podatkov pomeni, da se posamezniku, na katerega se nanašajo osebni podatki, izroči natančna in razumljiva reprodukcija vseh teh podatkov. Pojasnilo je, da se izraz »kopija« ne nanaša na dokument kot tak, ampak na osebne podatke, ki jih vsebuje in ki morajo biti popolni. Kopija mora torej vsebovati vse osebne podatke, ki se obdelujejo. Pravica po tretjem odstavku 15. člena Splošne uredbe tako pomeni pravico do pridobitve kopije izvlečkov iz dokumentov ali celotnih dokumentov ali izvlečkov iz podatkovnih zbirk, ki vsebujejo navedene podatke, če je to nujno, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uresničevanje pravic, ki jih ima na podlagi Splošne uredbe, pri čemer je treba upoštevati pravice in svoboščine drugih. V primeru navzkrižja med uresničevanjem pravice do polnega in celovitega dostopa do osebnih podatkov na eni strani ter uresničevanjem pravic in svoboščin drugih na drugi je Sodišče menilo, da je treba zadevne pravice in svoboščine uravnotežiti. Pri tem je treba, kadar je to mogoče, izbrati načine posredovanja osebnih podatkov, ki ne vplivajo negativno na pravice ali svoboščine drugih, ob upoštevanju dejstva, da te ugotovitve ne smejo povzročiti, da se posamezniku, na katerega se nanašajo osebni podatki, zavrne dostop do vseh informacij.

[1][1] Več informacij o pravici dostopa do osebnih podatkov je na voljo na spletni strani IP.

Postopkovna pravila v zvezi z zahtevami posameznikov so urejena v 11. in 12. členu Splošne uredbe, kjer je predpisan rok za odgovor upravljavca en mesec po prejemu zahteve, nekatere postopkovne določbe pa vsebuje tudi ZVOP-2 v členih od 12 do 21. Skladno s 14. členom ZVOP-2 upravljavci, ki niso državni organi ali samoupravne lokalne skupnosti, o zahtevi praviloma odločijo s pisnim obvestilom, ne glede na vsebino odločitve. Odločitev mora vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu (IP) v roku 15 dni od seznanitve z odločitvijo po določbah točke f) prvega odstavka 15. člena Splošne uredbe. Odločitev ima lahko obliko uradnega zaznamka, ki se pošlje posamezniku na način, ki omogoča seznanitev z odločitvijo in dokazovanje njenega prejema.

Zoper molk upravljavca (tj. če posamezniku ne odgovori v enomesečnem ali v izjemoma podaljšanem roku) ali zoper zavrnilni odgovor upravljavca je mogoča pritožba oziroma prijava, za reševanje katere je pristojen IP. Ta se rešuje v »postopku na podlagi prijave prijavitelja s posebnim položajem« in poteka po pravilih ZVOP-2 (30. do 34. člen) in ZUP ter v skladu s preiskovalnimi pooblastili IP iz Splošne uredbe.

Osnovne informacije o pravici do seznanitve z lastnimi osebnimi podatki oziroma pravici dostopa po 15. členu Splošne uredbe so na voljo tudi na spletnih straneh IP:

·https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki

·https://upravljavec.si/pogosta-vprasanja/dostop-do-lastnih-osebnih-podatkov-obveznost-podjetij-do-strank-kot-tudi-v-delovnih-razmerjih/

Prav tako je IP na to temo izdal že več mnenj, ki so dostopna na povezavi https://www.ip-rs.si/mnenja-zvop-2/.

Pri odločanju o zahtevah za dostop pa so vam lahko v pomoč tudi Smernice 1/2022 o pravici po 15. členu Splošne uredbe, ki jih je izdal Evropski odbor za varstvo podatkov in vsebujejo mnogo koristnih napotkov za upravljavce. Dostopne so na naslednji povezavi: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_en.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

---

[1]Sodba v zadevi C‑487/21 je na voljo na povezavi: https://curia.europa.eu/juris/document/document.jsf;jsessionid=B7C4329567F5F03A6F8D7C2A43259D99?text=&docid=273286&pageIndex=0&doclang=SL&mode=lst&dir=&occ=first&part=1&cid=219983, sporočilo za medije št. 71/23 v tej zadevi pa na povezavi: https://curia.europa.eu/jcms/jcms/p1_3951991/da/.