Jedro

Obdelava osebnih podatkov posameznika je dopustna le, če je zanjo podana ena izmed zakonsko predvidenih pravnih podlag.

Kot podatkov, katerih obdelava je potrebna in primerna za izpolnjevanje pogodbe med zasebnim sektorjem in posameznikom (drugi odstavek 10. člena ZVOP-1), ni mogoče opredeliti katerih koli osebnih podatkov, ki jih je mogoče povezati s pogodbo oziroma obdelava katerih bi bila koristna ali bi olajšala sklenitev oziroma izvajanje pogodbe, ampak je kot takšne mogoče šteti samo tiste osebne podatke, brez katerih določene pogodbe sploh ne bi bilo mogoče izpolnjevati. Takšno interpretacijo terja načelo sorazmernosti.

Sklicevanje tožnice, da podatek o domačem naslovu uporabnika potrebuje za izvajanje pogodbe v smislu izpolnjevanja zahtev iz določil 43b. oziroma 43c. člena ZVPot, ni utemeljeno. Vse določbe ZVPot je treba razlagati tako, da se doseže namen oziroma cilj, zaradi katerega je bil ta zakon sprejet, to pa je varstvo pravic potrošnikov in ne morebiti interesov nasprotne stranke. Iz navedenih določil ZVPot ne izhaja, da v njih vsebovanih zahtevam ne bi moglo biti zadoščeno s tem, da tožnica podatke iz 43b. člena oziroma pogodbena določila uporabniku pošlje na elektronski naslov v primerni obliki, ki omogoča njihovo shranjevanje za kasnejšo uporabo in njihovo nespremenjeno predstavitev. Tem zahtevam lahko zadosti tudi po elektronski pošti poslana datoteka ustreznega formata. Če pa bo uporabnik želel podatke oziroma pogodbene pogoje prejeti na papirju, bo tožnici prostovoljno posredoval naslov, na katerega naj mu jih pošlje. Prav tako ni mogoče pritrditi stališču tožnice, da brez podatka o domačem naslovu zoper uporabnika nikakor ne bo mogla sprožiti sodnega postopka, češ da temu ne bo mogoče vročiti pisanj.

Kot osebno privolitev posameznika za obdelavo osebnih podatkov je mogoče šteti zgolj tisto izjavo volje posameznika, da se njegovi osebni podatki obdelujejo za določen namen, ki je dana prostovoljno na podlagi informacij, ki jih mora zagotoviti upravljavec. Stališče, ki ga zagovarja tožnica, da se uporabnik pač lahko svobodno odloči za sklenitev pogodbe, če pa se za to odloči, mora pristati na posredovanje vseh z njene strani kot obveznih zahtevanih podatkov, bi pomenilo, da lahko izvajalec kot pogoj za koriščenje storitve od uporabnika zahteva kakršenkoli osebni podatek, ki ga želi. To stališče je očitno neskladno z namenom in določili ZVOP-1.

Izrek

Tožba se zavrne.

Obrazložitev

Z izpodbijano odločbo je Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) naložil tožnici, da v roku 10 dni od vročitve odločbe preneha zbirati določene osebne podatke posameznikov kot pogoj za koriščenje storitve izposoje koles v okviru sistema A., in sicer: od posameznikov, ki se v sistem registrirajo preko prijave na letno naročnino prek spleta in plačila s kreditno kartico, podatke o spolu, domačem naslovu in številki mobilnega telefona (1. točka izreka), od posameznikov, ki se registrirajo preko prijave na letno naročnino prek spleta in plačila z direktno obremenitvijo, podatka o spolu in številki mobilnega telefona (2. točka izreka), navedena podatka pa mora prenehati zbirati tudi od posameznikov, ki se registrirajo preko prijave na letno naročnino po pošti in plačila z direktno obremenitvijo (3. točka izreka). Tožnici je bilo naloženo, da o izvedenih ukrepih najkasneje v 3 dneh pisno obvesti Pooblaščenca (4. točka izreka), pod 5. točko izreka pa ugotovljeno, da posebni stroški v postopku niso nastali.

Iz obrazložitve je razvidno, da odločba temelji na ugotovitvah inšpekcijskega postopka, kot izhajajo iz prijav, zapisnikov o inšpekcijskih ogledih ter dopisov in dokumentov, ki jih je predložila tožnica. Po prijavah, da ob registraciji tožnica, kot pogoj za koriščenje storitve izposoje mestnih koles, od posameznika zahteva veliko število tudi nepotrebnih osebnih podatkov, je namreč Pooblaščenec opravil inšpekcijski ogled ter ugotovil, da tožnica omenjeno storitev izvaja po pogodbi o javno-zasebnem partnerstvu z Mestno občino B. in da je upravljavec pri tem zbranih osebnih podatkov. Izposoja koles temelji na obdelavi podatkov, shranjenih v sistemu C. na strežnikih tožničinega pogodbenega partnerja v državi Č. Obstajajo štiri različice prijave oziroma uporabe glede na čas koriščenja storitve, način prijave in način plačila, in sicer: prijava na tedensko naročnino prek spleta in plačila s kreditno kartico, prijava na letno naročnino prek spleta in plačila s kreditno kartico, prijava na letno naročnino prek spleta in plačila z direktno obremenitvijo ter prijava na letno naročnino po pošti in plačila z direktno obremenitvijo. Glede na izbrano varianto se zbira različen nabor osebnih podatkov uporabnikov storitve. V nadaljevanju je podrobno opisan potek postopka, v katerem je bilo med drugim ugotovljeno, da je prijavo na letno naročnino s plačilom s kreditno kartico mogoče uspešno izvesti, čeprav se posredujejo neresnični podatki, razen podatkov o kreditni kartici in elektronskem naslovu.

Po sklicevanju na načelo sorazmernosti in določila 8. člena Zakona o varstvu osebnih podatkov (v nadaljevanju ZVOP-1) Pooblaščenec pojasni, da tožnica sodi v zasebni sektor, zato je ugotavljal, ali ima obdelavo vsakega od osebnih podatkov katero od pravnih podlag iz 10. člena ZVOP-1. Ker ne obstaja nobena posebna zakonska podlaga za to in ker tudi ne obstajajo nobeni zakoniti interesi tožnice, ki bi očitno prevladali nad interesi uporabnikov, je presojal, ali lahko tožnica obdelavo vseh osebnih podatkov upraviči s tem, da je potrebna in primerna za izvajanje pogodbe z uporabnikom, kot je tudi utemeljevala v postopku, ali pa za obdelavo potrebuje osebno privolitev uporabnika.

Po presoji Pooblaščenca je vse pri prijavi na tedensko naročnino obvezno zahtevane osebne podatke, to je elektronski naslov, PIN kodo (ki jo uporabnik sam izbere) ter podatke o številki, varnostni kodi in datumu veljavnosti kreditne kartice, mogoče opredeliti kot potrebne in primerne za izpolnjevanje pogodbe z uporabnikom. Podatki o kreditni kartici so potrebni za njeno validacijo in izvedbo transakcije; poleg tega omogočajo identifikacijo imetnika kartice (ki se sicer ne izvaja avtomatično), tudi v primeru morebitne zlorabe. PIN koda je ključ za dostop do storitve. Ker prijava poteka po spletu, je potreben in primeren tudi podatek o elektronskem naslovu, na katerega tožnica uporabniku pošlje povratno potrditveno sporočilo, ki je sestavni del postopka sklenitve pogodbe.

Pri prijavi na letno naročnino prek spleta in plačila s kreditno kartico se zahteva bistveno več obveznih osebnih podatkov. Obdelava v prejšnji točki navedenih podatkov je iz istih razlogov tudi pri tej različici, ki se od prejšnje razlikuje le v trajanju naročnine, potrebna in primerna za izvajanje pogodbe. Kot takšno je, opozarja Pooblaščenec, upoštevaje načelo sorazmernosti, sicer mogoče opredeliti samo obdelavo tistih osebnih podatkov, brez katerih določene pogodbe sploh ne bi bilo mogoče izvajati. Temu pogoju pri obravnavani različici ustrezajo še ime in priimek ter datum rojstva, saj omogočajo osnovno identifikacijo uporabnika, datum rojstva pa je potreben tudi, ker je koriščenje storitve omejeno na osebe, starejše od štirinajstih let. Niso pa za izpolnjevanje pogodbe potrebni in primerni podatki o uporabnikovem spolu, domačem naslovu in številki mobilnega telefona. Nobena pogodbena pravica ali obveznost ni odvisna od spola uporabnika, zgolj z razlogom pravilnega naslavljanja uporabnika pa obdelave tega podatka ni mogoče upravičiti in jo je zato treba prepustiti svobodni volji uporabnika. Enako velja za domači naslov in številko mobilnega telefona. Tožnica lahko z uporabnikom komunicira po elektronski pošti; komunikacija po navadni pošti ali telefonu za tovrstno pogodbo ni potrebna in ne običajna, seveda pa lahko uporabnik, če želi, npr. za primere izrednih situacij, podatke posreduje prostovoljno, kot je predvideno za navadno telefonsko številko.

Od obvezno zahtevanih podatkov pri prijavi na letno naročnino prek spleta in plačila z direktno obremenitvijo so za izpolnjevanje pogodbe potrebni in primerni ime in priimek ter datum rojstva uporabnika, njegov naslov in elektronski naslov, PIN koda, številka plačilnega računa - IBAN in identifikacijska oznaka banke. Razlogi za obdelavo podatkov o datumu rojstva in elektronskem naslovu so bili že navedeni, ostali podatki pa so potrebni za izvedbo direktne obremenitve kot izbranega načina plačila. Podatka o spolu in mobilni številki uporabnika za izpolnjevanje pogodbe nista potrebna iz razlogov, navedenih v prejšnji točki obrazložitve. Vse povedano velja tudi glede osebnih podatkov, ki se kot obvezni zahtevajo pri prijavi na letno naročnino po pošti in plačilu z direktno obremenitvijo.

Sklicevanje tožnice, da zahtevani nabor osebnih podatkov vsebuje aplikacija C. oziroma od pogodbenega obdelovalca prevzeti obrazci, Pooblaščenec zavrne s pojasnilom, da mora tožnica upoštevati določila ZVOP-1. Zavrača tudi njeno trditev, da vse te podatke potrebuje (tudi) zaradi identifikacije uporabnika, saj je ta mogoča že na podlagi osebnih podatkov, ki jih tudi po izdaji odločbe sme zbirati kot obvezne. Druge podatke lahko zbira na podlagi osebne privolitve posameznika. Zato mora tožnica v prijavnih obrazcih jasno razmejiti med obveznimi osebnimi podatki, ki jih lahko zbira na podlagi drugega odstavka 10. člena ZVOP-1, in tistimi, ki sicer niso potrebni za izvajanje pogodbe, lahko pa ga olajšajo in poenostavijo. Posredovanje teh mora biti prepuščeno svobodni volji uporabnika in jih je zato v prijavnih obrazcih treba opredeliti kot neobvezne, uporabnika pa seznaniti z namenom njihove obdelave. Ker je v obstoječih obrazcih posredovanje (tudi) teh podatkov za koriščenje storitve obvezno, se tožnica ne more sklicevati na osebno privolitev posameznika kot podlago za njihovo obdelavo. Po navedenem je Pooblaščenec na podlagi določil ZVOP-1 in Zakona o inšpekcijskem nadzorstvu izdal izpodbijano odločbo.

Tožnica odločbo izpodbija s tožbo v upravnem sporu in predlaga, da jo sodišče po izvedbi predlaganih dokazov odpravi, oziroma podrejeno, da ugotovi nezakonitost odločbe v delu, ki se nanaša na zbiranje osebnih podatkov o naslovu in telefonski številki uporabnika, ter jo spremeni tako, da odloči, da mora tožnica prenehati zbirati podatke o spolu uporabnika, oziroma temu podrejeno, da ugotovi nezakonitost odločbe v delu, ki se nanaša na zbiranje osebnih podatkov o naslovu uporabnika, ter jo spremeni tako, da odloči, da mora tožnica prenehati zbirati podatke o spolu in številki mobilnega telefona uporabnika.

Navaja, da obravnavane podatke zbira zaradi identifikacije uporabnika in želje po vljudnem, osebnem odnosu z njim, zlasti to velja za podatke o imenu in priimku ter spolu, ki omogočajo pravilno naslavljanje uporabnika. Podatke shranjuje zaradi identifikacije uporabnika pri vsaki posamični izposoji, nadzora nad dolžino uporabe kolesa in zaračunavanja uporabnine za izposojo, daljšo od ene ure. Predvsem je možnost identifikacije uporabnika pomembna v primeru zlorabe: poškodovanja ali kraje kolesa ali neplačila storitve, ko zbrani podatki tožnici omogočajo vzpostavitev kontakta in dogovor o reševanju zapleta z uporabnikom. Podatek o njegovem naslovu omogoča komunikacijo po navadni pošti, potreben je tudi, če uporabnik spremeni ali ukine elektronski naslov in tega ne sporoči. Izpodbijana odločitev je v nasprotju z zahtevami 43b. oziroma 43c. člena Zakona o varstvu potrošnikov (v nadaljevanju ZVPot), da uporabniku zagotovi določene informacije na primernem trajnem nosilcu podatkov (to je papir, USB ključek, CD, DVD), kar brez podatka o domačem naslovu ni mogoče. Podatek o telefonski številki uporabnika zbira zaradi možnosti takojšnje vzpostavitve stika z njim, ko npr. ni jasno, ali kolesa ni pravočasno vrnil ali gre le za napako v sistemu, in zato računa ali kartice ne bi bilo upravičeno bremeniti za plačilo varščine. Sklicuje se tudi na temeljno načelo pogodbene svobode, v skladu s katerim bi moralo biti izvajalcu storitve prepuščeno, da od sopogodbenika zahteva razkritje identitete in vseh kontaktnih podatkov. Da lahko uporabnik prijavo v sistem opravi tudi z navedbo določenih neresničnih podatkov, ne more biti odločilno. To namreč pri spletnem poslovanju ni izjema, resničnosti vseh podatkov tudi tehnično in pravno ni mogoče preverjati, ker bi to zahtevalo vpogled v matične evidence po celem svetu. Zmotno in v nasprotju s predloženo dokumentacijo je stališče, da naj uporabniki ne bi podali soglasja za zbiranje obravnavanih osebnih podatkov. Uporaba storitve je prostovoljna, uporabnik se prostovoljno odloči za registracijo, ki pa jo lahko uspešno izvede le s sprejemom splošnih pogojev dostopa in uporabe mestnega kolesa „A.“ (v nadaljevanju splošni pogoji), s čimer potrdi pravilnost svojih osebnih podatkov in poda izrecno soglasje za njihovo zbiranje in obdelavo za namen izvajanja pogodbe.

Toženka v odgovoru na tožbo vztraja pri odločbi in njenih razlogih ter predlaga, da sodišče tožbo zavrne. Izpostavlja, da namen komunikacije z uporabnikom in zavarovanja pred oškodovanjem lahko tožnica doseže že s podatki, ki jih sme zbirati kot obvezne. Na to ne nazadnje kaže nabor, ki ga zahteva pri prijavi na tedensko naročnino. Določila ZVPot glede na daljavo sklenjenih pogodb ne zahtevajo obveznega pošiljanja podatkov stranki po navadni pošti na domači naslov. Ta podatek se zbira npr. v primeru prodaje blaga, ki ga ponudnik pošlje na kupčev naslov in je ta zato potreben. Tožnica pa zbira tudi osebne podatke uporabnikov, ki niso potrebni za izpolnjevanje pogodbe, zato mora pridobiti njihovo privolitev. Pri tem se toženka ne strinja, da uporabnik ustrezno soglasje poda že s potrditvijo splošnih pogojev, in opozarja na zakonsko definicijo osebne privolitve. Glede načela pogodbene svobode je treba upoštevati omejitve iz ZVOP-1 in tudi, da se storitev izvaja v okviru javno-zasebnega partnerstva.

V nadaljnjih vlogah obe stranki vztrajata pri svojih navedbah in svoja stališča dodatno utemeljujeta.

Tožnica opozarja, da letna naročnina ni primerljiva s tedensko, ker gre pri tej za kratkoročno razmerje in zato za statistično manjšo verjetnost zapletov. A. ni javna storitev, ampak zasebni projekt v javnem interesu, storitev je sicer omogočena vsakemu uporabniku, vendar mora sprejeti splošne pogoje, s čimer poda osebno privolitev za obdelavo podatkov, ki so potrebni in primerni za izvajanje pogodbe. Toženka upošteva le pravice uporabnika, vendar je treba njegovo ustavno pravico do varstva osebnih podatkov tehtati glede na prav tako ustavno zavarovano lastninsko pravico tožnice, v katero se poseže z izvajanjem storitve. Pogodba se izpolni, ko vsaka od strank, tudi uporabnik izpolni svojo obveznost. Zgolj elektronski naslov in podatki o kreditni kartici ne zadoščajo. Do zlorabe namreč lahko pride tudi zaradi poteka veljavnosti kreditne kartice ali ukinitve plačilnega računa. Takojšnjega odziva uporabnika po elektronski pošti ni mogoče pričakovati, večina pa je dosegljiva na mobilni telefon. Kot vsaka pogodbena stranka ima tožnica pravico pridobiti podatke, potrebne za natančno identifikacijo nasprotne stranke. Na podlagi podatkov, ki jih sme zbirati, uporabnik ni določen oziroma določljiv za potrebe uradnega oziroma sodnega postopka, ki jih je sicer zanemarljivo malo. Izdajatelj kartice teh tožnici ne bo posredoval in bi jih lahko zahtevala šele v sodnem postopku, ki pa ga brez domačega naslova uporabnika sploh ne bo mogla sprožiti. Ne drži, da bi svoje pravice lahko zavarovala z vezavo naročnine na veljavnost kreditne kartice, ker je treba upoštevati tehnične možnosti sistema. Nekaterih zahtevanih osebnih podatkov res ne preverja, ker to ni mogoče; 18. člen ZVOP-1 za ta primer ni relevanten, ker ne pride do osebnega stika med pogodbenima strankama. Sicer pa je treba v spletnih trgovinah tudi v primeru osebnega prevzema blaga obvezno navesti domači naslov in številko telefona, pa tudi pri knjižnični izposoji je ob vpisu treba navesti domači naslov. Toženka napačno tolmači določila ZVPot. Elektronska pošta in svetovni splet sta dve različni sredstvi za komuniciranje na daljavo, zato v obravnavanem primeru ni mogoče uporabiti izjeme po tretjem odstavku 43b. člena ZVPot in lahko tožnica z zakonom predpisane obveznosti izpolni le, če pozna uporabnikov domači naslov ali pa bi se moral uporabnik zglasiti pri njej in osebno prevzeti podatke na trajnem nosilcu.

Toženka meni, da bi zakonodajalec, če bi kot ustrezno štel le obveščanje na domači naslov potrošnika v pisni obliki, to jasno določil. Tožnica ima vedno na razpolago vsaj en kanal za komunikacijo z uporabnikom, ki ga je sama izbrala in po katerem mu lahko zagotovi tudi informacije iz ZVPot. Sicer pa naj tožnica zagotovi podatke in dokaze, da je do izdaje odločbe svoje uporabnike obveščala po navadni pošti na njihove domače naslove oziroma kakšno je bilo razmerje med tem in drugimi načini obveščanja in ali se je način obveščanja po izdaji odločbe spremenil. Tudi po mnenju Tržnega inšpektorata je zahtevam ZVPot zadoščeno že z obveščanjem po elektronski pošti. Uporabnik, ki bo zahteval pogodbene pogoje na papirju, pa bo seveda moral posredovati podatek o svojem naslovu. Pri presoji, ali odločitev posameznika za sklenitev pogodbe hkrati pomeni tudi njegovo privolitev v obdelavo vseh osebnih podatkov, ki jih zahteva nasprotna stranka, je treba upoštevati vse okoliščine primera. Ob stališčih, ki jih zagovarja, bi tožnica od uporabnikov lahko zahtevala kakršnekoli osebne podatke. Tehtanje pravic je opravil že zakonodajalec, ko je v ZVOP-1 določil pogoje, pod katerimi je dopustno poseči v pravico do varstva osebnih podatkov. Praksa obdelave osebnih podatkov v drugih primerih ni bila predmet postopka, toženka pa pripominja, da spletne trgovine, ki jih omenja tožnica, ne zahtevajo podatka o bančnem računu ali kreditni kartici kot pogoj za registracijo, zato primerov ni moč enačiti. Ko se tožnica sklicuje, da zahtevane podatke potrebuje za identifikacijo nasprotne stranke in uveljavljanje zahtevkov, ne pojasni, kako to stori v primeru tedenske naročnine ali če ji stranka posreduje netočne ali lažne podatke. Ne drži, da preverjanje osebnih podatkov pravno ni mogoče, 18. člen ZVOP-1 ga celo zahteva. Tožnica bi morala upoštevati težo posledic, ki jih lahko ima obdelava netočnih podatkov, kot je npr. sodni postopek zoper posameznika, katerega podatke je nekdo drug nepooblaščeno vpisal v prijavni obrazec. Svoje pravice in interese lahko zaščiti na ustreznejši način, npr. z avtomatično vezavo naročnine na veljavnost kreditne kartice. O neenakopravnosti strank ni mogoče govoriti, obstajala je kvečjemu pred izdajo izpodbijane odločbe.

Tožba ni utemeljena.

V obravnavanem primeru je med strankama sporno, ali je imela tožnica pravno podlago za zbiranje osebnih podatkov o spolu, številki mobilnega telefona in (v primeru plačila letne naročnine s kreditno kartico) domačem naslovu uporabnikov storitve izposoje koles v okviru sistema A. Da so to osebni podatki v smislu 1. točke 6. člena ZVOP-1, ni sporno, kot tudi ni spora o tem, da zbiranje pomeni obliko obdelave osebnih podatkov (3. točka 6. člena ZVOP-1). Po presoji sodišča je Pooblaščenec pravilno ugotovil, da pravna podlaga za obdelavo navedenih podatkov ni bila podana, in utemeljeno izdal izpodbijano odločbo. Sodišče sledi tudi utemeljitvi odločbe, ki jo je iz tega razloga bolj obširno povzelo in zato na podlagi drugega odstavka 71. člena Zakona o upravnem sporu (v nadaljevanju ZUS-1) teh razlogov za odločitev ne bo ponavljalo. Glede na tožbene ugovore pa dodaja naslednje: ZVOP-1 v 8. členu določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (prvi odstavek), ter nadalje, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti ta predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov (drugi odstavek). V 10. členu nato navedeni zakon ureja pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, v katerega upoštevaje določilo 23. točke 6. člena ZVOP-1 sodi tudi tožnica (kar tudi ni sporno). V skladu s prvim odstavkom 10. člena ZVOP-1 se tako osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Ne glede na navedeno se v zasebnem sektorju lahko obdelujejo tudi osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (drugi odstavek 10. člena ZVOP-1). Ne glede na prvi odstavek omenjenega člena ZVOP-1 se lahko v zasebnem sektorju obdelujejo osebni podatki tudi, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki, kar določa tretji odstavek 10. člena ZVOP-1. Temeljni princip varstva osebnih podatkov, ki je ustavno zajamčena pravica (38. člen Ustave RS), je torej, da je obdelava osebnih podatkov posameznika dopustna le, če je zanjo podana ena izmed zakonsko predvidenih pravnih podlag.

Pooblaščenec je ugotovil, da v nobenem zakonu ni posebne podlage za obdelavo obravnavanih osebnih podatkov in nadalje, da tudi pravna podlaga iz tretjega odstavka 10. člena ZVOP-1 ni podana, kar pomeni, da ni izkazana nujnost obdelave teh podatkov zaradi uresničevanja zakonitih interesov zasebnega sektorja, ki bi očitno prevladovali nad interesi posameznika, na katerega se osebni podatki nanašajo. Razlogov, ki bi omajali ta zaključek, ki mu stranki ne oporekata, tudi sodišče ne vidi. Tako se je upravni postopek utemeljeno osredotočil na vprašanje, ali je podana pravna podlaga za zbiranje oziroma obdelavo navedenih podatkov iz drugega odstavka 10. člena ZVOP-1, kot je predvsem zatrjevala tožnica, torej ali je obdelava teh podatkov potrebna in primerna za izpolnjevanje pogodbe med tožnico in uporabnikom storitve izposoje koles, ali pa bi morala imeti tožnica osebno privolitev posameznika kot edino še preostalo z zakonom predvideno podlago za obdelavo osebnih podatkov v zasebnem sektorju, oziroma ali je takšno osebno privolitev imela, kot prav tako zatrjuje. Tudi po presoji sodišča je odgovor na obe navedeni vprašanji v obravnavanem primeru nikalen.

Glede pravne podlage iz drugega odstavka 10. člena ZVOP-1 je že Pooblaščenec pravilno izpostavil, da kot podatkov, katerih obdelava je potrebna in primerna za izpolnjevanje pogodbe med zasebnim sektorjem in posameznikom (v konkretnem primeru med tožnico in uporabnikom njene storitve), ni mogoče opredeliti katerih koli osebnih podatkov, ki jih je mogoče povezati s pogodbo oziroma obdelava katerih bi bila koristna ali bi olajšala sklenitev oziroma izvajanje pogodbe, ampak zgolj in samo tiste osebne podatke, brez katerih določene pogodbe sploh ne bi bilo mogoče izpolnjevati. Takšno interpretacijo namreč terja načelo sorazmernosti, ki je kot splošno načelo varstva osebnih podatkov določeno v 3. členu ZVOP-1, zahteva pa, da so osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo; to načelo je treba upoštevati pri uporabi vseh določil zakona.

Da bi bil podatek o spolu uporabnika potreben za izvajanje pogodbe med tožnico in uporabnikom, očitno ni mogoče trditi. Kot je bilo ugotovljeno v upravnem postopku, namreč nobena pravica ali obveznost v tem pogodbenem razmerju ni odvisna od spola uporabnika. Tisti uporabnik, ki bo želel, da ga tožnica v medsebojni komunikaciji pravilno naslavlja, lahko ta podatek prostovoljno posreduje. Tem ugotovitvam tožnica niti ne oporeka.

Prav tako ni prepričljivih razlogov, zaradi katerih bi se kot podatek, potreben za izpolnjevanje pogodbe med tožnico in uporabnikom, štel podatek o številki uporabnikovega mobilnega telefona. Tožnica ima v vsakem primeru na voljo vsaj en drug kanal za komuniciranje z uporabnikom, vsaj naslov elektronske pošte. Njen argument, da elektronske pošte uporabnik ni prisiljen dnevno pregledovati, večina pa je dosegljiva na mobilni telefon, ne prepriča: ne le zaradi razvoja načina sodobnega komuniciranja, ko se tudi elektronska pošta redno spremlja, pač pa ker po drugi strani uporabnika prav nič ne sili k temu, da se tožnici javi na mobilni telefon. Tako kot lahko ukine ali spremeni poštni naslov, lahko stori tudi s številko mobilnega telefona. Tudi sicer vsi argumenti, ki jih je v tem pogledu navedla tožnica, kažejo kvečjemu, da bi poznavanje številke uporabnikovega mobilnega telefona lahko olajšalo oziroma poenostavilo reševanje nekaterih zapletov, do katerih bi morebiti lahko prišlo pri izvajanju pogodbe, vendar pa to, kot že obrazloženo, za utemeljitev obstoja pravne podlage iz drugega odstavka 10. člena ZVOP-1 ne zadošča. Tudi posredovanje podatka o številki mobilnega telefona je zato treba prepustiti svobodni odločitvi uporabnika, enako kot je tožnica že sama predvidela v primeru navadne telefonske številke.

Pravilen pa je po mnenju sodišča tudi zaključek, da tožnica ni imela pravne podlage za zbiranje podatka o naslovu uporabnika v primeru prijave na letno naročnino in plačila s kreditno kartico (v primeru plačila z direktno obremenitvijo ta podatek že tako tudi po izpodbijani odločbi sme zbirati).

Sklicevanje tožnice, da ta podatek potrebuje za izvajanje pogodbe v smislu izpolnjevanja zahtev, ki izhajajo iz določil 43b. oziroma 43c. člena ZVPot, ni utemeljeno. Pri tem je najprej treba opozoriti na osnovni namen, ki ga zasleduje ZVPot, in vse določbe tega zakona je treba razlagati tako, da se doseže namen oziroma cilj, zaradi katerega je bil zakon sprejet, to pa je varstvo pravic potrošnikov (in ne morebiti interesov nasprotne stranke). Pri pogodbah, sklenjenih na daljavo, mora potrošnik v času, ki je primeren glede na sredstvo komunikacije, najkasneje pa, preden ga pogodba ali ponudba zavezuje, dobiti določene, v prvem oziroma drugem odstavku 43b. člena ZVPot navedene informacije. Po določbi tretjega odstavka 43b. člena je podjetje v vsakem primeru, razen če se pogodba sklene izključno z izmenjavo elektronske pošte ali primerljivih posameznih sporočil, dolžno potrošniku takoj po prejemu naročila potrditi naročilo, in sicer v elektronski obliki ter posredovati pogodbena določila v obliki, ki zagotavlja njihovo hranjenje in kasnejšo uporabo. V skladu s prvim odstavkom 43c. člena ZVPot mora podjetje potrošniku v primernem času zagotoviti na primernem trajnem nosilcu podatke iz 43b. člena, vendar najkasneje ob dobavi blaga ali na začetku opravljanja storitve, če mu ti podatki niso bili dani na takšen način že prej. Na podlagi četrtega odstavka 43c. člena lahko potrošnik kadarkoli v času pogodbenega odnosa zahteva predložitev pogodbenih pogojev na papirju; poleg tega ima načeloma pravico do spremembe sredstva za komuniciranje na daljavo. Za primeren trajni nosilec podatkov velja tisti nosilec podatkov, ki potrošniku omogoča shranjevanje nanj naslovljenih podatkov tako, da so mu dostopni za kasnejšo uporabo v obdobju, primernem glede na namen podatkov, in ki omogoča nespremenjeno predstavitev shranjenih podatkov (šesti odstavek 43c. člena ZVPot).

Pogodba med tožnico in uporabnikom storitve izposoje kolesa se, kot izhaja iz ugotovitev upravnega postopka, sklene tako, da uporabnik izpolni spletni elektronski prijavni obrazec, na svoj elektronski naslov pa prejme potrditveno sporočilo tožnice. Gre torej za pogodbo, sklenjeno na daljavo, v smislu 43. člena ZVPot. Vendar pa iz določil navedenega zakona, citiranih v prejšnji točki obrazložitve, tudi po mnenju sodišča ne izhaja, da v njih vsebovanim zahtevam ne bi moglo bilo zadoščeno s tem, da tožnica podatke iz 43b. člena oziroma pogodbena določila uporabniku pošlje na elektronski naslov v primerni obliki, ki omogoča njihovo shranjevanje za kasnejšo uporabo in njihovo nespremenjeno predstavitev. Tem zahtevam lahko zadosti tudi po elektronski pošti poslana datoteka ustreznega formata, ne le pisno obvestilo na papirju ali na USB ključku, CD ipd. shranjena datoteka. Če pa bo uporabnik želel podatke oziroma pogodbene pogoje prejeti na papirju, bo tožnici pač prostovoljno posredoval naslov, na katerega naj mu jih pošlje. V dejanskem pogledu pa na neprepričljivost tožničinega sklicevanja na dolžnost izpolnjevanja zahtev iz ZVPot ne nazadnje kaže to, da čeprav jo je toženka v dveh vlogah k temu dvakrat spodbudila, ni obrazložila in še manj izkazala, da bi svojim uporabnikom kadarkoli dejansko pošiljala informacije oziroma podatke na njihov domači naslov. Pojasnila pa tudi ni, kako potem zahtevam ZVPot zadosti v primeru tedenske naročnine.

Drugi ključni argument, s katerim je tožnica skušala utemeljiti zbiranje podatka o domačem naslovu uporabnika, je, da podatek potrebuje zaradi natančne identifikacije uporabnika, še zlasti za primer morebitne zlorabe, kot je odtujitev ali poškodovanje kolesa ali neplačilo storitve, ter sprožitev uradnega oziroma, konkretno, sodnega postopka zoper uporabnika v takšnem primeru. Vendar pa ob upoštevanju podatkov, ki jih tožnica tudi po izdaji izpodbijane odločbe pri prijavi na letno naročnino in plačilu s kreditno kartico sme zbirati kot obvezne, sodišče ne more pritrditi njenemu stališču, da uporabnik ni določen oziroma določljiv, kot tudi ne stališču, da brez podatka o domačem naslovu zoper uporabnika sploh ne bo mogla sprožiti sodnega postopka, češ da temu ne bo mogoče vročiti pisanj. Poleg elektronskega naslova in podatkov o kreditni kartici lahko namreč tožnica kot obvezne zbira tudi podatke o imenu in priimku ter rojstnem datumu uporabnika, na podlagi vseh teh podatkov pa je uporabnika mogoče identificirati. Čeprav izdajatelj kreditne kartice zaradi varstva osebnih podatkov teh tožnici direktno ne bo posredoval, ji zakonodaja daje dovolj možnosti, da pridobi podatek o uporabnikovem naslovu in s tem dopolni svojo vlogo za potrebe sodnega postopka. Že na podlagi samega ZVOP-1 (drugi odstavek 22. člena) ima stranka, ki izkaže pravni interes za uveljavljanje pravic pred sodiščem, možnost, da iz centralnega registra prebivalstva ali iz evidenc stalno in začasno prijavljenih prebivalcev pridobi naslov stalnega ali začasnega prebivališča posameznika, zoper katerega uveljavlja svoje pravice. Nadalje je po določbi 148. člena Zakona o pravdnem postopku upravljavec katerekoli zbirke podatkov dolžan stranki sporočiti naslov osebe, ki ji je treba vročiti pisanje; stranka mora izkazati pravni interes, in sicer s potrdilom sodišča o vložitvi tožbe ali obstoju pravde. Res je sicer pri tem potrebna določena aktivnost tožnice, vendar pa to ni pretirano breme, sploh ker sama navaja, da je tovrstnih primerov zanemarljivo malo. Poleg tega je treba upoštevati dejstvo, da tožnica podatka o domačem naslovu uporabnika, vpisanega pri obravnavani različici prijave, ne preverja. Uporaba takšnega nepreverjenega podatka pa lahko v primeru zlorabe vodi do težkih posledic za nasprotno stranko, kar pretehta glede na breme, ki ga za tožnico pomeni opisano pridobivanje podatka o domačem naslovu uporabnika v manjšem številu primerov. Nenazadnje pa tožnica tudi ni uspela omajati argumenta, da bi svoje pravice pri obravnavani različici lahko učinkovito in brez tveganj zlorabe zavarovala z vezavo veljavnosti oziroma trajanja naročnine na veljavnost kreditne kartice; svojih navedb o tehničnih omejitvah sistema namreč ni niti obrazložila niti kakorkoli izkazala. Kot že rečeno, je pri odločanju vedno treba upoštevati načelo sorazmernosti in vse okoliščine konkretnega primera. Zato sklicevanje tožnice na druge primere, ki niso v vseh bistvenih okoliščinah primerljivi obravnavanemu oziroma niti niso bili predmet inšpekcijskega postopka, do drugačne odločitve ne more pripeljati.

Utemeljen pa je tudi zaključek, ki izhaja iz obrazložitve izpodbijane odločbe, da tožnica ni imela osebne privolitve uporabnikov, ki bi ustrezala določilom ZVOP-1 in bi s tem pomenila ustrezno pravno podlago za obdelavo obravnavanih podatkov v smislu prvega odstavka 8. in 10. člena ZVOP-1. Glede na določilo 14. točke 6. člena omenjenega zakona je namreč kot osebno privolitev posameznika za obdelavo osebnih podatkov mogoče šteti zgolj tisto izjavo volje posameznika, da se njegovi osebni podatki obdelujejo za določen namen, ki je dana prostovoljno na podlagi informacij, ki mu jih mora zagotoviti upravljavec. V konkretnem primeru je uporabnik moral navesti vse obvezno zahtevane podatke in potrditi sprejem splošnih pogojev, vključno z določilom, da se strinja z obdelavo podatkov, ker brez tega sploh ni mogel uspešno opraviti prijave v sistem in s tem pridobiti dostopa do koriščenja storitve. Čeprav ne gre za javno storitev oziroma gospodarsko javno službo, pa ni mogoče prezreti, da gre za projekt javno-zasebnega partnerstva, ki se izvaja v javnem interesu in kjer konkurence med izvajalci ni ter zato uporabnik ne more izbrati drugega izvajalca, ki bi od njega zahteval manjši nabor osebnih podatkov. Stališče, ki ga zagovarja tožnica, da se uporabnik pač lahko svobodno odloči za sklenitev pogodbe, s tem pa mora pristati tudi na posredovanje vseh obvezno zahtevanih podatkov, tudi tistih, ki za sklenitev oziroma izvajanje pogodbe, kot je bilo obrazloženo, niso potrebni in primerni, bi pomenilo, da lahko izvajalec kot pogoj za koriščenje storitve od uporabnika zahteva kakršnekoli podatke, ki jih želi. To pa je očitno nesprejemljivo in neskladno z namenom in že citiranimi določili ZVOP-1. Glede sklicevanja tožnice na pogodbeno svobodo sodišče pripominja, da ta ni absolutna, ampak jo omejujejo kogentni predpisi, med katere sodijo tudi določila ZVOP-1. Tudi splošni pogoji, enako kot vsa druga pogodbena določila, ne smejo nasprotovati prisilnim predpisom. Kar se tiče stališča, da je v primeru kolizije ustavno zavarovanih pravic potrebno njihovo tehtanje, to drži, vendar pa je v zvezi s tem že Pooblaščenec pravilno izpostavil, da je tehtanje na nivoju zakona opravil že zakonodajalec, ko je z ZVOP-1 predpisal pogoje za obdelavo osebnih podatkov. Da zaradi takšne zakonske ureditve svoje lastninske pravice tožnica ne bi mogla zavarovati, oziroma, da bi to zanjo pomenilo nesorazmerno breme, glede na predhodno povedano ni mogoče zaključiti, pa tudi tožnica sama tega niti ne trdi.

Ker po povedanem tožbeni ugovori niso utemeljeni, kršitev zakona, na katere pazi po uradni dolžnosti, pa sodišče tudi ni našlo, je na podlagi prvega odstavka 63. člena ZUS-1 tožbo kot neutemeljeno zavrnilo.

Sodišče je v upravnem sporu odločilo brez glavne obravnave in izvajanja predlaganih dokazov. Pri tem glede predloga tožnice, naj se kot dokaz uporabi izsek iz spletne strani Tržnega inšpektorata, pojasnjuje, da je uporaba in s tem razlaga prava v domeni sodišča in ni stvar dokazovanja v postopku. Katera za odločitev relevantna dejstva naj bi se dokazovala s postavitvijo izvedenca IT stroke, tožnica ni obrazložila. Ostali predlagani listinski dokazi pa so bili izvedeni in pravilno presojeni že v postopku izdaje izpodbijane odločbe (52. člen ZUS-1). Sicer pa v upravnem postopku ugotovljena dejstva, ki so glede na sprejeta pravna stališča sodišča o razlagi določb zakona pomembna za odločitev, niti niso sporna (prvi odstavek 59. člena ZUS-1), sporni so bili le zaključki, ki jih je na tej podlagi napravil Pooblaščenec.