Posredovanje elektronskega dopisa in osebnih podatkov izven kroga naslovnikov

Datum

16.10.2024

Številka

07121-1/2024/1252

Kategorije

Elektronska pošta, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste predsedniku krajevne skupnosti po elektronski pošti poslali vprašanje o nekem dogajanju v vašem kraju. Ta naj bi odgovor na vaš dopis poslal poleg vam še trem članom sveta krajevne skupnosti. Eden izmed njih, naj bi vaš dopis in odgovor krajevne skupnosti poslal različnim krajanom. Zanima vas, ali se lahko prosto deli vsebino vaše komunikacije naokrog?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.Posredovanje elektronske komunikacije tretjim osebam se primarno dotika področja varstva komunikacijske zasebnosti in s tem pravice do tajnosti pisem in drugih občil iz 37. člena Ustave RS. Varstvo te pravice pa je zagotovljeno pred pristojnimi sodišči in ne pred IP.

2.V primeru, ko bi šlo pri posredovanju elektronske komunikacije tudi za obdelavo osebnih podatkov, bi moral ta, ki podatke obdeluje, za njihovo posredovanje zagotoviti ustrezno in zakonito pravno podlago ter zagotoviti tak obseg obdelave osebnih podatkov, da bo obdeloval le tiste podatke, ki so nujno potrebni za zasledovan namen.

3.Na splošno ni videti razloga za razkrivanje osebnih podatkov pošiljatelja dopisa vsem krajanom.

4.Vsak posameznik ima v okviru 15. člena Splošne uredbe pravico od upravljavca osebnih podatkov pridobiti informacije o podatkih, ki jih obdeluje kot tudi o informacijah kot so nameni obdelave (zakaj jih obdeluje); na kateri pravni podlagi jih obdeluje ter komu je osebne podatke posredoval. Postopek take zahteve opisujemo podrobneje v mnenju spodaj.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da je pristojen zgolj za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov (t.j. informacijsko zasebnost) in ki ga ureja 38. člen Ustave RS (Uradni list RS, št. 33/91 s spremembami in dopolnitvami; v nadaljevanju Ustava RS). Vaše vprašanje se temeljno nanaša na del širše pravice do zasebnosti, katere meje so začrtane v 37. členu Ustave RS. Ta v prvem odstavku 37. člena zagotavlja tajnost pisem in drugih občil kot posebno obliko (kategorijo) pravice do zasebnosti iz 35. člena Ustave, pri čemer je gotovo, da to velja tudi za elektronsko pošto. Bistvo pisemske tajnosti je v tajnosti vsebine pisma, torej bolj kot je pismo osebno oz. bolj kot se v pismu razkriva zasebnost pošiljatelja, bolj naslovnika veže pošiljateljeva pravica pisemske tajnosti. Pravica do komunikacijske zasebnosti izhajajoča iz tajnosti pisem in občil iz 37. člena Ustave sodi v širšo pravico do zasebnosti, ki jo lahko posameznik uveljavlja pred pristojnimi sodišči. IP namreč za ta del pravice do zasebnosti ni pristojen.

Na tem mestu zgolj pojasnjujemo, da Kazenski zakonik (Uradni list RS, št. 50/12 s spremembami in dopolnitvami; v nadaljevanju KZ-1) v 139. členu določa elemente kaznivega dejanja "kršitev tajnosti občil", v 140. členu pa elemente kaznivega dejanja "nedovoljena objava zasebnih pisanj". V civilnem pravu je ta pravica varovana v okviru splošnih pravil o odškodninski odgovornosti (kot možnost zahtevanja t.i. nepremoženjske škode; izjemoma tudi kot možnost zahtevanja povrnitve eventualne premoženjske škode).

Z vidika varstva osebnih podatkov pojasnjujemo, da lahko tudi pri posredovanju elektronskih pisanj tretjim osebam pride do obdelave osebnih podatkov in sicer najmanj do obdelave podatkov o pošiljatelju elektronskega dopisa (npr. ime, priimek, elektronski naslov) kot v določenih primerih tudi do vsebine elektronskega naslova, če bi se iz vsebine pisanja lahko določilo konkretnega posameznika ter do obdelave t.i. prometnih podatkov (to so podatki, obdelani za namen prenosa komunikacije po elektronskem komunikacijskem omrežju – o tem tudi primer Evropskega sodišča za človekove pravice Halford v. Združeno kraljestvo in Copland v. Združeno kraljestvo). Poleg osebnih podatkov ter vsebine sporočila (zlasti v kontekstu pravice do komunikacijske zasebnosti) so torej varovani tudi okoliščine in dejstva, povezani s komunikacijo, tj. tisti podatki o komunikaciji, ki so njen sestavni del – to so prometni podatki (o tem tudi odločba Ustavnega sodišča RS v zadevi št. U-I-144/19-51 z dne 6. 7. 2023).

V primeru, ko bi torej šlo obdelavo osebnih podatkov, mora ta, ki osebne podatke obdeluje (upravljavec) za takšno obdelavo zagotoviti ustrezno in zakonito pravno podlago. Pravne podlage za obdelavo osebnih podatkov so splošno urejene v 6. členu Splošne uredbe, kjer je določeno, da je obdelava zakonita:

- če je podana privolitev posameznika;

- če je obdelava potrebna za izvajanje pogodbe;

- za izpolnitev zakonske obveznosti upravljavca;

- za zaščito življenjskih interesov posameznika;

- zaradi javnega interesa oz. izvajanja javne oblasti ali

- zakonitih interesov upravljavca, ki ne pretehtajo nad pravicami posameznika (vse pod določenimi strogimi pogoji).

Na podlagi informacij, ki ste te nam jih posredovali, ni moč ugotoviti, komu vsem in s katerimi nameni naj bi bili vaši osebni podatki razkriti, zato v zvezi s tem IP lahko pojasni le, da vsekakor pošiljanje osebnih podatkov vsakomur za kakršenkoli namen ni dovoljen. Upravljavec mora za kakršnokoli obdelavo osebnih podatkov izkazati ustrezno pravno podlago in ob pogoju, da je ta izkazana, zagotoviti tak obseg obdelave osebnih podatkov (katere podatke bo posredoval in komu), da bo obdeloval le tiste podatke, ki so nujno potrebni za zasledovan namen. Pri teh presojah mora upravljavec tako vedno izhajati iz načela najmanjšega obsega podatkov, na podlagi katerega morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. V vašem primeru, glede na obstoječe informacije, ni videti razloga za razkrivanje osebnih podatkov pošiljatelja dopisa vsem krajanom.

V zvezi s tem dodatno pojasnjujemo, da se lahko vsak posameznik vedno obrne na upravljavca osebnih ter pri njem uveljavlja svojo pravico do seznanitve z lastnimi osebnimi podatki po 15. členu Splošne uredbe. Prvi odstavek 15. člena Splošne uredbe namreč določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije, kot so nameni obdelave, pravna podlaga za obdelavo, predvideno obdobje hrambe, uporabniki osebnih podatkov (komu vse so bili osebni podatki posredovani) itd. Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/ in v številnih naših že objavljenih mnenjih (npr. mnenje IP št. 07121-1/2022/628 z dne 8. 6. 2022).

Zahteva za seznanitev z lastnimi osebnimi podatki se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke (praviloma krajevni skupnosti oz. v določenih primerih lahko celo posameznemu svetniku, če je osebne podatke obdeloval samostojno). IP svetuje, da v zahtevi jasno opredelite, katere informacije želite od upravljavca pridobiti, npr. namene obdelave; pravna podlaga; uporabnike ali kategorije uporabnika, ki so jim bili razkriti osebni podatki itd. Rok za odločitev upravljavca je en mesec od prejema zahteve. Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti v 15 dneh od prejema odgovora oz. po preteku enomesečnega roka, če upravljavec na vašo zahtevo ne odgovori. Če boste po odgovoru upravljavca vseeno ocenili, da bi lahko bila obdelava vaših osebnih podatkov nezakonita pa lahko vsekakor na IP podate prijavo kršitve varstva osebnih podatkov. Več o tem: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vložitev-prijave

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil:

Grega Rudolf, mag., svetovalec pooblaščenca za mednarodne odnose

dr. Jelena Virant Burnik, informacijska pooblaščenka