Številka: 0613-450/2018/11
Datum: 24. 3. 2022
Informacijski pooblaščenec (v nadaljevanju: IP) izdaja po državni nadzornici za varstvo osebnih podatkov …na podlagi 2. in 8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A), 37. in 54. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007-UPB1, 177/20, v nadaljevanju: ZVOP-1), 5. odstavka 29. in 1. odstavka 32. člena Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 56/02 s spremembami in dopolnitvami; v nadaljevanju: ZIN) ter člena 58(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) pri zavezancu …(v nadaljevanju: zavezanec), po uradni dolžnosti naslednjo
ODLOČBO
1. Zavezanec … mora v roku 15 (petnajstih) dni od vročitve te odločbe, na spletni strani …, s katero upravlja, uporabnikom spletne strani na jedrnat, pregleden, razumljiv način, v lahko dostopni obliki ter v jasnem in preprostem jeziku zagotoviti naslednje manjkajoče informacije iz prvega in drugega odstavka 13 člena Splošne uredbe:
– podatek o identiteti in kontaktnih podatkih upravljavca in njegovega predstavnika, če ta obstaja;
– da imajo uporabniki spletne strani pravico do popravka kot to izhaja iz člena 16 Splošne uredbe in pravico do omejitve obdelave kot to izhaja iz člena 18 Splošne uredbe ter podati informacije o tem na kakšen način lahko uporabniki omenjeni pravici uveljavljajo (npr. preko posebnega komunikacijskega kanala);
– da imajo uporabniki pravico do vložitve pritožbe pri nadzornemu organu in navesti kontaktne podatke predmetnega pritožbenega organa.
1. Zavezanec mora ukrep iz 1. točke izreka te odločbe izvršiti v roku sedmih (7) dni od prejema te odločbe.
2. Zavezanec mora o izvedenih ukrepih iz 1. točke izreka te odločbe najkasneje v roku petih (5) dni po odpravi nepravilnosti pisno obvestiti Informacijskega pooblaščenca. Obvestilo mora vsebovati tudi navedbe in dokaze o tem, da je zavezanec izvršil ukrepe iz 1. točke izreka te odločbe in na kakšen način jih je izvršili.
3. Organu v tem postopku posebni stroški niso nastali, zavezanec pa sam trpi svoje stroške inšpekcijskega postopka.
Obrazložitev
1. Namen in vsebina inšpekcijskega nadzora
IP je po uradni dolžnosti zoper zavezanca uvedel inšpekcijski postopek nad izvajanjem določb ZVOP-1 in Splošne uredbe, ker je bil seznanjen, da naj bi zavezanec na svoji spletni strani … javno objavljal osebne podatke igralcev igre …, ne da bi pridobil njihovo izrecno privolitev za objavo osebnih podatkov, prav tako pa spletna stran naj ne bi vsebovala podatkov o upravljavcu osebnih podatkov in imela e-poštnega naslova oz. drugega ustreznega komunikacijskega kanala prek katerega bi posameznik lahko uveljavljal svoje pravice po Splošni uredbi, predvsem pravico do izbrisa osebnih podatkov iz spletne strani zavezanca
2. Procesna dejanja v postopku nadzora
Državna nadzornica za varstvo osebnih podatkov (v nadaljevanju: državna nadzornica) je zavezanca z dopisom št. 0613-450/2018/9 z dne 30. 7. 2021 pozvala k posredovanju naslednjih pisnih pojasnil: katere osebne podatke o obiskovalcih spletne strani in o uporabnikih obdeluje, za kakšne namene jih obdeluje, na kakšni pravni podlagi, kako dolgo jih hrani in ali jih posreduje morebitnim pogodbenim obdelovalcem ali tretjim osebam; kje (poleg obvestila o zasebnosti s katerim se je mogoče seznaniti prek url povezave: …) je še mogoče pridobiti informacije o varstvu zasebnosti in obdelavi osebnih podatkov v okviru spletne strani …; kje in kako je mogoče dobiti dostop do komunikacijskih kanalov, ki omogočajo uporabnikom spletne strani uveljavljanje pravic glede obdelave osebnih podatkov (npr. pravica do izbrisa osebnih podatkov), ki jim pripadajo na podlagi Splošne uredbe.
Državna nadzornica je pozivu priložila zaslonske slike, ki jih je zajela ob ogledu spletne strani zavezanca … dne 28. 7. 2021 in povzetek njenih ugotovitev, iz katerih izhaja, da spletna stran zavezanca ni skladna z zahtevami, ki izhajajo iz člena 12 in 13 Splošne uredbe. Prav tako je izpostavila, da mora zavezanec posameznikom, katerih osebne podatke obdeluje kot upravljavec njihovih osebnih podatkov, omogočiti uveljavljanje njihovih pravic po Splošni uredbi in da mi moral za odpravo nepravilnosti in zagotovitev skladnosti s členom 12 in 13 Splošne uredbe, izvesti naslednje ukrepe:
- Na spletni strani pregledno prikazati kdo je zavezanec, navesti kontakt zavezanca, pojasniti katere osebne podatke obdeluje, na kakšni pravni podlagi, za kakšen namen, kako dolgo jih hrani.
- Na spletni strani pregledno prikazati katere pravice ima posameznik v zvezi z obdelavo osebnih podatkov (pravica do seznanitve, izbrisa, spremembe, omejitve obdelave) in na kakšen način jih lahko uresniči (navedba komunikacijskega kanala prek katerega bo posameznik lahko uresničeval pravice iz člena 15, 16, 17 in 18 Splošne uredbe).
Zavezanec se na poziv IP ni pisno odzval. Vendar je državna nadzornica na podlagi ogleda spletne strani …dne 6. 10. 2021 ugotovila, da je zavezanec pristopil k odpravi zaznanih pomanjkljivosti pri informiranju posameznika glede obdelave njegovih osebnih podatkov. Zavezanec je namreč na spletni strani popravil informacije posameznikom glede uveljavljanja pravice do izbrisa in sicer na način, da so posamezniku podana navodila za izbris osebnih podatkov povezanih z računom in komunikacijski kanal (e-naslov) preko katerega lahko posameznik to stori.
Državna nadzornica je zavezancu z dopisom št. 0613-450/2018/10 z dne 12. 10. 2021, skladno z določbami 9., 138. in 146. člena ZUP, dala možnost, da se izjavi o vseh dejstvih in okoliščinah, ki so pomembne za izdajo odločbe oziroma do ugotovitev IP, iz katerih izhaja, da so obstoječe informacije posameznikom, ki se nahajajo na spletni strani … in so povezne z obdelavo, jedrnate, pregledne, razumljive in da se nahajajo v lahko dostopni obliki, vendar pa da obstoječe informacije posameznikom, ne vsem zadostijo zahtevam iz člena 13 Splošne uredbe, saj:
- Iz spletne strani ni razvidna ne identiteta ne kontaktni podatki upravljavca. Splošna uredba v točki 7 člena 4 Splošne uredbe namreč določa, da upravljavec osebnih podatkov pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Državna nadzornica na tem mestu izpostavlja, da iz sklopa … celo izhaja, da uporabnik odvezuje lastnike portala (katerih podatki niso dostopni) kakršne koli odgovornosti ob uničenju podatkov, nedelovanju ali nedostopnosti portala ter kakršni koli drugi težavi ali nevšečnosti.
- Iz spletne strani je razvidno, da se uporabniki lahko prijavijo z uporabniškim računom ponudnika Google in Facebook ter da zavezanec ob vsaki prijavi dobi določene podatke ter da lahko posameznik kadarkoli zahteva izbris osebnih podatkov povezanih z računom. Zavezanec je jasno in razumljivo pojasnil katere podatke obdeluje ob vsaki prijavi, vendar pa iz pojasnil ni razvidno predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja.
- Predmetni člen 13 Splošne uredbe določa seznam informacij, ki jih mora upravljavec priskrbeti posamezniku, na katerega se nanašajo osebni podatki in rok za posredovanje teh informacij. Državna nadzornica ugotavlja, da je posamezniku na spletni strani na voljo zgolj informacija o obstoju pravice do izbrisa, ne pa tudi pravice do popravka (člen 16) in pravice do omejitve obdelave (člen 18 Splošne uredbe) ter način njihovega uveljavljanja (npr. preko posebnega komunikacijskega kanala). Prav tako posameznik ni informiran o pravici od vložitve pritožbe pri nadzornemu organu.
3. Navedbe zavezanca
Zavezanec je bil tekom celotnega postopka inšpekcijskega nadzora neodziven oziroma, v zvezi s samim postopkom inšpekcijskega nadzora ni podal nobenih pojasnil.
4. Ugotovljeno dejansko stanje
Državna nadzornica je podlagi ogleda spletne strani … dne 6. 10. 2021 ugotovila, da je zavezanec pristopil k odpravi zaznanih pomanjkljivosti pri informiranju posameznika glede obdelave njegovih osebnih podatkov in sicer na način, da je na predmetni spletni strani popravil informacije posameznikom glede uveljavljanja pravice do izbrisa in sicer na način, da so posamezniku podana navodila za izbris osebnih podatkov povezanih z računom in komunikacijski kanal (e-naslov) preko katerega lahko posameznik to stori.
Zavezanec je bil z dopisom št. 0613-450/2018/10 z dne 12. 10. 2021 pozvan, da se v roku 30 dni od vročitve predmetnega dopisa opredeli do ugotovitev IP, iz katerih izhaja, da spletna stran …s katero zavezanec upravlja, uporabnikom na pregleden način in pravočasno ne daje informacij o tem: kdo je upravljavec; da imajo pravico do popravka (člen 16) in pravico do omejitve obdelave (člen 18 Splošne uredbe) ter na kakšen način ju lahko uveljavljajo (npr. preko posebnega komunikacijskega kanala) in da imajo pravico do vložitve pritožbe pri nadzornemu organu.
Državna nadzornica ugotavlja, da se zavezanec do današnjega dne ni opredelil do ugotovitev IP, prav tako pa iz vpogleda na spletno stran dne 6. 1. 2021 izhaja, da ni pristopil k odpravi ugotovljenih nepravilnosti:
…
5. Relevantna pravna podlaga
Po določbi točke (1) člena 4 Splošne uredbe osebni podatek pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
Po določbi točke (2) člena 4 Splošne uredbe obdelava pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.
Po določbi člena 6 Splošne uredbe, ki ureja načelo zakonitosti, je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:
(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Da mora za vsakršno obdelavo osebnih podatkov obstajati ustrezna pravna podlaga, določa tudi še vedno veljavna določba 8. člena ZVOP-1, po kateri se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika.
Splošna uredba v členu 12(1) določa, da upravljavec sprejme ustrezne ukrepe, s katerimi zagotovi posamezniku, na katerega se nanašajo osebni podatki, vse informacije iz členov 13 in 14 ter sporočila iz členov 15 do 22 in 34, povezana z obdelavo, v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku, kar velja zlasti za vse informacije, namenjene posebej otroku. Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno z elektronskimi sredstvi. Na zahtevo posameznika, na katerega se nanašajo osebni podatki, se lahko informacije predložijo ustno, pod pogojem, da se identiteta posameznika, na katerega se nanašajo osebni podatki, dokaže z drugimi sredstvi.
Splošna uredba zato posamezniku zagotavlja možnost, da pri upravljavcu osebnih podatkov uveljavlja pravice iz Poglavja III Splošne uredbe (členi 12 do 22). Posameznik lahko od upravljavca na podlagi člena 15 Splošne uredbe pridobi potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in v teh primerih tudi dostop do osebnih podatkov ter naslednje informacije:
- namene obdelave;
- vrste zadevnih osebnih podatkov;
- uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;
- kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
- obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
- pravico do vložitve pritožbe pri nadzornem organu;
- kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
- obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
Upravljavec zagotovi kopijo osebnih podatkov, ki se obdelujejo. Za dodatne kopije, ki jih zahteva posameznik, na katerega se nanašajo osebni podatki, lahko upravljavec zaračuna razumno pristojbino ob upoštevanju upravnih stroškov. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, in če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače, se informacije zagotovijo v elektronski obliki, ki je splošno uporabljana.
Upravljavec informacije o ukrepih, sprejetih na zahtevo v skladu s členi 15 do 22 Splošne uredbe, posamezniku, na katerega se nanašajo osebni podatki, zagotovi brez nepotrebnega odlašanja in v vsakem primeru v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev. Upravljavec obvesti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo. Kadar posameznik, na katerega se nanašajo osebni podatki, zahtevo predloži z elektronskimi sredstvi, se informacije, kadar je mogoče, zagotovijo z elektronskimi sredstvi, razen če posameznik, na katerega se nanašajo osebni podatki, ne zahteva drugače.
Poleg pravice dostopa posameznika, na katerega se nanašajo osebni podatki iz člena 15 Splošne uredbe, lahko posameznik na podlagi Splošne uredbe pri upravljavcu uveljavlja še naslednje pravice: do popravka (člen 16), do izbrisa (ali pozabe, člen 17), do omejitve obdelave (člen 18), do prenosljivosti podatkov (člen 20), do ugovora (člen 21) ter pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov (člen 22).
IP je ugotovil, da so obstoječe informacije posameznikom, ki se nahajajo na spletni strani … in so povezne z obdelavo, jedrnate, sicer pregledne, razumljive in da se nahajajo v lahko dostopni obliki, vendar pa so nepopolne in ne zadostijo vsem zahtevam iz člena 13 Splošne uredbe. Razlogi, zakaj obstoječe informacije posameznikom ne zadostijo vsem zahtevam iz člena 13 Splošne uredbe, so bili zavezancu natančneje predstavljeni v dokumentu IP, št. 0613-450/2018/10 z dne 12. 10. 2021.
Zavezanec mora za odpravo ugotovljenih nepravilnosti in uskladitev obdelave osebnih podatkov z določbami Splošne uredbe v roku petnajstih (15) dni od vročitve te odločbe, na spletni strani … s katero upravlja, uporabnikom spletne strani na jedrnat, pregleden, razumljiv način, v lahko dostopni obliki ter v jasnem in preprostem jeziku zagotoviti naslednje manjkajoče informacije iz prvega in drugega odstavka 13 člena Splošne uredbe:
· podatek o identiteti in kontaktnih podatkih upravljavca in njegovega predstavnika, če ta obstaja;
· da imajo uporabniki spletne strani pravico do popravka kot to izhaja iz člena 16 Splošne uredbe in pravico do omejitve obdelave kot to izhaja iz člena 18 Splošne uredbe ter podati informacije o tem na kakšen način lahko uporabniki omenjeni pravici uveljavljajo (npr. preko posebnega komunikacijskega kanala);
· da imajo uporabniki pravico do vložitve pritožbe pri nadzornemu organu in navesti kontaktne podatke predmetnega pritožbenega organa.
Na opisani način bo uporabnike omenjene spletne strani, na katere se osebni podatki nanašajo, seznanil z vsemi informacijami iz prvega in drugega odstavka člena 13 Splošne uredbe, ki se morajo posameznikom zagotoviti v primeru, kadar se osebni podatki pridobivajo od posameznika, na katerega se osebni podatki nanašajo.
6. Zaključek
Točka (d) člena 58(2) Splošne uredbe določa, da nadzorni organ upravljavcu ali obdelovalcu odredi, naj dejanja obdelave, če je to ustrezno, na določen način in v določenem roku uskladi z določbami Splošne uredbe.
Glede na obrazloženo je bilo treba zavezancu zaradi ugotovljenih nepravilnosti, na podlagi 2. in 8. člena ZInfP, 1. točke prvega odstavka 54. člena ZVOP-1, prvega odstavka 32. člena ZIN ter točke (d) člena 58(2) Splošne uredbe, odrediti odpravo ugotovljenih nepravilnosti in uskladitev dejanj obdelave osebnih podatkov z določbami členov 12 in 13 Splošne uredbe.
Peti odstavek 29. člena ZIN določa, da mora zavezanec v primeru, če je inšpektor odredil odpravo nepravilnosti in pomanjkljivosti ter zavezancu določil rok za njihovo odpravo, o odpravljenih nepravilnostih takoj obvestiti inšpektorja. Skladno z navedenim mora zavezanec o izvedenih ukrepih iz 1. točke izreka te odločbe najkasneje v roku petih (5) dni po odpravi nepravilnosti pisno obvestiti IP. Obvestilo mora vsebovati tudi navedbe in dokaze o tem, da je zavezanec izvršil ukrepe iz 1. točke izreka te odločbe in na kakšen način jih je izvršili, kot je na primer kopija zaslonske slike intranetne spletne strani zavezanca na kateri je objavi popolne informacije iz člena 13 Splošne uredbe in url naslov spletne strani, ipd.
Izrek o stroških postopka temelji na določbi prvega odstavka 31. člena ZIN, po kateri stroške inšpekcijskega postopka, ki so bili nujni za ugotovitev dejstev, ki dokazujejo, da je zavezanec kršil zakon ali drugi predpis, trpi zavezanec. Zavezanec tekom postopka stroškov postopka sicer ni priglasil, organu pa posebni stroški postopka niso nastali.
Ta odločba je izdana po uradni dolžnosti in je na podlagi 22. člena Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, 14/15 – ZUUJFO, 84/15 – ZZelP-J, 32/16 in 30/18 – ZKZaš) takse prosta.
POUK O PRAVNEM SREDSTVU:
Ta odločba je v upravnem postopku dokončna. Zoper njo v skladu z določbo 55. člena ZVOP-1 ni dovoljena pritožba, dopustno pa je sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana, v roku tridesetih (30) dni od njene vročitve. Tožba se vloži neposredno pisno pri navedenem sodišču ali se mu pošlje po pošti. Šteje se za pravočasno vloženo, če je oddana zadnji dan tožbenega roka priporočeno po pošti. Tožbi je poleg odločbe, ki se izpodbija, v izvirniku, prepisu ali kopiji potrebno priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z upravnim aktom pa tudi zanj.
…
državna nadzornica
za varstvo osebnih podatkov
Vročiti:
- …;
- arhiv, tu.
