Številka: 0710-100/2018/8
Datum: 4. 12. 2023
Informacijski pooblaščenec po informacijski pooblaščenki Mojci Prelesnik (v nadaljevanju IP) na podlagi 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) ter 76. člena v zvezi s 24. in 27. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20; v nadaljevanju ZVOPOKD) ter na podlagi tretjega odstavka 251. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, 105/06 – ZUS-1, 126/07, 65/08, 8/10, 82/13, 175/20 – ZIUOPDVE in 3/22 – ZDeb; v nadaljevanju ZUP), o pritožbi posameznika: …., ki ga zastopa …., z dne 30. 11. 2018, zoper obvestilo pristojnega organa: REPUBLIKA SLOVENIJA, MINISTRSTVO ZA NOTRANJE ZADEVE, POLICIJA, Štefanova ulica 2, Ljubljana, št. ….. z dne 12. 11. 2018, v zadevi dostopa do osebnih podatkov izdaja naslednjo
O D L O Č B O
1. Pritožbi posameznika ….. z dne 30. 11. 2018 zoper obvestilo pristojnega organa Republika Slovenija, Ministrstvo za notranje zadeve, Policija, št. ….. z dne 12. 11. 2018 se ugodi, to obvestilo se odpravi in se zadeva vrne pristojnemu organu v ponovno odločanje. Pristojni organ mora o zahtevi ponovno odločiti najpozneje v 30 dneh od prejema te odločbe.
2. Posebni stroški v tem postopku niso nastali.
O b r a z l o ž i t e v:
Dosedanji potek postopka in relevantne navedbe
Posameznik je 16. 10. 2018 po pooblaščencu podal pri pristojnem organu kot upravljavcu zahtevo za seznanitev z lastnimi osebnimi podatki iz evidenc policije. Zahteval je, da:
1) potrdi, ali se podatki v zvezi z njim obdelujejo ali ne, ter mu (v kolikor bo to naknadno zahteval) omogoči vpogled v osebne podatke, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj, ter njihovo prepisovanje ali kopiranje;
2) posreduje izpis osebnih podatkov, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj;
3) posreduje seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen;
4) posreduje informacijo o virih, na katerih temeljijo zapisi, ki jih o njem vsebuje zbirka osebnih podatkov, in o metodi obdelave;
5) posreduje informacije o namenu obdelave in vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem;
6) posreduje informacij o tem, ali je bilo od 14. 5. 2018 do vključno 20. 8. 2018 vpogledano v evidence osebnih podatkov, ki jih vodi pristojni organ zanj, in če je bilo, na podlagi katerega iskalnega ključa oziroma termina, od kod je bilo vpogledano, kdaj in s kakšnim namenom; ob tem je izrecno prosil za podatke o vseh opravljenih vpogledih v navedenem časovnem obdobju.
Pristojni organ je o tej zahtevi odločil 12. 11. 2018 z obvestilom št. ….. ter posamezniku posredoval izpis podatkov z zahtevanimi pojasnili o obdelavi podatkov iz točk zahteve od 1 do 5. Posameznikovo zahtevo pa je pristojni organ zavrnil v delu, ki se nanaša na vpoglede v evidence policije od 14. 5. 2018 do vključno 20. 8. 2018 (6. točka obvestila). Utemeljil je, da se zahteva v tem delu nanaša na obdelavo podatkov s strani pristojnega organa (zaposlenih pri njem), kar pa presega pravico posameznika do seznanitve z osebnimi podatki.
Posameznik je 30. 11. 2018 zoper obvestilo pristojnega organa št. ….. vložil pritožbo. Navedel je, da je pristojni organ na to zahtevo odgovoril s stališčem, da ne obstaja njegova obveznost, da bi te osebne podatke, ki se nanašajo na posameznika, razkrila. Ob tem je izpostavil, da je upravičen najmanj do podatka, ali se njegovi osebni podatki obdelujejo ali ne, in če se, s kakšnim namenom, saj je v primeru evidenc policije oblika obdelovanja neposredni vpogled. Pojasnil je, da »goli« podatki o tem, kolikokrat in kdaj v določenem obdobju so bili osebni podatki posameznika obdelani, ne omogočajo preverjanja zakonitosti te obdelave, ki je v domeni IP. Zato meni, da bi mu moral pristojni organ posredovati najmanj te podatke (torej, ali je v določenem obdobju prišlo do obdelave in kdaj). Pristojni organ pa v izpisu ni posredoval niti podatka o tem, ali so se v specificiranem obdobju podatki obdelovali z neposrednimi vpogledi, in če da, kdaj. Opozoril je še, da je pristojni organ pri izpisu osebnih podatkov spregledal, da je njegov pooblaščenec podal zahtevo za podatke, ki jih potrebuje za učinkovito obrambo posameznika v konkretnem kazenskem postopku, tudi na podlagi 10. člena Zakona o odvetništvu. Pojasnil je, da je pooblaščencu na tej pravni podlagi pristojni organ dolžan posredovati vse zahtevane podatke, najmanj pa podatke, ali so se v določenem obdobju podatki obdelovali ali ne in če so se, kdaj.
Pristojni organ je v dopisu št. ….. z dne 4. 12. 2018, s katerim je odstopil pritožbo v reševanje IP, pojasnil, da je vsebinsko odgovoril na vsa zastavljena vprašanja iz zahtevka, glede odgovora na 6. zahtevo pa vztraja pri že navedenem stališču.
IP je 21. 12. 2018 z odločbo št. 0710-100/2018/3 pritožbo posameznika zoper 6. točko obvestila št. ….. z dne 12. 11. 2018 zavrnil. Upravno sodišče Republike Slovenije pa je s sodbo in sklepom št. I U 243/2019-13 z dne 14. 11. 2023 tožbi posameznika zoper to odločbo IP ugodilo, jo odpravilo in jo vrnilo IP v ponovni postopek. Razlog za takšno odločitev je bila bistvena kršitev določb postopka, saj je bila po presoji sodišča pritožba vložena zoper celotni prvostopenjski akt pristojnega organa in ne le zoper 6. točko obvestila, kot je zmotno štel IP. Zato IP o posameznikovi pritožbi izdaja novo odločbo.
Pritožba je utemeljena.
Uvodno
IP pojasnjuje, da je kot organ druge stopnje (nadzorni organ) v skladu z 247. členom ZUP v zvezi s prvim odstavkom 27. člena in 28. členom ZVOPOKD[1] dolžan preizkusiti odločbo (v konkretnem primeru obvestilo št. ….. z dne 12. 11. 2018) v delu, v katerem jo posameznik izpodbija. Odločbo preizkusi v mejah pritožbenih navedb, po uradni dolžnosti pa preizkusi, ali ni prišlo v postopku na prvi stopnji do bistvenih kršitev postopka in ali ni bil prekršen materialni zakon.
IP se je o dejanskem stanju prepričal na podlagi razpoložljivega gradiva ob upoštevanju 10. člena ZUP. Na podlagi 139. člena ZUP je ocenil, da dodatna procesna dejanja za ugotavljanje dejanskega stanja niso potrebna.
Predpisi
IP ugotavlja, da je bila odpravljena odločba IP št. 0710-100/2018/3 izdana na podlagi določb ZVOP-1 (Zakona o varstvu osebnih podatkov; Uradni list RS, št. 94/07 – uradno prečiščeno besedilo, 177/20 in 163/22 – ZVOP-2), ki ne veljajo več. V odpravljeni odločbi je IP glede uporabe predpisov sicer pojasnil, da se pri uresničevanju pravice do seznanitve z osebnimi podatki, ki jih obdelujejo javni organi, ki so pristojni za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem ali drugi organi ali subjekti, ki v skladu s slovenskimi predpisi lahko opravljajo javne funkcije ali izvajajo javna pooblastila za preprečevanje, preiskovanje, odkrivanje ali pregon kaznivih dejanj ali izvrševanje kazenskih sankcij, vključno z varovanjem pred grožnjami javni varnosti in njihovim preprečevanjem, med katere sodi tudi pristojni organ, za kar gre v obravnavani zadevi glede na zahtevo za dostop do osebnih podatkov iz evidenc po Zakonu o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19 in 153/21 – odl. US; v nadaljevanju ZNPPol), ne uporabljajo pravila po Uredbi (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), temveč pravila, ki so veljala že pred začetkom uporabe Splošne uredbe.
Po izdaji odpravljene odločbe IP je začel 31. 12. 2020 veljati ZVOPOKD, ki ureja varstvo pri obdelavi osebnih podatkov, ki jih med drugim policija (pristojni organ) obdeluje za namene izvrševanja pristojnosti s področja preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj. Ta zakon glede posameznikove pravice dostopa do osebnih podatkov vsebuje tako postopkovne kot materialnopravne določbe.
Če se med upravnim odločanjem spremeni procesna zakonodaja, velja, da se uporabi zakon, ki velja v trenutku odločanja, če v prehodnih in končnih določbah ni določeno drugače. Ker ZVOPOKD takšnih določb glede odločanja o pravicah posameznikov ne vsebuje, je IP pri izdaji te odločbe upošteval ZVOPOKD, z vidika postopka predvsem 27. in 28. člen ZVOPOKD ter posledično določbe ZUP.
Tako v teoriji kot v sodni praksi pa so stališča glede uporabe materialnega prava v primeru, da je bila upravna odločba odpravljena, po izdaji odločbe pa se je materialni predpis spremenil in zakonodajalec z novim predpisom vprašanja časovne uporabe materialnega prava ni uredil, deljena. Skladno z načelom zakonitosti iz 6. člena ZUP in upoštevaje, da so po oceni IP določbe ZVOPOKD, ki se nanašajo na pravico dostopa do osebnih podatkov, ugodnejša, je IP tudi vsebinsko odločal po ZVOPOKD. Ob tem IP dodaja, da ima posameznik glede na sodno prakso in teorijo v primeru spremembe materialnega predpisa po izdaji odločbe na prvi stopnji pravico do postavitve novega zahtevka na podlagi spremenjenega materialnega predpisa.
Splošno o pravici posameznika do seznanitve z lastnimi osebnimi podatki oziroma o pravici do dostopa
Osebni podatek pomeni v skladu s prvo točko 4. člena ZVOPOKD katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot so ime, identifikacijska številka, podatki o lokaciji in spletni identifikator, ali z navedbo enega ali več dejavnikov, značilnih za fizično, fiziološko, gensko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami; v nadaljevanju Ustava), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica do dostopa do osebnih podatkov, je konkretizirana v 24. členu ZVOPOKD, ki določa:
»(1) Posameznik, na katerega se nanašajo osebni podatki, ima pravico od pristojnega organa zahtevati podatek o tem, ali se obdelujejo njegovi osebni podatki, in kopijo ali izpis teh podatkov.
(2) Če se obdelujejo njegovi osebni podatki, ima posameznik pravico pridobiti konkretne informacije o:
1. namenih obdelave in njihovi pravni podlagi;
2. vrstah osebnih podatkov, ki se obdelujejo;
3. uporabnikih ali kategorijah uporabnikov, ki so jim bili podatki razkriti, zlasti če gre za uporabnike v tretjih državah ali mednarodnih organizacijah, v primerih omejitev iz prvega odstavka 25. člena tega zakona pa se lahko navede le okvirni opis uporabnikov;
4. roku hrambe ali roku za redni pregled potrebe po hrambi;
5. obstoju pravice zahtevati popravek ali izbris podatkov ali omejitev obdelave in pravici do vložitve pritožbe pri nadzornem organu;
6. obstoju pravice do vložitve prijave pri nadzornem organu in njegovih kontaktnih podatkih;
7. vseh razpoložljivih informacijah o viru osebnih podatkov, razen če je identiteta vira varovana kot tajna ali zaupna po določbah zakona.
(3) Pristojni organ posamezniku iz razloga po 1. ali 2. točki prvega odstavka 25. člena tega zakona ne zagotovi informacij iz prejšnjega odstavka, kadar bi se s tem razkrila identiteta oseb, zoper katere se izvajajo prikriti preiskovalni ukrepi po zakonu, ki ureja kazenski postopek, ali zoper katere so razpisani ukrepi prikritega evidentiranja in namenske kontrole po zakonu, ki ureja naloge in pooblastila policije.
(4) Pristojni organ o zahtevi odloči brez nepotrebnega odlašanja, najpozneje pa v enem mesecu po prejemu zahteve. Odločba vsebuje tudi pouk o pravici do pritožbe pri nadzornem organu.«
Presoja utemeljenosti pritožbe
Bistvo pritožbe temelji na argumentu, da pristojni organ posamezniku ni posredoval vseh zahtevanih osebnih podatkov ter da mu ni zagotovil vseh zahtevanih informacij o obdelavi, do katerih je upravičen. IP ugotavlja, da so pritožbeni očitki utemeljeni.
Pristojni organ je z izpodbijanim obvestilom št. ….., naslovljenim »izpis osebnih podatkov in pojasnilo«, s katerim je posamezniku podal odgovor po točkah njegove zahteve za seznanitev, odločil:
1) da se podatki tožeče stranke obdelujejo v evidencah policije;
2) da je iz priloge (izpis iz fonetičnega indeksa oseb – FIO) razvidno, v katerih evidencah se vodijo osebni podatki tožeče stranke;
3) da so bili podatki posredovani pristojnim organom, ki so v nadaljevanju obravnavali posamezno zadevo prekrška ali kaznivega dejanj, ter RIP-DURS podatki v primerih neplačane globe oziroma Ministrstvu za pravosodje podatki pridobljenih kazenskih točk v prekrškovnih postopkih;
4) da so bili podatki tožeče stranke zbrani z zbiranjem obvestil v postopkih obravnave v policijskih postopkih, pri čemer je pristojni organ pojasnil, da se podatki obdelujejo po metodi neposrednih vpogledov v evidence, avtomatska obdelava pa se vrši samo po vnaprej določenih algoritmih za blokiranje podatkov po rokih hrambe;
5) namene obdelave podatkov in vrste osebnih podatkov (kar je natančneje opisal na 1. in 2. strani obvestila);
6) da se zahteva v tem delu nanaša na obdelavo podatkov s strani pristojnega organa (zaposlenih pri upravljavcu), kar pa presega pravico posameznika do seznanitve z osebnimi podatki.
IP ugotavlja, kar v posameznik v pritožbi utemeljeno izpostavlja, da pristojni organ z izpisom iz fonetičnega indeksa oseb posamezniku ni posredoval vseh zahtevanih osebnih podatkov glede na to, da je zahteval dostop do vseh osebnih podatkov iz evidenc, katerih vsebino določa 125. člen ZNPPol. Tak izpis namreč ne zadosti upravičenju, ki ga ima posameznik po 24. členu ZVOPOKD. IP poudarja, da »dostop do osebnih podatkov« pomeni dostop do dejanskih osebnih podatkov, ne pa zgolj do informacije, kot je navedel pristojni organ, »v katerih evidencah se vodijo osebni podatki« posameznika. Če ni podanih nobenih omejitev, je posameznik namreč upravičen do dostopa do vseh obdelanih osebnih podatkov, ki se nanašajo nanj, upoštevaje obseg njegove zahteve.
Prav tako IP ugotavlja, da pristojni organ posamezniku ni zagotovil vseh informacij, do katerih je upravičen na podlagi 24. člena ZVOPOKD. IP pojasnjuje, da se je v obdobju med odločitvijo pristojnega organa in IP v letu 2018 ter odločitvijo sodišča v upravnem sporu leta 2023 spremenila tako zakonodaja kot upravna in sodna praksa. Zato so v nadaljevanju podane materialnopravne usmeritve, ki jih bo glede informacij o obdelavi (poleg zagotovitve dostopa do vseh osebnih podatkov posameznika, za katere ne veljalo omejitve) moral upoštevati pristojni organ pri ponovnem odločanju.
Posameznik v pritožbi izpostavlja predvsem, da mu pristojni organ ni zagotovil informacij o tem, ali je bilo vpogledano v njegove osebne podatke, ki se obdelujejo v evidencah policije, in če je bilo, na podlagi katerega iskalnega ključa oziroma termina, od kod je bilo vpogledano, kdaj in s kakšnim namenom. Njegova zahteva se je med drugim nanašala na informacije, ali je bilo od 14. 5. 2018 do vključno 20. 8. 2018 vpogledano v evidence osebnih podatkov, ki jih vodi pristojni organ in se nanašajo na posameznika, in če je bilo, na podlagi katerega iskalnega ključa oziroma termina, od kod je bilo vpogledano, kdaj in s kakšnim namenom. Pri tem gre smiselno za podatke, ki se vodijo (tudi) v dnevnikih obdelav.
IP na podlagi obrazloženega ugotavlja, da je pritožba utemeljena. Izpodbijanega obvestila pristojnega organa se ne da preizkusiti, zaradi česar je podana bistvena kršitev pravil upravnega postopka po 7. točki drugega odstavka 237. člena ZUP, v posledici česar je ostalo dejansko stanje nepopolno ugotovljeno. Iz izreka izpodbijanega obvestila namreč izhaja, da je zahtevi posameznika za dostop v celoti ugodeno, razen v 6. točki, čeprav temu ni tako. Ker pa gre za očitno vsebinsko prepletanje med vsemi točkami zahtevka, je IP pritožbi ugodil v celoti. Prav tako IP opozarja, da pristojni organ ni sledil določbi 214. člena ZUP glede obrazložitve odločbe, kar bo moral, tudi glede na 21. člen ZVOPOKD, pri izdaji nove odločbe upoštevati.
Napotki pristojnemu organu
Splošno glede osebnih podatkov in informacij o obdelavi, ki izvirajo iz dnevnika obdelav
Sodišče EU je v sodbi C‑579/21 z dne 22. 6. 2023 zavzelo stališče, da dnevnik obdelav ni sam po sebi izključen iz dometa pravice po 15. členu Splošne uredbe (ter analogno po 24. členu ZVOPOKD). V tej zadevi je Sodišče EU zapisalo, da »v zvezi z dnevniškimi datotekami upravljavca se lahko posredovanje kopije informacij iz teh datotek izkaže za nujno, da bi bila izpolnjena obveznost, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi dostop do vseh informacij iz člena 15(1) SUVP in da se zagotovi poštena in pregledna obdelava, ki tako temu posamezniku omogoča, da v celoti uveljavlja pravice, ki jih ima na podlagi te uredbe.« (69. odstavek). Dnevnik obdelav torej avtomatično ni izključen iz dometa uveljavljanja pravice dostopa do osebnih podatkov, če se to »izkaže za nujno« za izpolnjevanje obveznosti pristojnega organa v tem kontekstu, kar velja tako za dostop do podatkov kot za informacije o obdelavi. Kot utemeljitev je Sodišče EU navedlo, da »take datoteke namreč razkrivajo obstoj obdelave podatkov, kar je informacija, do katere mora imeti posameznik, na katerega se nanašajo osebni podatki, dostop na podlagi člena 15(1) SUVP. Poleg tega je iz njih razvidna pogostost in intenzivnost dejanj vpogleda, ki tako posamezniku, na katerega se nanašajo osebni podatki, omogočajo, da se prepriča, ali je izvedena obdelava dejansko utemeljena z nameni, ki jih je navedel upravljavec.« (70. odstavek).
Kot je poudarilo Sodišče EU, je dostop do informacij o obdelavi ali osebnih podatkov iz dnevniških datotek lahko predmet zahteve po 15. členu Splošne uredbe (analogno tudi 24. člena ZVOPOKD), če je to nujno za izpolnjevanje obveznosti pristojnega organa po zagotavljanju pravice iz navedenih določb. Posameznik mora imeti takšen nadzor nad obdelavo svojih osebnih podatkov, da lahko na podlagi informacij o obdelavi tudi sam preverja zakonitost obdelave. Če je iz dnevnika obdelav torej možno razbrati obstoj obdelave osebnih podatkov, je to temeljna informacija o obdelavi osebnih podatkov, informacija, ki leži v samem bistvu načela zakonitosti, preglednosti in poštenosti obdelave osebnih podatkov. Dostop do tega posamezniku pristojni organ brez sklicevanja na izrecno in jasno zakonsko določbo ne bi smel onemogočiti.
To pa ne pomeni, da bodo posamezniku v vsakem primeru in vedno na voljo vsi podatki iz dnevnikov obdelav in tudi ne informacije, ki so v njih vsebovane. Pomeni le, da se podatki in informacije iz dnevnikov obdelav ne izključijo avtomatično iz dometa pravice dostopa do osebnih podatkov, vseeno pa so podvržene presoji izjem in izključitev na podlagi utemeljenih razlogov (med drugim razlogov na strani preprečevanja in preiskovanja kaznivih dejanj in vseh drugih zakonsko utemeljenih razlogov).
Informacija o tem, kdaj so bili opravljeni vpogledi
Pravica do informacij o obdelavi osebnih podatkov ne zajema izrecno informacije o času obdelave, vendar jo običajno štejemo kot bistveni element informacij o obdelavi osebnih podatkov, odvisno od okoliščin posameznega primera in če posameznik to informacijo zahteva. IP ugotavlja, da je opredelitev obdelave osebnih podatkov po datumu neločljivo povezana s podajanjem ostalih informacij o obdelavi osebnih podatkov, do katerih bi bil posameznik v konkretnem primeru upravičen. Takšno stališče je potrdilo tudi Sodišče EU v sodbi št. C-579/21 z dne 22. 6. 2023, v kateri je pojasnilo, da je treba glede vpogledov v osebne podatke posameznika šteti, da sodijo datumi in nameni vpogledov v osebne podatke med informacije, ki jih ima posameznik pravico prejeti od pristojnega organa (83. odstavek). Navedeno pa ne pomeni, da pristojni organ ne more zavrniti zahteve za informacije na podlagi 23. člena Splošne uredbe oziroma 25. člena ZVOPOKD, vendar mora to obrazložiti in utemeljiti na določbah zakona.
Informacija o tem, kdo znotraj pristojnega organa je opravil vpogled
Iz dosedanje prakse IP izhaja, da posameznik praviloma ni upravičen do podatka o osebah, zaposlenih pri upravljavcu, ki so obdelovale njegove osebne podatke (glej npr. mnenje št. 0712-724/2008/2, 0712-1/2014/2773, 0712-1/2014/3051). Vendar pa je Sodišče EU v nedavni zadevi št. C-579/21 to stališče nekoliko relativiziralo in zapisalo, da pravica po prvem odstavku 15. člena Splošne uredbe (analogno tudi po 24. členu ZVOPOKD) ne zajema pravice v zvezi z informacijami o identiteti zaposlenih navedenega pristojnega organa, ki so izvedli ta dejanja pod njegovim vodstvom in v skladu z njegovimi navodili, razen če so te informacije nujne za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki so mu podeljene s to uredbo, in se upoštevajo pravice in svoboščine teh zaposlenih. Smiselno je treba to razlagati tudi pri zahtevi za informacijo o tem, znotraj katere enote pristojnega organa je bil opravljen vpogled.
Generalni pravobranilec Sodišča EU je v svojih sklepnih predlogih z dne 15. 12. 2022 v zadevi C-579/21 tudi poudaril, da je situacija lahko drugačna, kadar »zaposleni ne upošteva postopkov, ki jih je določil upravljavec, in na lastno pobudo nezakonito dostopa do podatkov strank ali drugih zaposlenih. V takem primeru nelojalni zaposleni ne bi deloval za račun in v imenu upravljavca« in bi se sam lahko štel za pristojnega organa oziroma v tem smislu uporabnika, katerega identiteto bi bilo posledično treba razkriti.
Informacija o tem, s kakšnim namenom je pristojni organ vpogledoval v osebne podatke
V tem delu IP pojasnjuje, da pristojni organ ne more izhajati zgolj iz obdelav, ki jih opravlja v okviru »formalnih«, zakonsko predvidenih evidenc oziroma zbirk osebnih podatkov, temveč iz vseh obdelav osebnih podatkov, ki se odvijajo bodisi z avtomatiziranimi sredstvi ali v povezavi z zbirko osebnih podatkov. Izpostaviti je treba, da je informacija o namenih obdelave ena izmed bistvenih informacij za možnost preverjanja zakonitosti obdelave osebnih podatkov. Zato je še posebej pomembno, da odločanje o pravici posameznika do informacije o namenih obdelave zajame vse obdelave, ki jih vrši pristojni organ, nato pa se v tako ugotovljenem obsegu ugotavlja morebitne omejitve pravice posameznika.
Kot že pojasnjeno, pa ima pristojni organ na voljo določene izjeme za zavrnitev pravice posameznika, pri čemer mora biti njegova odločitev utemeljena in obrazložena, po potrebi v prilogi k odločbi, ki je namenjena izrecno takšnim situacijam, ko bi razkritje razlogov za zavrnitev pravice že negativno vplivala na cilje pristojnega organa, denimo v zvezi s preprečevanjem in pregonom kaznivih dejanj.
Skladno s tretjim odstavkom 251. člena ZUP mora organ druge stopnje, kadar odpravi izpodbijano odločbo (obvestilo) in zadevo vrne organu prve stopnje v ponovni postopek, s svojo odločbo opozoriti organ prve stopnje, glede česa je treba dopolniti postopek. Glede na zgoraj obrazloženo bo moral pristojni organ v ponovljenem postopku izdati novo odločbo, upoštevaje postopkovne in materialnopravne usmeritve IP.
Glede pravne podlage po 10. členu ZOdv
IP ugotavlja, da pristojni organ z izpodbijanim obvestilom ni izrecno presojal podane zahteve po 10. členu Zakona o odvetništvu (Uradni list RS, št. 18/93, 24/96 – odl. US, 24/01, 54/08, 35/09, 97/14, 8/16 – odl. US, 46/16, 36/19 in 130/22). Pojasnjuje pa, da ta določba ureja samostojno in izvirno pravico odvetnika do pridobitve osebnih podatkov, ki se nanašajo na tretje osebe, od taksativno naštetih kategorij upravljavcev osebnih podatkov, kar pomeni, da sploh ne gre za pravico posameznika. Zato pristojni organ v okviru posameznikove zahteve za seznanitev z lastnimi osebnimi podatki te zahteve, ki jo upravičeno lahko poda le odvetnik, ni bil dolžan presojati.
Sklepno
IP je na podlagi tretjega odstavka 251. člena ZUP pritožbi posameznika ugodil in odpravil izpodbijano obvestilo ter zadevo vrnil v ponovno odločanje, ker je bilo ugotovljeno, da je prišlo na prvi stopnji do bistvenih kršitev postopka, ugotovljene pomanjkljivosti pa bo lažje odpravil pristojni organ.
O stroških postopka
Na podlagi 118. člena ZUP se v odločbi odloči o stroških postopka. ZVOPOKD ne vsebuje posebnih določb glede stroškov postopka v zvezi s pritožbo posameznika pri nadzornem organu, zato se glede povrnitve stroškov postopka uporabljajo določbe ZUP. V skladu s prvim odstavkom 113. člena ZUP gredo stroški, ki nastanejo organu ali stranki med postopkom ali zaradi postopka (npr. pravno zastopanje), v breme tistega, na katerega zahtevo se je postopek začel. Postopek uveljavljanja pravic po ZVOPOKD in nadaljnji pritožbeni postopek se je začel na zahtevo posameznika, zato mora ta sam kriti svoje stroške (2. točka izreka te odločbe).
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, 14/15 – ZUUJFO, 84/15 – ZZelP-J, 32/16, 30/18 – ZKZaš in 189/20 – ZFRO) oproščena plačila upravne takse. Posebni stroški v tem pritožbenem postopku niso nastali (2. točka izreka te odločbe).
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena ne pritožba ne upravni spor.
Postopek vodila:
…..., Mojca Prelesnik, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov informacijska pooblaščenka
Vročiti:
- MINISTRSTVO ZA NOTRANJE ZADEVE, POLICIJA, Štefanova ulica 2, 1501 Ljubljana (osebno po ZUP);
- ….. (osebno po ZUP).
Prvi odstavek 27. člena ZVOPOKD določa: “O pritožbi posameznika, na katerega se nanašajo osebni podatki, zoper odločitev pristojnega organa odloča nadzorni organ kot organ druge stopnje.”, 28. člen ZVOPOKD pa: “V postopkih pred nadzornim organom po tem poglavju se uporabljajo določbe zakona, ki ureja splošni upravni postopek, če ta zakon ne določa drugače.”
