Številka: 07100-34/2022/4
Datum: 3. 1. 2023
Informacijski pooblaščenec po informacijski pooblaščenki Mojci Prelesnik (v nadaljevanju IP) na podlagi 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) v zvezi s 15. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter na podlagi prvega odstavka 248. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, s sprem. in dop.; v nadaljevanju ZUP), o pritožbi … (v nadaljevanju prosilka) z dne 28. 9. 2022 zoper … (v nadaljevanju zavod) v zadevi seznanitve z lastnimi osebnimi podatki izdaja naslednjo
O D L O Č B O
1. Pritožba prosilke z dne 28. 9. 2022, ki se nanaša na domnevno zavrnilno odločitev zavoda, se zavrne.
2. Posebni stroški v tem postopku niso nastali.
O b r a z l o ž i t e v:
Dne 21. 1. 2020 in 17. 9. 2022 je prosilka od osebe … z e-naslova … prejela dve elektronski sporočili z vabilom na delavnice …. Drugo vabilo (z dne 17. 9. 2022) je bilo vabilo na … delavnico v organizaciji zavoda …, v katerem je bilo navedeno, da zavod … vabi na tridnevne … delavnice, ki jih bo vodila …. Pod sporočili je bila podpisana …, iz njih pa je izhajalo tudi, da e-naslov … pripada slednji.
Prosilka je dne 17. 9. 2022 na e-naslov … osebi … poslala sporočilo, v katerem je navedla, da želi skladno z ZVOP-1 in GDPR izvedeti, kje je pridobila njene osebne podatke, katere in kako z njimi razpolaga.
Gospa … je dne 17. 9. 2022 prosilki odgovorila, da se opravičuje, da ji je bilo sporočilo poslano pomotoma in zato briše njen naslov, ki si ga je njen spletni strežnik očitno zapomnil iz preteklih komunikacij in jo pomotoma sam dodal med prejemnike. Ga. … je navedla, da sklepa, da je ob vnosu imena "… " strežnik očitno vnesel prosilko namesto neke druge …. Pojasnila je še, da njenega naslova nima nikjer zabeleženega.
Prosilka je ge. … nadalje istega dne odgovorila, da morajo biti osebni podatki sledljivi vse do njihovega izvora. Ponovno jo je prosila, da naj ji nemudoma posreduje želene informacije, saj jo bo v nasprotnem primeru primorana prijaviti IP.
Prosilka je nato dne 28. 9. 2022 vložila pritožbo in prijavo, ki ju je IP prejel 4. 10. 2022, in sicer zoper osebo … ter zavod … zaradi zavrnilne odločitve z dne 17. 9. 2022. Prosilka je navedla, da se je januarja 2020 preko … prijavila na … delavnico …, kasneje pa je prejela dve vabili gospe …, za katero sicer ne ve, kako je dobila njene osebne podatke, saj ji svojega e-naslova nikoli ni dala. Sklepala je, da je ga. … osebne podatke prejela od ….
IP je z dopisom št. 07100-34/2022/2 z dne 5. 10. 2022 zavod pozval, naj pojasni svoje sodelovanje s … v smislu, ali je na omenjene delavnice vabila v sodelovanju z ali v imenu zavoda; kje je zavod pridobil osebne podatke prosilke; s katerimi osebnimi podatki prosilke razpolaga zavod (bodisi v fizičnih evidencah ali kjerkoli, kjer jih vodi avtomatizirano); naj IP-ju pošlje dejanske izpise vseh prosilkinih osebnih podatkov, s katerimi razpolaga; naj odgovori, na kakšen način obdeluje osebne podatke prosilke.
Zavod je dne 25. 10. 2022 IP-ju odgovoril, da se je pogovoril z gospo …, ki je pojasnila, da se je prosilka prijavila na delavnico …, ki jih je v okviru … dne … vodila ga. …. Prosilka se v izbor najbolj obetanih … ni uvrstila, zato na delavnici ni sodelovala. Je pa ga. … sklepala, da bi prosilko utegnile podobne delavnice vseeno zanimati, zato ji je leta 2021 ponudila drugo priložnost. … je zavod pripravljal delavnico … in ga. … je prosilki poslala vabilo. Ga. … pa je po prejemu prosilkinega pisanja ugotovila, da je vabilo poslala drugi osebi, kot je nameravano, saj na izvajanju svojih delavnic od udeleženk in udeležencev pridobi privolitev za informiranje o bodočih projektih. Ena od teh oseb si deli lastno ime s prosilko. Ob navajanju naslovov v naslovno vrstico elektronskega sporočila je tako ga. … spregledala, da je vnesla naslov prosilke namesto naslova bivše udeleženke z enakim imenom. Nadalje je zavod pojasnil, da je prosilka svoj naslov objavila vsaj na dveh javnih mestih in ga uporablja tudi za opravljanje storitev, iz česar bi lahko razumeli e-naslov prosilke kot kontaktni naslov podjetja ali posameznika, ki opravlja storitev in komunikacijo s strankami. Tak e-naslov pa po 106. členu ZVOP-1 ne velja več za varovan osebni podatek. Zavod je IP-ju konkretno sporočil, da je z gospo … res sodeloval pri organizaciji delavnic …; da je e-naslov prosilke edini podatek, ki ga je njihova sodelavka … imela na razpolago, pridobila pa ga je na pojasnjeni način. Poleg tega je zavod pojasnil, da v svojih evidencah nima nobenega osebnega podatka prosilke in z osebnimi podatki prosilke ne razpolaga, zato jih tudi ne obdeluje.
Pritožba ni utemeljena
1. Uvodno
IP pojasnjuje, da je kot organ druge stopnje v skladu z 247. členom ZUP dolžan preizkusiti odločbo v delu, v katerem jo prosilka izpodbija. V konkretnem primeru se je izkazalo, da zavod sploh ni izdal zavrnilne odločitve z dne 17. 9. 2022, temveč je bila to v lastnem imenu (in ne v imenu zavoda) ga. ….
IP kot pritožbeni organ odločbo preizkusi v mejah pritožbenih navedb, po uradni dolžnosti pa preizkusi, ali ni prišlo v postopku na prvi stopnji do bistvenih kršitev postopka in ali ni bil prekršen materialni zakon.
2. Splošno o pravici posameznika do dostopa do lastnih osebnih podatkov
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr.
Materialnopravni pogoji za uresničitev pravice do seznanitve z lastnimi osebnimi podatki po 15. členu Splošne uredbe so naslednji:
· zahtevani osebni podatki morajo ustrezati definiciji osebnih podatkov (pogoj podvrženosti pojmu osebnega podatka);
· zahtevani osebni podatki se morajo nanašati na prosilca (pogoj navezovanja osebnih podatkov na prosilca);
· zahtevani osebni podatki oziroma zahtevano dokumentarno gradivo kot nosilec osebnih podatkov mora obstajati v zunaj zaznavni fizični ali elektronski obliki (pogoj materializirane oblike);
· z zahtevanimi osebnimi podatki mora razpolagati upravljavec (pogoj obstoja upravljavca osebnih podatkov);
· glede zahtevanih osebnih podatkov ne smejo obstajati posebne zakonske omejitve (v smislu omejitev, ki jih predvideva člen 23 Splošne uredbe) ali nadzakonskih omejitev dostopa do lastnih osebnih podatkov.
3. Presoja upravičenosti zahteve prosilke v obravnavanem primeru
Skladno z zgoraj navedenimi materialnopravni pogoji za uresničitev pravice do seznanitve z lastnimi osebnimi podatki je moral IP torej najprej preveriti, ali je zavod … v konkretnem primeru sploh šteti za upravljavca osebnih podatkov prosilke.
IP je ugotovil, da je prosilka vložila zahtevo za dostop do osebnih podatkov in informacij o obdelavi svojih osebnih podatkov na e-naslov …. Iz celotne dokumentacije zadeve izhaja, da je prosilka svojo zahtevo naslovila izključno na gospo …, ki je delovala sama, četudi je delavnice, na katere je vabila, izvajala v sodelovanju z zavodom …. Izkazalo se je torej, da gospa … s pošiljanjem vabila na delavnico po e-pošti ni delovala v imenu in na račun zavoda, temveč neodvisno od zavoda, povsem v svojem imenu. To potrjuje tudi navedba zavoda, da je gospa … (sama) napačno vnesla osebne podatke prosilke, pri čemer je torej šlo za pomoto gospe …, ne pa za delovanje zavoda. Zavod je zatrdil, da ne razpolaga, ne vodi v evidencah in zatorej ne obdeluje nikakršnih osebnih podatkov prosilke.
IP je torej ugotovil, da zavod v predmetni zadevi pošiljanja sporočil prosilki ni obdeloval osebnih podatkov prosilke in v konkretnem primeru ni upravljavec osebnih podatkov prosilke, temveč bi to lahko bila gospa … (v kolikor se bo to potrdilo v ločenem postopku, ki ga IP vodi pod zadevo št. 07100-42/2022). Ker zavod ni upravljavec osebnih podatkov v konkretnem primeru prosilki tudi ne more omogočiti dostopa do njenih osebnih podatkov ter informacij v zvezi z obdelavo osebnih podatkov.
Zavrnilno obvestilo z dne 17. 9. 2022 torej ne šteje za odločitev zavoda, temveč za obvestilo, ki ga je izdala gospa … in katerega pravilnost bo IP zaradi vsega navedenega preveril v ločenem pritožbenem postopku, saj se je prosilka zoper njega pritožila.
Zaradi vsega navedenega je IP zaključil, da pogoj za odobritev zahteve za dostop do osebnih podatkov, da gre za upravljavca osebnih podatkov, ki tudi razpolaga z osebnimi podatki prosilke, ni izpolnjen in pritožbi prosilke zoper zavod ni mogoče ugoditi. IP je zato je na podlagi prvega odstavka 248. člena ZUP pritožbo prosilke zavrnil.
IP prosilki zgolj informativno pojasnjuje, da vodi še ustrezni postopek zaradi zavrnitve pravice do seznanitve z lastnimi osebnimi podatki po 15. členu Splošne uredbe s strani upravljavca osebnih podatkov ….
4. Sklepno
IP je na podlagi prvega odstavka 248. člena ZUP pritožbo prosilke v delu, ki se nanaša na zavod … zavrnil (prvi odstavek izreka te odločbe), saj je spoznal, da ta po določbah Splošne uredbe ni utemeljena.
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, 14/15 – ZUUJFO, 84/15 – ZZelP-J, 32/16 in 30/18 – ZKZaš) oproščena plačila upravne takse.
Posebni stroški v tem pritožbenem postopku niso nastali (2. točka izreka te odločbe).
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustna tožba v upravnem sporu, ki se vloži v 30 dneh po prejemu te odločbe na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi to odločbo v izvirniku ali kopiji ter plačati sodno takso.
Postopek vodila:
….,
svetovalka IP za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.,
informacijska pooblaščenka
O./ Vročiti:
- … (osebna vročitev po ZUP);
- … (osebna vročitev po ZUP).
