Številka: 07101-164/2021/24
Datum: 19. 1. 2023
Informacijski pooblaščenec po informacijski pooblaščenki Mojci Prelesnik (v nadaljevanju IP) na podlagi 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) v zvezi s 15. in 77. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter na podlagi prvega odstavka 248. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, 105/06 – ZUS-1, 126/07, 65/08, 8/10, 82/13, 175/20 – ZIUOPDVE in 3/22 – ZDeb; v nadaljevanju ZUP), o pritožbi posameznika: … z dne 2. 2. 2022, zoper odgovor upravljavca: … z dne 25. 1. 2022, v zadevi dostopa do osebnih podatkov izdaja naslednjo
O D L O Č B O:
1. Pritožba posameznika z dne 2. 2. 2022 zoper odgovor upravljavca z dne 25. 1. 2022 se zavrne.
2. V tem postopku posebni stroški niso nastali.
O b r a z l o ž i t e v:
Posameznik je 28. 9. 2021 pri upravljavcu vložil zahtevo za seznanitev z lastnimi osebnimi podatki. Zahteval je:
- da mu upravljavec potrdi, ali se v društvu obdelujejo oziroma so se obdelovali podatki v zvezi z njim in/ali se nanašajo nanj,
- da se mu omogoči vpogled v te osebne podatke, vključno z njihovim prepisom in kopiranjem,
- da mu upravljavec posreduje seznam oziroma navedbo uporabnikov ali vrste uporabnikov, katerim so bili v tem letu posredovani njegovi osebni podatki,
- kdaj, na kakšni podlagi in za kakšen namen oziroma namen obdelave;
- da mu posreduje informacijo o virih, na katerih temeljijo zapisi, ki jih o posamezniku vsebuje zbirka osebnih podatkov in
- o metodi obdelave,
- kar še posebej velja za morebitne osebne podatke v zvezi z predlogom izvršnega odbora častnemu razsodišču društva, da se posamezniku izreče predlagani opomin.
Ker upravljavec posamezniku v predpisanem roku ni odgovoril, je 29. 10. 2021 pri IP vložil pritožbo zaradi molka.
IP je upravljavca 3. 11. 2021 pozval, da o posameznikovi zahtevi pisno odloči skladno s 15. členom Splošne uredbe. V odgovoru z dne 16. 12. 2021 je upravljavec pojasnil okoliščine v zvezi z društvom in osebnimi podatki posameznika, ki jih obdeluje. Ker pa iz tega odgovora ni izhajalo, da bi upravljavec o posameznikovi zahtevi dejansko odločil v skladu z 12. in 15. členom Splošne uredbe, ga je IP 21. 12. 2021 ponovno pozval, da o zahtevi v celoti odloči.
Upravljavec je 25. 1. 2022 IP sporočil, da je posamezniku odgovoril na njegovo zahtevo za seznanitev z lastnimi osebnimi podatki, in sicer z obvestilom posamezniku glede obdelave osebnih podatkov z dne 25. 1. 2022.
Posameznik je 2. 2. 2022 zoper ta odgovor vložil (vsebinsko) pritožbo.
IP ja nato 10. 2. 2022 upravljavca ponovno pozval, da o posameznikovi zahtevi v celoti pisno odloči v skladu s 15. členom Splošne uredbe. Izpostavil je, da je upravljavec v obvestilu posamezniku z dne 25. 1. 2022 podal pojasnila glede obdelave osebnih podatkov članov društva zgolj na splošno, zahteva za seznanitev pa se nanaša na osebne podatke točno določenega člana – tj. posameznika …. Ob tem je IP tudi pojasnil, da se pravica do seznanitve po 15. členu Splošne uredbe od pravice do informiranja po 13. členu Splošne uredbe razlikuje po tem, da gre pri zahtevi po 15. členu za zahtevo za seznanitev s konkretnimi osebnimi podatki in z informacijami v zvezi z obdelavo glede konkretnega posameznika. Prav tako je upravljavca opozoril, da iz njegovega odgovora ne izhaja, da bi posamezniku omogočil vpogled v osebne podatke in njihov prepis ali kopiranje ter mu podal vse zahtevane informacije.
V odgovoru z dne 2. 3. 2022 je upravljavec poudaril, da se je odzval na poziv IP z dne 28. 12. 2021 ter ponovno priložil odgovor z dne 25. 1. 2022, ki ga je poslal posamezniku.
IP je v ponovnem pozivu z dne 7. 4. 2022 upravljavcu pojasnil, da posamezniku kljub odgovorom z dne 14. 12. 2021, 25. 1. 2022 in 2. 3. 2022 na pozive IP še vedno ni zagotovil vpogleda v njegove osebne podatke, vključno z njihovim prepisom in kopiranjem, posameznik pa vztraja pri zahtevi, da se mu omogoči dostop do njegovih osebnih podatkov in da se mu posreduje vse zahtevane informacije v zvezi z obdelavo podatkov. IP je upravljavca tudi pozval, da mu predloži kopijo vseh podatkov oziroma dokumentov, ki vključujejo osebne podatke posameznika in so predmet zahteve za dostop, ter informacije po prvem odstavku 15. člena Splošne uredbe glede namenov obdelave osebnih podatkov posameznika (točka (a) navedenega člena) in, v kolikor osebni podatki niso bili zbrani pri posamezniku, vse razpoložljive informacije v zvezi z njihovim virom (točka (g)).
Upravljavec je k odgovoru na ta poziv z dne 26. 4. 2022 priložil članski imenik za leto 2021-2022, pristopno izjavo … z dne 6. 10. 2018, pravila o varovanju osebnih podatkov in statut društva. Pojasnil je, da ostalih dokumentov z osebnimi podatki posameznika ne hrani, razen zapisnikov rednih in izrednih sej organov društva in drugih dokumentov o delovanju društva.
Glede na te navedbe upravljavca je IP ocenil, da bi bili določeni osebni podatki posameznika najverjetneje lahko vsebovani še v zapisnikih sej organov društva, na katerih je bilo govora o predlaganih opominih zoper določene člane (med drugim tudi zoper posameznika) in se je v zvezi s tem sprejelo sklep o predlaganih opominih ter morebitni dokumentaciji častnega razsodišča društva, če je o navedenem predlaganem opominu odločalo. Zato je upravljavca 19. 5. 2022 pozval še na predložitev kopije zapisnikov sej organov društva, ki vključujejo osebne podatke posameznika (npr. kopijo seje organa društva, kjer se je sklenilo o predlaganem opominu zoper posameznika), morebitno kopijo dokumentacije častnega razsodišča društva, ki vsebuje osebne podatke (predvsem če to odloča oziroma je odločalo o opominu zoper posameznika) ter morebitne druge kopije podatkov oziroma dokumentov, ki vključujejo osebne podatke posameznika in so predmet zahteve za dostop.
Upravljavec je v odgovoru, ki ga je IP prejel 20. 6. 2022, pojasnil, da se je posameznik udeležil le izrednega občnega zbora z dne 18. 8. 2022, ter priložil kopijo zapisnika in pooblastilo, ki ga je posameznik predložil za občni zbor z dne 27. 1. 2022. Navedel je, da je poleg tega posameznik omenjen v zapisniku 16. redne seje izvršnega odbora upravljavca z dne 30. 8. 2021, kjer je bil izglasovan sklep št. …, v skladu s katerim je izvršni odbor predlagal častnemu razsodišču društva, da posamezniku in ostalim določenim članom društva izreče opomin. Ne glede na podani sklep pa častno razsodišče društva o predlogu za izrek opominov ni odločalo, zaradi česar tudi ne obstajajo zapisniki oziroma drugi dokumenti častnega razsodišča, ki bi se nanašali na to zadevo in v katerih bi bili vsebovani podatki posameznika. Upravljavec je nato poudaril, da z drugimi dokumenti in listinami, ki bi vključevali osebne podatke posameznika, ne razpolaga.
Glede na to je IP 26. 8. 2022 posamezniku poslal tri relevantne odgovore upravljavca, ki jih je podal v tem pritožbenem in povezanem inšpekcijskem postopku št. … (z dne 26. 4. 2022, z dne 20. 6. 2022 in z dne 8. 7. 2022) ter povzel, kaj iz njih izhaja ter katere listine je posameznik že prejel. Pojasnil je, da iz dosedanjega postopka izhaja, da je prejel vse zahtevane osebne podatke in informacije, do katerih je na podlagi 15. člena Splošne uredbe upravičen, ter obrazložil domet te pravice. Zato je posameznika pozval na opredelitev, ali pri pritožbi vztraja in zakaj ter da v takšnem primeru na jasen in pregleden način navede, katere osebne podatke oziroma informacije o obdelavi še zahteva, ter poda dodatna pojasnila in predloži dokaze, s katerimi utemeljuje obstoj zahtevanih osebnih podatkov v materializirani obliki, oziroma poda druga pojasnila, ki bi bila lahko za predmetni postopek relevantna.
Posameznik je v odgovoru z dne 8. 9. 2022 navedel, da pri pritožbi z dne 2. 2. 2022 vztraja. Pojasnil je, da mu upravljavec še vedno ni odgovoril na vse njegove zahteve oziroma da je IP odgovoril pomanjkljivo in netočno ter mu tako še vedno ni omogočil seznanitve oziroma dostopa do vseh relevantnih osebnih podatkov in dokumentov, s katerimi po njegovem vedenju razpolaga oziroma jih obdeluje upravljavec. To je v devetih točkah tudi natančno specificiral. Zahteval je še njegove pristopne izjave, dane pred letom 2018; ostale sezname članov društva; druge zapisnike občnih zborov, sej izvršnega odbora in sej častnega razsodišča, ki vsebujejo njegove osebne podatke; zvočne zapise občnih zborov; informacije o drugih uporabnikih, ki so jim bili razkriti njegovi osebni podatki, ter besedilo predloga, ki naj bi ga izvršni odbor podal častnemu razsodišču, da se mu zaradi tam očitanih kršitev izreče opomin, pri čemer je obstoj zahtevanih, a še manjkajočih podatkov, informacij oziroma dokumentov tudi podrobneje utemeljil.
IP je nato upravljavca 5. 10. 2022 pozval, da posreduje natančna pojasnila v zvezi z navedbami posameznika o obstoju njegovih osebnih podatkov po točkah iz njegove vloge z dne 8. 9. 2022, upoštevajoč domet pravice iz 15. člena Splošne uredbe, ter morebitna dodatna relevantna pojasnila in dokaze, s katerimi razpolaga.
Upravljavec je v odgovoru z dne 17. 11. 2022 podal pojasnila po točkah, kot jih je opredelil posameznik v vlogi z dne 8. 9. 2022. Vsebina teh navedb bo, v izogib pojavljanju, podana v nadaljevanju obrazložitve ob presoji utemeljenosti posamezne zahteve. IP je to vlogo posamezniku 5. 1. 2023 poslal v vednost.
Dne 16. 1. 2023 je IP upravljavca še pozval, da mu posreduje informacijo o tem, ali je posameznik še član upravljavca oziroma kdaj mu je članstvo morebiti prenehalo. Upravljavec je IP odgovoril 17. 1. 2023 ter navedel, da posameznik ni plačal članarine za sezono 2022/23, tako da se je njegov status člana zaključil z dne 31. 8. 2022. Kot izhaja iz uradnega zaznamka o telefonskem razgovoru z dne 17. 1. 2023, posameznik meni nasprotno.
Pritožba ni utemeljena.
Uvodno
IP uvodoma pojasnjuje, da je kot organ druge stopnje v skladu z 247. členom ZUP dolžan preizkusiti odločbo v delu, v katerem jo posameznik izpodbija. Odločbo preizkusi v mejah pritožbenih navedb, po uradni dolžnosti pa preizkusi, ali ni prišlo v postopku na prvi stopnji do bistvenih kršitev postopka in ali ni bil prekršen materialni zakon.
IP se je o dejanskem stanju prepričal na podlagi razpoložljivega gradiva ob upoštevanju 10. člena ZUP. Na podlagi 139. člena ZUP je ocenil, da dodatna procesna dejanja za ugotavljanje dejanskega stanja niso potrebna.
Splošno o pravici posameznika do seznanitve z lastnimi osebnimi podatki oziroma o pravici do dostopa
Osebni podatek pomeni v skladu s prvim odstavkom 4. člena Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami; v nadaljevanju Ustava), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
(a) namene obdelave;
(b) vrste zadevnih osebnih podatkov;
(c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;
(d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
(e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
(f) pravico do vložitve pritožbe pri nadzornem organu;
(g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
(h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
Zahtevo je možno zavrniti, če niso izpolnjeni osnovni pogoji za dostop (npr. ker sploh ne gre za osebne podatke, ker ne gre za osebne podatke posameznika, ker zahtevani osebni podatki ne obstajajo ipd.), če je zahteva očitno neutemeljena ali pretirana oziroma če so v ustavi, mednarodnih aktih ali področnih zakonih določene posebne omejitve.
Namen pravice po 15. členu Splošne uredbe je omogočiti posamezniku, na katerega se nanašajo osebni podatki, da se zaveda obdelave in preveri njeno zakonitost oziroma da uveljavlja druge pravice v zvezi z obdelavo osebnih podatkov (tako 63. uvodna izjava Splošne uredbe in sodna praksa Sodišča EU).
Presoja utemeljenosti pritožbe
Ker IP v postopku na prvi stopnji ni ugotovil bistvenih postopkovnih pomanjkljivosti, je v tem pritožbenem postopku ugotavljal dejstvo obstoja zahtevanih osebnih podatkov, glede katerih posameznik meni, da upravljavec z njimi razpolaga, a mu jih še ni posredoval, ter upravičenost do zahtevanih podatkov in informacij. Posameznik namreč kljub prejemu določenih osebnih podatkov ter dokumentov, ki se nanašajo nanj, in dodatnih pojasnil s strani upravljavca vztraja, da mu upravljavec ni posredoval vseh osebnih podatkov, s katerimi razpolaga, in z njimi povezanih informacij o obdelavi. IP je zato presojal, ali je upravljavec posamezniku posredoval vse osebne podatke, s katerimi razpolaga, in informacije v zvezi z njimi ter ustrezajo njegovi zahtevi z dne 28. 9. 2021, do katerih je na podlagi člena 15. Splošne uredbe upravičen. Posameznik je manjkajoče dokumente oziroma podatke in informacije opredelil v vlogi z dne 8. 9. 2022, in sicer v devetih točkah, na kar je upravljavec odgovoril z vlogo z dne 17.11. 2022. IP bo zaradi preglednosti in jasnosti v obrazložitvi sledil tem točkam, kot jih je oblikoval posameznik.
IP pa najprej na splošno pojasnjuje, da je izhodiščna predpostavka za uresničitev pravice do dostopa v ožjem smislu obstoj zahtevanih osebnih podatkov pri upravljavcu v materializirani obliki. Pogoj materializirane oblike pomeni, da mora upravljavec z zahtevanimi osebnimi podatki razpolagati v zunaj zaznavni fizični ali elektronski obliki. To posledično pomeni, da če zahtevani podatki pri upravljavcu ne obstajajo, posamezniku po naravi stvari ne more omogočiti dostopa do njih. Prav tako IP opozarja, da se pravica dostopa po 15. členu Splošne uredbe nanaša zgolj na osebne podatke vlagatelja zahteve (v smislu opredelitve iz 4. člena Splošne uredbe) ter na v tej določbi navedene informacije v zvezi z obdelavo, ne pa nujno tudi na cele listine ali dokumente oziroma na kakršnakoli druga pojasnila upravljavca.
Ob tem IP opozarja še, da posameznikove navedbe o nezakoniti obdelavi osebnih podatkov ne morejo biti predmet presoje v tem postopku, temveč bi se lahko obravnavale le v okviru inšpekcijskega postopka. Zato se IP do teh pritožbenih navedb ni opredeljeval. Konkretno katere so te irelevantne pritožbene navedbe, bo IP izpostavil pri vsaki točki posebej.
Sporni osebni podatki, dokumenti oziroma informacije, ki so predmet presoje v tem pritožbenem postopku, so še:
1. Pristopne izjave pritožnika, dane pred letom 2018
Posameznik je navedel, da je član upravljavca že več kot 40 let, pristopne izjave, ki so po Zakonu o društvih (Uradni list RS, št. 64/11 – uradno prečiščeno besedilo in 21/18 – ZNOrg; v nadaljevanju ZDru-1) in statutu upravljavca pogoj za članstvo, pa so se izpolnjevale tudi že prej in bi se morale hraniti po zakonskih predpisih o arhiviranju, prav tako pa tudi po društvenih Pravilih o varovanju osebnih podatkov, vse do preklica oziroma izbrisa članstva. Upravljavec je v zvezi s tem pojasnil, da se pristopne izjave obvezno hranijo še eno leto preteku članstva za tekoče leto — ta je koledarsko usklajen z vadbenim letom začenši z 1. 9. tekočega leta do 31. 8. naslednjega leta ter možnosti pritožbe člana v roku enega leta. Po statutu upravljavca se članstvo prekine v primeru neplačila članarine, kot to določa 14. člen statuta. Zato je navedel, da ne poseduje oziroma ne hrani pristopnih izjav pritožnika pred leti 2018.
Glede na pojasnilo upravljavca, da se pristopne izjave hranijo še eno leto preteku članstva za tekoče leto, je povsem razumljivo, da upravljavec ne hrani več pristopnih izjav posameznika pred letom 2018. Ali je takšen rok hrambe ustrezen, IP v tem postopku ne more presojati. Zato pritožbene navedbe v tem delu niso utemeljene.
2. Ostali seznami članov društva
a) V tej točki je posameznik izpostavil, da je upravljavec od evidenc o članstvu društva in njegovih sekcijah, ki vsebujejo osebne podatke, ki se nanašajo nanj, IP posredoval zgolj t. i. članski imenik za leto 2021-22 v Excel tabeli, ki za to obdobje med … člani društva navaja tudi njegove osebne podatke. Opozoril je, da gre očitno gre zgolj za seznam (t. i. rednih) članov s plačano članarino v tem vadbenem letu, ne pa tudi za evidenco vseh članov društva, ki jih je nedvomno bistveno več. Upravljavec je pojasnil, da seznam aktivnih članov z glasovalno pravico hrani za obdobje možnega pritožbenega roka, ki ga član lahko sproži na organih društva, ter da ne bi bilo primerno, da bi hranil tudi osebne podatke oseb, ki niso več člani.
IP v zvezi s temi pritožbenimi navedbami ponovno poudarja, da je posameznik upravičen le do tistih osebnih podatkov, ki se nanašajo nanj, ne pa tudi do osebnih podatkov tretjih oseb. Že zato zahteva za posredovanje evidence vseh članov društva v celoti ni utemeljena. V kolikor pa se te pritožbene navedbe nanašajo na osebne podatke posameznika, ki so vsebovani v drugih evidencah, pa IP pojasnjuje, da za izpolnitev obveznosti po 15. členu Splošne uredbe ni v vseh primerih obvezno, da upravljavec posamezniku posreduje dejansko kopijo dokumenta, v katerem se nahajajo njegovi osebni podatki, temveč ima posameznik pravico do nespremenjene kopije podatkov, ki se obdelujejo v teh dokumentih. To pomeni, da se takšna kopija osebnih podatkov lahko zagotovi na primer prek zbirke, ki vsebuje vse osebne podatke, za katere velja pravica do dostopa, pod pogojem, da zbirka posamezniku, na katerega se nanašajo osebni podatki, omogoča seznanitev in nadzor nad zakonitostjo obdelave. Gre torej za način predstavitve osebnih podatkov, ne da bi omogočil sistematičen dostop do vseh dejanskih dokumentov.[1] Glede na to in pojasnila upravljavca, da vodi le seznam aktivnih članov društva z glasovalno pravico, IP meni, da je v konkretnem primeru posamezniku posredoval vse podatke, ki se vodijo v članskih evidencah društva, tj. ime in priimek, naslov stalnega prebivališča, elektronski naslov in telefonsko številko. Da bi upravljavec v tem okviru obdeloval še druge osebne podatke, posameznik ni z ničemer izkazal.
b) Posameznik je v tem delu opozoril, da poleg teh evidenc z osebnimi podatki obstajajo tudi drugi seznami članic in članov društva, na primer zvezani seznami (rednih) članov, ki se jih je uporabljalo ob dovolitvi vstopa v prostore, kjer so potekali občni zbori, in za predajo glasovalnih lističev. Upravljavec je na to odgovoril enako kot pod točko a), torej da obstaja samo seznam aktivnih članov, ki je relevanten za odločanje v društvu.
IP tudi glede teh navedb enako kot pod točko a) pojasnjuje, da posameznik ni v vsakem primeru upravičen pridobiti kopijo dejanskega dokumenta ter da ni izkazal, da bi se v takemu seznamu (rednih) članov obdelovali tudi drugi osebni podatki, ki se nanašajo nanj, kot tisti, s katerimi je že bil seznanjen.
c) Posameznik je navedel, da so bile z osebnimi podatki, ki se nanašajo nanj, poleg članov izvršnega odbora in častnega razsodišča seznanjene tudi druge osebe, na primer gospe, ki so v predprostoru preverjale identiteto ter evidentirale prisotne ter …. Upravljavec pa je na to odgovoril, da se je pri preverjanju članstva uporabljal članski imenik z osebnimi podatki, ki ga je posameznik prejel za svoje podatke. Predlagani član … je bil s strani predsednika izvršnega odbora društva pooblačen za preverjanje statusa članov.
Iz teh pritožbenih navedb je mogoče razbrati očitek posameznika, da mu upravljavec ni posredoval celovitih informacij o uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki (točka c) prvega odstavka 15. člena Splošne uredbe). Po razumevanju IP pa posameznik izpostavlja osebe, ki so delovale v okviru društva kot upravljavca njegovih osebnih podatkov (preverjanje identitete za vstop, preverjanje članstva ipd.). IP zato izpostavlja že ustaljeno stališče, da posamezniki niso upravičeni do podatkov o notranji sledljivosti, torej kdo znotraj upravljavca je obdeloval osebne podatke, ki se nanašajo nanj. Pojem uporabnik se namreč nanaša na subjekte izven organizacijske strukture upravljavca, ki imajo praviloma na voljo ustrezno pravno podlago, da se jim razkrijejo osebni podatki. Glede na navedeno posameznik nima pravice do seznanitve s podatki o tem, kdo znotraj društva kot upravljavca je dostopal do njegovih osebnih podatkov. Izvajanje notranje sledljivost in utemeljenost obdelave osebnih podatkov znotraj upravljavca IP nadzira v okviru rednih preventivnih inšpekcijskih pregledov ali v primeru prijave, iz katere izhaja domneva nezakonite obdelave osebnih podatkov posameznika.
Takšno stališče izhaja tudi iz sklepnih predlogov generalnega pravobranilca v postopku predhodnega odločanja Sodišča Evropske unije z dne 15. 12. 2022, v zadevi C‑579/21, skladno s katerim je treba prvi odstavek 15. člena v zvezi 1. točko 4. člena Splošne uredbe razlagati tako, da posameznik, na katerega se nanašajo osebni podatki, nima pravice, da se mu izmed informacij, ki jih ima na voljo upravljavec (če je to upoštevno, prek dnevnikov in evidenc transakcij), razkrije ta o identiteti zaposlenega ali zaposlenih, ki so pod vodstvom upravljavca in ob upoštevanju njegovih navodil pregledali njegove osebne podatke.
Druge pritožbene navedbe v tej točki, na primer glede upravičenosti določenih oseb do seznanitve s podatki posameznika oziroma (ne)dovoljenosti vstopa na sejo društva, za odločanje v tem postopku niso relevantne.
d) Za ta postopek niso relevantne niti pritožbene navedbe glede nezakonitosti obdelave posameznikovega službenega elektronskega naslova ter podatka o plačilu preko transakcijskega računa.
3. Nekateri drugi zapisniki občnih zborov upravljavca
Posameznik je nadalje izpostavil, da mu (razen zapisnika izrednega občnega zbora z dne 18. 8. 2021) upravljavec še vedno ni posredoval drugih zahtevanih zapisnikov občnega zbora, ki sta potekala 27. 1. 2022 in 26. 5. 2022 ter na katerih je nesporno razpravljal tudi posameznik oziroma njegova pooblaščenka. Upravljavec je v zvezi s tem pojasnil, da je zapise, kjer se uporabljajo njegovi osebni podatki, posameznik prejel, ter da drugi zapisi, kjer bi se pojavljali osebni podatki posameznika, ne obstajajo.
IP tudi v zvezi s temi pritožbenimi navedbami ponovno poudarja, da pravica do kopije osebnih podatkov po tretjem odstavku 15. člena Splošne uredbe ne pomeni obenem nujno tudi pravice do pridobitve reprodukcije dokumenta v izvirni obliki niti avtomatične pravice do pridobitve celotnih zapisnikov občnega zbora. Četudi je posameznik na občnih zborih sodeloval, to po eni strani še ne pomeni, da se v teh dokumentih tudi obdelujejo osebni podatki, ki se nanašajo nanj (čeprav je to verjetno), oziroma drugi osebni podatki kot tisti, ki jih je s strani upravljavca že prejel. Zato tudi v tej točki povzeti pritožbeni očitki ne morejo pripeljati do drugačne odločitve v tem postopku.
4. Zvočni zapisi občnih zborov
V tem delu je posameznik navedel, da mu upravljavec ni omogočil seznanitve z osebnimi podatki, ki se nanašajo nanj in so vsebovani v zvočnih zapisih občni zborov z dne 18. 8. 2021, 27. 1. 2022 in 26. 5. 2022. Upravljavec pa je obrazložil, da se zvočni zapisi uporabljajo za lažji zapis zapisnika občnega zbora in se po izvedenem zapisu izbrišejo. Upoštevaje to življenjsko povsem prepričljivo pojasnilo IP verjame upravljavcu, da z zahtevanimi zvočnimi zapisi ne razpolaga več. Glede pritožbene navedbe, da člani društva niso bili predhodno seznanjeni s tem, kar merodajni predpisi od upravljavca zahtevajo v primeru takih posnetkov (npr. glede obveščanja posameznikov ali dolžine roka hrambe), pa IP dodaja, da to ne more biti predmet postopka glede pravice dostopa po 15. členu Splošne uredbe.
5. Nekateri drugi zapisniki sej izvršnega odbora
Posameznik je upravljavcu nadalje očital, da mu (razen IP posredovanega zapisnika 16. redne seje izvršnega odbora z dne 30. 8. 2021) v nasprotju z drugim odstavkom 7. člena statuta upravljavca ni posredoval zapisnikov drugih sej, na katerih je izvršni odbor obravnaval oziroma zavrnil obravnavo posameznikovih zahtev. Upravljavec je odgovoril, da se v drugih zapisnikih izvršnega odbora osebni podatki posameznika ne pojavljajo.
Drugi odstavek 7. člena statuta upravljavca določa, da društvo obvešča svoje člane preko elektronske pošte in spletne strani društva, ter jim zagotavlja pravico vpogleda v zapisnike organov društva. IP opozarja, da te pravice ni mogoče enačiti s pravico dostopa po 15. členu Splošne uredbe, saj gre za dve različni pravici z drugačnim namenom. Na podlagi pravice do dostopa bi bil posameznik lahko upravičen le do tistih delov zapisnikov, ki pomenijo njegove osebne podatke. Glede na pojasnilo upravljavca, da v drugih zapisnikih izvršnega odbora ni osebnih podatkov posameznika, čemur IP verjame, ter upoštevaje obrazložitev IP iz drugega odstavka 3. točke te obrazložitve, ki velja tudi za to točko, s pritožbenimi navedbami v tem delu posameznik ne more uspeti.
6. Osebe, ki so bile seznanjene z osebnimi podatki posameznika (poleg članov izvršnega odbora in častnega razsodišča)
Posameznik je še opozoril, da so bili oziroma naj bi bili v nasprotju z odgovori upravljavca z njegovimi osebnimi podatki poleg članov izvršnega odbora in častnega razsodišča seznanjeni tudi drugi, med drugimi vsaj še sekretar oziroma v. d. sekretarja upravljavca, trije člani nadzornega odbora in zapisnikar občnega zbora. Upravljavec je v zvezi s temi navedbami pojasnil, da posameznik pač ne verjame upravljalcu, da noben drug ni bil seznanjen z njegovimi osebnimi podatki kot tisti, katere je že navedel, kar je dejansko negativno dejstvo, ki ga upravljavec ne more izkazati na noben drug način kot z zanikanjem, saj dejanski dokumenti o tem ne obstajajo.
IP se glede teh pritožbenih navedb sklicuje na obrazložitev iz točke 2.c) te obrazložitve. Posameznik namreč izpostavlja osebe, ki delujejo v okviru upravljavca, posameznik pa, kot že pojasnjeno, na podlagi točke c) prvega odstavka 15. člena Splošne uredbe nima pravice do informacij o notranji sledljivosti, torej kdo znotraj upravljavca je obdeloval osebne podatke, ki se nanašajo nanj.
7. Podatki o članih častnega razsodišča, katerim so bili posredovani pritožnikovi ugovori oziroma pritožbe
Posameznik je navedel, da a) ni jasno, katerim članom častnega razsodišča so bili posredovani (če sploh) pritožnikovi ugovori oziroma pritožbe; b) obstaja upravičen dvom, da so bili članom častnega razsodišča posredovani gornji dokumenti, in c) je dokazljivo netočna navedba upravljavca, da častno razsodišče o izreku opominov ni nikoli odločalo, zaradi česar zapisnik o tem ne obstaja, saj je posameznik na svojo pritožbo in ugovor z zahtevo za sankcioniranje prekrškov članov izvršnega odbora z dne 11. 3. 2022 dobil s strani predsednika častnega razsodišča v sedanji sestavi podpisan odgovor, vendar mu kljub temu še vedno ni bil omogočen tudi vpogled v zapisnik seje častnega razsodišča, na kateri se naj bi 23. 3. 2022 o tem odločalo. Upravljavec je v zvezi s temi navedbami opozoril, da posameznik zavaja in zamenjuje izrek opominov članom ter odgovorom na pritožbo in ugovorom v zvezi z zahtevo za sankcioniranje prekrškov članov izvršnega odbora. Častno razsodišče je na slednjega odgovorilo in posameznik je prejel pisni odgovor. Le-ta je vsebinsko enak zapisniku častnega razsodišča. Zapisnika častnega razsodišča se ne da anonimizirati oziroma to ne bi imelo nobenega smisla, saj je le ta namenjen poimenski obravnavi na zahtevo člana ali drugih organov društva. Zapisa v zvezi z izrekom opomina, ki bi vseboval osebne podatke posameznika, častno razsodišče ni izdalo, prav tako ni dobilo nobenega zapisa v zvezi z odločanjem o izreku opominov s strani izvršnega odbora.
IP se tudi v tem delu sklicuje na že podana pojasnila glede tega, da posameznik ni upravičen do informacij o notranji sledljivosti, da je predpostavka za dostop do osebnih podatkov njihov obstoj ter da pravica do dostopa ne omogoča nujno dostopa do celotnih listin, s katerimi razpolaga upravljavec. Ta je prepričljivo pojasnil, da je posameznik v zvezi z zahtevo za sankcioniranje prekrškov članov izvršnega odbora prejel pisni odgovor častnega razsodišča, ki je enak zapisniku, ter da častno razsodišče ni dobilo nobenega zapisa v zvezi z odločanjem o izreku opominov s strani izvršnega odbora niti takšen zapis v zvezi z izrekom opomina, ki bi vseboval osebne podatke posameznika, ne obstaja. Zato so tudi v tem delu pritožbene navedbe neutemeljene.
8. Nezakonita obdelava osebnih podatkov, ki se nanašajo na posameznika
Kot je IP že pojasnil, trditve o nezakonitosti obdelave ne morejo biti predmet pritožbenega postopka zaradi dostopa do osebnih podatkov, temveč kvečjemu inšpekcijskega postopka. Zato se IP do teh navedb ni podrobneje opredeljeval.
9. Besedilo predloga, ki naj bi ga izvršni odbor podal častnemu razsodišču
Posameznik je nato še poudaril, da ga upravljavec (razen IP posredovanega zapisnika 16. redne seje izvršnega odbora z dne 30. 8. 2021) ni seznanil niti z besedilom predloga, ki naj bi ga izvršni odbor podal častnemu razsodišču, da se tožniku zaradi tam očitanih kršitev izreče opomin, kakor tudi ne o tem, katerim članom častnega razsodišča je bil ta predlog posredovan (če sploh). Glede tega je upravljavec pojasnil, da častno razsodišče takšnega predloga za izrek opominov sploh ni nikoli prejelo.
Ker IP nima razloga za dvom v resničnost te trditve, upravljavec posamezniku osebnih podatkov, ki bi bili vsebovali v takšnem predlogu in bi se nanašali nanj, torej objektivno ne more posredovati. Upravljavec je dolžnosti iz prvega odstavka 15. člena Splošne uredbe zadostil s tem, ko je posameznika obvestil, da v tem okviru ne obdeluje njegovih osebnih podatkov.
Glede zahteve, da se posamezniku posredujejo informacije o virih, na katerih temeljijo zapisi, objavljeni v spletni novici, ki se nanašajo nanj, pa je upravljavec pojasnil, da je bila ta novica izbrisana, kar drži. Ker te osebni podatki posameznika torej ne obstajajo ne v predlogu za izrek opominov ter tudi ne (več) na spletni strani upravljavca, slednji posledično ni dolžan izpolniti obveznosti iz točke g) prvega odstavka 15. člena Splošne uredbe. Pritožbene navedbe v zvezi z neutemeljenostjo predloga izvršnega odbora, ki naj bi temeljil na špekulacijah ter vseboval žaljive, škodljive ter neresnične in obrekljive trditve, pa so za ta pritožbeni postopek irelevantne.
Sklepno
IP je torej verjel življenjsko logičnim utemeljitvam upravljavca, da ne obdeluje nobenih drugih posameznikovih osebnih podatkov kot tistih, ki jih je že prejel, saj iz celotne pritožbene zadeve ne izhaja noben sum, da bi upravljavec z zahtevanimi osebnimi podatki razpolagal, pa jih posamezniku ne bi želel posredovati. IP je zato ugotovil, da je upravljavec v zvezi z zahtevo posameznika izpolnil svoje dolžnosti po 12. in 15. členu Splošne uredbe tako, da je bil namen pravice do dostopa dosežen. Na podlagi tega je IP presodil, da posameznikova pritožba ni utemeljena, zato jo je skladno s prvim odstavkom 248. člena ZUP zavrnil (1. točka izreka te odločbe). IP pa poudarja, da to še ne pomeni, da morda niso podane druge kršitve Splošne uredbe, kar pa je lahko predmet ločenega inšpekcijskega postopka.
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, 14/15 – ZUUJFO, 84/15 – ZZelP-J, 32/16, 30/18 – ZKZaš in 189/20 – ZFRO) oproščena plačila upravne takse. Posebni stroški v tem pritožbenem postopku niso nastali (2. točka izreka te odločbe).
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustna tožba, ki se vloži v 30 dneh po prejemu te odločbe na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi to odločbo v izvirniku ali prepisu, ter plačati sodno takso.
Postopek vodila:
… Mojca Prelesnik, univ. dipl. prav.
svetovalka IP za varstvo osebnih podatkov informacijska pooblaščenka
O./Vročiti:
· … (osebna vročitev po ZUP);
· … (osebna vročitev po ZUP).
