Številka: 07100-15/2023/14
Datum: 29. 11. 2023
Informacijski pooblaščenec (v nadaljevanju IP) po nadzorni osebi izdaja na podlagi 2. in 8. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07; v nadaljevanju ZInfP), 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 34. člena v zvezi z 2. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) v postopku prijave prijaviteljice s posebnim položajem: ….., z dne 3. 7. 2023, zoper delno zavrnilno odločbo št. …... z dne 21. 6. 2023 upravljavca: Republika Slovenija, Ministrstvo ….., v zadevi dostopa do osebnih podatkov
O D L O Č B O:
1. Ugotovi se, da je upravljavec, Republika Slovenija, Ministrstvo .…., v trenutku vložitve prijave prijaviteljice ….. dne 3. 7. 2023 kršil 15. člen Splošne uredbe v zvezi z 12. in 14. členom ZVOP-2.
2. Upravljavcu, Republiki Sloveniji, Ministrstvu ….., se ne odredijo ukrepi glede obdelave osebnih podatkov, ki se nanašajo na prijaviteljico …...
3. Prijaviteljici ….. se v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 07100-15/2023.
4. V tem postopku organu posebni stroški niso nastali, vsaka stranka pa sama krije svoje stroške postopka.
O b r a z l o ž i t e v:
Dosedanji potek postopka in relevantne navedbe
Prijaviteljica je 26. 5. 2023 pri upravljavcu vložila zahtevo za dostop do osebnih podatkov, in sicer za pridobitev kopij vseh dokumentov, ki jih ima upravljavec o njej od 1. 1. 2020 do 26. 5. 2023.
Upravljavec je z odločbo št. ….. z dne 21. 6. 2023 tej zahtevi delno ugodil in posameznici poslal popis vseh dokumentov, ni pa ji poslal tudi kopij teh dokumentov z utemeljitvijo, da z njimi posameznica že razpolagala, saj so ji bili vročeni.
Zoper to odločbo je posameznica 3. 7. 2023 vložila pritožbo (prijavo), v kateri je navedla, da je zahtevala izdajo vseh dokumentov o njej, ki se nahajajo v personalni mapi, ker pa je bilo zahtevi le delno ugodeno, to pomeni, da ji niso bili posredovali vsi zahtevani zapisi.
IP je nato 11. 7. 2023 strankama postopka vročil zapis bistvenih ugotovitev in poziv za izjavo pred odločitvijo. Presodil je, da je prijava utemeljena. Zato je IP glede na do takrat izvedeni postopek ugotavljanja dejstev in okoliščin obravnavanega primera ugotovil kršitev obdelave osebnih podatkov prijaviteljica, saj ji je upravljavec z odločbo št. …. z dne 21. 6. 2023 neutemeljeno delno zavrnil zahtevo za dostop osebnih podatkov ter kot ukrep predvidel ponovno odločanje o zahtevi prijaviteljica, skladno z vsebinskimi napotki IP, ki se nanašajo na uporabo materialnega prava.
Upravljavec je upošteval stališče IP in se na poziv odzval z izdajo nove odločbe št. ….. z dne 27. 7. 2023, s katero je ugodil prijaviteljičini zahtevi za dostop do osebnih podatkov z dne 26. 5. 2023 in ji poslal vse dokumente, ki izhajajo iz popisa.
Zato je IP 28. 7. 2023 prijaviteljico pozval, naj se opredeli, ali pri prijavi vztraja. Odgovorila je, da te nove odločbe ni prejela.
Upravljavec je na poziv IP 19. 9. 2023 sporočil, da je prijaviteljica pri upravljavcu prevzela dokumente in dve odločbi, ob tem pa upravljavca prosila, da preveri, če so še kakšni dokumenti vezani na drugo zahtevo – spor. Prijaviteljica je IP istega dne v telefonskem razgovoru obrazložila, da je sicer dobila dokumente iz personalne mape, ne pa vseh tistih, ki jih je zahtevala in jih želi dobiti.
Upravljavec je glede na to IP 29. 9. 2023 dodatno pojasnil, da je bil prijaviteljici poleg zahtevanih dokumentov in dveh odločb izročil še dokument »Uradni zaznamek o dogodku dne 9. 7. 2020«, ki je v zvezi z dogajanjem, za katerega je še zahtevala dokumente. Navedel je, da je prijaviteljica želela, da se ponovno preveri, če ima o tem dogodku še kakšne dokumente, povezane z njo in drugo javno uslužbenko. Po ponovni preverbi dodatnih dokumentov ni našel.
IP je 2. 10. 2023 prijaviteljico obvestil o tem odgovoru upravljavca ter navedel, da iz ugotovljenih dejstev izhaja, da upravljavec z drugimi dokumenti, na katerih bi bili njeni osebni podatki, poleg teh, ki jih je že prejela (iz personalne mape, v zvezi z dogajanjem dne 9. 7. 2020 in odločbi), ne razpolaga ter da to pomeni, da je upravljavec v celoti izpolnil obveznosti po 12. in 15. členu Splošne uredbe. Do izdaje te odločbe se prijaviteljica do tega zapisa ugotovitev in poziva za izjasnitev ni opredelila.
Ker je IP ocenil, da je dejansko stanje dovolj razčiščeno, ni izvedel drugih procesnih dejanj.
Nadzorni postopek
IP je pritožbo prijaviteljice obravnaval v postopku, ki se vodi na zahtevo prijavitelja s posebnim položajem, s čimer se zagotavlja pravica do pritožbe po 77. členu Splošne uredbe. V tem nadzornem postopku je tako ravnal po določbah 30. do 35. člena ZVOP-2 (postopek na podlagi vloge prijavitelja s posebnim položajem). Za ta postopek je med drugim značilno, da IP postopa v skladu s preiskovalnimi in ureditvenimi pooblastili iz 58. člena Splošne uredbe in 28. ter 29. člena ZVOP-2 ter v skladu s splošnimi pravili Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, s spremembami in dopolnitvami; v nadaljevanju ZUP).
Prvi odstavek 30. člena ZVOP-2 določa, da lahko posameznik, ki meni, da obdelava njegovih osebnih podatkov s strani upravljavca ali obdelovalca krši določbe Splošne uredbe, tega zakona ali drugih zakonov, ki urejajo obdelavo ali varstvo osebnih podatkov, ali krši določbe s temi zakoni povezanih podzakonskih predpisov ali splošnih aktov za izvrševanje javnih pooblastil (v nadaljnjem besedilu: prijavitelj s posebnim položajem), pri nadzornem organu vloži zahtevo v skladu z zakonom, ki ureja splošni upravni postopek, s katero zahteva nadzor zakonitosti obdelave svojih osebnih podatkov (v nadaljnjem besedilu: prijava), lahko pa v njej predlaga tudi potrebno ukrepanje v skladu s prejšnjim členom v primeru ugotovljenih kršitev, tako da se doseže vzpostavitev zakonitega stanja. Drugi odstavek istega člena ZVOP-2 določa, da vsaka stranka krije svoje stroške postopka.
IP kot nadzorni organ po izvedenem postopku nadzora skladno s prvim odstavkom 34. člena izda odločbo, ki poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
1. ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
2. ukrepe, odrejene upravljavcu ali obdelovalcu glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
3. dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
Splošno o pravici dostopa posameznika, na katerega se nanašajo osebni podatki
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave, ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in do njihove kopije ter nekatere informacije v zvezi z obdelavo in pravicami, ki jih nato našteva Splošna uredba. Postopkovna pravila so urejena v 11. in 12. členu te uredbe, postopkovne določbe pa vsebuje tudi ZVOP-2 v členih od 12 do 21.
Izhodiščna predpostavka za uresničitev pravice za dostop po tej določbi je obstoj zahtevanih osebnih podatkov pri upravljavcu v zunanji zaznavni obliki. Če upravljavec z zahtevanimi osebnimi podatki ne razpolaga, potem zahtevku za dostop do podatkov ne more ugoditi. V takšnem primeru zadostuje, da upravljavec posamezniku posreduje informacijo o tem, da ne obdeluje zahtevanih osebnih podatkov, ki se nanašajo nanj.
Namen pravice po 15. členu Splošne uredbe je omogočiti posamezniku, na katerega se nanašajo osebni podatki, da se zaveda obdelave in preveri njeno zakonitost oziroma da uveljavlja druge pravice v zvezi z obdelavo osebnih podatkov (tako 63. uvodna izjava Splošne uredbe in sodna praksa Sodišča EU). Pravica dostopa do osebnih podatkov se tako nanaša le na lastne osebne podatke posameznika, kar pa ne pomeni nujno tudi celotnih listin oziroma dokumentov. Posameznik torej nima pravice do seznanitve z vsebino dokumentov, ki bi kakorkoli presegala pojem osebnega podatka, ki se nanaša na vlagatelja zahteve. To v konkretnem primeru pomeni, da četudi upravljavec morda razpolaga še s kakšnimi drugimi dokumenti, ki se nanašajo na dogodek z dne 9. 7. 2020, na katerih pa ni osebnih podatkov prijaviteljice, do teh dokumentov na podlagi pravice po 15. členu Splošne uredbe ni upravičena.
Presoja prijaviteljičinih navedb
IP ugotavlja, da upravljavec v trenutku vložitve prijave, tj. 3. 7. 2023, z odločbo št. ….. z dne 21. 6. 2023 ni ustrezno odločil o prijaviteljičini zahtevi za dostop do osebnih podatkov, zaradi česar je kršil 15. člen Splošne uredbe v zvezi z 12. in 14. členom ZVOP-2. Izpodbijana odločba upravljavca je namreč temeljila na ugotovitvi, da posameznica že razpolaga z zahtevanimi dokumenti, ker so ji bili vročeni. Upravljavec je zato posameznici poslal le seznam dokumentov, ki se nanašajo nanjo in s katerimi razpolaga, ne pa tudi zahtevanih kopij teh dokumentov. IP poudarja, da le dejstvo, da posameznik že razpolaga z osebnimi podatki, ki jih zahteva od upravljavca, še ne pomeni utemeljenega razloga za zavrnitev zahteve za dostop. Prav tako zgolj dejstvo, da so bili določeni dokumenti posamezniku vročeni, samo po sebi še ne pomeni, da z njimi posameznik v času vložitve zahteve za dostop tudi dejansko razpolaga. Zato ni nujno, da bo namen pravice dostopa, ki je v preverbi zakonitost obdelav ter zagotovitvi izvrševanja drugih pravic po Splošni uredbi, v takem primeru lahko dosežen. V tretjem odstavku 15. člena Splošne uredbe je izrecno določeno, da ima posameznik pravico do kopije osebnih podatkov, ki se obdelujejo. Upravljavec lahko sicer skladno z določbo petega odstavka 12. člena Splošne uredbe v primeru očitno neutemeljenih ali pretiranih zahtev zaračuna razumno pristojbino ali zavrne ukrepanje v zvezi z zahtevo, vendar nosi za to dokazno breme, kateremu pa v izpodbijani odločbi ni zadostil.
Te ugotovitve je IP navedel že v zapisu bistvenih ugotovitev št. 07100-15/2023/2 z dne 11. 7. 2023, kar je upravljavec upošteval in izdal novo odločbo št. ….. z dne 27. 7. 2023, s katero je ugodil prijaviteljičini zahtevi za dostop do osebnih podatkov z dne 26. 5. 2023 in ji izročil vse dokumente, ki izhajajo iz popisa. Naknadno ji je upravljavec poleg zahtevanih dokumentov in dveh odločb izročil še dokument »Uradni zaznamek o dogodku dne 9. 7. 2020«, ki je v zvezi z dogodkom, za katerega je zahtevala dokumente. Prav tako je upravljavec še dodatno preveril, če ima o tem dogodku kakšne dodatne dokumente, povezane z njo in drugo javno uslužbenko, vendar teh ni našel.
IP je o tem prijaviteljico obvestil ter ji pojasnil, da iz ugotovljenih dejstev izhaja, da upravljavec z drugimi dokumenti, na katerih bi bili njeni osebni podatki, poleg teh, ki jih je že prejela (iz personalne mape, v zvezi z dogajanjem dne 9. 7. 2020 in odločbi), ne razpolaga, ter da to pomeni, da je upravljavec v celoti izpolnil obveznosti po 12. in 15. členu Splošne uredbe.
Ker se prijaviteljica v postavljenem roku na poziv IP št. 07100-15/2023/13 z dne 2. 10. 2023 ni odzvala ne z umikom prijave niti ni nasprotovala ugotovljenim dejstvom, pripomb pa ni podal niti upravljavec, je IP štel, da je upravljavec po procesnih dejanjih IP kršitev pravice dostopa do osebnih podatkov v celoti odpravil in prijaviteljici posredoval vse zahtevane dokumente, ki vsebujejo njene osebne podatke. Zato IP upravljavcu posebnih ukrepov v zvezi z obdelavo osebnih podatkov prijaviteljice ni odredil.
Dovoljen obseg pregleda spisa
V 3. točki prvega odstavka 34. člena ZVOP-2 je določeno, da odločba v postopku nadzora po določbah tega oddelka poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem. IP je glede tega odločil, da se prijavitelju v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 07100-15/2023.
Stroški
Po prvem odstavku 118. člena ZUP organ v odločbi odloči o stroških postopka, kdo trpi stroške postopka, koliko znašajo ter komu in v katerem roku jih je treba plačati. Organu posebni stroški v tem nadzornem postopku niso nastali. Prijavitelj in upravljavec sama nosita svoje stroške.
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, s spremembami in dopolnitvami) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustno sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana. Tožbo je treba vložiti v tridesetih dneh od vročitve te odločbe, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožbi je treba poleg izvirnika, prepisa ali kopije te odločbe priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z odločbo, pa tudi zanj.
…...,
državna nadzornica za varstvo osebnih podatkov
Vročiti:
- ….. (osebno po ZUP);
- ….. (osebno po ZUP).
