Številka: 07100-24/2023/8
Datum: 29. 11. 2023
Informacijski pooblaščenec (v nadaljevanju IP) po nadzorni osebi izdaja na podlagi 2. in 8. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07; v nadaljevanju ZInfP), 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 34. člena v zvezi z 2. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) v postopku prijave prijavitelja s posebnim položajem: ….., z dne 25. 8. 2023, zoper odločbo št. ….. z dne 11. 8. 2023 upravljavca: Republika Slovenija, Ministrstvo ….., v zadevi dostopa do osebnih podatkov
O D L O Č B O:
1. Ugotovi se, da je upravljavec, Republika Slovenija, Ministrstvo .…., v trenutku vložitve prijave prijavitelja ….. dne 25. 8. 2023 kršil 15. člen v zvezi z 12. členom Splošne uredbe in 12. členom ZVOP-2.
2. Upravljavcu, Republiki Sloveniji, Ministrstvu …., se ne odredijo ukrepi glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja …...
3. Prijavitelju ….. se v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 07100-24/2023.
4. V tem postopku organu posebni stroški niso nastali, vsaka stranka pa sama krije svoje stroške postopka.
O b r a z l o ž i t e v:
Dosedanji potek postopka in relevantne navedbe
Prijavitelj je 14. 7. 2023 pri upravljavcu vložil zahtevo za »posredovanje vseh dokumentov, ki vsebujejo osebne podatke ….. v zadevi …..«.
Upravljavec je z odločbo št. ….. z dne 11. 8. 2023 tej zahtevi za dostop do osebnih podatkov ugodil.
Zoper navedeno odločbo je posameznik 25. 8. 2023 vložil pritožbo (prijavo), v kateri je navedel, da mu upravljavec ni posredoval vseh dokumentov iz njegove zahteve, kar se nanaša predvsem na točkovanje njegove vloge, razpisne pogoje, rezultat, zapisnik komisije in ostale dokumente iz zadeve, ter na informacije, kdo in kdaj jih je obdeloval ter kaj se bo zgodilo z njimi.
IP je nato upravljavca 30. 8. 2023 pozval, da se opredeli do prijaviteljevih navedb in IP posreduje relevantno dokumentacijo. Upravljavec je v odgovoru z dne 20. 9. 2023 pojasnil, da je prijavitelj 14. 7. 2023 zahteval izdajo ustreznega upravnega akta, s katerim bo neizbranemu kandidatu zagotovljeno pravno varstvo, vpogled v spis, odgovor na zastavljene pripombe in vpogled v lastne osebne podatke. V skladu s 6. členom ZVOP-2 je prijavitelj zahteval posredovanje vseh dokumentov, ki vsebujejo njegove osebne podatke. Upravljavec je navedel, da je pooblaščena oseba za varstvo osebnih podatkov glede na vsebino dokumenta prijavitelja opravila telefonski klic in dobila odgovor, da želi prijavitelj vpogled v lastne osebne podatke le v zadevi izbirnega postopka ….. Zato so bili prijavitelju posredovani podatki iz dokumenta …./110, ker je bilo dogovorjeno, da ga zanimajo točke. Upravljavec je ob tem pojasnil še, da je v zadevi …. tudi dokument pod zap. št. 37 – vloga prosilca in dokument pod zap. št. 157 – njegova vloga z dne 14. 7. 2023. Pod zap. št. 110 pa se nahajajo naslednji dokumenti:
- Zapisnik pregleda prijav na javni poziv za …. in izbor kandidatov
- Tabela pregled in točkovanje
- Tabela izbor
Upravljavec je obrazložil, da so v vseh treh dokumentih zajeti podatki o izpolnjevanju pogojev in morebitne točke, podatki pa niso bili prekriti, ker točk ni, temveč je bil prijavitelju poslan le izsek zaradi varovanja osebnih podatkov drugih oseb. Upravljavec je v odgovoru sklenil, da bo prijavitelju omogočil dostop do vseh treh dokumentov, brez izsekov, da bo lažje razumel zadevo.
Skladno z navedenim je upravljavec o prijaviteljevi zahtevi 6. 10. 2023 izdal novo odločbo št. ….., s katero je zahtevi prijavitelja za dostop do osebnih podatkov z dne 14. 7. 2023, »posredovanje vseh dokumentov, ki vsebujejo osebne podatke, ….. v zadevi …..«, ponovno ugodil in mu posredoval dokument št. …../110. Ugotovil je, da je posameznik v okviru svoje pravice do dostopa zahteval posredovanje vseh dokumentov, ki vsebujejo osebne podatke za posameznika v zadevi ….. – odločanje o razpisu. Podatki iz dokumenta …../110 so zaradi varstva osebnih podatkov ostalih posameznikov deloma prekriti. Pojasnil je še, da se pravica dostopa do osebnih podatkov nanaša le na lastne osebne podatke posameznika.
IP je prijavitelja o teh bistvenih ugotovitvah obvestil ter ga pozval, če kljub novi odločbi upravljavca vztraja pri prijavi. Ta zapis je bil prijavitelju vročen 9. 10. 2023, vendar se do izdaje te odločbe do njega ni opredelil, niti ni zoper novo odločbo upravljavca št. ….. skladno s pravnim poukov vložil nove pritožbe/prijave pri IP.
Ker je IP ocenil, da je dejansko stanje dovolj razčiščeno, ni izvedel drugih procesnih dejanj.
Nadzorni postopek
IP je prejeto pritožbo obravnaval v postopku, ki se vodi na zahtevo prijavitelja s posebnim položajem, s čimer se zagotavlja pravica do pritožbe po 77. členu Splošne uredbe. V tem nadzornem postopku je tako ravnal po določbah 30. do 35. člena ZVOP-2 (postopek na podlagi vloge prijavitelja s posebnim položajem). Za ta postopek je med drugim značilno, da IP ravna v skladu s preiskovalnimi in ureditvenimi pooblastili iz 58. člena Splošne uredbe in 28. ter 29. člena ZVOP-2 ter v skladu s splošnimi pravili Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, s spremembami in dopolnitvami; v nadaljevanju ZUP).
Prvi odstavek 30. člena ZVOP-2 določa, da lahko posameznik, ki meni, da obdelava njegovih osebnih podatkov s strani upravljavca ali obdelovalca krši določbe Splošne uredbe, tega zakona ali drugih zakonov, ki urejajo obdelavo ali varstvo osebnih podatkov, ali krši določbe s temi zakoni povezanih podzakonskih predpisov ali splošnih aktov za izvrševanje javnih pooblastil (v nadaljnjem besedilu: prijavitelj s posebnim položajem), pri nadzornem organu vloži zahtevo v skladu z zakonom, ki ureja splošni upravni postopek, s katero zahteva nadzor zakonitosti obdelave svojih osebnih podatkov (v nadaljnjem besedilu: prijava), lahko pa v njej predlaga tudi potrebno ukrepanje v skladu s prejšnjim členom v primeru ugotovljenih kršitev, tako da se doseže vzpostavitev zakonitega stanja. Drugi odstavek istega člena ZVOP-2 določa, da vsaka stranka krije svoje stroške postopka.
IP kot nadzorni organ po izvedenem postopku nadzora skladno s prvim odstavkom 34. člena izda odločbo, ki poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
1. ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
2. ukrepe, odrejene upravljavcu ali obdelovalcu glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
3. dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
Splošno o pravici dostopa posameznika, na katerega se nanašajo osebni podatki
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave, ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in do njihove kopije ter nekatere informacije v zvezi z obdelavo in pravicami, ki jih nato našteva Splošna uredba. Postopkovna pravila so urejena v 11. in 12. členu te uredbe, postopkovne določbe pa vsebuje tudi ZVOP-2 v členih od 12 do 21.
Na podlagi pravice po 15. členu Splošne uredbe se lahko posamezniku, ki je vložil zahtevo, posredujejo le osebni podatki, ki se nanašajo nanj. V določenih primerih je sicer lahko podana situacija, ko se en osebni podatek nanaša na več oseb, torej ko so lahko osebni podatki tretjih oseb hkrati tudi osebni podatki vlagatelja zahteve (t.i. osebni podatki z dvojno naravo). V teh primerih je treba opraviti ustrezno tehtanje pravic in interesov vseh vpletenih upoštevaje okoliščine konkretnega primera. Prav tako se ta pravica nanaša zgolj na osebne podatke vlagatelja zahteve (v smislu opredelitve iz 4. člena Splošne uredbe), ne pa nujno tudi na cele listine ali dokumente. Sodišče EU je v združenih zadevah C‑141/12 in C‑372/12 že zavzelo stališče, da za uresničitev pravice dostopa zadostuje, da prosilec prejme popoln pregled vseh teh podatkov v razumljivi obliki, to je obliki, ki temu prosilcu omogoča, da se z njimi seznani, preveri njihovo točnost ter zakonitost obdelave in po potrebi izvršuje pravice s področja varstva osebnih podatkov. Evropski odbor za varstvo podatkov pa je v smernicah št. 1/2022 o pravici dostopa poudaril razliko med pravico do dostopa po 15. členu Splošne uredbe in pravico do prejema kopije upravnih dokumentov, ob čemer je dodal, da pravica do dostopa ne izključuje možnosti prejema kopije dokumenta/medija, na katerem so navedeni osebni podatki (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012022-data-subject-rights-right-access_sl).
Presoja prijaviteljevih navedb
IP ugotavlja, da upravljavec v trenutku vložitve prijave, tj. 25. 8. 2023, z odločbo št. ….. z dne 11. 8. 2023 ni v celoti ustrezno odločil o prijaviteljevi zahtevi za dostop do osebnih podatkov. Kljub temu, da je njegovi zahtevi sicer ugodil, dostopa ni zagotovil na razumljiv način, kot to zahteva prvi odstavek 12. člena Splošne uredbe. Na podlagi posredovanega izseka osebnih podatkov prijavitelj namreč ni mogel uresničiti namena pravice dostopa do osebnih podatkov, saj je predpogoj za to, da so mu podatki predstavljeni v razumljivi obliki. Zato je IP ocenil, da je upravljavec v trenutku vložitve prijave kršil 15. člen v zvezi z 12. členom Splošne uredbe in 12. členom ZVOP-2.
To kršitev pa je upravljavec po vloženi prijavi in pozivu IP odpravil z izdajo nove odločbe št. ….. z dne 6. 10. 2023, s katero je zahtevi prijavitelja za dostop do osebnih podatkov z dne 14. 7. 2023 (natančneje za posredovanje vseh dokumentov, ki vsebujejo njegove osebne podatke v zadevi …..) ponovno ugodil. Tokrat prijavitelju ni poslal zgolj izseka osebnih podatkov, temveč kot priloge k odločbi vse tri dokumente pod zap. št. …../110, to so »..a..«, »..b..«, »..c..«, pri čemer je na njih deloma prekril osebne podatke drugih posameznikov.
IP je prijavitelja obvestil o ravnanju upravljavca in ga pozval na opredelitev do ugotovljenih dejstev. Ker se prijavitelj na poziv IP št. 07100-24/2023/4 ni odzval ne z umikom prijave niti ni nasprotoval ugotovljenim dejstvom niti zoper novo odločbo upravljavca ni vložil ponovne pritožbe/prijave, pripomb pa ni podal niti upravljavec, je IP štel, da je upravljavec po vložitvi prijave kršitev pravice dostopa do osebnih podatkov v celoti odpravil in prijavitelju v ustrezni obliki posredoval zahtevane dokumente, ki vsebujejo njegove osebne podatke. Zato IP upravljavcu posebnih ukrepov v zvezi z obdelavo osebnih podatkov prijavitelja ni odredil.
Dovoljen obseg pregleda spisa
V 3. točki prvega odstavka 34. člena ZVOP-2 je določeno, da odločba v postopku nadzora po določbah tega oddelka poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem. IP je glede tega odločil, da se prijavitelju v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 07100-24/2023.
Stroški
Po prvem odstavku 118. člena ZUP organ v odločbi odloči o stroških postopka, kdo trpi stroške postopka, koliko znašajo ter komu in v katerem roku jih je treba plačati. Organu posebni stroški v tem nadzornem postopku niso nastali. Prijavitelj in upravljavec sama nosita svoje stroške.
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, s spremembami in dopolnitvami) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustno sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana. Tožbo je treba vložiti v tridesetih dneh od vročitve te odločbe, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožbi je treba poleg izvirnika, prepisa ali kopije te odločbe priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z odločbo, pa tudi zanj.
…..,
državna nadzornica za varstvo osebnih podatkov
Vročiti:
- ….. (osebno po ZUP);
- ….. (osebno po ZUP).
