Številka: 07100-17/2023/7
Datum: 25. 10. 2023
Informacijski pooblaščenec (v nadaljevanju IP) po nadzorni osebi izdaja na podlagi 2. in 8. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07; v nadaljevanju ZInfP), 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 34. člena v zvezi z 2. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2) v postopku prijave prijavitelja s posebnim položajem: …., z dne 14. 7. 2023, v nadzornem postopku zaradi kršitve pravice dostopa do osebnih podatkov s strani upravljavca: …., naslednjo
O D L O Č B O:
1. Ugotovi se, da je upravljavec, …., v trenutku vložitve prijave prijavitelja …. dne 14. 7. 2023 kršil 15. člen Splošne uredbe v zvezi z 12. in 14. členom ZVOP-2.
2. Upravljavcu, …., se ne odredijo ukrepi glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja.
3. Prijavitelju …. se v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 07100-17/2023.
4. V tem postopku organu posebni stroški niso nastali, vsaka stranka pa sama krije svoje stroške postopka.
O b r a z l o ž i t e v:
Dosedanji potek postopka in relevantne navedbe
IP je 14. 7. 2023 prejel pritožbo …. zaradi kršitve pravice dostopa do osebnih podatkov, ki naj bi jo upravljavec zagrešil z odgovorom z dne 30. 6. 2023. V bistvenem je navedel, da mu je upravljavec neutemeljeno zavrnil prošnjo po dostopu do njegovih lastnih podatkov, ki se nanašajo na postopek kandidature na javnem razpisu in se je pri tem netočno skliceval na tajnost dela komisije.
To pritožbo je IP obravnaval kot prijavo v postopku, ki se vodi na zahtevo prijavitelja s posebnim položajem (30. člen ZVOP-2), s čimer se zagotavlja pravica do pritožbe po 77. členu Splošne uredbe.
Upravljavec je po pozivu IP poslal odgovor na pritožbo z dne 24. 8. 2023. Ker pa je IP ugotovil, da upravljavec sam prijavitelju še ni posredoval vseh zahtevanih osebnih podatkov in ker ima posameznik na podlagi ZUP pravico, da se seznani z njegovim odgovorom, ne pa tudi z osebnimi podatki, ki so predmet prijave/pritožbe, ga je IP pozval, da sporoči še, ali lahko IP odgovor na pritožbo s prilogami v celoti posreduje prijavitelju, kar bo pomenilo, da je temu delu zahteve posredno ugodil.
IP je upravljavčev pritrdilni odgovor na poziv prejel 25. 8. 2023 in ga skupaj z odgovorom na pritožbo posredoval posamezniku. Ob tem je IP posameznika pozval, da IP v roku 10 dni sporoči, ali glede na to, da razpolaga z vsemi zahtevanimi osebnimi podatki, pritožbo umika oziroma ali pri pritožbi vztraja in zakaj. Poziv je bil posamezniku vročen 20. 9. 2023, do izdaje te odločbe pa IP odziva posameznika ni prejel.
Splošno o pravici dostopa posameznika, na katerega se nanašajo osebni podatki
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave, ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in do njihove kopije ter nekatere informacije v zvezi z obdelavo in pravicami, ki jih nato našteva Splošna uredba. Postopkovna pravila so urejena v 11. in 12. členu te uredbe, postopkovne določbe pa vsebuje tudi ZVOP-2 v členih od 12 do 21. Predpisan rok za odgovor upravljavca je en mesec po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev, upravljavec pa je dolžan obvestiti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo (tretji odstavek 12. člena Splošne uredbe).
Obliko odločitve o zahtevi za dostop in njene sestavine za upravljavca v konkretnem primeru določa 14. člen ZVOP-2. Skladno s to določbo upravljavec, ki ni državni organ ali samoupravna lokalna skupnost, obravnava zahtevke posameznika iz 15. do 22. člena Splošne uredbe in druge zahtevke posameznika s področja varstva osebnih podatkov, dostopa do osebnih podatkov, njihovega pridobivanja in obdelave po tem ali drugem zakonu, posameznika seznani z odločitvijo in, če je to predmet zahteve, z osebnimi podatki, ki se nanašajo nanj, v roku, določenem s Splošno uredbo. Če posameznik to zahteva, ga lahko z osebnimi podatki seznani tudi ustno. Odločitev mora vsebovati razloge in informacijo o pravici do pritožbe pri nadzornem organu v roku 15 dni od seznanitve z odločitvijo po določbah točke f) prvega odstavka 15. člena Splošne uredbe. Odločitev ima lahko obliko uradnega zaznamka, ki se pošlje posamezniku na način, ki omogoča seznanitev z odločitvijo in dokazovanje njenega prejema.
Presoja prijaviteljevih navedb
IP ugotavlja, da upravljavec v trenutku vložitve prijave, tj. 14. 7. 2023, ni ustrezno odločil o prijaviteljevi zahtevi za dostop do osebnih podatkov, zaradi česar je kršil 15. člen Splošne uredbe v zvezi z 12. in 14. členom ZVOP-2.
Iz posameznikove zahteve za dostop do osebnih podatkov z dne 1. 5. 2023 in sledeče korespondence z upravljavcem izhaja, da je od njega zahteval:
- informacije o doseženih točkah in ocenjevalnem postopku,
- informacijo, na katero zaporedno mesto se je uvrstil,
- število točk glede na število možnih točk, na pisnem preizkusu in enako za 5 člansko komisijo.
Kot je sam poudaril v pritožbi, vpogleda v test ni zahteval.
Upravljavec je posamezniku 7. 6. 2023 sporočil skupno število točk (…) in zaporedno mesto (…). Pojasnil je, da je pri ocenjevanju 1/2 točk predstavljal test, ki ga je pisal na usposabljanju, 1/2 točk pa je predstavljala ocena 5-članske komisije, v kateri so sodelovali predstavnik …. Iz priloženega odgovora na pritožbo s prilogami, za katerega je upravljavec izrecno navedel, da ga lahko IP posamezniku posreduje v celoti, pa izhajajo tudi točke samega testa (…) in točke komisije (…).
IP je v pozivu št. 07100-17/2023/6 z dne 13. 9. 2023 navedel, da je upravljavec naknadno izpolnil obveznosti po 12. in 15. členu Splošne uredbe in 14. členu ZVOP-2 ter posamezniku omogočil dostop do vseh zahtevanih osebnih podatkov. Ta poziv, ki je bil vročen tako posamezniku kot upravljavcu, po vsebini predstavlja zapis ugotovitev v skladu z drugim odstavkom 32. in drugim odstavkom 33. člena ZVOP-2. Če se prijavitelj ali upravitelj v določenem roku ne izjavita, to ni ovira za izdajo odločbe.
Ker se posameznik v postavljenem roku na poziv za opredelitev ni odzval, pripomb pa ni poslal niti upravljavec, je IP štel, da je upravljavec po pozivih IP kršitev pravice dostopa do osebnih podatkov naknadno odpravil in prijavitelju posredoval vse zahtevane osebne podatke. Zato IP upravljavcu posebnih ukrepov v zvezi z obdelavo osebnih podatkov prijavitelja ni odredil.
Dovoljen obseg pregleda spisa
V 3. točki prvega odstavka 34. člena ZVOP-2 je določeno, da odločba v postopku nadzora po določbah tega oddelka poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem. IP je glede tega odločil, da se prijavitelju v celoti dovoli pregled spisa zadeve, ki se vodi pod št. 07100-17/2023.
Stroški
Po prvem odstavku 118. člena ZUP organ v odločbi odloči o stroških postopka, kdo trpi stroške postopka, koliko znašajo ter komu in v katerem roku jih je treba plačati. Organu posebni stroški v tem nadzornem postopku niso nastali. Prijavitelj in upravljavec sama nosita svoje stroške.
Ta odločba je v skladu z določbami Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, s spremembami in dopolnitvami) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustno sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana. Tožbo je treba vložiti v tridesetih dneh od vročitve te odločbe, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožbi je treba poleg izvirnika, prepisa ali kopije te odločbe priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z odločbo, pa tudi zanj.
…...,
državna nadzornica za varstvo osebnih podatkov
Vročiti:
- ….. (osebno po ZUP),
- ….. (osebno po ZUP).
