Številka: 07141-2/2023/10
Datum: 17. 7. 2023
Informacijski pooblaščenec (v nadaljevanju: IP) po državnem nadzorniku za varstvo osebnih podatkov na podlagi 2. in 8. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07; v nadaljevanju ZInfP), 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP‑2), členov 55 in 57 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba) ter četrtega odstavka 65. člena in prvega odstavka 129. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB2, 105/06 ‑ ZUS-1, 126/07, 65/08, 8/10, 82/13, 175/20 ‑ ZIUOPDVE in 3/22 – ZDeb; v nadaljevanju: ZUP) v postopku odločanja o vlogi posameznika … (v nadaljevanju: prijavitelj) z dne 10. 2. 2023 (v nadaljevanju: prijava) glede zakonitosti obdelave njegovih osebnih podatkov s strani AJPES, Tržaška cesta 16, 1000 Ljubljana (v nadaljevanju: nadzorovani upravljavec), izdaja naslednji
SKLEP
1. Prijava z dne 10. 2. 2023 se zavrže.
2. V tem postopku posebni stroški niso nastali.
OBRAZLOŽITEV
1 Dejansko stanje
1. Dne 30. 1. 2023 je prijavitelj vložil zahtevo za izbris (v nadaljevanju: zahteva), v kateri je zahteval anonimizacijo stalnega bivališča in davčne številke na spletni strani nadzorovanega upravljavca. Na zahtevo je nadzorovani upravljavec izdal odločbo št. 071-2/2023-5 z dne 6. 2. 2023, s katero je zavrnil izbris oz. anonimizacijo osebnih podatkov na spletnem portalu AJPES. V obrazložitvi je pojasnil, da so osebni podatki posameznika kot sobodajalca (naslov in davčna številka) vpisani v Poslovni register na podlagi 4. alineje tretjega odstavka 15.b člena Zakona o gostinstvu (ZGos),[1] ki so javni podatki skladno z dvanajsto alinejo 2. člena Zakona o poslovnem registru Slovenije (ZPRS-1),[2] in kot takšni objavljeni na spletnem portalu AJPES v skladu s 3. členom Pravilnika o načinu vpisa sobodajalcev v Poslovni register Slovenije (v nadaljevanju: Pravilnik).[3] Nadzorovani upravljavec je zahtevo zavrnil na podlagi člena 17(3)(b) Splošne uredbe.[4]
2. Prijavitelj je zoper odločbo vložil prijavo dne 10. 2. 2023. V njej je nadzorovanemu upravljavcu očital, da brez njegove privolitve prodaja njegove osebne podatke tretjim osebam (npr. Tsmedia, eboniteta, Stop-neplačniki ipd). Navedel je tudi, da ga sistem AJPES ob vnosu podatkov sobodajalca ni opozoril o tem, da bo nadzorovani upravljavec njegove osebne podatke posredoval tretjim osebam. Zatrjeval je tudi, da dejstvo, da so njegovi osebni podatki razkriti tretjim osebam, povzroča tveganje za zlorabe njegovih osebnih podatkov.
3. Z dopisom št. 07141-2/2023/2 z dne 3. 3. 2023 je IP pozval prijavitelja za posredovanje ključnih dokumentov za obravnavo njegove vloge (zahteva, odločba št. 071-2/2023-5 in datum njene vročitve). Na poziv IP prijavitelj ni odgovoril. V nadaljevanju je IP za dokumentacijo pozval nadzorovanega upravljavca in ga hkrati seznanil s pritožbo ter mu omogočil izjasnitev glede navedb v prijavi. Nadzorovani subjekt je v postavljenem roku posredoval dokumentacijo. Svojega odgovora v zvezi z navedbami v prijavi ni podal.
4. Na ponovni poziv IP št. 07141-2/2023/5 z dne 29. 5. 2023 je nadzorovani upravljavec odgovoril dne 8. 6. 2023. V odgovoru je ponovno pojasnil pravno podlago za objavo (3. člen Pravilnika v zvezi z dvanajsto alinejo 2. člena ZPRS-1 in ZGos). Dodatno je pojasnil, da do javnih podatkov lahko dostopa vsak uporabnik portala AJPES (brezplačno) in »tretje osebe« - poslovni subjekti, ki podatke nadalje obdelujejo in ponujajo v odkup (v skladu s Tarifo nadomestil za ponovno uporabo informacij javnega značaja Poslovnega registra Slovenije; v nadaljevanju Tarifa). V zvezi s tem je dodal, da so osebni podatki v vsakem primeru dostopni vsem, različna je le oblika dostopa. Poudaril je tudi, da je v skladu z Zakonom o dostopu do informacij javnega značaja (ZDIJZ)[5] vsakomur dolžan omogočiti prost dostop in ponovno uporabo informacij javnega značaja. Glede na to bi se vsak poslovni subjekt mogel in moral zavedati, da bodo določeni osebni podatki javno dostopni. Navedel je tudi, da ima vsak vložnik možnost pridobiti informacijo o obdelavi njegovih podatkov pri uslužbencu, ki njegovo vlogo obravnava ali na oglasni deski v izpostavah nadzorovanega upravljavca, kjer je izpostavljena Informacija o zasebnosti registrov AJPES (to informacijo je nadzorovani upravljavec priložil).
5. Dne 19. 6. 2023 je IP v skladu s drugim odstavkom 33. člena ZVOP-2 vročil zapis ugotovitev bistvenih za odločitev v tem postopku. Glede vsebine ugotovitev, ki vplivajo na odločitev IP v tej zadevi nadzorovani upravljavec in prijavitelj nista podala pripomb.
2 Ugotovitve IP
6. Prijava je očitno neutemeljena.
7. V obravnavani zadevi ni bila sporna pravilnost in zakonitost odločbe št. 071-2/2023-5 z dne 6. 2. 2023 o zahtevi za izbris osebnih podatkov, v kateri je nadzorovani upravljavec odločil, da ne bo izbrisal osebnih podatkov posameznika iz javnih registrov in spletne strani AJPES, saj tej prijavitelj ni oporekal. IP ob tem dodaja, da je nadzorovani upravljavec v odločbi navedel, da podatke o posamezniku za katere je zahteval izbris, objavlja na podlagi jasnih in izrecnih zakonskih določb (gl. 1. tč. obrazložitve), zato ni dvoma o zakonitosti njihove objave. Objavi na spletni strani AJPES prijavitelj tudi ni nasprotoval, zato IP ugotavlja, da ta del ni bil obsežen v prijavi in se do pravilnosti odločitve o zahtevi za izbris v nadaljevanju IP ne opredeljuje.
8. Prijavitelj v prijavi zlasti trdi:
· da nadzorovani upravljavec njegove osebne podatke nezakonito (brez njegove privolitve) in proti plačilu posreduje tretjim ponudnikom (kot npr. Tsmedia, eboniteta, Stop-neplačniki ipd.);
· da ga nadzorovani upravljavec ni obvestil o tem, da bo njegove osebne podatke proti plačilu posredoval tretjim osebam;
· da razširjanje njegove davčne številke in naslova povzroča varnostno tveganje za zlorabe.
2.1 Zakonitost posredovanja osebnih podatkov
9. Nadzorovani upravljavec je organ, ki je v skladu ZDIJZ zavezan za posredovanje informacij javnega značaja za ponovno uporabo. Odločanje o zahtevi za ponovno uporabo je poseben upravni postopek. Nadzorovani upravljavec je osebne podatke prijavitelja posredoval tretjim osebam (Tsmedia, eboniteta idr.), v okviru postopka posredovanja informacij javnega značaja za namen ponovne uporabe. Ker je odločanje o posredovanju informacij javnega značaja za ponovno uporabo (vključno s posredovanjem osebnih podatkov prijavitelja) del materialno-pravne presoje konkretnih upravnih postopkov, ki jih je nadzorovani upravljavec pristojen voditi po zakonu, IP s svojo odločitvijo v te postopke ne sme posegati (10. tč. obrazložitve sklepa Ustavnega sodišča št. U-I-92/12-13).[6] Če prijavitelj meni, da je bilo pri oblastnem odločanju nadzorovanega upravljavca nezakonito poseženo v njegovo pravico do varstva osebnih podatkov oziroma v druge njegove pravice, mora prijavitelj, v skladu z napotilom Ustavnega sodišča, svoje pravice zavarovati v posamičnem pravnem postopku, v katerem je bilo odločeno o posredovanju.
10. Ker IP ne more posegati v konkretne upravne postopke, v katerih je nadzorovani upravljavec odločil o posredovanju osebnih podatkov prijavitelja kot sobodajalca za ponovno uporabo, IP v tem delu ni pristojen za obravnavo vloge, zato se v tem delu prijava zavrže na podlagi četrtega odstavka 65. člena ZUP. Prijava je v tem delu tudi očitno neutemeljena (člen 57(4) Splošne uredbe).
2.2 Obveščanje prijavitelja o obdelavi njegovih osebnih podatkov
11. Prijavitelj je v prijavi zatrjeval, da ni bil ustrezno obveščen o posredovanju njegovih osebnih podatkov tretjim osebam. 75. člen ZVOP-2 določa, če so osebni podatki javni na podlagi zakona, posameznika, na katerega se nanašajo osebni podatki, ni treba obveščati v skladu s 13. in 14. členom Splošne uredbe ali vabiti k stranski udeležbi v skladu z določbami zakona, ki ureja splošni upravni postopek. Določba izhaja iz 2. poglavja II. dela ZVOP-2 in se nanaša na Varstvo svobode izražanja in dostopa do informacij javnega značaja v razmerju do varstva osebnih podatkov. Navedena določba torej nedvomno velja za nadzorovanega upravljavca, ki je kot organ zavezan za dostop in posredovanje informacij javnega značaja za ponovno uporabo.
12. Glede na 75. člen ZVOP-2 torej nadzorovani upravljavec ni bil dolžan obvestiti posameznika o obdelavi njegovih osebnih podatkov, ki so javni po zakonu, vključno z obveščanjem o uporabnikih po členu 13(1)(e) Splošne uredbe. Posledično trditev prijavitelja, da ni bil ustrezno obveščen, v konkretnem primeru ne kaže na kršitev, ki bi pomenila kršitev predpisov na področju varstva osebnih podatkov (31. člen ZVOP-2). Prijava je tudi v tem delu očitno neutemeljena (člen 57(4) Splošne uredbe).
2.3 Varnostna tveganja za osebne podatke prijavitelja
13. Prijavitelj trdi, da omogočanje dostopa tretjim osebam predstavlja varnostno tveganje za zlorabe njegovih osebnih podatkov. IP v zvezi s to trditvijo ugotavlja, da četudi bi se z omogočanjem javnega dostopa do davčne številke in naslova prebivališča sobodajalca povečevala varnostna tveganja za zlorabe osebnih podatkov, gre za tveganje, ki ga je sprejel zakonodajalec na podlagi tehtanja koristi in škodljivih posledic. Posledično tudi trditev prijavitelja, da posredovanje njegovih (javnih) podatkov tretjim osebam zanj pomeni varnostno tveganje, v konkretnem primeru ne kaže na kršitev, ki bi pomenila kršitev predpisov na področju varstva osebnih podatkov (31. člen ZVOP-2). Prijava je tudi v tem delu očitno neutemeljena (člen 57(4) Splošne uredbe).
14. IP dodaja, da prijavitelj ni konkretiziral škodljivih posledic zaradi javnosti njegovih osebnih podatkov, ki bi prepričale IP za vložitev zahteve za oceno ustavnosti zakonske rešitve, ki določa javnost davčne številke in naslova prebivališča sobodajalca.
2.4 Sklepno
15. V skladu s 30. členom ZVOP-2 IP odloča o prijavi prijavitelja s posebnim položajem, ko iz prijave izhaja kršitev določb Splošne uredbe, ZVOP-2 ali s temi zakoni povezanimi podzakonskimi predpisi ali splošni akti za izvrševanje javnih pooblastil. V skladu s členom 57(4) Splošne uredbe lahko nadzorni organ zavrne ukrepanje v zvezi z očitno neutemeljeno zahtevo.
16. Po 2. točki prvega odstavka 129. člena ZUP mora v skladu s sodno prakso Upravnega sodišča, stranka ki vlaga zahtevek v upravnem postopku, za odločanje v upravnem postopku izkazovati pravni interes. V postopkih na zahtevo prijavitelja s posebnim položajem po 30. členu ZVOP-2, IP šteje, da pravni interes ni izkazan, če prijavitelj ne navaja kršitev, ki bi kazale na kršitev predpisov. Takšna prijava je očitno neutemeljena v skladu s členom 57(4) Splošne uredbe, ki določa, da nadzorni organ na takšno prijavo zavrne ukrepanje. Zato IP v skladu s 2. točko prvega odstavka 129. člena ZUP takšno prijavo zavrže.
17. Kot izhaja iz zgornjih utemeljitev, v obravnavani zadevi prijavitelj ni izkazal pravnega interesa za obravnavo njegove prijave oziroma zanjo IP ni pristojen, zato je odločil, kot izhaja iz prve točke izreka tega sklepa.
3 Stroški in upravna taksa
18. Posebni stroški v tem nadzornem postopku niso nastali (2. točka izreka odločbe). Prijavitelj in nadzorovani upravljavec nosita svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
19. Ker je skladno z določbo člena 57(3) Splošne uredbe opravljanje nalog vsakega nadzornega organa (vključno z obravnavo prijav, ki jih vloži prijavitelj, na katerega se nanašajo osebni podatki po točki (f) člena 57(1) Splošne uredbe) za posameznika, na katerega se nanašajo osebni podatki, brezplačno in ker nadzorni organ na podlagi drugega odstavka 55. člena ZVOP‑2 pristojnosti in naloge iz prvega odstavka 55. člena ZVOP‑2, med katere sodi tudi odločanje v postopkih prijav prijaviteljev s posebnim položajem, izvaja brezplačno, je ne glede na določbe ZUT takse prosta tudi ta odločba.
4 Pouk o pravnem sredstvu:
Zoper ta sklep ni dovoljena pritožba, pač pa je dopustna tožba, ki se vloži v 30 dneh po prejemu tega sklepa na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi ta sklep v izvirniku ali prepisu ter plačati sodno takso.
…
državni nadzornik za varstvo osebnih podatkov
Poslati:
1. prijavitelju - osebno po ZUP;
2. nadzorovanemu upravljavcu - osebno po ZUP.
[1] V registru se obdelujejo naslednji podatki o nastanitvenih obratih: (četrta alineja) Podatki o izvajalcu nastanitvene dejavnosti (matična številka, davčna številka, naziv, sedež in naslov, pravnoorganizacijska oblika, glavna dejavnost po uredbi, ki določa standardno klasifikacijo dejavnosti in kontaktni podatki iz Poslovnega registra Slovenije), tretji odstavek 15.b člena Zakona o gostinstvu (Uradni list RS, št. 93/07 – uradno prečiščeno besedilo, 26/14 – ZKme-1B in 52/16).
[2] »javni podatki« poslovnega registra so vsi podatki o enotah poslovnega registra, razen podatkov, ki so s posebnim zakonom določeni kot osebni podatki. Davčna številka in naslov prebivališča fizične osebe, ki sta hkrati davčna številka in sedež poslovnega subjekta, z vpisom tega poslovnega subjekta v poslovni register postaneta javna podatka – 12. al. 2. čl. Zakona o Poslovnem registru Slovenije (Uradni list RS, št. 49/06, 33/07 – ZSReg-B, 19/15, 54/17 in 18/23 – ZDU-1O).
[3] Uradni list RS, št. 112/07.
[4] Obdelava je potrebna za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu, člen 17 (3)(b) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov)
[5] Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odl. US, 102/15, 7/18 in 141/22.
[6] IP ne sme posegati v pravni postopek v posamični zadevi, ki ga v skladu z zakonsko določenimi pristojnostmi vodi pristojni organ, ko je mogoče preverjati pravilnost (zakonitost) vodenja postopka in izpodbijati končne odločitve samo v postopkih s pravnimi sredstvi, ki jih določa zakon.
[7] Stranke in udeleženci v posamičnih pravnih postopkih, v katerih se odloča po zakonu, ki ureja upravni postopek, lahko namreč v skladu z Ustavo in zakoni z navajanjem ustreznih argumentov v vlogah in pravnih sredstvih dosežejo varstvo svojih pravic in odpravo morebitnih kršitev najprej v takih postopkih, nato pa še s pravnimi sredstvi v upravnem sporu ali v drugem postopku sodnega nadzora nad delovanjem drugih pristojnih organov; 10. tč. obrazložitve sklepa Ustavnega sodišča št. U-I-92/12-13, z dne 10. 10. 2013.
[8] Upravno sodišče RS, sodba opr. št. I U 736/2016-14 z dne 22. 6. 2017, točki 7 in 8.
