Številka: 07141-8/2023/11
Datum: 10. 7. 2023
Informacijski pooblaščenec (v nadaljevanju: IP) izdaja po državnem nadzorniku za varstvo osebnih podatkov Anžetu Novaku, na podlagi 2. in 8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZustS-A, v nadaljevanju: ZInfP), 57., 58. in 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju: Splošna uredba) ter 34. in 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), v postopku, ki ga je IP kot nadzorni organ vodil na podlagi prijave prijavitelja s posebnim položajem … (v nadaljevanju: prijavitelj), z dne 22. 3. 2023, zoper … (matična številka: …, v nadaljevanju: nadzorovani upravljavec), naslednjo
O D L O Č B O:
1. Ugotovi se, da je nadzorovani upravljavec, tj. …, v trenutku vložitve prijave dne 22. 3. 2023 s tem, ko je hranil osebne podatke prijavitelja …, kljub temu, da ni več obstajala potreba za hrambo, kršil točko (e) prvega odstavka 5. člena Splošne uredbe.
2. Ugotovljena kršitev iz 1. točke izreka te odločbe je prenehala dne 27. 3. 2023, zato se nadzorovanemu upravljavcu dodatni ukrepi za odpravo posledic ne odredijo.
3. Prijavitelju se ne določi omejitev glede pregledovanja spisa zadeve, ki se vodi pod št. 07141-8/2023.
4. IP posebni stroški v tem postopku niso nastali, prijavitelja in nadzorovani upravljavec pa sama nosita svoje stroške postopka.
OBRAZLOŽITEV
I. Dejansko stanje
1. Prijavitelj je po prejemu neželenega obvestila o prostih delovnih mestih (v nad. obvestilo) po elektronski pošti, dne 25. 1. 2023 in ponovno dne 27. 1. 2023, zahteval izbris vseh svojih osebnih podatkov in prenehanje pošiljanja obvestil (v nadaljevanju: zahteva). Nadzorovani upravljavec je posamezniku odgovoril v elektronskem sporočilu dne 30. 1. 2023, v katerem mu je pojasnil, da je bil izbris njegovih osebnih podatkov »iz … evidence iskalcev zaposlitve« izveden »na današnji dan« (to je 30. 1. 2023).
2. Prijavitelj je zoper nadzorovanega upravljavca vložil prijavo dne 22. 3. 2023 in priložil novo obvestilo, ki ga je prejel od nadzorovanega upravljavca isti dan, kot je vložil prijavo. Prijavo je istočasno posredoval tudi nadzorovanemu upravljavcu, od katerega je ponovno zahteval izbris svojih osebnih podatkov.
3. IP je s pozivom št. 07141-8/2023/4 z dne 4. 4. 2023 seznanil nadzorovanega upravljavca s prijavo in ga pozval, da izkaže skladnost v zvezi z obravnavo zahteve za izbris z dni 25. in 27. 1.. Nadzorovani upravljavec je podal svoj odgovor dne 18. 4. 2023, v katerem je pojasnil, da je bil posameznik na njegovo prvo zahtevo izbrisan iz evidence iskalcev zaposlitve, da pa je še vedno obvestila prejemal »po pomoti« ali »ne-namenoma« oz. ker se ni sam odjavil s klikom na povezavo v elektronskem sporočilu. Navedel je tudi, da je dne 27. 3. 2023 posameznik klical upravljavca in da je bil po pogovoru isti dan ročno odstranjen iz seznama prejemnikov trženjskih sporočil. Nadzorovani upravljavec je predložil tudi elektronska sporočila od prijavitelja in sporočila poslana prijavitelju (vključno s obvestili).
4. Z bistvenimi ugotovitvami je IP seznanil nadzorovanega upravljavca in prijavitelja z dopisom št. 07141-8/2023/9 z dne 12. 6. 2023. Dne 19. 6. 2023 je nadzorovani upravljavec podal odgovor, v katerem je pojasnil, da je prišlo do nenamerne nepravilnosti, ki pa je bila odpravljena takoj po tem, ko je bil upravljavec z njo seznanjen.
5. Ugotovitve IP opira na naslednje relevantne dokaze, ki jih hrani v spisu:
· elektronsko sporočilo z dne 25. 1. 2023 ob 10:18 uri od … za … z naslovom: »Prava služba za vas«;
· elektronsko sporočilo z dne 25. 1. 2023 ob 18:13 uri od … za …, z naslovom: »EXT RE: Prava služba za vas«, ki jo je posameznik podal kot odziv na obvestilo in kjer je zahteval izbris vseh njegovih osebnih podatkov;
· elektronsko sporočilo z dne 26. 1. 2023 ob 15:36 uri od … za …, z naslovom: »RE: EXT RE: Prava služba za vas«, v katerem se je nadzorovani upravljavec opravičil in zagotovil, da bo uredil odjavo;
· elektronsko sporočilo z dne 27. 1. 2023 ob 11:07 uri od … za …, z naslovom: »RE: EXT RE: Prava služba za vas« v katerem se je posameznik odzval na ponovni prejem neželenega obvestila in zahteval popoln izbris podatkov;
· elektronsko sporočilo z dne 30. 1. 2023 ob 12:26 uri od … za ..., z naslovom: »Zahtevek za izbris osebnih podatkov iz Trenkwalder evidence iskalcev zaposlitve« v katerem je nadzorovani upravljavec odgovoril na posameznikovo zahtevo za izbris in pojasnil, da je bil izbris izveden na »današnji dan« (to je 30. 1. 2023);
· elektronsko sporočilo z dne 22. 3. 2023 ob 10:28 uri od … za …;
· izjava nadzorovanega upravljavca o telefonskem pogovoru s prijaviteljem, ki je potekal dne 27. 3. 2023 in da je bil njegov podatek ta dan odstranjen iz seznama prejemnikov obvestil;
· izjava nadzorovanega upravljavca, da je bil podatek o elektronskem sporočilu posameznika v sistemu ohranjen »po pomoti« oz. »ne-namerno« oz. ker se posameznik ni sam odjavil.
II. Ugotovitve IP
6. Prijava je utemeljena.
7. V skladu s 34. členom ZVOP-2 IP v postopku na zahtevo prijavitelja s posebnim položajem ugotavlja obstoj kršitve, ki je obstajala v času vložitve prijave in če je to potrebno, izreče ukrepe za odpravo kršitve.
8. V skladu s členom 5(1)(e) Splošne uredbe smejo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.
9. Posameznik se je z zahtevo za izbris svojih osebnih podatkov obrnil na upravljavca že januarja 2023. Zahteval je izbris vseh svojih osebnih podatkov. Nadzorovani upravljavec je dne 30. 1. 2023 odgovoril, da ga je izbrisal iz »evidence iskalcev zaposlitve«. Dne 22. 3. 2023 je prijavitelj ponovno prejel obvestilo po elektronski pošti, kar jasno kaže, da so bili njegovi osebni podatki še vedno shranjeni pri upravljavcu. To potrjuje tudi izjava nadzorovanega upravljavca, da so bili osebni podatki prijavitelja ročno odstranjeni iz seznama prejemnikov trženjskih sporočil (šele) dne 27. 3. 2023.
10. IP ugotavlja, da za hrambo osebnih podatkov posameznika od dne 30. 1. 2023 do dne 27. 3. 2023 nadzorovani upravljavec ni izkazal potrebe po hrambi osebnih podatkov prijavitelja, s čimer je nadzorovani upravljavec kršil člen 5(1)(e) Splošne uredbe. Navedena kršitev je obstajala tudi v času vložitve prijave dne 22. 3. 2023.
11. Nadzorovani upravljavec je dne 27. 3. 2023 posameznika odstranil iz seznama prejemnikov. S tem dnem je kršitev prenehala, zato dodatni ukrepi za odpravo kršitve niso potrebni. Posledično je IP odločil, kot izhaja iz druge točke izreka te odločbe.
12. Iz dokumentov v spisu št. 07141-8/2023 ne izhajajo varovani podatki, do katerih prijavitelj ne bi bil upravičen dostopati kot stranka upravnega postopka, zato se mu ne določi omejitev glede pregledovanja dokumentov. Posledično je IP odločil, kot izhaja iz tretje točke izreka te odločbe.
III. Stroški
13. Posebni stroški v tem nadzornem postopku niso nastali (4. točka izreka odločbe). Prijavitelj in upravljavec nosita svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
14. Ker je skladno z določbo člena 57(3) Splošne uredbe opravljanje nalog vsakega nadzornega organa (vključno z obravnavo prijav, ki jih vloži prijavitelj, na katerega se nanašajo osebni podatki po točki (f) člena 57(1) Splošne uredbe) za posameznika, na katerega se nanašajo osebni podatki, brezplačno in ker nadzorni organ na podlagi drugega odstavka 55. člena ZVOP‑2 pristojnosti in naloge iz prvega odstavka 55. člena ZVOP‑2, med katere sodi tudi odločanje v postopkih prijav prijaviteljev s posebnim položajem, izvaja brezplačno, je ne glede na določbe Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, 14/15 – ZUUJFO, 84/15 – ZZelP-J, 32/16, 30/18 – ZKZaš in 189/20 – ZFRO; ZUT) takse prosta tudi ta odločba.
IV. Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustna tožba, ki se vloži v 30 dneh po prejemu te odločbe na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi to odločbo v izvirniku ali prepisu ter plačati sodno takso.
Anže Novak,
državni nadzornik za varstvo osebnih podatkov
