Številka: 07141‑9/2023/10
Datum: 8. 9. 2023
Informacijski pooblaščenec (v nadaljevanju: IP) po državni nadzornici za varstvo osebnih podatkov na podlagi 2. in 8. člena Zakona o Informacijskem pooblaščencu (v nadaljevanju: ZInfP), 2. točke prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (v nadaljevanju: ZVOP‑2), 55. člena in (f) točke prvega odstavka 57. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba) v postopku, ki ga vodi na podlagi zahteve prijaviteljice: … (v nadaljevanju: prijaviteljica), z dne 27. 3. 2023 (v nadaljevanju: prijava) za nadzor zakonitosti obdelave njenih osebnih podatkov, ki jo izvaja: AJPES, Tržaška cesta 16, 1000 Ljubljana (v nadaljevanju: nadzorovani upravljavec), izdaja naslednjo
ODLOČBO
1. Ugotovi se, da je nadzorovani upravljavec: AJPES, Tržaška cesta 16, 1000 Ljubljana, v trenutku vložitve prijave prijaviteljice: …, dne 27. 3. 2023:
a. s tem, ko je brez pravne podlage preko javne objave na svoji spletni strani javnosti omogočal dostop do podatkov o naslovu stalnega in začasnega bivališča prijaviteljice, ki se vodijo v registru dejanskih lastnikov, kršil določbo prvega odstavka 6. člena Splošne uredbe in
b. s tem, ko kljub zahtevi prijaviteljice ni onemogočil dostopa javnosti preko javne objave na svoji spletni strani do podatkov o naslovu prijaviteljičinega stalnega in začasnega prebivališča, ki se vodijo v registru dejanskih lastnikov, čeprav so bili ti osebni podatki objavljeni nezakonito, kršil določbo prvega odstavka 17. člena Splošne uredbe.
2. Nadzorovanemu upravljavcu AJPES se odredi, da v štirideset (40) dneh od vročitve te odločbe onemogoči dostop javnosti preko svoje spletne strani do podatkov o naslovu stalnega in začasnega bivališča prijaviteljice, ki se vodijo v registru dejanskih lastnikov.
3. Prijaviteljici … se ne določijo omejitve glede pregledovanja spisa zadeve, ki se vodi pod št. 07141‑9/2023.
4. V tem postopku organu posebni stroški niso nastali, vsaka stranka pa krije svoje stroške postopka.
Obrazložitev
I. Dosedanji potek postopka in relevantne navedbe
1. IP je postopek nadzora zoper nadzorovanega upravljavca uvedel na podlagi prijaviteljičine zahteve za nadzor zakonitosti obdelave osebnih podatkov z dne 20. 3. 2023 in njene dopolnitve z dne 27. 3. 2023 (v nadaljevanju skupaj: prijava). Iz prijave izhaja, da je prijaviteljica nadzorovanemu upravljavcu po elektronski pošti dne 22. 2. 2023 in nato še dne 24. 2. 2023 poslala zahtevo za izbris javne objave njenih osebnih podatkov (v nadaljevanju skupaj: zahteva prijaviteljice), in sicer podatka o naslovu stalnega in začasnega bivališča v registru dejanskih lastnikov (v nadaljevanju: RDL) pri poslovnem subjektu … z matično številko … (v nadaljevanju: …), katerega direktorica je prijaviteljica. Nadzorovani upravljavec je na zahtevo za izbris z dne 22. 2. 2023 odgovoril z dopisom z dne 24. 2. 2023 in po prejemu ponovne zahteve za izbris dne 24. 2. 2023 o zahtevi posameznice odločil z odločbo št. 4600‑6/2023‑3 z dne 6. 3. 2023 (v nadaljevanju: sporna odločba), s katero je zahtevo prijaviteljice zavrnil.
2. Nadzorovani upravljavec je navedel, da zakonodaja s področja preprečevanja pranja denarja in financiranja terorizma že od leta 2016 dalje določa javno objavo podatkov dejanskih lastnikov, vključno s podatkom o stalnem in začasnem prebivališču. Povzel je posamezne določbe Zakona o preprečevanju pranja denarja in financiranja terorizma (v nadaljevanju: ZPPDFT‑2) in pojasnil, da ZPPDFT‑2 v devetem odstavku 50. člena predvideva podrobnejšo ureditev določenih vprašanj s podzakonskimi akti.[4] Opozoril je, da je uporaba določbe 48. člena in prvega do osmega odstavka 50. člena ZPPDFT‑2 odložena do vzpostavitve informacijske rešitve s strani nadzorovanega upravljavca in da se do uveljavitve predpisov, izdanih na podlagi ZPPDFT‑2, še vedno uporablja Pravilnik o vzpostavitvi, vzdrževanju in upravljanju Registra dejanskih lastnikov (v nadaljevanju: Pravilnik), ki je bil izdan na podlagi devetega odstavka 45. člena Zakona o preprečevanju pranja denarja in financiranja terorizma in na podlagi katerega so javnosti na portalu nadzorovanega upravljavca brezplačno dostopni podatki o poslovnih subjektih in njihovih dejanskih lastnikih iz prvega odstavka 46. člena ZPPFT‑1, in sicer podatki o osebnem imenu, stalnem in začasnem bivališču, o višini lastniškega deleža ali obliki nadzora dejanskih lastnikov ter datum vpisa in izbrisa dejanskega lastnika iz registra. Trdi, da je (stalni in začasni) naslov dejanskih lastnikov javno objavljen v RDL skladno s trenutno veljavnimi zahtevami predpisov, saj podzakonski akt, od uveljavitve katerega mora nadzorovani upravljavec v 12 mesecih vzpostaviti informacijsko rešitev, s katero bo v RDL omejen javni prikaz naslova dejanskega lastnika le na državo naslova, še ni sprejet. Do sprejema tega podzakonskega akta, ki bo predstavljal pravno podlago za vzpostavitev informacijske rešitve za nadgradnjo RDL, nadzorovani upravljavec ne more omejiti javnega prikaza RDL. Dodaja, da tudi po stališču Ministrstva za finance (v nadaljevanju: MF) trenutni obseg zagotavljanja podatkov javnosti v RDL ni v neskladju z zakonodajo in sodbo Sodišča Evropske unije v združenih zadevah št. C‑37/20 in C‑601/20 z dne 22. 11. 20222, saj še ni sprejet ustrezen podzakonski akt, ki bo podlaga za omejitev javnega prikaza RDL, zakon pa predvideva dostop javnosti do širšega nabora podatkov, kot je to omogočeno po sedaj veljavni ureditvi.
3. Prijaviteljici in nadzorovanemu upravljavcu so bile v dopisu št. 07141‑9/2023/8 z dne 19. 7. 2023 predstavljene ugotovitve, bistvene za odločitev v tej zadevi, obenem pa sta bila pozvana, da se v roku 10 dni od vročitve dopisa o njih izjavita. Prijaviteljica se do predstavljenih ugotovitev v postopku ni opredelila, nadzorovani upravljavec pa je v vlogi z dne 31. 7. 2023 prosil za primeren rok za odpravo pomanjkljivosti, ker mora v sodelovanju zunanjimi izvajalci storitev informacijske tehnologije tehnično zagotoviti, da se podatki o stalnem in začasnem prebivališču ne bodo prikazovali pri javnem dostopu do RDL, kar b po njegovi oceni lahko storil v roku 30 dni.
4. IP je relevantna dejstva v tej zadevi ugotovil na podlagi zahteve prijaviteljice, sporne odločbe, posnetka zaslona objave podatkov o naslovu stalnega in začasnega bivališča prijaviteljice v RDL z dne 22. 2. 2023 (v nadaljevanju: posnetek zaslona objave v RDL), dopisa nadzorovanega upravljavca št. 46000-23/2022-4 z dne 11. 1. 2023 (v nadaljevanju: dopis ministrstvu), dopisa Ministrstva za finance št.460-10/2022 z dne 1. 2. 2023 (v nadaljevanju: dopis ministrstva) in sporočila Sodišča Evropske unije za medije št. 188/22 z dne 22. 11. 2022 (v nadaljevanju: sporočilo SEU za medije).
II. Navedba določb predpisov, na katere se opira odločba
5. Posameznik na katerega se nanašajo osebni podatki ima na podlagi prvega odstavka 17. člena Splošne uredbe o varstvu podatkov (v nadaljevanju: Splošna uredba) v taksativno naštetih primerih pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost, osebne podatke brez nepotrebnega odlašanja izbrisati. Navedeno med drugim velja, ko so osebni podatki obdelani nezakonito (točka d) prvega odstavka 17. člena Splošne uredbe).
6. Pravica posameznika do izbrisa ni absolutna, temveč Splošna uredba v tretjem odstavku 17. člena določa primere, v katerih se določbe prvega odstavka 17. člena ne uporabljajo, in sicer to velja med drugim v primeru, če je obdelava potrebna za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu (točka b) tretjega odstavka 17. člena Splošne uredbe).
7. Obdelava osebnih podatkov je upoštevajoč določbo prvega odstavka 6. člena Splošne uredbe zakonita le, če je podana vsaj ena izmed pravnih podlag, predvidenih v točkah a) do f), in sicer so možne pravne podlage: a) privolitev, b) sklenitev ali izvajanje pogodbe, c) izpolnitev zakonske obveznosti upravljavca zahtev, d) zaščita življenjskih interesov posameznika, e) izvajanje javne oblasti ali nalog v javnem interesu in f) zakoniti interesi, ki prevladajo nad interesi posameznika. V skladu s tretjim odstavkom 6. člena Splošne uredbe je podlaga za obdelavo iz točk c) in e) prvega odstavka 6. člena lahko določena bodisi s pravom Unije, bodisi s pravom države članice, ki velja za upravljavca, pri čemer se namen obdelave določi v tej pravni podlagi. Po drugem odstavku 6. člena ZVOP‑2 je obdelava osebnih podatkov na podlagi točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.
8. V skladu s prvim odstavkom 43. člena ZPPDFT‑2 se kot dejanski lastnik zavoda šteje vsaka fizična oseba, ki zastopa takšen subjekt, če pri izvajanju pregleda stranke ni ugotovljeno drugače. Na podlagi b) točke prvega odstavka 50. člena ZPPDFT‑2, se v register vpišejo naslednji podatki o dejanskem lastniku: osebno ime, naslov stalnega in začasnega prebivališča, datum rojstva, davčna številka, državljanstvo, višina lastniškega deleža ali drug način nadzora ter datum vpisa in izbrisa dejanskega lastnika iz registra. Skladno s prvim stavkom prvega odstavka 51. člena ZPPDFT‑2 so javni in brezplačno dostopni na spletni strani upravljavca registra podatki o osebnem imenu, mesecu in letu rojstva, državi stalnega in začasnega prebivališča, državljanstvu, višini lastniškega deleža ali obliki nadzora dejanskih lastnikov, datumu vpisa in izbrisa dejanskega lastnika iz registra ter o oznaki o samodejnem vpisu dejanskega lastnika in ugotovljeni neskladnosti podatkov o dejanskem lastniku.
III. Ugotovljeno dejansko stanje in razlogi, ki narekujejo ugotovitev neobstoja zatrjevanih kršitev
9. Med strankama ni sporno, da je prijaviteljica zastopnica …, da je bil v trenutku vložitve prijave v RDL pri … objavljen podatek o naslovu njenega stalnega in začasnega bivališča in da je prijaviteljica nadzorovanemu upravljavcu po elektronski pošti dne 22. 2. 2023 in nato še dne 24. 2. 2023 poslala zahtevo za izbris objave naslova njenega stalnega in začasnega bivališča, ki jo je nadzorovani upravljavec zavrnil s sporno odločbo. Navedeno izhaja tudi iz posnetka zaslona objave v RDL, zahteve prijaviteljice in sporne odločbe. Prav tako med strankama ni sporno, da ima nadzorovani upravljavec pravno podlago za vpis naslova stalnega in začasnega bivališča prijaviteljice v RDL. Sporno pa je pravno vprašanje, in sicer ali ima nadzorovani upravljavec pravno podlago za objavo naslova stalnega in začasnega bivališča prijaviteljice ter posledično, ali je utemeljeno zavrnil zahtevo prijaviteljice.
10. IP ugotavlja, da iz obrazložitve sporne odločbe izhaja, da naj bi bil nadzorovani upravljavec osebne podatke prijaviteljice, vključno z naslovom stalnega in začasnega prebivališča, dolžan javno objaviti na podlagi ZPPDFT‑2, in sicer določbe 51. člena ZPPDFT‑2 v zvezi s 43. členom ZPPDFT‑2, zaradi česar naj bi bil podan izključitveni razlog za pravico do izbrisa osebnih podatkov v skladu s točko (b) člena 17(3) Splošne uredbe. Nadalje IP ugotavlja, da iz navedb nadzorovanega upravljavca izhaja, da javno objavo naslova stalnega in začasnega bivališča dejansko utemeljuje na določbi 9. člena Pravilnika, ki naj bi po mnenju nadzorovanega upravljavca tudi v tem delu še vedno veljal, in sicer na podlagi drugega odstavka 190. člena ZPPDFT‑2 v zvezi s tretjim odstavkom 189. člena, tretjim odstavkom 192. člena, drugim in tretjim odstavkom 193. člena in devetim odstavkom 50. člena ZPPDFT‑2.
11. ZPPDFT‑2 v prvem odstavku 51. člena sicer določa javno objavo osebnih podatkov v okviru RDL, vendar pa iz navedene določbe ne izhaja pravna podlaga za objavo naslova stalnega in začasnega prebivališča v RDL, temveč le za objavo države stalnega in začasnega prebivališča. Upoštevajoč navedeno ni mogoče slediti navedbam nadzorovanega upravljavca, da zakon predvideva dostop javnosti do širšega nabora podatkov, kot je to trenutno omogočeno, saj je poleg države stalnega in začasnega prebivališča objavljen tudi naslov.
12. V skladu z določbo 193. člena ZPPDFT‑2 začetek uporabe prvega odstavka 51. člena ZPPDFT‑2 ni odložen in njegova veljavnost ni vezana na sprejem podzakonskih predpisov iz devetega odstavka 50. člena ZPPDFT‑2. Prvi odstavek 51. člena ZPPDFT‑2 izpolnjuje tudi zahteve iz drugega odstavka 6. člena ZVOP‑2, saj je v njem določena tako sama obdelava (javna objava na spletni strani upravljavca registra), kakor tudi vrste osebnih podatkov (osebno ime, mesec in leto rojstva, država stalnega in začasnega prebivališča, državljanstvo, višina lastniškega deleža ali oblika nadzora, datumu vpisa in izbrisa iz registra ter o oznaki o morebitnem samodejnem vpisu in ugotovljeni neskladnosti podatkov), kategorije posameznikov (dejanski lastniki poslovnih subjektov), in namen obdelave (zagotavljanje višje ravni pravne varnosti pri sklepanju poslovnih razmerij, varnosti pravnega prometa, integritete poslovnega okolja ter preglednosti poslovnih razmerij posameznikov s poslovnimi subjekti, ki delujejo v poslovnem okolju in pravnem prometu), rok hrambe navedenih osebnih podatkov pa je do vzpostavitve informacijske rešitve za vpis in vodenje podatkov ter rešitve za dostop do podatkov, vpisanih v register, določen v enajstem odstavku 188. člena ZPPDFT-2, nato pa v tretjem odstavku 50. člena ZPPDFT-2.
13. Glede sklicevanja nadzorovanega upravljavca na 9. člen Pravilnika IP izpostavlja, da Pravilnik kot podzakonski predpis ne izpolnjuje pogojev iz drugega odstavka 6. člena ZVOP‑2. Prav tako Pravilnik na podlagi drugega odstavka 190. člena ZPPDFT‑2 prenehal veljati z dnem uveljavitve ZPPDFT‑2, tj. 5. 4. 2022. V drugem odstavku 190. člena ZPPDFT‑2 je sicer res predvidena nadaljnja uporaba Pravilnika, nadaljnja uporaba brez dvoma ne pride v poštev v delu, ki izrecno nasprotuje veljavni zakonski ureditvi iz prvega odstavka 51. člena ZPPDFT‑2, ki predstavlja hierarhično višji in poznejši pravni akt.
14. Glede odsotnosti podlage za vzpostavitev informacijske rešitve za vpis in vodenje podatkov ter rešitev za dostop do podatkov, vpisanih v register iz 48. člena ZPPDFT‑2 IP pojasnjuje, da morebitna zamuda pri sprejemu podzakonskih predpisov iz devetega odstavka 50. člena ZPPDFT‑2 in posledična odsotnost podlage za vzpostavitev informacijske rešitve ne more nadomestiti odsotnosti pravne podlage za javno objavo stalnega in začasnega naslova dejanskih lastnikov v RDL.
15. IP sklepno še dodaja, da je pravno podlago za objavo naslova stalnega in začasnega prebivališča dejanskih lastnikov v RDL sicer v preteklosti predstavljal 46. člen Zakona o preprečevanju pranja denarja in financiranja terorizma (v nadaljevanju: ZPPDFT-1), vendar pa je ta odpadla dne 11. 7. 2020, ko je stopil v veljavo Zakon o spremembah in dopolnitvah Zakona o preprečevanju pranja denarja in financiranja terorizma (ZPPDFT-1B). Pri tem ZPPDFT‑1B za začetek uporabe spremenjene določbe 46. člena v prehodnih in končnih določbah ni določil drugačnega roka za uveljavitev.
16. Glede na vse navedeno IP ugotavlja, da nadzorovani upravljavec vse od uveljavitve ZPPDFT‑1B dne 11. 7. 2020 dalje nima pravne podlage za javno objavo naslova stalnega in začasnega prebivališča v RDL, temveč le za objavo države stalnega in začasnega prebivališča. Nadzorovani upravljavec je s tem, ko je brez pravne podlage preko javne objave na svoji spletni strani javnosti omogočal dostop do podatkov o naslovu stalnega in začasnega bivališča prijaviteljice iz RDL, v trenutku vložitve prijave kršil določbo 6. člena Splošne uredbe. Posledično je nadzorovani upravljavec s sporno odločbo v nasprotju s 17. členom Splošne uredbe zavrnil zahtevo prijaviteljice za izbris podatka o naslovu njenega stalnega in začasnega prebivališča, saj bi moral zaradi odsotnosti pravne podlage za objavo, te podatke s spletne strani umakniti. S tem, ko kljub zahtevi prijaviteljice ni onemogočil dostopa javnosti do podatkov o naslovu prijaviteljičinega stalnega in začasnega prebivališča, objavljenih na njegovi spletni strani, čeprav so bili ti osebni podatki obdelani nezakonito, je nadzorovani upravljavec kršil določbo prvega odstavka 17. člena Splošne uredbe. Upoštevajoč navedeno je IP odločil kot izhaja iz 1. točke izreka.
17. Ker nadzorovani upravljavec do izdaje te odločbe IP ni obvestil o morebitnem umiku javne objave podatkov o naslovu stalnega in začasnega bivališča prijaviteljice, ki se vodijo v registru dejanskih lastnikov, s svoje spletne strani, je IP nadzorovanemu upravljavcu v skladu s pooblastili iz 29. člena ZVOP‑2 in drugega odstavka 58. člena Splošne uredbe odredil odpravo nepravilnosti, tako da v štirideset (40) dneh od vročitve te odločbe onemogoči dostop javnosti preko svoje spletne strani do podatkov o naslovu stalnega in začasnega bivališča prijaviteljice, ki se vodijo v RDL.
18. Na podlagi 3. točke prvega odstavka 34. člena ZVOP‑2 odločba v postopku nadzora po določbah tega oddelka poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem. IP je upoštevaje določbi 15. in 18. člena ZVOP‑2 odločil, da se prijaviteljici ne določijo omejitve glede pregledovanja spisa te zadeve.
IV. Stroški
19. Po prvem in tretjem odstavku 118. člena ZUP organ v odločbi in sklepu, s katerim se postopek konča, odloči o stroških postopka, kdo trpi stroške postopka, koliko znašajo ter komu in v katerem roku jih je treba plačati. V tem nadzornem postopku organu posebni stroški niso nastali, na podlagi drugega odstavka 30. člena ZVOP‑2 v zvezi s četrtim odstavkom 114. člena ZUP pa vsaka stranka v tem postopku krije svoje stroške, kar izhaja iz 2. točke izreka sklepa in 4. točke izreka odločbe.
20. Ta odločba je takse prosta na podlagi člena 57(3) Splošne uredbe v zvezi s četrtim odstavkom 3. člena Zakona o upravnih taksah (v nadaljevanju: ZUT) in drugega odstavka v zvezi z 2. točko prvega odstavka 55. člena ZVOP‑2.
V. POUK O PRAVNEM SREDSTVU:
Zoper to odločbo ni pritožbe, dopustno pa je sprožiti upravni spor. Upravni spor se sproži z vložitvijo tožbe pri Upravnem sodišču, Fajfarjeva 33, 1000 Ljubljana. Tožbo je treba vložiti v tridesetih (30) dneh od vročitve te odločbe. Tožba se vloži neposredno pisno pri navedenem sodišču ali se mu pošlje po pošti. Šteje se, da je bila tožba vložena pri sodišču tisti dan, ko je bila priporočeno oddana na pošto Tožbi je treba poleg izvirnika, prepisa ali kopije te odločbe priložiti tudi po en prepis ali kopijo tožbe in prilog za toženca, če je kdo prizadet z odločbo, pa tudi zanj.
…,
državna nadzornica za varstvo osebnih podatkov
Poslati:
1. prijaviteljici: … - osebno po ZUP;
2. nadzorovanemu upravljavcu: AJPES, Tržaška cesta 16, 1000 Ljubljana - osebno po ZUP.
[1] Uradni list RS, št. 113/05 in 51/07.
[2] Uradni list RS, št. 163/22.
[3] Uradni list RS, št. 48/22 in 145/22.
[4] Deveti odstavek 50. člena ZPPDFT‑2.
[5] Drugi odstavek 193. člena ZPPDFT‑2.
[6] Uradni list RS, št. 66/17 in 48/22 – ZPPDFT‑2.
[7] Drugi odstavek 190. člena ZPPDFT‑2.
[8] Uradni list RS, št. 68/16, 81/19, 91/20, 2/21 ‑ popr. in 48/22 – ZPPDFT‑2.
[9] Tretji odstavek 192. člena ZPPDFT‑2.
Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES.
[11] Uradni list RS, št. 68/16.
[12] Uradni list RS, št. 91/20.
[13] Uradni list RS, št. 106/10 – UPB5, 14/15 ‑ ZUUJFO, 84/15 – ZZelP‑J, 32/16, 30/18 ‑ ZKZaš in 189/20 – ZFRO.
