Številka: 07141-10/2023/13
Datum: 20. 7. 2023
Informacijski pooblaščenec (v nadaljevanju: IP) izdaja po državnem nadzorniku za varstvo osebnih podatkov …, na podlagi 2. in 8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZustS-A, v nadaljevanju: ZInfP), 57., 58. in 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju: Splošna uredba) ter 34. in 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), v postopku, ki ga je IP kot nadzorni organ vodil na podlagi prijave prijaviteljice s posebnim položajem … (v nadaljevanju: prijaviteljica) z dne 6. 4. 2023 zoper Ministrstvo za notranje zadeve, Policija, Štefanova ulica 2, 1501 Ljubljana (v nadaljevanju: nadzorovani upravljavec) naslednjo
O D L O Č B O:
1. Nadzorovani upravljavec t.j. Policija, je v trenutku vložitve prijave dne 6. 4. 2023 kršil člen 17(2) Splošne uredbe o varstvu podatkov, s tem, ko po prejemu zahteve za izbris ni sprejel razumnih ukrepov, da bi spletne medije obvestil, da prijaviteljica od njih zahteva, da izbrišejo njene osebne podatke iz morebitnih objav o njenem pogrešanju.
2. Tekom postopka pred IP je nadzorovani upravljavec kršitev odpravil, zato se ukrepi za odpravo posledic kršitve ne odredijo.
3. Prijaviteljici se ne določi omejitve glede pregledovanja spisa zadeve, ki se vodi pod št. 07141-10/2023.
4. IP posebni stroški v tem postopku niso nastali, prijaviteljica in nadzorovani upravljavec sama nosita svoje stroške postopka.
OBRAZLOŽITEV
1 Dejansko stanje
1. Dne 3. 4. 2023 je prijaviteljica zahtevala izbris njenih osebnih podatkov iz spletnih medijev (o posameznici kot pogrešani osebi), ki jo je vložila pri Policijski postaji Ljubljana-Bežigrad. V odgovoru z dne 6. 4. 2023 je nadzorovani upravljavec pojasnil, da njeni zahtevi ne more ugoditi, ker ni pristojen za vsebino in izbris vsebine iz spletnih portalov.
2. Prijaviteljica se je zoper odgovor upravljavca pritožila pri IP in zatrjevala, da bi morala Policija, ki je z dovoljenjem njenega moža objavila njeno fotografijo, poskrbeti tudi za odstranitev objav iz spletnih mest.
3. V zvezi s predmetom tega nadzornega postopka je IP opravil dva telefonska razgovora s pooblaščeno osebo za varstvo osebnih podatkov pri nadzorovanem upravljavcu (uradni zaznamek št. 07141-10/2023/8).
4. Z dopisom št. 07141-10/2023/9 z dne 6. 6. 2023 je IP z dotedanjimi ugotovitvami seznanil nadzorovanega upravljavca. Po ponovni preučitvi vseh okoliščin zadeve je IP ponovno poslal ugotovitve o zadevi nadzorovanemu upravljavcu z dopisom št. 07141-10/2023/10, v katerem ga je pozval k zagotovitvi skladnosti s členom 17(2) Splošne uredbe.
5. Z ugotovitvami v dopisu št. 07141-10/2023/10 se je prijaviteljica strinjala. O sprejetih ukrepih je nadzorovani upravljavec obvestil IP z dopisom št. 071-7058/2022/6 (285-19) z dne 19. 7. 2023. Nadzorovani upravljavec je zagotovil skladnost s tem, ko je ponovno po adremi sporočil vsem medijem, da prijaviteljica zahteva izbris njenih osebnih podatkov iz spletnih strani od tistih medijev, ki imajo na spletu še objavljeno novico o njenem pogrešanju. Nadzorovani upravljavec je v tem obvestilu pojasnil tudi, da ker objava njenih osebnih podatkov ni bila več potrebna za namen iskanja te osebe, je Policija njene podatke odstranila iz svoje spletne strani. Obvestilu je nadzorovani upravljavec priložil tudi zahtevo prijaviteljice, navedel njene osebne podatke, ki so potrebni za odločanje o zahtevi za izbris (ime, priimek, naslov, spletni naslov). V obvestilu je nadzorovani upravljavec medijem dodatno pojasnil, da se prejem tega obvestila šteje kot vložitev zahteve za izbris pri tistem mediju, ki ima še objavljeno novico o pogrešani osebi in da je obveznost medija kot upravljavca osebnih podatkov prijaviteljice, da o tej zahtevi za izbris odloči v skladu z ZVOP-2 in Splošno uredbo tako, da o sprejetih ukrepih in razlogih za to obvesti prijaviteljico najkasneje v enem mesecu od prejema zahteve za izbris.
2 Ugotovitve IP
6. Prijava je utemeljena.
7. Člen 17(2) Splošne uredbe določa, da kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije.
8. Nadzorovani upravljavec je v skladu z zakonodajo objavil in odstranil osebne podatke prijaviteljice kot pogrešane osebe na svoji spletni strani. O dejstvu, da je bila pogrešana oseba najdena je obvestil tudi druge upravljavce (spletne medije po adremi). S tem pa ni izpolnil svoje obveznosti iz člena 17(2) Splošne uredbe, ki ureja pravico do pozabe. V skladu s to določbo bi nadzorovani upravljavec moral po prejemu zahteve za izbris, sprejeti razumne ukrepe, da obvesti upravljavce, ki jim je osebne podatke prijaviteljice posredoval, da prijaviteljica od njih zahteva izbris njenih osebnih podatkov.
9. Pravica do pozabe, ki je široko zastopana tudi v sodni praksi EU, je namenjena zlasti večjemu nadzoru posameznikov nad njihovimi osebnimi podatki, ki se v pogojih sodobne (internetne) družbe obdelujejo v velikem obsegu. Smisel določbe iz 17(2) Splošne uredbe je zamejiti razširjanje objavljenih osebnih podatkov že z vložitvijo zahteve pri viru, če so izpolnjeni pogoji za izbris. To pa z namenom, da bi posameznik lažje in bolj učinkovito zaščitil svojo zasebnost .
10. Informacije o tem, da je bila določena oseba pogrešana in okoliščine povezane z njenim izginotjem lahko znatno zaznamujejo njeno javno podobo in posegajo v njeno dostojanstvo v prihodnosti. Zato je razumljivo, da oseba, ki je bila pogrešana, pa ni več, lahko upravičeno pričakuje zasebnost glede dejstva svojega izginotja (ne glede na to, da so bile v določenem trenutku to relevantne informacije). Namen obvestila Policije o pogrešanih osebah je jasno usmerjen na to, da se sproži čim hitrejše in čim širše iskanje. Ko je oseba najdena, pa to, da je bila nekoč pogrešana, ni več relevantno. Zato Policija podatke izbriše iz svoje spletne strani. Kljub temu lahko novice o pogrešanih osebah ostanejo na spletnih portalih še desetletje po tem, ko so osebe najdene; tudi ne glede na to ali so pogrešani otroci, kakšne podrobnosti v zvezi z izginotjem so bile v danem trenutku relevantne ipd. Treba je ob tem še dodati, da obvestilo Policije o pogrešanih osebah nima narave obvestila za javnost s ciljem zagotavljanja transparentnega delovanja Policije v smislu ZDIJZ (o čemer imajo mediji legitimni interes poročati, ker s tem uresničujejo javni interes v skladu z ZMed). Za zavarovanje svojih pravic v razmerju do medijev, pa se morajo posamezniki obrniti na sodišče - v skladu s tretjim odstavkom 73. člena ZVOP-2 se pravice na področju varstva osebnih podatkov (tudi pravica do pozabe) uveljavlja pred sodišči; IP v tem delu ni pristojen.
11. V obravnavani zadevi je jasno, da želi prijaviteljica doseči, da bi se v čim večji meri odstranile informacije iz spleta o tem, da je bila nekdaj obravnavana s strani Policije kot pogrešana oseba. Člen 17(2) Splošne uredbe daje posamezniku tudi pravico, da zahteva od upravljavca, ki je podatke objavil in nato izbrisal v skladu s členom 17(1) Splošne uredbe, da obvesti upravljavce, ki jim je osebne podatke posredoval, da posameznik zahteva izbris tudi od teh tretjih upravljavcev in jim to zahtevo posreduje. V okoliščinah obravnavane zadeve bi to pomenilo, da bi morali vsi mediji, ki so objavili pogrešano osebo, od Policije prejeti obvestilo o tem, da pogrešana in najdena oseba zahteva izbris, ter o tej zahtevi za izbris odločiti v skladu s svojimi obveznostmi iz člena 17 Splošne uredbe. Kot že omenjeno, je kot pravno sredstvo zoper odločitev spletnega medija predpisano sodno varstvo.
12. Nadzorovani upravljavec je za zagotovitev skladnosti s členom 17(2) ukrepal v skladu s pozivom IP št. 07141-10/2023/10 tako, kot izhaja iz 5. odstavka obrazložitve te odločbe. IP ugotavlja, da je nadzorovani upravljavec s tem v celoti izpolnil svoje obveznosti po členu 17(2) Splošne uredbe v zvezi z zahtevo posameznice za izbris njenih osebnih podatkov.
13. V času vložitve prijave z dne 6. 4. 2023 je nadzorovani upravljavec sicer kršil člen 17(2) Splošne uredbe, kot je to IP ugotovil v 1. točki izreka. Tekom postopka pred IP pa je nadzorovani upravljavec izkazal zavzetost za zagotovitev skladnosti, sledil ugotovitvam IP in odpravil kršitev. Zato IP ne bo naložil dodatnih ukrepov za odpravo kršitve, kot izhaja iz 2. točke izreka te odločbe.
3 Stroški
14. Posebni stroški v tem nadzornem postopku niso nastali (4. točka izreka odločbe). Prijavitelj in upravljavec nosita svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
15. Ker je skladno z določbo člena 57(3) Splošne uredbe opravljanje nalog vsakega nadzornega organa (vključno z obravnavo prijav, ki jih vloži prijavitelj, na katerega se nanašajo osebni podatki po točki (f) člena 57(1) Splošne uredbe) za posameznika, na katerega se nanašajo osebni podatki, brezplačno in ker nadzorni organ na podlagi drugega odstavka 55. člena ZVOP‑2 pristojnosti in naloge iz prvega odstavka 55. člena ZVOP‑2, med katere sodi tudi odločanje v postopkih prijav prijaviteljev s posebnim položajem, izvaja brezplačno, je ne glede na določbe Zakona o upravnih taksah (ZUT) takse prosta tudi ta odločba.
4 Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustna tožba, ki se vloži v 30 dneh po prejemu te odločbe in sklepa na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi to odločbo oziroma sklep v izvirniku ali prepisu ter plačati sodno takso.
Anže Novak,
državni nadzornik za varstvo osebnih podatkov
Poslati:
1. prijaviteljici - osebno po ZUP;
2. nadzorovanemu upravljavcu - osebno po ZUP.
[1] Zakon o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odl. US, 102/15, 7/18 in 141/22)
[2] Zakon o medijih (Uradni list RS, št. 110/06 – uradno prečiščeno besedilo, 36/08 – ZPOmK-1, 77/10 – ZSFCJA, 90/10 – odl. US, 87/11 – ZAvMS, 47/12, 47/15 – ZZSDT, 22/16, 39/16, 45/19 – odl. US, 67/19 – odl. US in 82/21)
[3] Zakona o upravnih taksah (Uradni list RS, št. 106/10 – uradno prečiščeno besedilo, 14/15 – ZUUJFO, 84/15 – ZZelP-J, 32/16, 30/18 – ZKZaš in 189/20 – ZFRO; ZUT)
