Globe

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede predvidene višine glob za fizične osebe na podlagi Splošne uredbe o varstvu podatkov (ang. GDPR).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da je predviden znesek upravnih glob, ki ga Splošna uredba o varstvu podatkov lahko naloži upravljavcu ali obdelovalcu, določen v četrtem oziroma petem odstavku 83. člena in znaša (kot navajate v vašem zaprosilu) do 10 oziroma 20 milijonov EUR ali v primeru družbe do 2- oziroma 4% svetovnega letnega prometa v preteklem proračunskem letu. Znesek globe, ki se lahko naloži upravljavcu ali obdelovalcu, je torej omejen navzgor (do 10 oziroma 20 milijonov EUR), ne pa navzdol.

V skladu s 4. členom Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem »obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. V skladu s to opredelitvijo veljajo navedene upravne globe torej tako za fizične kot pravne osebe.

IP pa ob tem pojasnjuje, da Splošna uredba o varstvu podatkov v 83. členu določa tudi splošne pogoje za naložitev upravnih glob. V prvem odstavku tako splošno določa, da morajo biti upravne globe, naložene na podlagi tega člena, v vsakem posameznem primeru učinkovite, sorazmerne in odvračilne. Pri odločitvi o naložitvi upravne globe in njeni višini se ustrezno upoštevajo številni dejavniki, ki so določeni v drugem odstavku, in sicer je treba ustrezno upoštevati naravo, težo in trajanje kršitve, namernost kršitve, sprejete ukrepe s strani upravljavca ali obdelovalca za ublažitev utrpljene škode, stopnjo odgovornosti upravljavca ali obdelovalca ali morebitne njune pomembne predhodne kršitve, način, kako se je s kršitvijo seznanil nadzorni organ, skladnost z ukrepi, odrejenimi zoper upravljavca ali obdelovalca, zavezanost h kodeksom ravnanja ali odobrenim mehanizmom potrjevanja in morebitne druge oteževalne ali olajševalne dejavnike.

Uvodna določba št. 148 določa tudi, da se v primeru manjših kršitev ali v primeru, ko bi globa, ki bi bila verjetno naložena, predstavljala nesorazmerno breme za fizično osebo, lahko namesto globe izreče opomin. Uvodna določba št. 150 pa določa, da kadar se upravne globe naložijo osebam, ki niso podjetje, bi moral nadzorni organ pri določanju ustreznega zneska globe upoštevati splošno raven dohodka v državi članici in ekonomski položaj osebe.

Splošna uredba o varstvu podatkov torej navaja zgornjo mejo in merila za določanje s tem povezanih upravnih glob. Pristojni nadzorni organ mora tako v vsakem posameznem primeru pri določitvi višine globe upoštevati vse zadevne okoliščin v določeni situaciji, zlasti pa naravo, težo in trajanje kršitve, njene posledice in sprejete ukrepe za zagotavljanje skladnosti z obveznostmi iz Splošne uredbe o varstvu podatkov ter za preprečitev ali ublažitev posledic kršitve.

Ob tem IP dodaja še, da je možno, da bo predlog novega Zakona o varstvu osebnih podatkov (ZVOP-2), ki je trenutno v pripravi, predpisal tudi višino glob za posameznika v skladu s kriteriji iz Splošne uredbe o varstvu podatkov. V besedilu predloga ZVOP-2, ki je bil spomladi leta 2018 že posredovan v zakonodajni postopek, pa nato ni bil sprejet, je bila namreč tako globa za posameznika za kršitve iz četrtega in petega odstavka 83. člena Splošne uredbe o varstvu podatkov določena v razponu od 200 do 800 EUR. Do sprejema novega zakona pa podrobneje tega ne moremo komentirati.

S spoštovanjem.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Informacijski pooblaščenec:

Mojca Prelesnik, univ. dipl. prav.,

pooblaščenka