Podatki o notranjih uporabnikih

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Zanima vas, kako lahko vpogledate v podatke o tem, kdo dostopa do vaših osebnih podatkov na določeni policijski postaji.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Pravica do seznanitve z lastnimi osebnimi podatki je zagotovljena vsakemu posamezniku v tretjem odstavku 38. člena Ustave Republike Slovenije in v členu 15 Splošne uredbe oziroma v 30. členu ZVOP-1. Pri uresničevanju pravice do seznanitve z osebnimi podatki, ki jih obdeluje policija, se še vedno uporabljajo pravila po ZVOP-1.

Vsak posameznik je na podlagi 30. člena ZVOP-1 upravičen od upravljavca (npr. policije) med drugim pridobiti tudi informacije o uporabnikih njegovih osebnih podatkov, torej o tistih, ki so jim bili osebni podatki razkriti. Zahtevo je treba vložiti pri upravljavcu v pisni obliki, v primeru molka ali zavrnitve zahteve pa je dopustna pritožba, za reševanje katere je pristojen IP. Več o pravici do seznanitve z lastnimi osebnimi podatki si lahko preberete na spletni strani IP https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki/ ter https://tiodlocas.si/kako-uveljavim-svoje-pravice/.

Ob tem pa IP opozarja, da pravica do seznanitve z lastnimi osebnimi podatki posamezniku ne omogoča pridobitve seznama zaposlenih oseb pri upravljavcu, ki so vpogledovale ali drugače obdelovale osebne podatke posameznika. Takšno stališče izhaja tudi iz že izdanih mnenj IP, npr. št. 0712-724/2008/2, št. 0712-1/2014/2773 in št. 0712-1/2014/3051, ki so dostopna na povezavi https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-vop/ ter iz splete strani IP https://tiodlocas.si/pravica-do-seznanitve-kdo-so-uporabniki-s-katerimi-se-lahko-seznanim/.

IP še natančneje pojasnjuje, da določba 4. točke prvega odstavka 30. člena ZVOP-1, skladno s katero je dolžan upravljavec posredovati seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen, prosilcu ne omogoča vpogleda v evidenco obdelav osebnih podatkov s strani pooblaščenih oseb znotraj upravljavca oziroma obdelovalca, torej s strani zaposlenih. Posameznik na podlagi te določbe torej ni upravičen do podatkov o temu, kdo znotraj upravljavca je dostopal do njegovih osebnih podatkov, temveč je upravičen le do lastnih osebnih podatkov. To velja ne glede na to, kakšen je bil namen (razlog) vpogleda in podlaga za vpogled ter celo, če podlage za vpogled v posameznem primeru sploh ni bilo. V okviru pravice do seznanitve z lastnimi osebnimi podatki se namreč razkriva zgolj podatke, katerim zunanjim uporabnikom so bili posredovani vaši osebni podatki (t.i. zunanja sledljivost). Izvajanje t.i. notranje sledljivosti in utemeljenost obdelave osebnih podatkov znotraj upravljavca pa IP nadzira v okviru rednih preventivnih inšpekcijskih pregledov ali v primeru prijave, iz katere izhaja domneva nezakonite obdelave osebnih podatkov posameznika.

V primeru, da posameznik sumi na nezakonito notranjo obdelavo osebnih podatkov, zaradi obravnavane omejitve tako ni prikrajšan za pravno varstvo, saj lahko pri IP vloži prijavo zaradi kršitve varstva osebnih podatkov, pri čemer IP (le) v inšpekcijskem postopku ugotavlja, ali in kdo je znotraj upravljavca nezakonito obdeloval osebne podatke. Iz prijave pa mora izhajati utemeljen sum kršitve varstva osebnih podatkov, kar pomeni, da morate navesti npr. kdaj, v katerih postopkih, s katerimi konkretnimi dejanji in katere vaše osebne podatke naj bi upravljavec nezakonito obdeloval.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                           informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov