Seznanitev z lastnimi osebnimi podatki in sankcije

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem nas sprašujete, če vas kot člana društva, v primeru da društvu pošljete zahtevo za seznanitev z lastnimi osebnimi podatki, lahko društvo zaradi tega kaznuje, vas izpiše ali vam kakor koli omeji delovanje v društvu.  Poudarjate, da gre le za seznanitev z osebnimi podatki in ne za izbris.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Uvodoma pojasnjujemo, da je IP pritožbeni organ na področju seznanitve z lastnimi osebnimi podatki. IP pa ni pristojen za presojo o morebitnih drugih vidikih zakonitosti poslovanja društev. To pomeni, da IP odloča v pritožbenem postopku zoper molk ali zavrnitev upravljavca (v vašem primeru društva) v zadevi seznanitve z lastnimi osebnimi podatki, v skladu z načelom zakonitosti pa se ne more in ne sme vmešavati v druge vidike delovanja upravljavcev. Upoštevaje zgoraj navedeno tako IP v nadaljevanju daje le splošno mnenje glede ustavno zagotovljene pravice do seznanitve z lastnimi osebnimi podatki.

Skladno s 15 členom Splošne uredbe ima vsak posameznik pravico, da se seznani s svojimi osebnimi podatki. Tako mora upravljavec posamezniku na njegovo zahtevo: 

1.    posredovati potrditev, ali se v zvezi z njim obdelujejo osebni podatki;
2.    omogočiti vpogled ali posredovati reprodukcijo teh osebnih podatkov, torej zagotoviti dostop do njihove vsebine, in
3.    če se osebni podatki posameznika pri upravljavcu res obdelujejo, tudi naslednje informacije:
a)    namene obdelave; 
b)    vrste zadevnih osebnih podatkov;
c)    uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah; 
d)    kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; 
e)    obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; 
f)    pravico do vložitve pritožbe pri nadzornem organu; 
g)    kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; 
h)    obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4) Splošne uredbe (EU) o varstvu podatkov, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
 

Pravica do seznanitve z lastnimi osebnimi podatki je tako zagotovljena vsakemu posamezniku v tretjem odstavku 38. člena Ustave Republike Slovenije in členu 15 Splošne uredbe. Izvrševanje te pravice pa naj ne bi imelo nobenih sankcij zoper vlagatelja.

V primeru, da boste pri upravljavcu osebnih podatkov (v vašem primeru društvo) izkoristili pravico, ki vam jo daje člen 15 Splošne uredbe,  si lahko pomagate z obrazcem, ki je objavljen na spletni strani IP, na naslovu https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Zahtevo za seznanitev z lastnimi osebnimi podatki morate torej nasloviti neposredno na upravljavca vaših osebnih podatkov, IP pa je pristojen za odločanje o pritožbi posameznika, kadar upravljavec osebnih podatkov ne ugodi zahtevi posameznika glede pravice posameznika do seznanitve z zahtevanimi podatki. Če vam upravljavec osebnih podatkov na vašo zahtevo v roku enega meseca ne bo odgovoril ali pa vaši zahtevi ne bo ugodil, lahko torej na IP pošljete pritožbo, ki jo vložite na obrazcu »Pritožba zaradi kršitve pravice do seznanitve z lastnimi osebnimi podatki«, ki je prav tako objavljen na spletnih straneh IP (https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/).

Več informacij o pravici do seznanitve z lastnimi osebnimi podatki, kako jo uveljavljati in več informacij glede pritožbe lahko pridobite na naši spletni strani: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                  

informacijska pooblaščenka