Posredovanje imen tistih, ki so pri upravljavcu vpogledovali v OP
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 05.11.2008Številka: 0712-724/2008/2
Kategorije: Pridobivanje OP iz zbirk Spoštovani,
Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel vaše zgoraj navedeno elektronsko sporočilo, v katerem Pooblaščenca sprašujete:
Ali lahko na podlagi pisne prošnje zahtevate, da se vam posreduje seznam oseb (delavcev policije), ki so domnevno zlorabljali svoja pooblastila tako, da so z vpogledom v policijsko evidenco prišli do vaših osebnih podatkov, čeprav zoper vas ni bil uveden noben postopek, ki bi jim to omogočal ter na koga se lahko obrnete v takšnem primeru.
V nadaljevanju vam, na podlagi predstavljenega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1-UPB1) in 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem:
Po določbah 30. člena ZVOP-1-UPB1 upravljavec osebnih podatkov posamezniku ni dolžan posredovati seznama oseb, ki imajo zaradi narave njihovega dela dostop do njegovih osebnih podatkov in so domnevno zlorabile svoja pooblastila tako, da so z vpogledom v zbirko osebnih podatkov neupravičeno prišle do osebnih podatkov posameznika.
Upravljavec osebnih podatkov je v zvezi z obdelavo osebnih podatkov posamezniku dolžan izdati le potrdilo o tem, ali je obdeloval njegove osebne podatke, pri čemer mu na takšnem potrdilu ni potrebno navajati, katere od pri njem zaposlenih oseb so vpogledovale v osebne podatke posameznika.
Obrazložitev:
Pravica posameznika do seznanitve z lastnimi osebnimi podatki, ki izhaja iz tretjega odstavka 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91, 42/97, 66/00, 24/03, 69/04 in 68/06), se konkretizirana v 30. členu ZVOP-1-UPB1, ki v prvem odstavku določa, da je upravljavec osebnih podatkov dolžan posamezniku na njegovo zahtevo:
1. omogočiti vpogled v katalog zbirke osebnih podatkov;
2. potrditi, ali se podatki v zvezi z njim obdelujejo ali ne, in mu omogočiti vpogled v osebne podatke, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj, ter njihovo prepisovanje ali kopiranje;
3. posredovati izpis osebnih podatkov, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj;
4. posredovati seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen;
5. dati informacijo o virih, na katerih temeljijo zapisi, ki jih o posamezniku vsebuje zbirka osebnih podatkov, in o metodi obdelave;
6. dati informacije o namenu obdelave in vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem;
7. pojasniti tehnične oziroma logično-tehnične postopke odločanja, če izvaja avtomatizirano odločanje z obdelavo osebnih podatkov posameznika.
Postopek seznanitve posameznika z lastnimi osebnimi podatki je urejen v 31. členu ZVOP-1-UPB1, ki določa, da se zahteva iz 30. člena tega zakona vloži pisno ali ustno na zapisnik pri upravljavcu osebnih podatkov. Upravljavec osebnih podatkov mora posamezniku omogočiti vpogled, prepis, kopiranje in potrdilo po 1. in 2. točki prvega odstavka 30. člena ZVOP-1-UPB1 najkasneje v 15 dneh od dneva, ko je prejel zahtevo, ali pa ga v istem roku pisno obvestiti o razlogih, zaradi katerih vpogleda, prepisa, kopiranja ali izdaje potrdila ne bo omogočil. Izpis iz 3. točke, seznam iz 4. točke, informacije iz 5. in 6. točke ter pojasnilo iz 7. točke prvega odstavka 30. člena ZVOP-1-UPB1, mora upravljavec osebnih podatkov posredovati posamezniku v 30 dneh od dneva, ko je prejel zahtevo, ali ga v istem roku pisno obvestiti o razlogih, zaradi katerih mu izpisa, seznama, informacij ali pojasnila ne bo posredoval.
Če upravljavec ne ravna v skladu z zgoraj citiranim drugim in tretjim odstavkom 31. člena ZVOP-1-UPB1, se šteje, da je zahteva zavrnjena. V primeru, ko upravljavec osebnih podatkov zavrne zahtevo posameznika iz 30. člena ZVOP-1-UPB1, lahko posameznik pri Pooblaščencu vloži pritožbo zoper upravljavčevo zavrnitev.
Po določbi 3. točke prvega odstavka 30. člena ZVOP-1-UPB1 je upravljavec osebnih podatkov dolžan posamezniku posredovati seznam vseh tistih fizičnih, pravnih ali drugih oseb javnega ali zasebnega sektorja, katerim so bili posredovani njegovi osebni podatki, kdaj, na kakšni podlagi in za kakšen namen. Takšen seznam, ki zagotavlja t.i. zunanjo sledljivost obdelave osebnih podatkov in so ga upravljavci dolžni voditi v skladu z določbo tretjega odstavka 22. člena ZVOP-1-UPB1, zajema navedbo vseh zunanjih uporabnikov osebnih podatkov, to je tistih fizičnih, pravnih ali drugih oseb javnega ali zasebnega sektorja, katerim so bili posredovani ali razkriti osebni podatki določenega posameznika.
Po določbah 2. točke prvega odstavka 30. člena ZVOP-1-UPB1 je upravljavec osebnih podatkov dolžan posamezniku med drugim posredovati tudi potrdilo o tem, ali se osebni podatki o njem obdelujejo ali ne. Glede na to, da izraz »obdelava osebnih podatkov« po določbi 3. točke 6. člena ZVOP-1-UPB1 med drugim pomeni tudi vpogled v osebne podatke, je upravljavec osebnih podatkov dolžan posamezniku izdati tudi potrdilo o tem, ali so osebe, ki imajo dostop do njegovih osebnih podatkov, v določenem obdobju vpogledovale ali kako drugače obdelovale njegove osebne podatke.
Upravljavec osebnih podatkov je po določbah 5. točke prvega odstavka 24. člena dolžan omogočiti poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov (t.i. notranja sledljivost). V tem primeru gre za enega od ukrepov za zavarovanje osebnih podatkov, s katerim upravljavec preprečuje nepooblaščeno obdelavo osebnih podatkov. Izvajanje te določbe in s tem povezano ustreznost zavarovanja in zakonitost obdelave osebnih podatkov nadzira Pooblaščenec v okviru rednih preventivnih inšpekcijskih pregledov ali v primeru prijave, iz katere izhaja utemeljen sum nezakonite obdelave osebnih podatkov posameznika.
Če posameznik utemeljeno domneva, da so osebe, ki imajo pri določenemu upravljavcu osebnih podatkov dostop do njegovih osebnih podatkov, z zlorabo svojih pooblastil nepooblaščeno vpogledovale ali kako drugače obdelovale njegove osebne podatke, lahko poda prijavo pri Pooblaščencu. Pooblaščenec bo po prejetju takšne prijave v okviru inšpekcijskega postopka ugotovil, ali so osebe, ki imajo dostop do osebnih podatkov posameznika, dejansko nepooblaščeno vpogledovale ali kako drugače obdelovale osebne podatke posameznika ter bo posameznika po zaključku postopka pisno obvestil o vseh pomembnejših ugotovitvah in dejanjih v postopku inšpekcijskega nadzora. Poleg tega bo Pooblaščenec v primeru, ko bo ugotovil, da so določene osebe dejansko nepooblaščeno vpogledovale ali kako drugače obdelovale osebne podatke posameznika, zoper te osebe uvedel postopek o prekršku ali podal kazensko ovadbo.
V primeru, da bo Pooblaščenec ugotovil, da so določene osebe dejansko nepooblaščeno vpogledovale ali kako drugače obdelovale osebne podatke posameznika, bo lahko posameznik, na podlagi 82. člena Zakona o splošnem upravnem postopku (ZUP; Uradni list RS, št. 24/2006 – UPB2 in 126/07) v zvezi s 36. členom Zakona o inšpekcijskem nadzoru (ZIN-UPB1; Uradni list RS, št. 43/07 – UPB1), od Pooblaščenca zahteval, da mu posreduje osebna imena in naslove teh oseb, pri čemer pa bo moral posameznik v takšni vlogi verjetno izkazati svojo pravno korist.
Prijazen pozdrav,
Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
Pooblaščenka