Izbris uporabniškega računa na platformi Discord

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede izvrševanja pravice do izbrisa. Pojasnjujete, da je zaradi vdora v elektronske in račune družbenih omrežij vaše partnerke prišlo do trajne izgube do njenega Google računa, ki je bil uporabljen tudi za avtentikacijo pri drugih storitvah, med drugim pri Discordu. Napadalec ima še vedno dostop do njenega Discord računa, prek katerega naj bi izvajal izsiljevanje in krajo identitete. Na Discord ste podali prošnjo za povrnitev računa, vendar družba obravnavo zahtev pogojuje s kontaktiranjem z izvornega elektronskega naslova, do katerega ni več mogoče dostopati. Pojasnjujete še, da ste na podporo Discorda poslali prošnjo za izbris računa in prejeli avtomatiziran odgovor, da odgovarjajo samo na prošnje iz izvornega emali naslova. Zanima vas, kako uveljaviti pravico do izbrisa, saj naj bi bili osebni podatki, fotografije, pogovori in drugi identifikacijski podatki vaše partnerke še vedno dostopni nepooblaščeni osebi.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1 in 10/26 – ZP-1L, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Če posameznik uporabniškega računa ali posameznih objav na družbenem omrežju ne more izbrisati tako, da se vpiše v svoj uporabniški račun, mu mora upravljavec/družbeno omrežje vseeno omogočiti uveljavljanje svoje pravice do izbrisa osebnih podatkov. Če tega ne omogoča, ali postopek izbrisa otežuje, gre lahko za kršitev Splošne uredbe.

Posameznik mora pravice po Splošni uredbi najprej uveljavljati pri upravljavcu. Šele če upravljavec na zahtevo (npr. za izbris uporabniškega računa in z njim povezanih podatkov) v roku enega meseca ne odgovori ali pa zahtevo zavrne, se lahko posameznik pritoži k nadzornemu organu za varstvo podatkov.

O b r a z l o ž i t e v:

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega (upravnega) postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošna pojasnila in priporočila.

Ena od temeljnih pravic posameznikov po Splošni uredbi je pravica do izbrisa (včasih ji rečemo tudi  »pravica do pozabe«), ki je urejena v 17. členu. Ta posameznikom omogoča, da zahtevajo, da spletne pletforme, kot so družbena omrežja (npr. TikTok, Instagram, Snapchat, Discord) izbrišejo njihov uporabniški račun in podatke, ki jih o njih hranijo. To lahko vključuje fotografije, sporočila, všečke, komentarje, podatke o klikih posameznika in druge informaciji o posameznikovi uporabi omrežja. Pravica do izbrisa ni neomejena in obstajajo nekatere izjeme, ko posameznik izbrisa podatkov ne more uveljavljati – npr. če mora podjetje določene podatke hraniti, ker takšno hrambo zahteva zakon, ali pa če so podatki potrebni za postopek reševanja spora.

Posameznik najlažje sam izbriše svoj uporabniški račun ali posamezne objave na družbenem omrežju oziroma platformi, in sicer tako da se vpiše v svoj uporabniški račun. Če tega ne more storiti, kot pojasnjujete tudi v vašem zaprosilu za mnenje, pa mora upravljavec vseeno omogočiti, da posameznik uveljavi svojo pravico do izbrisa. Če tega ne omogoča, ali postopek izbrisa otežuje, gre lahko za kršitev določb Splošne uredbe (npr. 12. in 17. člena).

IP poudarja, da mora posameznik pravice po Splošni uredbi najprej uveljavljati pri upravljavcu. Šele če upravljavec na zahtevo (npr. za izbris) v roku enega meseca ne odgovori ali pa zahtevo zavrne, se lahko posameznik pritoži k nadzornem organu za varstvo podatkov. Za obravnavo prijav zoper družbo Discord je kot vodilni nadzorni organ pristojen nizozemski nadzorni organ za varstvo podatkov (Autoriteit Persoonsgegevens), saj ima družba svoj glavni sedež v EU na Nizozemskem. Prijavo lahko vložite neposredno pri nizozemskem nadzornem organu (prijavni obrazec je dostopen na povezavi https://www.autoriteitpersoonsgegevens.nl/en/submitting-a-tip-off-or-a-complaint-to-the-ap), lahko pa tudi pri IP, ki bo prejeto prijavo, ki ima vse potrebne sestavine, posredoval nizozemskemu nadzornemu organu.

IP poudarja, da se zahteve za uveljavljanje pravic, ki jih posamezniki predhodno niso uveljavljali pri upravljavcu, ne morejo obravnavati. Prav tako se ne morejo obravnavati zahteve, če še ni potekel enomesečni rok za odgovor na zahtevo oziroma zahteva ni bila zavrnjena.

Če posameznik pri upravljavcu neuspešno uveljavlja svoje pravice po Splošni uredbi in prijavo vloži pri IP, mora prijava poleg sestavin iz prvega odstavka 66. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 s spremembami, v nadaljevanju: ZUP), vsebovati zlasti naslednje podatke:

(i)    čim bolj konkretiziran zahtevek posameznika:

§  zahtevek posameznika v zvezi z uveljavljanjem pravic (dostop, popravek, izbris, ugovor, omejitev, prenosljivost), ki ga je posameznik predhodno že uveljavljal pri upravljavcu, pri čemer se mora k prijavi priložiti kopija zahteve, ki jo je posameznik predhodno že poslal upravljavcu, in morebiten njegov odziv; ali

§  zahtevek za ugotovitev še vedno trajajoče kršitve, ki mora vsebovati podroben opis kršitve, priložena pa morajo biti tudi morebitna dokazila zatrjevane kršitve.

(ii)   kontaktne podatke prijavitelja in njegovega morebitnega pooblaščenca: ime, priimek, naslov in naziv oz. ime, priimek in naslov ali sedež morebitnega pooblaščenca.

(iii)  lastnoročni ali ustrezen elektronski podpis: vloga mora biti lastnoročno podpisana, če se jo vloži fizično po pošti ali osebno, oz. podpisana z elektronskim podpisom, če se vloga vloži elektronsko.  

Če vloga ne vsebuje navedenih sestavin, se taka vloga šteje kot nepopolna v smislu 67. členu ZUP zato je IP ne more vsebinsko obravnavati. V takem primeru IP prijavitelja pozove, da svojo vlogo dopolni.

Prijavo lahko pri IP oddate na obrazcu IP (Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava), kjer označite »A. PRIJAVA PRIJAVITELJA S POSEBNIM POLOŽAJEM« ali elektronsko prek spletne strani e-uprava: Prijava kršitve varstva osebnih podatkov - prijava prijavitelja s posebnim položajem.

Lepo vas pozdravljamo.

Pripravila:

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik,

informacijska pooblaščenka