Vozovnica za vlak, privolitev

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da ste v poslovalnici italijanskega podjetja kupili vstopnice za vlak. Med vožnjo z vlakom je kontrolor od vas zahteval vozovnice. Presodil je, da te niso veljavne, saj jih niste »ovrednotili«. Zaradi »neveljavne« vozovnice ste prejeli globo, ki je sprva niste želeli plačati, vendar vas kontrolor ni spustil z vlaka, ne da bi mu izročili osebne dokumente. Kontrolor si je nato z osebnega dokumenta izpisal osebne podatke, tudi številko osebnega dokumenta, pri čemer pa vam ni izročil ničesar, s čimer bi izrazili strinjanje z uporabo vaših osebnih podatkov. Pojasnjujete, da se vam zdi vse skupaj izredno sumljivo, saj je kazen možno plačati zgolj z gotovino, pri čemer pa niste prejeli nikakršnega potrdila, da so s plačilom osebni podatki izbrisani. Zanima vas, kaj lahko v nastalem primeru naredite?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V mnenju lahko zato podamo zgolj splošna pojasnila, ne moremo pa presojati ustreznosti konkretnega ravnanja posameznih upravljavcev.

Vpogled v osebni dokument ter izpisovanje podatkov z njega predstavlja obdelavo osebnih podatkov v smislu člena 4(2) Splošne uredbe, za katero mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so za običajne osebne podatke določene v členu 6(1) Splošne uredbe in so za zasebni sektor naslednje:

-      privolitev (točka (a)),

-      sklenitev ali izvajanje pogodbe (točka (b)),

-      zakon oziroma izvajanje javnih nalog (točka (c) oziroma (e)),

-      zakoniti interesi, ki prevladajo nad interesi posameznika (točka (f)).

Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca. IP poudarja, da je za zakonitost obdelave dovolj, da je izpolnjena ena od samostojnih pravnih podlag, ki jih določa člen 6 Splošne uredbe. To pomeni, da v kolikor upravljavec osebne podatke obdeluje npr. zaradi izvajanja pogodbe ali zakonitih interesov, za te podatke privolitev ni dolžan pridobivati. V zvezi s pravnimi podlagami v zasebnem sektorju si lahko ogledate tudi infografiko, objavljeno na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/png/infografike/pravne_podlage_zasebni_sektor_s_pogoji_privolitve.pdf.

Iz vašega zaprosila izhaja, da ste kupili vozovnico za vlak ter storitev prevoza tudi koristili. Pri nakupu vozovnice za prevoz gre praviloma za sklenitev obligacijsko pravnega razmerja med prevoznikom in potnikom, ki temelji na prostovoljni izjavi volje. Ob tem lahko potnik sprejme tudi splošne pogoje poslovanja prevoznika. Tako je možno, da je upravljavec način poslovanja in ravnanja kontrolorja ob ugotovitvi neveljavnosti vaše vozovnice, kot ga opisujete, predvidel že v svojih pogodbenih pogojih.

Vozovnica predstavlja listino, ki dokazuje, da je potnik plačal dogovorjeni znesek za vožnjo. IP meni, da bi bilo (v izogib morebitnim nepravilnostim in zlorabam) preverjanje identitete posameznika na način, da se v primeru neveljavnosti vozovnice z namenom izstavitve zahtevka po dodatnemu plačilu oziroma izreka globe potnik izkaže z osebnim dokumentom, z vidika načela najmanjšega obsega podatkov (člen 5(1)(c) Splošne uredbe) lahko dopustno. Tudi ZVOP-1 v še veljavnem drugem odstavku 18. člena določa, da lahko upravljavec osebnih podatkov pred vnosom v zbirko osebnih podatkov preveri točnost osebnih podatkov z vpogledom v osebni dokument ali drugo ustrezno javno listino posameznika, na katerega se nanašajo (seveda pa ta določba italijanskega podjetja ne zavezuje).

IP na podlagi navedenega zato na splošno pojasnjuje, da bi primeru, kot ga opisujete, pravno podlago za obdelavo osebnih podatkov eventualno lahko predstavljala točka (b) ali točka (f) člena 6(1) Splošne uredbe in ne nujno privolitev po točki (a). Svetujemo pa vam, da izkoristite pravico, ki vam jo daje člen 15 Splošne uredbe (pravica dostopa posameznika, na katerega se nanašajo osebni podatki), in ugotovite, na kakšni pravni podlagi dejansko poteka obdelava vaših osebnih podatkov. Na podlagi teh informacij upravljavca boste lažje ugotovili, ali je konkretna obdelava vaših osebnih podatkov zakonita. Več o pravici do dostopa do osebnih podatkov si lahko preberete na spletni strani IP, dostopni na povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki/.

IP ob tem izpostavlja še pravico do izbrisa oziroma pravico do pozabe, ki je urejena v členu 17 Splošne uredbe. Posameznik lahko z uveljavljanjem te pravice doseže, da se izbrišejo njegovi osebni podatki. Ob tem pa IP opozarja na izjeme, ki so določene v členu 17(3) Splošne uredbe. V takšnih primeru se osebnih podatkov ne sme brisati, četudi bi posameznik tako zahteval, temveč je treba upoštevati pogoje in roke hrambe, ki jih določa zakonodaja. Pred vsako zahtevo za izbris podatkov bo moral tako upravljavec temeljito preveriti, ali mora dejansko ugoditi zahtevi posameznika ali po drugi strani pretehtajo razlogi, da zahtevi ne ugodi, skladno s členom 17 Splošne uredbe. Zato mora upravljavec ob prejemu zahteve za izbris skrbno preveriti, ali za hrambo ne obstajajo druge pravne podlage ali nobeni prevladujoči zakoniti razlogi.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                               

                                                                                                           informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov