Pravida do izbrisa in popravka

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da vaše osebne podatke določena podjetja hranijo v svojih zbirkah osebnih podatkov tudi po 7 letih. Ugotavljate, da imajo nekatera podjetja, v katerih ste nekoč delali, še vedno zabeleženo, da ste zaposleni pri njih. Zanima vas, kdo izvaja nadzor nad podjetji, ki hranijo osebne podatke.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Splošna uredba posameznikom daje pravice, s katerimi lahko ti izvajajo nadzor nad obdelavo svojih lastnih osebnih podatkov. V vašem primeru vam IP svetuje, da se poslužite pravice do popravka osebnih podatkov (npr. naj popravijo v svojih bazah, da niste več zaposleni v podjetju) in/ali pravice do izbrisa svojih osebnih podatkov.

Pravica do popravka je urejena v členu 16 Splošne uredbe in določa:

»Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja popravi netočne osebne podatke v zvezi z njim. Posameznik, na katerega se nanašajo osebni podatki, ima ob upoštevanju namenov obdelave, pravico do dopolnitve nepopolnih osebnih podatkov, vključno s predložitvijo dopolnilne izjave.«

Več o pravici do popravka si lahko preberete na naši spletni strani: https://tiodlocas.si/zelim-popraviti-netocne-podatke/.

Pravica do izbrisa oziroma pravica do pozabe je urejena v členu 17 Splošne uredbe, ki določa:

»1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

1. osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
2. posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
3. posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
4. osebni podatki so bili obdelani nezakonito;
5. osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;
6. osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

2. Kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije.

3. Odstavka 1 in 2 se ne uporabljata, če je obdelava potrebna:

1. za uresničevanje pravice do svobode izražanja in obveščanja;
2. za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
3. iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);
4. za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali
5. za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.«

Pravica do izbrisa ni absolutna, ampak njeno uresničevanje poteka v skladu z zgoraj navedenimi pogoji (npr. če zakon določa, da je potrebno osebne podatke hraniti določeno obdobje, do izteka tega obdobja načeloma ni mogoče zahtevati izbrisa takšnih osebnih podatkov).

Več informacij o pravici do izbrisa si lahko preberete na spletni strani IP: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.

Nadzor nad izvajanjem določb Splošne uredbe in ZVOP-1 izvršuje IP. Posameznik lahko, v kolikor meni, da je prišlo do kršitev navedene zakonodaje, poda prijavo pri IP. Na podlagi prijave lahko IP prične s postopkom inšpekcijskega nadzora.  

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                              

Neja Domnik, mag. prav.,

raziskovalka pri IP