Pravica do pozabe

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, ki se nanaša na izbris podatkov iz Googlovih baz.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Splošno o pravici do izbrisa:

Pravica do izbrisa oziroma pravica do pozabe je urejena v členu 17 Splošne uredbe o varstvu osebni podatkov. Posameznik, na katerega se nanašajo osebni podatki, ima na tej podlagi pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar je podan eden od naslednjih razlogov:

a)    osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
b)    posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

c)    posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
d)    osebni podatki so bili obdelani nezakonito;

e)    osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

f)    osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

Ob tem IP izpostavlja, da pravica do izbrisa ni neomejena. Splošna uredba o varstvu podatkov v členu 17(3) določa, da se posameznik, na katerega se nanašajo osebni podatki, ne more sklicevati na pravico do izbrisa, če je obdelava potrebna:

a)    za uresničevanje pravice do svobode izražanja in obveščanja;
b)    za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
c)    iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);
d)    za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 9(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali
e)    za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Skladno z navedenimi določbami zahteva za izbris torej ne bo utemeljena:

• če do izbrisa niste upravičeni, ker še vedno obstaja pravna podlaga za obdelavo, niste podali preklica privolitve, obdelavo upravljavcu nalaga zakon itd. (skratka, niso izpolnjeni razlogi iz 17(1) Splošne uredbe o varstvu podatkov);
• obstaja razlog, da bi lahko bili upravičeni do izbrisa, vendar upravljavec vaše podatke še potrebuje za uresničevanje pravice do svobode izražanja in obveščanja, izvajanje svoje javne naloge ali naloge v javnem interesu, za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov itd. (obstajajo razlogi, ki jih določa člen 17(3) Splošne uredbe o varstvu podatkov).

 Nekaj osnovnih informacij in konkretnih primerov v zvezi s pravico do izbrisa osebnih podatkov je na voljo tudi na naši spletni strani: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.

Uveljavljanje pravice do izbrisa:

Postopkovna pravila za uveljavljanje pravic posameznikov so urejena v členu 11 in 12 Splošne uredbe o varstvu podatkov.

Zahteva za izbris se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Upravljavec pomeni skladno s členom 4(7) Splošne uredbe o varstvu podatkov fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice.

Upravljavec mora v sklopu zahteve po obveščanju zagotoviti ustrezne kontakte in navodila, na kakšen način bo vaše pravice tudi uresničil. Informacije poiščite npr. na njihovi spletni strani ali drugih kanalih, ki jih uporabljajo za komunikacijo. Vsak upravljavec mora sam zagotoviti ustrezen odziv in tehnične rešitve, kako vam bo vaše pravice po Splošni uredbi o varstvu podatkov, torej tudi pravico do izbrisa, omogočil.

Zahteva se vloži praviloma pisno pri upravljavcu, lahko tudi po e-pošti ali na neobvezujočem obrazcu. Priporočamo vam, da zahtevo podate na način, da bo pozneje mogoče dokazati, da je zahteva bila poslana in kdaj je bila poslana (npr. priporočeno, s povratnico ipd.). Upravljavec ima pravico, da od posameznika zahteva dodatne informacije zato, da se odpravi dvom v identiteto posameznika, ki je podal zahtevo.

Upravljavec o zahtevi odloči s pisnim obvestilom. Rok za odločitev upravljavca je en mesec od prejema zahteve, ta rok pa se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev. O zahtevi za izbris mora upravljavec načeloma odločiti brezplačno. Če pa so zahteve posameznika očitno neutemeljene ali pretirane, zlasti ker se ponavljajo, lahko upravljavec zaračuna razumno pristojbino ali zavrne ukrepanje v zvezi z zahtevo.

Če upravljavec vašo zahtevo zavrne ali o njej v predpisanem roku ne odloči, lahko vložite pritožbo zoper upravljavca. Pritožbo naslovite na nadzorni organ za varstvo osebnih podatkov, v Sloveniji je to IP. Na spletni strani IP je objavljen obrazec Pritožba zaradi kršitve pravice do seznanitve z lastnimi osebnimi podatki (»P-SLOP«), ki ga lahko smiselno uporabite pri morebitni pritožbi v zvezi s pravico do izbrisa.

Več informacij o postopku glede uveljavljanja vaših pravic si lahko preberete na povezavi https://tiodlocas.si/kako-uveljavim-svoje-pravice/.

Vse obrazce s področja varstva osebnih podatkov pa lahko najdete na spletni strani IP https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Odstranitev iz Google zadetkov:

IP pojasnjuje, da je treba ločiti med vsebino, ki se nahaja na določeni spletni strani, in rezultati iskanja, ki pokažejo pot do te strani. Če določen iskalnik kot rezultat iskanja imena in priimka uporabnika vrne povezave do spletne strani, ki bi lahko škodila ugledu uporabnika ali razkrila posebne vrste osebnih podatkov, mora uporabnik za izbris najprej zaprositi upravljavca spletne strani, na kateri se nahajajo sporni podatki. Če upravljavec spletne strani zahtevi za izbris ne ugodi, pa se lahko zahteva za izbris iz rezultatov iskanja naslovi tudi na iskalnik, npr. na Google. Pri tem je treba pojasniti, da lahko Google izbriše zgolj zadetke iskanja vašega imena, ne more pa izbrisati dejanskih vsebin na spletni strani. Google ima za takšne zahteve že predpripravljen standarden obrazec, preko katerega lahko zahtevate izbris osebnih podatkov. V kolikor je upravljavec vaše podatke že izbrisal s spletne strani, vendar je v iskalniku Google še vedno ostal posnetek strani, t.i. »cache«, potem lahko uporabite Google obrazec za pomoč pri izbrisu zastarele vsebine.

Na tej povezavi boste našli podrobna navodila in povezave do Google obrazcev za izbris https://tiodlocas.si/top-nasveti/kako-se-odstranite-iz-google-zadetkov/.

Omejitve pravic posameznikov:

IP opozarja še, da lahko skladno s členom 23 Splošne uredbe o varstvu podatkov pravo EU ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, z zakonodajnim ukrepom omeji pravico do izbrisa osebnih podatkov, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje:

a)    državne varnosti, obrambe ter javne varnosti,
b)    preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij,
c)    drugih pomembnih ciljev v splošnem javnem interesu Unije ali države članice, zlasti pomembnega gospodarskega ali finančnega interesa Unije ali države članice, vključno z denarnimi, proračunskimi in davčnimi zadevami, javnim zdravjem in socialno varnostjo,
d)    varstva neodvisnosti sodstva in sodnega postopka,
e)    preprečevanja, preiskovanja, odkrivanja in pregona kršitev etike v zakonsko urejenih poklicih;
f)    spremljanja, pregledovanja ali urejanja, povezanega, lahko tudi zgolj občasno, z izvajanjem javne oblasti,
g)    varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih in
h)    uveljavljanja civilnopravnih zahtevkov.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov, predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

                                                                                   Mojca Prelesnik

                                                                                   informacijska pooblaščenka

Pripravila:

mag. Tanja SLAK

država nadzornica za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.