Izbris osebnih podatkov iz aplikacije za dostavo hrane

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše elektronsko sporočilo, v katerem navajate, da ste v preteklem letu uporabljali aplikacijo za dostavo hrane. Kasneje ste vložiti zahtevo za izbris osebnih podatkov po GDPR, kar naj bi tudi izvedli. Danes ste poklicali restavracijo, v kateri ste želeli naročiti pico, ta pa je v svoji bazi že imela vaš naslov. Predvidevate, da imajo shranjeno vašo telefonsko številko in naslov še iz časa, ko ste pri njih naročali preko aplikacije za dostavo hrane. To se vam ne zdi pravilno. Razumete, da je restavracija pridobila vaše podatke za namen procesiranja naročila, ne zdi vam prav, da te podatke še naprej hrani, sploh po tem, ko je aplikacija vaše podatke izbrisala. V to, da vaše podatke hrani tudi restavracija niste niti privolil, niti se tega niste zavedali.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

IP uvodoma pojasnjuje, da Splošna uredba o varstvu podatkov v členu 17 daje posameznikom pravico do izbrisa osebnih podatkov. Da lahko dosežete izbris, morate pri upravljavcu izkazati, da obstaja razlog, ki ga Splošna uredba predpisuje v členu 17(1). Pogoji so:

• vaših osebnih podatkov upravljavec več ne potrebuje za namene zbiranja ali obdelave;
• svojo privolitev za obdelavo osebnih podatkov ste preklicali (ob tem se prepričajte, da je pravna podlaga za obdelavo vaših podatkov vaša privolitev in ne, npr. izvajanje pogodbe);
• ugovarjali ste obdelavi in upravljavec nima pravice zavrniti vašega ugovora. V tem primeru lahko vložite zahtevo za ugovor in hkrati izbris;
• če upravljavec zbira, hrani ali drugače obdeluje vaše podatke nezakonito (brez pravne podlage);
• če bi moral upravljavec vaše podatke izbrisati zaradi svojih pravnih obveznosti, ki mu jih nalaga pravo države članice, ki velja zanj ali pravo EU;
• če je upravljavec zbral podatke v zvezi s ponudbo storitev informacijske družbe od mladoletne osebe.

Izbrisa ni mogoče doseči v primerih, ki jih predvideva člen 17(3) Splošne uredbe, in sicer do izbrisa niste upravičeni:

• če še vedno obstaja pravna podlaga za obdelavo, niste podali preklica privolitve, obdelavo upravljavcu nalaga zakon itd. (skratka, če niso izpolnjeni razlogi iz 17(1) Uredbe) ali
• če upravljavec vaše podatke še potrebuje za uresničevanje pravice do svobode izražanja in obveščanja, izvajanje svoje javne naloge ali naloge v javnem interesu, za uveljavljanje, izvajanje ali obrambo pravnimi zahtevki (torej, če obstajajo razlogi, ki jih določa člen 17 (3) Uredbe).

IP izven inšpekcijskega postopka ne more odgovoriti na vprašanje, ali bi ob zahtevi za izbris osebnih podatkov, naslovljene na aplikacijo za naročanje hrane, morale vaše osebne podatke izbrisati tudi vse restavracije, pri katerih ste hrano naročili, saj IP ni seznanjen s pogodbenim odnosom med aplikacijo in posameznimi ponudniki hrane, prav tako je lahko namen, zaradi katerega aplikacija obdeluje vaše osebne podatke (posredovanje naročila restavraciji), drugačen od namena zaradi katerega jih obdeluje sama restavracija (izvršitev samega naročila). V primeru obdelave osebnih podatkov s strani restavracije morda še vedno obstaja podlaga za obdelavo osebnih podatkov,  npr. dokazilo o izvršitvi vašega naročila, obramba pred morebitnimi pravnimi zahtevki v povezavi z naročilom ipd. S temi okoliščinami IP v konkretnem primeru ni seznanjen, zato se do njih podrobneje ne more opredeliti.

Glede na navedeno vam IP predlaga, da če želite, da tudi konkretna restavracija izbriše vaše osebne podatke, in ste mnenja, da je za tak zahtevek podan tudi razlog iz člena 17(1) Splošne uredbe, da na posamezno restavracijo naslovite Zahtevo za izbris osebnih podatkov. Za uveljavljanje pravice do izbrisa si lahko pomagate tudi z neobveznim obrazcem »Zahteva za izbris osebnih podatkov«, ki je dostopna prek povezave https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Če upravljavec osebnih podatkov na vašo zahtevo ne odgovori v enem mesecu ali vašo zahtevo zavrne s pisnim odgovorom ali odločbo, se lahko pritožite k Informacijskemu pooblaščencu. V pomoč vam je lahko obrazec »Pritožba zaradi kršitve pravice do izbrisa osebnih podatkov«, ki je prav tako dostopen prek zgoraj navedene povezave. V tem primeru svetujemo, da ob pritožbi priložite tudi zahtevo za izbris, ki ste jo naslovili na upravljavca.

Več o pravici do izbrisa osebnih podatkov si lahko preberete na portalu Informacijskega pooblaščenca »Ti odločaš«: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

                                                                                    Mojca Prelesnik

                                                                                    informacijska pooblaščenka

Pripravila:

mag. Vanja Zrimšek, univ. dipl. prav.,

svetovalka IP

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.