Objava osebnih podatkov o prejemniku subvencije na svetovnem svetu

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem navajate, da so na svetovnem spletu objavljeni vaši osebni podatki v povezavi z dejstvom, da ste bili prejemnica sredstev okoljskega javnega sklada. Sklad ste prosili, da odstrani vaše podatke, vendar so vam odgovorili, da tega ne bodo storili, saj je objava zakonita na podlagi drugega odstavka 7. člena Zakona o učinkoviti rabi električne energije, bivšega 316. člena Energetskega zakona in Pravilnika o finančnih spodbudah za energetsko učinkovitost, daljinsko ogrevanje in rabo obnovljivih virov energije, ki določa, da se dokumentacijo hrani 10 let od zadnje dodelitve pomoč, ter Uredbe o posredovanju in ponovni uporabi informacij javnega značaja. Zanima vas, kakšne možnosti imate in ali je pravna podlaga, na katero se sklicuje sklad, ustrezna.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Javno objavo osebnih podatkov prejemnikih subvencij določa zakon, zaradi česar ne morete avtomatično zahtevati izbrisa vaših osebnih podatkov. Vendar pa v vašem primeru zakon ne določa obdobja javne objave osebnih podatkov, zaradi česar ni mogoče vedeti, koliko časa naj bi bili osebni podatki (še) objavljeni. Svetujemo vam, da se na upravljavca osebnih podatkov obrnete z zahtevo, naj vam pojasni obdobje javne objave osebnih podatkov ter kdaj naj bi nastopila pravica do izbrisa osebnih podatkov.

Obrazložitev

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

• privolitev (točka (a)),
• sklenitev ali izvajanje pogodbe (točka (b)),
• zakon (točka (c)),
• zaščita življenjskih interesov posameznika (točka (d)),
• izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1),
• zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka (f)).

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.

V vašem primeru vam je upravljavec že sporočil, da je pravna podlaga za javno objavo vaših osebnih podatkov, vključno z naslovom, drugi odstavek 7. člena Zakona o učinkoviti rabi energije (Uradni list RS, št. 158/20; v nadaljevanju ZURE), torej je v smislu Splošne uredbe obdelava osebnih podatkov potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca (točka (c) prvega odstavka 6. člena Splošne uredbe). Omenjeni drugi odstavek 7. člena ZURE določa: Organ, ki dodeljuje finančne spodbude iz prejšnjega odstavka, na svoji spletni strani objavi vse prejemnike finančnih spodbud, njihov naslov ter vrsto in velikost financiranega projekta.

V vašem primeru ste uveljavljali t.i. pravico do izbrisa osebnih podatkov, ki jo Splošna uredba uzakonja v 17. členu. Točka (a) prvega odstavka 17. člena Splošne uredbe namreč določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar – med drugim – osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani.

Upravljavec osebnih podatkov sicer v skladu s tretjim odstavkom 17. člena ni dolžan izbrisati podatkov v skladu z zahtevo posameznika, če je obdelava (torej na primer objava na spletni strani) za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu.

Na kratko povzeto – če zakon določa obveznost javne objave, posameznik načeloma ne more doseči izbrisa svojih osebnih podatkov.

Seveda pa je pri tem treba upoštevati tudi obdobje javne objave, torej trajanje javne objave oziroma vprašanje, koliko časa je takšna javna objava potrebna, da se izpolni namen tovrstne javne objave (na primer namen zagotavljanja transparentnosti porabe javnih sredstev). Glede na to, da obdobje trajanja javne objave v zakonu in v Pravilniku o finančnih spodbudah za energetsko učinkovitost, daljinsko ogrevanje in rabo obnovljivih virov energije (v nadaljevanju: Pravilnik) nista izrecno opredeljena, se IP v mnenju ne more opredeliti do tega, ali in po preteku koliko časa je objava osebnih podatkov še potrebna. V zvezi s tem vas je upravljavec sicer napotil tudi na določbo drugega odstavka 30. člena Pravilnika, ki določa, da je treba dokumentacijo javnega razpisa hraniti 10 let od zadnje dodelitve pomoči. IP sicer ugotavlja, da s to določbo ni eksplicitno urejeno obdobje javne objave na spletni strani in bi bilo treba razmisliti, ali se glede obdobja javne objave osebnih podatkov uresničuje zahteva iz drugega odstavka 6. člena Zakona o varstvu osebnih podatkov (ZVOP-2 – sprejet v Državnem zboru, še ni v veljavi). Slednja namreč med drugim določa, da mora zakon, ki določa obdelavo osebnih podatkov v javnem sektorju zaradi izvajanja zakonske obveznosti po točki (c) prvega odstavka 6. člena Splošne uredbe (kot velja v konkretnem primeru) določiti rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi. Pri vsem navedenem poudarjamo, da IP ni zakonodajalec in ne more presojati samih določb zakonov v smislu njihove ustavnosti ali zakonitosti, zato tudi v tem svetovalnem mnenju ne moremo in ne smemo ocenjevati, ali so vaši osebni podatki ustrezno objavljeni na spletni strani oziroma po koliko časa bi morali biti izbrisani, ker bi potekel namen, zaradi katerega so bili osebni podatki javno objavljeni.

V zvezi z navedenim vam lahko še sporočimo, da imate skladno s točko (d) prvega odstavka 15. člena Splošne uredbe pravico zahtevati informacijo o predvidenem obdobju hrambe osebnih podatkov ali, če to ni mogoče, o merilih, ki se uporabijo za določitev tega obdobja. Poleg tega bi vam moral upravljavec na vašo zahtevo podati informacijo o pravici do izbrisa vaših osebnih podatkov (točka (e) prvega odstavka 15. člena Splošne uredbe), torej ga lahko povprašate po tem, kdaj naj bi to pravico v povezavi z obdobjem javne objave pridobili.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov