Podatki o izbrisanem s.p. na spletu

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za nasvet, v katerem pojasnjujete, da ste v obdobju od junija 2021 do aprila 2022 imeli odprt popoldanski s.p., katerega podatke je iz javne podatkovne zbirke AJPES pridobil in objavil spletni portal stop-neplacniki.si (kljub temu, da niste imeli neporavnanih finančnih obveznosti), katerega ste že prosili za izbris podatkov, pa je vašo prošnjo zavrnili oz. vam ponudili (delni) izbris le ob precej visokem plačilu. Menite, da gre za kršitev varstva osebnih podatkov oz. pravice do izbrisa vaših osebnih podatkov, ker so objavljeni: ime, priimek, kraj bivanja, osebna davčna številka, poleg tega pa še matična številka ter številka bančnega računa že več kot pol leta neaktivnega popoldanskega s.p.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Po izbrisu podjetja iz poslovnega registra, podlage za javno objavo tistih podatkov, ki zopet pridobijo naravo varovanih osebnih podatkov določljive fizične osebe (npr. davčna številka, naslov prebivališča) ni več, pri čemer objava podatkov o samem obstoju samostojnega podjetnika za zagotavljanje pravne varnosti kot so ime (sestavljeno iz obveznih sestavin imena in priimka posameznika), kraj sedeža, matična številka, številke ukinjenih izključno poslovnih transakcijskih računov, glede na veljavno zakonodajo ni sporna tudi potem, ko je poslovni subjekt samostojnega podjetnika enkrat izbrisan iz poslovnega registra.

Če so torej po izbrisu vašega popoldanskega s.p. v spletnem okolju še vedno javno objavljeni varovani osebni podatki, lahko pri upravljavcu (najučinkovitejše pri zakonsko določenem viru javno objavljenih podatkov) podate zahtevo za izbris osebnih podatkov v najširšem smislu (člen 17 v povezavi z uvodno izjavo (66) Splošne uredbe o varstvu podatkov). Uveljavljanje pravice do izbrisa mora skladno s členom 12 Splošne uredbe o varstvu podatkov biti posamezniku, na katerega se nanašajo osebni podatki (tudi tisti, ki po izbrisu podjetja iz poslovnega registra ponovno dobijo primarno naravo osebnih podatkov), pri vseh upravljavcih biti zagotovljena brezplačno. V primeru molka ali zavrnitve zahteve, lahko pri IP vložite pritožbo, ki se rešuje v pritožbenem postopku.

O b r a z l o ž i t e v:

Splošna uredba o varstvu podatkov v določbi člena 4(1) opredeljuje »osebni podatek« kot katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

Zakon o Poslovnem registru Slovenije (Uradni list RS, št. 49/06, 33/07 – ZSReg-B, 19/15 in 54/17; v nadaljevanju: ZPRS-1) pa v 12. alineji 2. člena določa »javne podatke« poslovnega registra, kar so vsi podatki o enotah poslovnega registra, razen podatkov, ki so s posebnim zakonom določeni kot osebni podatki, in da davčna številka in naslov prebivališča fizične osebe, ki sta hkrati davčna številka in sedež poslovnega subjekta, z vpisom tega poslovnega subjekta v poslovni register postaneta javna podatka.

Kot izhaja iz zgoraj navedene definicije osebnega podatka, so ime, priimek, naslov prebivališča, osebni bančni račun, davčna številka določljive fizične osebe – posameznika (z vidika predpisov varstva osebnih podatkov), nedvomno osebni podatki. Vendar je pri tem potrebno opozoriti, da je v primeru, ko in dokler posameznik nastopa kot aktivni nosilec dejavnosti, bodisi pravne osebe ali kot samostojni podjetnik posameznik, zaradi varnosti pravnega prometa pravica do varstva osebnih podatkov posameznika okrnjena in posameznik v vlogi aktivnega družbenika ali samostojnega podjetnika posameznika ne uživa toliko pravic kot posameznik v vlogi fizične osebe – posameznika. 

IP je tako stališče v neobvezujočih mnenjih že večkrat zavzel, npr. v mnenjih, dostopnih na naslednjih IP spletnih podstraneh:

https://www.ip-rs.si/mnenja-gdpr/60489fb8e5e32

https://www.ip-rs.si/mnenja-gdpr/6048a64136204

https://www.ip-rs.si/mnenja-gdpr/6048a4879ea99

Izdanim mnenjem je skupno stališče IP, da obdelava podatkov aktivnega samostojnega podjetnika posameznika, ki so enaki osebnim podatkom fizične osebe - posameznika, ki je hkrati aktivni nosilec dejavnosti, ne predstavlja obdelave varovanih osebnih podatkov. Navedeno pomeni, da za obdelavo podatkov posameznika: ime in priimek (kot obvezni sestavini imena podjetja), naslov prebivališča (kot sedež podjetja), osebna davčna številka (kot identifikacijska številka vpisa podjetja v davčni register), številka transakcijskega računa (kot bančni račun za opravljanje plačilnega prometa dejavnosti podjetja), ne veljajo omejitve predpisov o varstvu osebnih podatkov, vendar to po zavzetem stališču IP velja le dokler samostojni podjetnik posameznik s temi podatki nastopa v pravnem prometu, tj. dokler je v poslovnem registru vpisan kot aktiven poslovni subjekt. Ko pa je samostojni podjetnik posameznik enkrat izbrisan iz poslovnega registra, podlage za javno objavo osebnih podatkov nosilca dejavnosti ni več. Osebni podatki, ki so bili povezani z opravljanjem dejavnosti samostojnega podjetnika posameznika, po stališču IP zopet pridobijo naravo varovanih osebnih podatkov, saj gre za osebne podatke določljive fizične osebe - posameznika. Na to nakazuje tudi določba četrtega odstavka 16. člena Zakona o Poslovnem registru Slovenije (v nadaljevanju: ZPRS-1), po kateri upravljavec registra o izbrisu enote poslovnega registra izda sklep in ga objavi na svojem spletnem portalu na način, da se prekrijejo osebni podatki. Vendar nadaljnja objava podatkov o samem obstoju podjetja za zagotavljanje pravne varnosti kot so ime, kraj sedeža, matična številka in številka ukinjenih izključno poslovnih transakcijskih računov, glede na veljavno zakonodajo ni sporna tudi potem, ko je podjetje izbrisano iz poslovnega registra.

Po 3. členu ZPRS-1 poslovni register vodi, vzdržuje in upravlja Agencija Republike Slovenije za javnopravne evidence in storitve tako, da med ostalim posreduje javne podatke iz poslovnega registra in jih objavlja na svojem spletnem portalu, pri čemer poleg zadnjega stanja podatkov o vseh enotah poslovnega registra ohranja tudi vse pretekle vpise, spremembe podatkov in izbrise enot poslovnega registra po času nastanka in vrstah dogodkov.

Glede na določbe zakona, ki ureja dostop do informacij javnega značaja, bi podatki iz registra na podlagi zahteve za ponovno uporabo prosilcem morali biti dostopni samo pri upravljavcu registra. Izbris enote iz poslovnega registra na zahtevo samostojnega podjetnika posameznika, posredno pomeni dolžnost upravljavca registra za izvedbo ukrepov učinkovitega prekritja vseh varovanih osebnih podatkov, ki so bili povezani z opravljanjem dejavnosti, kar v širšem smislu pomeni pravico posameznika do pozabe v spletnem okolju. Iz uvodne izjave (66) Splošne uredbe o varstvu podatkov izhaja, da bi za učinkovitejše uresničevanje pravice do pozabe v spletnem okolju bilo treba pravico do izbrisa razširiti tako, da bi zahtevali, da upravljavec, ki je osebne podatke objavil, sprejme razumne, tudi tehnične, ukrepe, da obvesti upravljavce, ki take osebne podatke obdelujejo, da je posameznik, na katerega se nanašajo osebni podatki, zahteval izbris vseh povezav do teh osebnih podatkov ali kopij teh osebnih podatkov. Pri tem bi moral upravljavec ob upoštevanju razpoložljive tehnologije in sredstev, ki jih ima na voljo, vključno s tehničnimi ukrepi, sprejeti razumne ukrepe, da bi upravljavce, ki obdelujejo osebne podatke, obvestil o zahtevi posameznika, na katerega se nanašajo osebni podatki.

Če so torej po izbrisu vašega popoldanskega s.p. v spletnem okolju (na spletnem portalu upravljavca registra in ostalih upravljavcih, ki te podatke obdelujejo po Zakonu o dostopu do informacij javnega značaja (v nadaljevanju: ZDIJZ)) še vedno javno objavljeni varovani osebni podatki, bo najučinkovitejše, da pri zakonsko določenem viru javno objavljenih podatkov podate zahtevo za izbris osebnih podatkov (člen 17 Splošne uredbe o varstvu podatkov) v najširšem smislu, torej tako v spletnem okolju upravljavca registra, kot tistih upravljavcev, ki podatke obdelujejo na podlagi zahteve pri upravljavcu registra za ponovno uporabo po ZDIJZ. Uveljavljanje pravice do izbrisa mora skladno s členom 12 Splošne uredbe o varstvu podatkov biti posamezniku, na katerega se nanašajo osebni podatki (tudi tisti, ki po izbrisu podjetja iz poslovnega registra ponovno dobijo primarno naravo osebnih podatkov), zagotovljena brezplačno (razen izjemoma, če je očitno neutemeljena ali pretirana, zlasti ker se ponavlja) in to tako pri upravljavcu registra, kot pri vseh ostalih upravljavcih, ki podatke iz poslovnega registra z objavljanjem na spletu ponovno uporabijo.

Pri uveljavljanju pravice do izbrisa si lahko pomagate z nekaterimi obrazci na naslednji povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. V primeru molka (če vam upravljavec ne odgovori v enem mesecu) ali zavrnitve zahteve, lahko pri IP vložite pritožbo, ki se rešuje v pritožbenem postopku.

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka