Razkrivanje podatkov v e-mailu

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je upravnik večstanovanjske stavbe v postopku dogovarjanja za izvedbo določenega projekta vsem etažnim lastnikom poslal elektronsko sporočilo z razkritimi e-mail naslovi vseh etažnih lastnikov, in sicer z namenom pritiska na določenega etažnega lastnika, da poda soglasje k izvedbi projekta. Prav tako je v vsebini elektronskega sporočila navedel, da konkretni etažni lastnik, naveden s priimkom, soglasja še ni podal in da zato izvedba projekta ne bo mogoča. Prosite nas za naše mnenje o opisani situaciji.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Pri pošiljanju e-sporočila več prejemnikom hkrati mora upravljavec osebnih podatkov (v vašem primeru upravnik) naslove prejemnikov e-sporočila vpisati v rubriko »Skp« (skrita kopija) oziroma angleško »Bcc«. Za posredovanje oz. razkrivanje e-naslovov etažnih lastnikov drugim etažnim lastnikom mora upravnik pridobiti njihovo osebno privolitev.

Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V 6. členu Splošne uredbe so tako določene pravne podlage, in sicer:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Posredovanje oziroma razkrivanje e-naslovov etažnih lastnikov predstavlja obdelavo osebnih podatkov, za katero mora imeti upravnik večstanovanjske stavbe ustrezno pravno podlago. E-naslovi, ki pripadajo etažnim lastnikom, so namreč osebni podatki in so del zbirke osebnih podatkov, katere upravljavec je upravnik, zato so varovani z določbami Splošne uredbe o varstvu podatkov. Vsi upravljavci so v zvezi z varstvom osebnih podatkov in njihovo obdelavo tako po Splošni uredbi o varstvu podatkov (člen 32) kot po ZVOP-1 zavezani sprejeti ustrezne tehnične in organizacijske ukrepe (tako člena 24 in 25). Ustrezno zavarovanje osebnih podatkov pri pošiljanju e-sporočila več prejemnikom hkrati se zagotovi na način, da se naslove prejemnikov e-sporočila vpiše v rubriko »Skp« (skrita kopija) oziroma »Bcc« in ne v rubriko »Za« ali »Kp«. V nasprotnem primeru mora upravnik pred posredovanjem e-naslovov etažnih lastnikov drugim etažnim lastnikom pridobiti njihovo osebno privolitev.

Upravnik nosi obveznost obdelave osebnih podatkov skladno z eno od obstoječih pravnih podlag tudi za razkritje priimka etažnega lastnika v e-sporočilu, saj je omenjeni etažni lastnik po vsem, kar ste napisali, najverjetneje določljiv. IP v neobveznem mnenju ne more presojati, ali je bila takšna obdelava zakonita, torej ali je temeljila na eni izmed pravnih podlag iz prvega odstavka 6. člena Splošne uredbe, bi pa to lahko preveril v morebitnem inšpekcijskem postopku. V kolikor bi zaradi omenjenih dveh obdelav osebnih podatkov želeli podati inšpekcijsko prijavo, lahko to storite s pomočjo (neobveznega) obrazca, ki je dostopen na spletni strani https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/, obrazec Prijava kršitve varstva osebnih podatkov (Obrazec ZIN PRIJAVA).

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani: https://www.ip-rs.si/vop/.

Prav tako pa so vsa ključna področja, kot jih ureja Splošna uredba o varstvu podatkov predstavljena na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/, kjer lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lepo vas pozdravljamo,

                                                                                   Mojca Prelesnik

                                                                                   informacijska pooblaščenka

Pripravila:                                                                                                                              

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.