Pravica do izbrisa

Pri Informacijskem pooblaščencu (IP) smo 17. 5. 2023 prejeli vaše zaprosilo za mnenje glede prejemanja neželenih sporočil od podjetja, kljub vašim prošnjam za odstranitev iz baze podatkov.   

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pravico do izbrisa, ki jo posameznik uveljavlja pri upravljavcu, ureja 17. člen Splošne uredbe o varstvu podatkov. Določa, da ima vsak posameznik pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim.

IP konkretnih obdelav osebnih podatkov izven postopka inšpekcijskega nadzora ne more presojati. Če menite, da je prišlo do kršitev ZVOP-2 oz. Splošne uredbe o varstvu podatkov, lahko pri IP vložite prijavo.

O b r a z l o ž i t e v:

Uvodoma pojasnjujemo, da je IP na področju pravice do pozabe oz. izbrisa osebnih podatkov pritožbeni organ, kar pomeni, da v okviru neobveznega mnenja ne more in ne sme zavzemati konkretnih stališč, ali bi vam v konkretnem primeru pripadala pravica do pozabe oz. izbrisa ali ne. V nadaljevanju vam zato zgolj neformalno svetujemo, na podlagi naše dosedanje prakse na področju.

Pravica do pozabe oziroma pravica do izbrisa je urejena v 17. členu Splošne uredbe o varstvu podatkov, in sicer določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

·         osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

·         posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

·         posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);

·         osebni podatki so bili obdelani nezakonito;

·         osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

·         osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

Ob tem je treba izpostaviti, da pravica do pozabe oz. izbrisa ni neomejena. Splošna uredba v tretjem odstavku 17. člena določa, da se posameznik, na katerega se nanašajo osebni podatki, ne more sklicevati na pravico do izbrisa, če je obdelava potrebna:

·         za uresničevanje pravice do svobode izražanja in obveščanja;

·         za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

·         iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

·         za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 9(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

·         za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

IP nadalje pojasnjuje, da se mora zahteva za pozabo oz. izbris osebnih podatkov vložiti najprej neposredno pri upravljavcu (v vašem primeru pri konkretnem podjetju), za katerega posameznik meni, da obdeluje njegove osebne podatke. Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja, informacije oziroma zavrnilni odgovor pa mora posredovati najkasneje v enem mesecu po prejemu zahteve. V skladu z drugim odstavkom 14. člena ZVOP-2 mora odločitev upravljavca vsebovati razloge zanjo in informacijo o pravici do pritožbe ter roku za njeno vložitev.

V kolikor upravljavec na zahtevo za seznanitev ali izbris ne odgovori v enomesečnem roku, lahko posameznik pri IP kot pritožbenem organu vloži pritožbo. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v roku 15 dneh od prejema zavrnilnega odgovora upravljavca. Za pomoč vam pošiljamo povezavo do naše spletne strani, kjer lahko najdete obrazce za uveljavljanje vaših pravic: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

V upanju, da smo vam pomagali, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka