Pravica dostopa posameznika, na katerega se nanašajo osebni podatki
+ -Številka: 07121-1/2023/329
Kategorije: Delovna razmerja, Pravica do seznanitve z lastnimi osebnimi podatki
Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje v zvezi s pravico dostopa do osebnih podatkov, saj želite vedeti, kam je kadrovska agencija posredovala vaše osebne podatke, če sploh, in za katero podjetje ste se kot kandidat potegovali.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
Vsak posameznik ima na podlagi 15. člena Splošne uredbe pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov ter določene informacije o obdelavi. Skladno s točko c) prvega odstavka 15. člena Splošne uredbe ima posameznik pravico do informacije o tem, katerim uporabnikom so bili oziroma bodo razkriti osebni podatki.
Zahtevo za dostop do osebnih podatkov posameznik vloži pri upravljavcu, za katerega meni, da obdeluje njegove osebne podatke. V primeru molka ali zavrnitve s strani upravljavca lahko posameznik pri IP vloži pritožbo.
O b r a z l o ž i t e v:
IP uvodoma opozarja, da v zvezi z uveljavljanjem pravic po Splošni uredbi nastopa kot pritožbeni organ, zato v okviru mnenja ne more presojati zakonitosti konkretnega ravnanja upravljavca, ki ga opisujete. Pojasnjuje pa, da je namen pravice do seznanitve z lastnimi osebnimi podatki omogočiti posamezniku, na katerega se nanašajo osebni podatki, da se zaveda obdelave in preveri njeno zakonitost oziroma da uveljavlja druge pravice v zvezi z obdelavo osebnih podatkov, kot so na primer pravica do popravka ali izbrisa.
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami; v nadaljevanju Ustava), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj. Ta pravica, poimenovana kot pravica dostopa posameznika, na katerega se nanašajo osebni podatki, je konkretizirana v 15. členu Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:
a) namene obdelave;
b) vrste zadevnih osebnih podatkov;
c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;
d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
f) pravico do vložitve pritožbe pri nadzornem organu;
g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.
Skladno s točko c) prvega odstavka 15. člena Splošne uredbe ima posameznik torej pravico do informacije o tem, katerim uporabnikom (oziroma kategorijam uporabnikov) so bili ali bodo razkriti osebni podatki. Sodišče EU je v sodbi C‑154/21 z dne 12. 1. 2023 že pojasnilo, da ta določba pomeni, »da mora upravljavec, kadar so bili ali bodo ti podatki razkriti uporabnikom, temu posamezniku zagotoviti dejansko identiteto teh uporabnikov, razen če identifikacija teh uporabnikov ni mogoča ali če navedeni upravljavec dokaže, da so zahteve za dostop posameznika, na katerega se nanašajo osebni podatki, očitno neutemeljene ali pretirane v smislu člena 12(5) Uredbe 2016/679, pri čemer lahko ta upravljavec v takem primeru temu posamezniku zagotovi le kategorije zadevnih uporabnikov.«
Postopkovna pravila so urejena v členu 11 in 12 Splošne uredbe, kjer je predpisan rok za odgovor upravljavca en mesec po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev. Upravljavec pa je dolžan obvestiti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo.
Zahteva se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke, praviloma pisno. Lahko se vloži tudi po e-pošti ter na neobvezujočem obrazcu, ki je objavljen na spletni strani IP (https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/). Upravljavec ima pravico, da od posameznika zahteva dodatne informacije zato, da se odpravi dvom v identiteto posameznika, ki je podal zahtevo. IP priporoča, da se zahteve pošiljajo priporočeno ali s povratnico.
Upravljavec o zahtevi odloči s pisnim obvestilom. Zoper molk upravljavca (tj. če posamezniku ne odgovori v enomesečnem ali v izjemoma podaljšanem roku) ali zoper zavrnilni odgovor upravljavca je mogoča pritožba, za reševanje katere je pristojen IP.
Več informacij o pravici do dostopa lahko pridobite tudi na spletnih straneh IP:
· https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.
Lepo vas pozdravljamo,
Pripravila:
Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka