Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 15.10.2019
Naslov: Sprememba osebnega imena
Številka: 0712-1/2019/2207
Vsebina: Pravica do popravka, Pravica do pozabe, Šolstvo
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše elektronsko sporočilo v zvezi z vprašanjem glede izbrisa ali spremembe podatkov (osebno ime) v evidencah, ki jih vodi visokošolski zavod kot upravljavec. Na vas se je obrnil posameznik s prošnjo, da v vseh bivših, sedanjih in bodočih dokumentov visokošolskega zavoda zamenjate njegovo staro ime z novim. Posameznik je prošnji priložil odločbo o spremembi imena. Menite, da je posameznik upravičen zahtevati izbris svojega imena iz evidenc, ki jih vodi visokošolski zavod. Zanima vas ali je upravičen tudi do spremembe imena v evidencah, ki jih vodi visokošolski zavod. Visokošolski zavod je ob svoji obletnici, pred posameznikovo spremembo imena izdala zbornik, kjer je na seznamu diplomantov navedeno tudi posameznikovo (staro) ime. Kasneje, še vedno pred spremembo posameznikovega imena, je bil zbornik tudi objavljen na internetu. Ali lahko vlagatelj zahteva izbris / spremembo imena v elektronski verziji zbornika, morda celo v tiskani verziji?

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07; v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, s spremembami in dopolnitvami; v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav in zavarovanja osebnih podatkov ne more presojati.

 

IP uvodoma pojasnjuje, da vsi osebni podatki sami po sebi ne uživajo zaščite v skladu s Splošno uredbo in ZVOP-1, temveč so te zaščite deležni le v primeru, če gre za obdelavo osebnih podatkov, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, kot to določa prvi odstavek člena 2 Splošne uredbe. Skladno z drugo točko člena 4 Splošne uredbe obdelava pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.

 

Za zakonito obdelavo osebnih podatkov potrebno imeti ustrezno pravno podlago. Splošna uredba pravne podlage določa v prvem odstavku člena 6, ki določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

  1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
  2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
  3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
  4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
  5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
  6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

V primeru, da bi posamična in konkretna objava dejansko pomenila obdelavo osebnih podatkov v smislu določil člena 2 Splošne uredbe, zagotavlja Splošna uredba posamezniku, na katerega se nanašajo osebni podatki, možnost, da pri upravljavcu osebnih podatkov uveljavlja pravice iz Poglavja III Splošne uredbe (členi 12 do 22). Če upravljavec ne ukrepa na zahtevo posameznika, na katerega se nanašajo osebni podatki, upravljavec takega posameznika brez odlašanja, najpozneje pa v enem mesecu po prejemu zahteve, obvesti o razlogih za neukrepanje ter o možnosti vložitve pritožbe pri IP.

 

Splošna uredba med pravicami posameznika, na katerega se nanašajo osebni podatki, v členu 16 določa pravico do popravka. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja popravi netočne podatke v zvezi z njim. Posameznik, na katerega se nanašajo osebni podatki, ima ob upoštevanju namenov obdelave, pravico do dopolnitve nepopolnih osebnih podatkov, vključno s predložitvijo dopolnilne izjave. Omenjeni člen je potrebno razlagati v luči načel v zvezi z obdelavo osebnih podatkov, zlasti točke (d) prvega odstavka 5 člena Splošne uredbe, ki določa, da morajo biti osebni podatki točni in, kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo (načelo točnosti). Ko posameznik uveljavlja pravico do popravka, je torej potrebno v vsakem posameznem primeru posebej presojati, ali se namen za katerega se osebni podatki obdelujejo (še) dosega brez popravka (netočnih) osebnih podatkov.

 

Pravico do izbrisa (pravico do pozabe) Splošna uredba določa v členu 17. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

  1. osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;
  2. posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;
  3. posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);
  4. osebni podatki so bili obdelani nezakonito;
  5. osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;
  6. osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

 

Ob tem je potrebno opozoriti, da pravica do izbrisa ni neomejena. Splošna uredba v tretjem odstavku člena 17 določa, da se posameznik, na katerega se nanašajo osebni podatki, ne more sklicevati na pravico do izbrisa, če je obdelava potrebna:

  1. za uresničevanje pravice do svobode izražanja in obveščanja;
  2. za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;
  3. iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);
  4. za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 9(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali
  5. za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

 

Tako kot v primeru pravice do popravka mora upravljavec tudi v primeru, ko posameznik, na katerega se nanašajo osebni podatki, uveljavlja pravico do izbrisa, v vsakem posameznem primeru posebej presojati, ali obstaja kateri od razlogov za izbris posameznikovih osebnih podatkov oziroma ali v konkretnem primeru obstoji kateri od razlogov, ki izključujejo posameznikovo pravico do izbrisa njegovih osebnih podatkov. IP na tem mestu opozarja, da Zakon o visokem šolstvu (Uradni list RS, št. 32/12 in naslednji; v nadaljevanju ZVis), v povezavi s točko (b) tretjega odstavka člena 17 Splošne uredbe, v 83. členu ureja pravila shranjevanja podatkov, pri čimer je rok in vrsta podatkov, katere mora visokošolski zavod hraniti, odvisen od vrste evidence.

 

Lep pozdrav,

 

 

Pripravil:

Žiga Veber,

državni nadzornik za varstvo osebnih podatkov

 

Mojca Prelesnik,

informacijska pooblaščenka