Vpogled v osebne podatke različnih upravljalcev baz podatkov

Odziv Ministrstva za pravosodje

Predlog se nanaša na varstvo osebnih podatkov, ki ga urejata Splošna uredba o varstvu podatkov (v nadaljevanju Splošna uredba), Zakon o varstvu podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD), v manjšem delu pa tudi veljavni Zakon o varstvu osebnih podatkov (ZVOP-1) iz leta 2004, s spremembami do leta 2007.

Pobudnik ugotavlja, da v praksi od upravljavcev lahko pridobi nekatere podatke o vpogledih v njegove osebne podatke, ki jih obdelujejo upravljavci, ne more pa pridobiti podatkov, ki bi mu omogočili identifikacijo konkretnih oseb, ki so podatke obdelovale. Predlagatelj meni, da bi državljan moral imeti pravico do tega, da izve kdo točno in kdaj ter zakaj je dostopal do podatkov.

Uvodoma pojasnjujemo, da je dostop do lastnih osebnih podatkov urejen v Splošni uredbi o varstvu podatkov (znana pod kratico: GDPR) in sicer v 15. členu, ki ureja pravico dostopa posameznika, na katerega se nanašajo osebni podatki. Navedena določba določa, da morajo upravljavci osebnih podatkov posamezniku, na katerega se nanašajo podatki zagotoviti naslednje podatke:

1. namene obdelave;
2. vrste zadevnih osebnih podatkov;
3. uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah;
4. kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;
5. obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;
6. pravico do vložitve pritožbe pri nadzornem organu;
7. kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;
8. obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4) Splošne uredbe, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Dodatno k navedenim informacijam se posamezniku zagotovi tudi kopijo osebnih podatkov, ki se obdelujejo, pri tem pa pravica do pridobitve kopije ne vpliva negativno na človekove pravice in temeljne svoboščine drugih oseb (npr. razmerje starš : nekdanja vzdrževana oseba).

Trenutno je v pripravi nov Zakon o varstvu osebnih podatkov (ZVOP-2), ki bo uredil pristojnost Informacijskega pooblaščenca tudi za izrekanje glob po Splošni uredbi in uredil izvajanje pritožbenih in nadzornih postopkov, določenih z uredbo.

Namen pravice do seznanitve z osebnimi podatki je v možnosti, da posameznik, na katerega se nanašajo osebni podatki - podatke, ki jih upravljavec obdeluje, pregleda in na njihovi podlagi uresničuje druge pravice, ki jih daje Splošna uredba (zlasti pravica do popravka, pravica do izbrisa, pravica do omejitve obdelave, pravica do prenosljivosti in pravica do ugovora). Pravica do vpogleda sama po sebi ni namenjena ugotavljanju kršitev, lahko pa iz pridobljenih podatkov izhaja sum o kršitvah Splošne uredbe (napake, namenske kršitve) ali drugih predpisov ali celo sum storitve kaznivega dejanja. V primeru kršitev Splošna uredba predvideva podajo prijave nadzornemu organu (v Sloveniji je to Informacijski pooblaščenec), v primeru suma storitve kaznivega dejanja pa se v skladu z Zakonom o kazenskem postopku lahko vloži kazenska ovadba pristojnemu državnemu tožilstvu.

V primeru kršitev zakonodaje s področja varstva osebnih podatkov, tudi glede podatkov s področja zdravstva, ki so omenjeni v pobudi, lahko Informacijski pooblaščenec izvede inšpekcijski nadzor, odredi ukrepe za odpravo kršitev in prekrškovno kaznuje kršitelje. Inšpekcijska pooblastila Informacijskemu pooblaščencu in njegovim nadzornikom za varstvo osebnih podatkov omogočajo vpogled v vse zbirke, pregled opreme, zaslišanje uslužbencev in druge ukrepe, s katerimi lahko ugotovi dejansko stanje. Pri tem je treba opozoriti na dejstvo, da prekrški zastarajo po dveh letih od storitve.

V primeru suma kaznivega dejanja zlorabe osebnih podatkov iz 143. člena Kazenskega zakonika, imata državno tožilstvo in policija preiskovalna pooblastila, s katerimi lahko podobno kot Informacijski pooblaščenec in njegovi nadzorniki, preiščejo sum in odkrijejo domnevnega storilca.

Iz predloga izhaja želja predlagatelja, da bi imel možnost pridobiti podatek o tem, kdo točno je v določenem trenutku v preteklosti obdeloval (vpogledoval) njegove osebne podatke. Takšne pravice za posameznika ni mogoče določiti, ker ne obstaja splošna obveznost hrambe takšnih podatkov. Obveznost obstaja v ZVOPOKD, ki ureja obdelave osebnih podatkov na področju obravnave kaznivih dejanj (47. člen – vodenje dnevnikov) in posameznih drugih področnih zakonih, med tem ko Splošna uredba takšne obveznosti za večino pravnih področij v Sloveniji ne predvideva.

Tudi ob morebitni določitvi splošne obveznosti hrambe dnevnikov o obdelavah osebnih podatkov (dostop, vpisovanje, brisanje itd.)  bi bil dopusten le dostop do teh podatkov omejen na nadzorni organ za namen preiskovanja kršitev (načelo namenskosti in načelo sorazmernosti bi to zahtevala).

Predlog glede na navedeno ni primeren za nadaljnjo obravnavo. Cilj, ki ga zasleduje predlog - je nadzor nad zakonitostjo obdelave osebnih podatkov, ki pa je v pristojnosti Informacijskega pooblaščenca, oziroma v pristojnosti državnega tožilstva in policije, kadar gre za sum storitve kaznivega dejanja. Kadar se posameznik sreča s sumom kršitve, ne bi bilo primerno, da tak sum sam preiskuje, pač pa da se s prijavo obrne na pristojne organe, saj posameznik po pravni ureditvi Republike Slovenije ni nadzorni organ.