Dolžnosti spletnega medija glede brisanja osebnih podatkov, ki jih objavijo udeleženci spletnega foruma - IPRS

Dolžnosti spletnega medija glede brisanja osebnih podatkov, ki jih objavijo udeleženci spletnega foruma + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.04.2010 Številka: 0712-2/2010/513 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
4. 2010 prejel vaš dopis, v katerem navajate, da ste kot spletni medij vpisani v razvid medijev, vendar imate poleg uredniškega dela medija tudi spletni forum. Občasno zaradi različnih razlogov (osebne zamere in podobno) prihaja na spletnem forumu tudi do objave osebnih podatkov katerega izmed uporabnikov ali koga tretjega, ki ni uporabnik foruma. V tovrstnih primerih ste te podatke zmeraj v čim krajšem času pobrisali in uporabnika, ki je podatke objavil, sankcionirali z izključitvijo. Zanima vas zgolj informativno, ali v primeru tovrstne kršitve Zakona o varstvu osebnih podatkov nosi odgovornost le tista oseba, ki je te podatke objavila, ali pa je odgovoren tudi izdajatelj spletnega medija. V kolikor je v takšnem primeru odgovornost tudi na izdajatelju medija, vas zanima, kakšne so zagrožene kazni za pravno osebo ter zakonitega zastopnika izdajatelja medija. Nadalje vas zanima tudi, v kolikšnem času po objavi tovrstnih podatkov je izdajatelj dolžan te odstraniti, saj je jasno, da je zaradi načina delovanja spletnih forumov, te zelo težko neprestano spremljati in moderirati. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo; v nadaljevanju ZVOP-1-UPB1) ter
7. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Izdajatelj spletnega medija je na podlagi
8. člena ZVOP-1-UPB1 dolžan zagotoviti organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov. Za doseganje tega cilja je med drugim treba za vsakega izdajatelja spletnega medija posebej na podlagi rezultatov ocene tveganja (ki naj bi bila izdelana upoštevaje obiskanost foruma, vsebino foruma, način poteka spremljanja vsebine in moderiranja foruma, naravo osebnih podatkov, ki se pojavljajo na forumu, ipd.) določiti najdaljši možni čas, ki sme preteči od objave varovanih osebnih podatkov na spletnem forumu pa do pregleda in morebitne odstranitve le-teh. Pri tem je pomembno, da se določi takšen čas, ki zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov. Z globo od 4.170 do 12.510 eurov kaznuje za prekršek pravna oseba, samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če v skladu s tem zakonom obdeluje osebne podatke in ne zagotovi zavarovanja osebnih podatkov (
9. in
10. člen ZVOP-1-UPB1). Z globo od 830 do 1.250 eurov se kaznuje za prekršek, naveden v prejšnji povedi, tudi odgovorna oseba pravne osebe, samostojnega podjetnika posameznika ali posameznika, ki samostojno opravlja dejavnost. Posameznik, katerega varovani osebni podatki so proti njegovi volji objavljeni na spletnem forumu, lahko od spletnega medija kot upravljavca tega spletnega foruma na podlagi
11. člena ZVOP-1-UPB1 zahteva izbris teh osebnih podatkov. Spletni medij je dolžan izbris opraviti v 15 dneh od dneva, ko je prejel zahtevo in o tem obvestiti vlagatelja zahteve ali ga v istem roku obvestiti o razlogih, zaradi katerih tega ne bo storil (drugi odstavek
12. člena ZVOP-1-UPB1). Stroške v zvezi z izbrisom osebnih podatkov krije upravljavec osebnih podatkov (peti odstavek
13. člena ZVOP-1-UPB1). Z globo od 4.170 do 12.510 eurov se kaznuje za prekršek pravna oseba, samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če ravna v nasprotju z
14. členom ZVOP-1-UPB1 ali če ravna v nasprotju z drugim ali petim odstavkom
15. člena ZVOP-1-UPB
16. Z globo od 830 do 2.080 eurov se kaznuje za prekršek, naveden v prejšnji povedi, tudi odgovorna oseba pravne osebe, samostojnega podjetnika posameznika ali posameznika, ki samostojno opravlja dejavnost. O b r a z l o ž i t e v:
17. Splošno o obveznostih upravljavca osebnih podatkov Po določilu prve točke
18. člena ZVOP-1-UPB1 je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik pa mora biti določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je oseba določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcija, položaj ali status v določenem subjektu), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Pri tem pa je potrebno opozoriti, da vsi osebni podatki sami po sebi ne uživajo zaščite po ZVOP-1-UPB1, temveč so te zaščite deležni le v primeru, če so del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, kot to določa peta točka
19. člena ZVOP-1-UPB1, ki kot zbirko osebnih podatkov opredeljuje vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. V primeru, če je na podlagi podatkov, navedenih v spletnem forumu, posameznika mogoče določiti, ali pa je na njihovi podlagi posameznik določljiv, hkrati pa so ti osebni podatki del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, je mogoče zaključiti, da takšna vsebina spletnega foruma vsebuje osebne podatke, ki so varovani z določbami ZVOP-1-UPB
20. Navedeni zakon upravljavcem takšnih podatkov nalaga določene obveznosti, pri čemer so mediji glede osebnih podatkov, ki jih obdelujejo za namene obveščanja javnosti, na podlagi tretjega odstavka
21. člena ZVOP-1-UPB1 oproščeni obveznosti iz drugega odstavka
22. člena, 26.,
23. in
24. člena ter V. dela tega zakona. Vse ostale določbe ZVOP-1-UPB1 so zavezujoče tudi za medije.
25. Obveznost zavarovanja osebnih podatkov Eno izmed obveznosti upravljavcev osebnih podatkov določa prvi odstavek
26. člena ZVOP-1-UPB1, ki pravi, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
27. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
28. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
29. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
30. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
31. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. V trenutku, ko na forumu nastane zbirka osebnih podatkov, je že potrebno upoštevati tudi vse zahteve iz
32. člena ZVOP-1-UPB1, ne glede na to, ali so posamezniki, katerih osebni podatki se obdelujejo, s tem seznanjeni ali ne. Pri zavarovanju osebnih podatkov je potrebno upoštevati tudi tretji odstavek
33. člena ZVOP-1, ki določa, da morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. V okvir dolžnosti upravljavca osebnih podatkov glede zavarovanja osebnih podatkov sodi torej tudi ocena tveganja obdelave določenih zbirk osebnih podatkov in določanje ustreznih ukrepov glede na rezultate ocene tveganja, ki bodo nepooblaščeno obdelavo osebnih podatkov ustrezno preprečili. Iz navedenih določb izhaja, da je izdajatelj spletnega medija dolžan zagotoviti organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov, pri čemer morajo biti postopki in ukrepi za zavarovanje osebnih podatkov ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. Za ta namen je treba v vsakem posamičnem primeru spletnega medija izvesti oceno tveganja obdelave določenih zbirk osebnih podatkov in določiti ustrezne ukrepe glede na rezultate te ocene tveganja. V obravnavanem primeru med takšne ukrepe zagotovo sodi tudi prebiranje vsebine spletnega foruma, katerega upravljavec je spletni medij, ter brisanje varovanih osebnih podatkov, če je to potrebno. Na podlagi rezultatov ocene tveganja (ki naj bi bila izdelana upoštevaje obiskanost foruma, vsebino foruma, način poteka spremljanja vsebine in moderiranja foruma, naravo osebnih podatkov, ki se pojavljajo na forumu, ipd.) je tako za vsak posamični spletni medij treba posebej določiti najdaljši možni čas, ki sme preteči od objave varovanih osebnih podatkov na spletnem forumu pa do pregleda in morebitne odstranitve le-teh. Pri tem je pomembno, da se določi takšen čas, ki zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov. Ker sprašujete tudi, kakšne so zagrožene kazni za kršitev navedenih določb, Pooblaščenec pojasnjuje, da
34. člen ZVOP-1-UPB1 v prvem odstavku določa, da se z globo od 4.170 do 12.510 eurov kaznuje za prekršek pravna oseba, samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če v skladu s tem zakonom obdeluje osebne podatke in ne zagotovi zavarovanja osebnih podatkov (
35. in
36. člen ZVOP-1-UPB1). V drugem odstavku isti člen določa, da se z globo od 830 do 1.250 eurov kaznuje za prekršek iz prvega odstavka tudi odgovorna oseba pravne osebe, samostojnega podjetnika posameznika ali posameznika, ki samostojno opravlja dejavnost.
37. Pravica do izbrisa osebnih podatkov Pri presojanju dopustnosti objave osebnih podatkov na spletnem forumu je treba upoštevati
38. člen ZVOP-1-UPB1, iz katerega izhaja, da če bi bili varovani osebni podatki objavljeni na spletnem forumu, bi bila, glede na to, da zakon takšne obdelave osebnih podatkov ne določa, tovrstna obdelava osebnih podatkov skladna z določbami ZVOP-1-UPB1 le v primeru, če bi upravljavec spletnega foruma zanjo imel osebno privolitev vseh posameznikov, na katere bi se ti osebni podatki nanašali. V nasprotnem primeru bi lahko prišlo do kršitve določb ZVOP-1-UPB
39. Če so na spletnem forumu varovani osebni podatki objavljeni proti volji posameznika in kot del zbirke osebnih podatkov, ki je varovana z določbami ZVOP-1-UPB1, lahko takšen posameznik uveljavlja pravico do izbrisa, ki je konkretizirana v
40. členu ZVOP-1-UPB
41. Na podlagi prvega odstavka
42. člena ZVOP-1-UPB1 mora namreč upravljavec osebnih podatkov na zahtevo posameznika, na katerega se nanašajo osebni podatki, dopolniti, popraviti, blokirati ali izbrisati osebne podatke, za katere posameznik dokaže, da so nepopolni, netočni ali neažurni ali da so bili zbrani ali obdelani v nasprotju z zakonom. V okviru te pravice lahko torej posameznik zahteva, da se izbrišejo oziroma blokirajo tisti osebni podatki, ki so bili zbrani ali obdelani v nasprotju z ZVOP-1-UPB
43. Skladno s
44. členom ZVOP-1-UPB1 lahko posameznik zahtevo za izbris vloži pisno ali ustno na zapisnik pri upravljavcu osebnih podatkov (to je v konkretnem primeru pri upravljavcu oziroma moderatorju spletnega foruma). Izbris osebnih podatkov mora upravljavec osebnih podatkov opraviti v 15 dneh od dneva, ko je prejel zahtevo in o tem obvestiti vlagatelja zahteve ali ga v istem roku obvestiti o razlogih, zaradi katerih tega ne bo storil (drugi odstavek
45. člena ZVOP-1-UPB1). Če upravljavec osebnih podatkov ne ravna tako, kot določa zakon, se šteje, da je zahteva zavrnjena. Stroške v zvezi z izbrisom osebnih podatkov krije upravljavec osebnih podatkov (peti odstavek
46. člena ZVOP-1-UPB1). Iz navedenih določb izhaja, da lahko posameznik, katerega varovani osebni podatki so proti njegovi volji objavljeni na spletnem forumu, od spletnega medija kot upravljavca tega spletnega foruma podlagi
47. člena ZVOP-1-UPB1 zahteva izbris teh osebnih podatkov. Spletni medij je na podlagi takšne zahteve dolžan izbris opraviti v 15 dneh od dneva, ko je prejel zahtevo in o tem obvestiti vlagatelja zahteve ali ga v istem roku obvestiti o razlogih, zaradi katerih tega ne bo storil. Kazenske določbe, ki se nanašajo na pravico do izbrisa osebnih podatkov, se nahajajo v
48. členu ZVOP-1-UPB1, ki v prvem odstavku določa, da se z globo od 4.170 do 12.510 eurov kaznuje za prekršek pravna oseba, samostojni podjetnik posameznik ali posameznik, ki samostojno opravlja dejavnost, če ravna v nasprotju z
49. členom ZVOP-1-UPB1 ali če ravna v nasprotju z drugim ali petim odstavkom
50. člena ZVOP-1-UPB
51. Drugi odstavek istega člena nadalje določa, da se z globo od 830 do 2.080 eurov kaznuje za prekršek iz prvega odstavka tudi odgovorna oseba pravne osebe, samostojnega podjetnika posameznika ali posameznika, ki samostojno opravlja dejavnost. S spoštovanjem, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026