Varstvo OP v primeru spletnega nadlegovanja - IPRS

Varstvo OP v primeru spletnega nadlegovanja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.02.2021 Številka: 07121-1/2021/338 Kategorije:Fotografije kot OP, Svetovni splet --> Kategorije: Fotografije kot OP, Svetovni splet Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede varstva osebnih podatkov v primeru spletnega nadlegovanja. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presojo o ustreznosti določene obdelave osebnih podatkov torej lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Iz navedenih razlogov IP na vaša vprašanja v okviru tega mnenja ne more dokončno odgovoriti oziroma se opredeljevati do posameznih ravnanj anonimnih skupin, ki jih navajate v vašem zaprosilu za mnenje, ampak v nadaljevanju podaja splošna pojasnila. IP uvodoma opozarja, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja
8. člen Ustave Republike Slovenije (Ustava RS; Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami). Objava fotografije posameznika na socialnih omrežjih oziroma spletu sama po sebi ne predstavlja nujno kršitve predpisov s področja varstva osebnih podatkov, lahko pa gre za poseg v pravico do zasebnosti v širšem smislu iz
9. člena Ustave RS, ki sodi v pristojnost sodišč in je varovana z instituti civilnega in kazenskopravnega varstva, za posledico pa ima lahko tudi kazensko in odškodninsko odgovornost. Krnitev ugleda zaradi razširjanja neprimernih mnenj, stališč ali fotografij o nekom torej lahko poseže tudi v njegovo širšo pravico do zasebnosti, tudi če pri tem morda ne pride do posega v varstvo osebnih podatkov, ki ga varuje
10. člen Ustave RS. IP pojasnjuje, da vsi osebni podatki sami po sebi ne uživajo zaščite v skladu s Splošno uredbo o varstvu podatkov in ZVOP-1, temveč so te zaščite deležni le v primeru, če gre za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, kot to določa prvi odstavek
11. člena Splošne uredbe o varstvu podatkov. V skladu s šesto točko
12. člena Splošne uredbe o varstvu podatkov pomeni zbirka vsak strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi. Za obdelavo osebnih podatkov v smislu Splošne uredbe o varstvu podatkov gre torej le takrat, kadar so osebni podatki del zbirke ali so namenjeni oblikovanju dela zbirke. Osebni podatki predstavljajo skladno s prvo točko
13. člena Splošne uredbe o varstvu podatkov katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Osebni podatki so torej vsi podatki, ki posredno ali neposredno kažejo na posameznike. Skladno z navedeno definicijo je pravni objekt varstva osebnih podatkov lahko le posameznik, torej fizična oseba, ne pa pravna oseba. V skladu z navedenimi kriteriji skupni oziroma elektronski naslovi, ki jih ni mogoče povezati s posameznikom, ne predstavljajo osebnih podatkov in v primeru njihove obdelave ne gre za obdelavo osebnih podatkov, kar pomeni, da za njihovo obdelavo ne veljajo pravila varstva osebnih podatkov. Le v kolikor je torej objektivno mogoče posameznika identificirati na podlagi elektronskega naslova, lahko tak podatek predstavlja osebni podatek. Glede na navedeno lahko fotografije pomenijo varovane osebne podatke po Splošni uredbi o varstvu podatkov le, kadar določajo ali omogočajo določljivost posameznika, predvsem takrat, ko je posameznik na fotografiji jasno in nedvoumno razviden in bi se bi se ga dalo na ta način identificirati, prepoznati in določiti, ali ko se hkrati s posnetki oziroma fotografijami obdelujejo tudi drugi osebni podatki o posamezniku (npr. njegovo ime in priimek, letnica rojstva, naslov in podobno). Torej, če je ločljivost objavljenih fotografij dovolj velika in je posameznike na njih mogoče prepoznati, takšno snemanje teoretično lahko predstavlja obdelavo osebnih podatkov. V tem primeru je za njihovo obdelavo treba imeti ustrezno pravno podlago. Možne pravne podlage Splošna uredba o varstvu podatkov določa v prvem odstavku
14. člena. Če posameznikov na fotografiji ni mogoče prepoznati, veljavne določbe Splošne uredbe o varstvu podatkov ne zavezujejo tistega, ki fotografijo nadalje uporablja. Če pa posameznik vseeno meni, da se z uporabo posnetkov oziroma fotografij posega v njegove osebnostne pravice, lahko uporabi institute civilnega ali kazenskopravnega varstva, ki mu jih daje zakonodaja in, kot rečeno, sodijo v pristojnost sodišč. Posameznik tako lahko na podlagi
15. člena Obligacijskega zakonika (OZ; Uradni list RS, št. 97/07 - UPB, 64/16 – odl. US, 20/18 – OROZ631) vloži tožbo in sodišču predlaga, da odredi prenehanje dejanja, s katerim se krši nedotakljivost njegove osebnosti, osebnega in družinskega življenja ali kakšna druga njegova osebnostna pravica (npr. pravica do lastne podobe), kadar meni, da se z določenim dejanjem (v konkretnem primeru z objavo retuširanih fotografij na spletu) posega v njegove osebnostne pravice. Poleg tega lahko posameznik v primeru, da je z ravnanjem druge osebe prišlo do občutnega posega v posameznikovo zasebnost in mu je zaradi tega nastala škoda, na podlagi
16. in
17. člena OZ vloži tožbo pred pristojnim sodiščem in od povzročitelja škode zahteva denarno odškodnino. V primeru objave osebnih podatkov, ki ne izvirajo iz zbirk osebnih podatkov, lahko takšno ravnanje pomeni tudi storitev katerega od kaznivih dejanj zoper čast in dobro ime iz osemnajstega poglavja Kazenskega zakonika RS (KZ-1; Uradni list RS, št. 55/08, 66/08 – popr., 39/09, 55/09 – odl. US, 91/11, 54/15, 38/16, 27/17, 23/20, 91/20), kjer so v členih
18. do
19. določeni elementi kaznivih dejanj, kot so npr. razžalitev, obrekovanje, žaljiva obdolžitev, opravljanja in očitanje kaznivega dejanja z namenom zaničevanja, pri čemer pa je treba opozoriti, da se pregon za navedena kazniva dejanja začne na zasebno tožbo (
20. člen KZ-1). IP je v preteklosti že večkrat opozarjal na problematiko težavnosti identifikacije storilca pri kaznivih dejanjih, ki se preganjajo na zasebno tožbo, ob tem pa tudi na dejstvo, da je že Evropsko sodišče za človekove pravice v primeru K. U. proti Finski odločilo, da je Finska odgovorna za kršitev
21. in
22. člena Evropske konvencije o varstvu človekovih pravic in temeljnih svoboščin (EKČP), saj država, ki ne zagotovi možnosti za ugotovitev identitete osebe, ki je z uporabo internetnih storitev posegla v zasebno in družinsko življenje posameznika, tudi v primerih, ko je pregon storilca v rokah prizadetega posameznika in ne države, ne zagotavlja učinkovitega pravnega sredstva. Ob tem IP pojasnjuje, da tolmačenje postopkovne zakonodaje v kazenskih postopkih na zasebno tožbo in civilnih postopkih sodi izven pristojnosti IP, vendar pa IP v spodnjem mnenju nakazuje možnosti, ki jih po njegovem razumevanju ponujajo predpisi v kontekstu identifikacije storilcev kaznivih dejanj, ki se preganjajo na zasebno tožbo: https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-odlocbah-in-mnenjih/odlocbe-in-mnenja-vop/?tx_jzvopdecisions_pi1%5BshowUid%5D=2549 Ob tem IP dodaja tudi, da po njegovem razumevanju
23. člen Zakona o kazenskem postopku (ZKP; Uradni list RS, št. Uradni list RS, št. 32/12 – UPB, 47/13, 87/14, 8/16 – odl. US, 64/16 – odl. US, 65/16 – odl. US, 66/17 – ORZKP153,154, 22/19, 55/20 – odl. US, 89/20 – odl. US, 191/20 – odl. US, 200/20) prav tako ponuja možnost zasebnemu tožilcu, da preiskovalnemu sodniku predlaga izvedbo posameznih preiskovalnih dejanj, npr. identifikacijo lastnika profila oziroma člana/administratorja anonimne skupine na družbenem omrežju. Organi pregona imajo običajno vzpostavljene tudi poti izvrševanja sodnih odredb pri tujih ponudnikih komunikacijskih storitev. IP nadalje pojasnjuje, da v skladu s
24. členom Splošne uredbe o varstvu podatkov pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Gre torej za dokaj širok pojem. Upravljavec mora torej imeti za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Pravne podlage so določene v prvem odstavku
25. člena Splošne uredbe o varstvu podatkov, za obdelavo posebnih vrst osebnih podatkov (v to kategorijo med drugim spadajo tudi podatki, ki razkrivajo politično mnenje posameznika), pa mora biti izpolnjen še eden izmed dodatnih pogojev iz drugega odstavka
26. člena Splošne uredbe o varstvu podatkov. Obdelava osebnih podatkov je na podlagi prvega odstavka člena 6 Splošne uredbe tako zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ob tem IP poudarja tudi, da je presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo na vsakem upravljavcu posebej. Pri presoji mora upravljavec vedno izhajati tudi iz načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. IP nadalje pojasnjuje, da se podatki, ki jih posamezniki objavljajo na družbenih omrežjih, štejejo med osebne podatke, kakršnakoli dejavnost v zvezi s temi podatki v smislu njihove hrambe, vnašanja ali drugih oblik obdelav v zbirkah osebnih podatkov pa že predstavlja obdelavo osebnih podatkov. Ob tem IP dodaja, da družbena omrežja svojim uporabnikom omogočajo različne ravni zasebnosti. Če je uporabnikov profil »javen« v tem smislu, da njegove objave lahko vidi vsak uporabnik konkretnega omrežja, načeloma govorimo o javno dostopni informaciji in v zvezi z njo ni mogoče pričakovati zasebnosti. Po drugi strani pa se zastavi vprašanje posega v zasebnost takoj, ko so informacije omejene na določene uporabnike. IP pojasnjuje tudi, da v primeru uporabe osebnih podatkov, ki so zakonito javno dostopni, ne moremo govoriti o nezakoniti obdelavi osebnih podatkov, vendar le pod pogojem, da se osebni podatki zbirajo in uporabljajo za določene in zakonite namene. To pomeni, da ne glede na to, da so določeni osebni podatki javno dostopni, se takšni osebni podatki ne smejo uporabljati za kakršen koli namen, npr. za vzpostavitev nove zbirke osebnih podatkov. V skladu z določbo
27. člena ZVOP-1 se namreč osebni podatki lahko zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s takšnimi nameni, če zakon ne določa drugače. To pomeni, da je za presojo zakonitosti nadaljnje obdelave javno dostopnih osebnih podatkov bistven namen takšne obdelave. Pri obdelavi osebnih podatkov za namen, ki ga navajate v vašem zaprosilu za mnenje (žaljenje oseb z nasprotujočo politično pripadnostjo) bi po mnenju IP težko govorili o skladnosti nadaljnje obdelave osebnih podatkov (četudi so bili ti javno objavljeni). IP sklepno pojasnjuje še, da Facebook na svoji spletni strani uporabnikom daje možnost prijave neprimerne vsebine. Več informacij o tem lahko najdete na: https://www.facebook.com/help/www/181495968648557?ref=u2u S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026