UPRS Sodba I U 2250/2018-19

I. Tožbi se ugodi in se izpodbijani sklep št. 0613-472/2018/5 z dne 9. 10. 2018 odpravi in se zadeva vrne toženi stranki v ponoven postopek.

II. Tožena stranka je dolžna tožeči stranki povrniti stroške tega postopka v znesku 347,70 EUR v roku 15 dni od vročitve te sodbe, od poteka tega roka dalje do plačila z zakonitimi zamudnimi obrestmi.

1Z izpodbijanim aktom je Informacijski pooblaščenec Republike Slovenije (v nadaljevanju: IP) po državni nadzornici za varstvo osebnih podatkov na podlagi 2. in 8. člena Zakona o Informacijskem pooblaščencu (ZInfP), 50. člena Zakona o varstvu osebnih podatkov (ZVOP-1), členov 57. in 58. Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 4. odstavka 135. člena Zakona o splošnem upravnem postopku (ZUP), v povezavi z 2. odstavkom 3. člena Zakona o inšpekcijskem nadzoru (ZIN), v zadevi opravljanja inšpekcijskega nadzora nad izvajanjem določb Splošne uredbe in ZVOP-1 pri zavezancu A. d.o.o., po uradni dolžnosti odločil, da se postopek, ki ga IP zoper zavezanca vodi pod številko 0613-472/2018, ustavi.

2V obrazložitvi akta je navedeno, ker je bil IP obveščen, da naj bi zavezanec osebno pošiljko za svojega nekdanjega zaposlenega delavca B.B., in sicer poziv k podaji pojasnil pred vložitvijo odškodninskega zahtevka v zvezi z delom, ki ga je le-ta opravljal pri zavezancu, namesto na naslov njegovega prebivališča poslal na naslov njegovega novega delodajalca (C. d.o.o.). Zoper zavezanca je uvedel postopek inšpekcijskega nadzora z namenom preveriti, ali je zavezanec kršil predpise o varstvu osebnih podatkov.

3Zaradi potrebe po razjasnitvi zadeve in ugotovitvi dejanskega stanja je državna nadzornica zavezanca pozvala, da pojasni, kje, na kakšni podlagi in za kakšen namen je pridobil podatek o novem delodajalcu bivšega zaposlenega delavca B.B., na kakšni pravni podlagi in s kakšnim namenom je poziv k podaji pojasnil pred vložitvijo odškodninskega zahtevka naslovil na C. d.o.o, in ne na naslov prebivališča B.B., kako ima urejeno področje varstva osebnih podatkov (bivših) zaposlenih, zlasti naj pojasni, v kakšnem primeru in na kakšen način obdeluje osebne podatke bivših zaposlenih in naj priloži kopije relevantnih internih aktov, navede pa naj tudi morebitna dodatna pojasnila in priloži dokumentacijo, ki bi lahko pripomogla k razjasnitvi dejanskega stanja.

4Zavezanec je v odgovoru med drugim navedel, da je bila v pošiljki v kuverti, ki je bila sicer naslovljena na delodajalca, zaprta kuverta z osebnim imenom g. B.B., in da je zavezanec na ta način v celoti preprečil, da bi se z vsebino same pošiljke seznanil delodajalec ali kdo drug pri delodajalcu, saj veljajo stroga pravila, da se v podjetjih kuverte, na katerih sta ime in priimek, ne sme odpirati, in jo lahko odpre samo naslovnik sam; pošiljka ni vsebovala nobenih osebnih podatkov g. B.B., šlo je zgolj za poziv, da se oglasi zavezancu, ker ga stranka, za katero je bil odgovoren v času zaposlitve pri zavezancu, obtožuje hujših strokovnih napak, zaradi česar mu grozi odškodninski zahtevek; edini namen pošiljanja pošte preko delodajalca je bil ta, da zavezanec nekdanjega zaposlenega pravočasno opozori, da mu grozi sodni postopek in da bi imel g. B.B. možnost ta sodni postopek preprečiti; po odhodu g. B.B. zavezanec o njem ni pridobil nobenega osebnega podatka, saj za to nima podlage niti interesa; pravna podlaga za pošiljanje poziva k podaji pojasnil pred vložitvijo odškodninskega zahtevka iz delovnega razmerja izhaja iz pogodbe o zaposlitvi; zavezanec od tega, da obvesti nekdanjega zaposlenega o grozečem odškodninskem zahtevku, nima in ne more imeti nobene koristi; podatka o novem delodajalcu nekdanjega zaposlenega zavezanec ni aktivno pridobival, temveč gre za podatek, s katerim so bili seznanjeni tudi drugi nekdanji zaposleni pri zavezancu in so ga delili z zavezancem; podatek je bil dostopen tudi preko javno objavljene fotografije s skupnega izleta C. d.o.o. na Facebook-u, ki pa je bila kasneje umaknjena; na podlagi podatka, ki so ga razširjali nekdanji zaposleni pri zavezancu, da je g. B.B. sedaj njihov sodelavec pri C. d.o.o., je bila g. B.B. s strani zavezanca zgolj poslana pošta; podatka o njegovi novi zaposlitvi zavezanec ni nikoli obdeloval; po prenehanju delovnega razmerja pri zavezancu se nekdanjemu zaposlenemu ukine službeni elektronski naslov, iz evidence se izbriše morebitni zasebni elektronski naslov ter ukinejo vsa gesla, ki jih je nekdanji zaposleni uporabljal pri svojem delu; kadrovska mapa, v kateri se v fizični obliki nahajajo kadrovski dokumenti nekdanjega zaposlenega, se umakne v arhiv, do katerega dostopa le pooblaščena oseba za delovnopravne in kadrovske zadeve in postopke pri zavezancu. Postopki so urejeni v pravilnikih, ki jih je zavezanec priložil. Osebnih podatkov nekdanjih zaposlenih pri zavezancu ne obdelujejo, razen kolikor je to potrebno za izvedbo aktivnosti po prenehanju delovnega razmerja. Zadnja plačilna lista se delavcu pošlje kriptirano na elektronski naslov (kadar nekdanji delavec to dovoli in posreduje podatek za ta namen) ali po navadni pošti na zadnji znani naslov, ki ga je posredoval delavec. Osebni podatki nekdanjih zaposlenih se obdelujejo še na izrecni poziv sodišča, policije, inšpektorata ali drugega pristojnega organa.

5Državna nadzornica v nadaljevanju obrazložitve sklepa pravi, da je ugotovila, da je zavezanec s pridobitvijo in uporabo podatka o novem delodajalcu nekdanjega zaposlenega obdeloval njegove osebne podatke, da je pošiljka, ki jo je zavezanec naslovil na novega delodajalca nekdanjega zaposlenega, vsebovala osebne podatke, in da zavezanec, kljub temu, da je dokument za g. B.B. znotraj pošiljke, naslovljene na njegovega novega delodajalca, dal v dodatno kuverto, naslovljeno na g. B.B., ni v zadostni meri poskrbel za zavarovanje njegovih osebnih podatkov, s tem pa je kršil določbe 24. in 25. člena ZVOP-1. Ker gre za enkratno dejanje, storjeno v preteklosti, ki ga z ukrepom v inšpekcijskem postopku ni bilo več mogoče preprečiti, je potrebno postopek inšpekcijskega nadzora na podlagi četrtega odstavka 135. člena ZUP, v povezavi s 50. členom ZVOP-1, drugim odstavkom 3. člena ZIN ter 2. in 8. členom ZInfP ustaviti. Zaradi ugotovljene kršitve pa bo kršitelju izrečen ukrep v skladu z Zakonom o prekrških.

6V tožbi tožnik pravi, da je bila pošta naslovljena na delodajalca, vendar je bilo uporabljeno pošiljanje ovojnice v ovojnici; v ovojnici, ki je bila naslovljena na delodajalca, je bila druga zaprta ovojnica z osebnim imenom g. B.B. (torej zaprta ovojnica naslovljena na g. B.B.). Na tak način je bilo preprečeno, da bi se z vsebino pisanja seznanil novi delodajalec oziroma kdorkoli drug, ki ni naslovnik. Ker B.B. ni sprejemal tožnikovih pošiljk na svojem domačem naslovu, mu je bilo pisanje poslano na naslov novega delodajalca. Za zavračanje pošiljk tožnika, ki so bile poslane na B.B. domači naslov, je tožnik predložil tudi dokazilo (kopijo povratnice in zavrnjene kuverte).

7Podatki in fotografije, ki povezujejo B.B. in novega delodajalca C. d.o.o. so bili objavljeni tudi na družbenem omrežju Facebook. Po vedenju tožnika je fotografijo z izleta delavcev C. d.o.o., na kateri je bil tudi B.B., na Facebooku objavila B.B. nova sodelavka, ki je fotografijo najbrž na njegovo željo kasneje premaknila v del profila na Facebooku, ki je dostopen le njenim prijateljem. V dokaz obstoja in objave fotografije v odprtem delu Facebook profila je tožnik IP predlagal, da jo organ v postopku povabi kot pričo in zasliši o tem.

8Glede načina pošiljanja pisanja je tožnik v postopku poudaril, da je na novega delodajalca naslovil ovojnico brez kakršnih koli pripisov, v to ovojnico pa položil drugo zaprto ovojnico, na kateri je bilo le osebno ime B.B. Zaprta ovojnica z imenom naslovnika se vselej izroča naslovniku. Drugačno ravnanje predstavlja kršitev tajnosti pisanj in je sankcionirano. Ker se z vsebino poštne pošiljke lahko seznani le naslovnik sam, je tožnik z opisanim načinom pošiljanja pisanja v celoti zagotovili varstvo vsebine pošiljke pred nepooblaščenimi vpogledi.

9Ne glede na to, da je bil inšpekcijski postopek ustavljen, izpodbijana odločitev posega v pravno varovane interese in koristi tožnika, saj je toženec v postopku ugotovil, da je tožnik kršil določila ZVOP-1. Inšpekcijski postopek tako ni bil ustavljen, ker ne bi bilo ugotovljenih kršitev, pač pa zato, ker je toženec ocenil, da je šlo za enkraten dogodek v preteklosti in ukrepi inšpektorja niso smiselni. Hkrati je IP v izpodbijani odločitvi napovedal, da bo proti tožniku na podlagi ugotovitev iz izpodbijane odločitve o tem, da je s pridobitvijo in uporabo podatka o novem delodajalcu nekdanjega zaposlenega tožnik obdeloval njegove osebne podatke in ni v zadostni meri poskrbel za njihovo zavarovanje, ko jih je v zaprti kuverti vložil v kuverto naslovljeno na novega delodajalca, ukrepal tudi v skladu z določbami ZP-1.

10Tožniku je tako glede na navedene vsebinske odločitve IP - ugotovitev kršitve določb ZVOP-1, treba dopustiti, da odločitev o kršitvi izpodbija, četudi IP v izreku izpodbijane odločitve razloga za ustavitev postopka ni navedel.

11Po določbah ZIN lahko inšpekcijski organ postopek s sklepom ustavi le v primeru, ko je bilo v postopku ugotovljeno, da zavezanec ni storil kršitve zakona ali drugega predpisa (28/1 člen ZIN), ali da je prijava lažna (24/III člen ZIN), pri čemer gre vsebinsko prav tako za situacijo, ko kršitev ni bila ugotovljena.

12ZIN ne predvideva ustavitve postopka s sklepom v primerih, ko je inšpektor ugotovil kršitev. Če inšpekcijski organ ugotovi kršitev, mora postopati po 32. členu ZIN, vsaka odločitev inšpektorja o ugotovljenih kršitvah pa je vsebinska in ne procesna. Gre za dokončni upravni akt, s katerimi se posega v pravni položaj tožnika v smislu 2. člena ZUS-1.

13IP se do predloženih dokazil tožnika o tem, da B.B. na svojem naslovu ni dvigal njegove pošte, in je bil v zaščito lastnih pa tudi B.B. interesov prisiljen iskati druge zakonite poti za komunikacijo z njim, ter da je bila ovojnica, v kateri je bil poziv, naslovljena osebno na B.B. in je bil tožnik lahko prepričan, da bo izročena le v njegove roke ter se na ta način novi delodajalec nikakor ne bo seznanil z vsebino pisanja, sploh ni opredelil. Prav tako se IP ni opredelil do tožnikovih navedb o tem, da je podatek o B.B. novem delodajalcu pridobil na Facebooku, iz fotografije z izleta delavcev C. d.o.o., na kateri je bil tudi B.B., in je potrdila govorice med zaposlenimi o njegovem novem delodajalcu. Tudi predlaganih dokazov z zaslišanjem prič IP ni izvedel niti ni pojasnil, zakaj njihova izvedba ni bila potrebna.

14Tudi ni razvidno, ali je bila pošiljka v drugi ovojnici, naslovljena osebno na B.B., odprta s strani druge osebe, posledično tako sploh ni mogoče ugotoviti, katere osebne podatke B.B.naj bi nepooblaščeni osebi izpostavil tožnik in s čimer naj ne bi "v zadostni meri" poskrbel za zavarovanje osebnih podatkov. Tožnik iz izpodbijane odločitve tudi ne more ugotoviti, kaj bi IP v konkretni situaciji štel za "zadostno mero" zavarovanja, in na katere osebne podatke B.B. (ali določene po vrsti) naj bi se to zavarovanje nanašalo.

15Nenazadnje je pomembno tudi to, da ne iz poziva ne iz izpodbijane odločitve IP ni razvidno, kdaj naj bi domnevna kršitev nastala, posledično pa ni razvidno, na kateri predpis in katero določbo konkretnega predpisa opira IP izpodbijano odločitev. Pri ugotovitvi, da zavarovanje ni bilo zagotovljeno "v zadostni meri", se opira na 24. in 25. člen ZVOP-1, glede prvega dela ugotovljene kršitve, ki se nanaša na pridobitev in uporabo podatka o B.B. novem delodajalcu, pa ni mogoče ugotoviti, katero določilo katerega predpisa naj bi kršil tožnik. Pisanje je zaprl v ovojnico, na katero je napisal osebno ime B.B., to pa položil v drugo ovojnico, na katero je zapisal naslov C. d.o.o.

16Iz mnenja IP št. 0712-1/201711205 z dne 12.6.2017 med drugim izhaja: "Informacijski pooblaščenec stoji na stališču, da morajo biti osebni podatki, ki se prenašajo prek pošte, zavarovani na takšen način, da se prepreči nepooblaščena seznanitev z osebnimi podatki, ki se prenašajo. To pomeni, da morajo biti ovojnice oz. konfekcionirani dokumenti izdelani in zlepljeni na način, s katerim se zagotovi, da se ovojnice oz. dokumenti ob sortiranju, rokovanju in prenosu ne trgajo ali odpirajo. Osebni podatki iz pošiljke torej nepooblaščenim osebam ne smejo biti dostopni."

17Novi delodajalec iz podatkov na ovojnicah ni mogel vedeti, kakšna je vsebina pisanja - ni mogel vedeti, da tožnik B.B. pošilja poziv k podaji pojasnil pred vložitvijo odškodninskega zahtevka. Predstavnicama tožnika je bilo ustno povedano, da nikjer v spisu, torej tudi ne v prijavi, ni podatka o tem, da bi ovojnico, naslovljeno na B.B., odprl kdo drug, razen B.B. IP v izpodbijani odločitvi ne pove, katero določilo Splošne uredbe naj bi tožnik prekršil in se tudi v delu pridobitve in uporabe podatkov o novem B.B. delodajalcu sklicuje zgolj na 24. in 25. člen ZVOP-1, ki očitno urejata povsem druga vprašanja varstva osebnih podatkov (organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava).

18Splošna uredba ne ZVOP-1 (če in kolikor je še v uporabi po 25. 5. 2018) ne določata, kaj je "zadostna mera" varnosti osebnih podatkov. Tudi iz Smernic IP o zavarovanju osebnih podatkov z dne 22. 5. 2015 izhaja, da niso vnaprej predvideni istovrstni ukrepi za vse obdelave osebnih podatkov, pač pa morajo biti ukrepi primerni glede na tveganja, ki jih predstavlja narava konkretno obdelovanih podatkov. Opisana zaveza pa velja za vse upravljavce; v konkretnem primeru tako za tožnika kot za B.B. novega delodajalca - C. d.o.o. Tožnik je v konkretnem primeru naredil oceno tveganja z vidika varnosti osebnih podatkov. V posledici ocene tveganja ob pošiljanju pisanja B.B. na nobeno od dveh ovojnic ni pripisal nobene oznake, iz katere bi se dalo sklepati na vsebino pošiljke, pisanje B.B. pa je vložil v zaprto ovojnico, na kateri je bilo le njegovo osebno ime, ta pa je bila vložena v drugo zaprto ovojnico, na kateri je bil le naziv in naslov B.B. novega delodajalca. Na ta način je bil tožnik prepričan, da je ustrezno zmanjšal tveganje za morebitno nepooblaščeno obdelavo in zagotovil primerno varnost B.B. osebnih podatkov med pošiljanjem. Splošna uredba ne ZVOP-1 ne terjata popolne varnosti, pač pa oceno tveganja in sprejem ukrepov za njegovo zmanjšanje.

19Predlaga, da njegovi tožbi ugodi in izpodbijano odločitev tožene stranke odpravi ter zadevo vrne toženi stranki v ponovno odločanje, toženi stranki pa naloži, da tožeči stranki povrne stroške predmetnega postopka.

20V odgovoru na tožbo tožena stranka ponavlja, da so bile izčrpane možnosti za izrekanje kateregakoli od ukrepov, ki jih v skladu z določbo 54. člena ZVOP-1 sme izreči nadzornik v postopku inšpekcijskega nadzora z inšpekcijsko odločbo. Slednje pa neizogibno vodi do zaključka, da je javni interes za nadaljnje vodenje inšpekcijskega postopka odpadel in da je bilo potrebno postopek ustaviti. Z izpodbijanim aktom tožena stranka tožeči tako ni odredila nobenega ukrepa, ji naložila nobene obveznosti. Z obrazložitvijo samega sklepa ni posegla v pravni položaj oziroma nobeno pravico tožeče stranke.

21Sklicuje se na sodbo Vrhovnega sodišča RS X Ips 209/2015 z dne 5. 10. 2016 o tem, da sklep o ustavitvi inšpekcijskega postopka ne oblikuje ali spreminja pravnega položaja oseb, prav tako pa tudi ne ugotavlja pravnih razmerij in pravnih dejstev.

22Ker torej v slovenskem pravnem redu zavezancu v inšpekcijskem postopku ni dana pravica izpodbijati sklepa o ustavitvi inšpekcijskega postopka, procesne predpostavke za vložitev predmetne tožbe tudi ni mogoče črpati iz drugega stavka prvega odstavka 2. člena ZUS-1. Prav tako upravnega spora zoper sklep o ustavitvi inšpekcijskega postopka tožeča stranka ne more sprožiti na podlagi drugega odstavka 5. člena ZUS-1, ki določa, da se v upravnem sporu lahko izpodbijajo tisti sklepi, s katerimi je bil postopek odločanja o izdaji upravnega akta obnovljen, ustavljen ali končan. Navedena določba sicer predpisuje sodno varstvo zoper sklep o ustavitvi postopka, vendar je potrebno dopustnost takšne tožbe presojati z vidika obstoja pravnega interesa v vsakem posameznem primeru.

23Ob tem je potrebno poudariti, da obrazložitev sodnih in upravnih aktov nima učinka pravnomočnosti. Učinek pravnomočnosti ima izključno ugotovitev, zajeta v izreku oblastnega akta. V danem primeru tožena stranka opozarja, da v izreku izpodbijanega sklepa ugotovitev, da je tožeča stranka kršila zakon, ni zajeta. Saj bo lahko v prekrškovnem postopku, v katerem bo tožena obravnavala ugotovljene kršitve, uveljavljala vse v tej tožbi izpostavljene očitke glede zmotno ugotovljenega dejanskega stanja ter nepravilne uporabe materialnega prava, pri čemer bo tožena stranka morala v prekrškovnem postopku ponovno in v celoti ugotoviti obstoj kršitve in ugotovljenega prekrška ne bo mogla utemeljiti sklicujoč se na razloge iz sklepa, izdanega v inšpekcijskem postopku.

24Tudi iz zakonske določbe ZIN, ki na edinem mestu, kjer govori o vsebini sklepa o ustavitvi (1. odstavek 28. člena ZIN), izhaja, da se v obrazložitvi sklepa o ustavitvi inšpekcijskega postopka navede zgolj obseg opravljenega nadzora in razloge za ustavitev. Torej gre za kratko in jasno opredelitev, ki ne pomeni zapisa celotnega ugotovitvenega postopka in uporabe prava, temveč zgolj opredelitev postopkovnega razmerja. v katerem je bil nadzor opravljen (nad katerimi dejanji zavezanca) in o razlogih (da niso bile ugotovljene nepravilnosti, da obstaja drug razlog za ustavitev inšpekcijskega postopka ipd,). Odločitev med inšpektorjem kot upravnim organom in zavezancem kot pasivno stranko postopka vzpostavlja javnopravno razmerje samo tedaj, ko je z odločbo meritorno odločeno tako, da je ugotovljena kršitev in so tej osebi naložene obveznosti.

25Tudi v ponovljenem postopku tožena stranka ne bo mogla izdati sklepa o ustavitvi postopka, v katerega obrazložitev bi, skladno s stališčem teorije, vnesla izključno razlago obsega opravljenega nadzora in razloge za ustavitev postopka, kar v konkretnem primeru predstavlja drugi odstavek ter drugo poved četrtega odstavka obrazložitve izpodbijanega sklepa.

26Pod drugo točko odgovora tožena stranka pojasnjuje, da iz izpodbijanega sklepa dejansko stanje v določenem elementu ni razvidno iz razloga, ker tožena stranka na podlagi informacij, pridobljenih v inšpekcijskem postopku, ni ugotovila nezakonitosti pridobitve in obdelave podatka o B.B. novem delodajalcu, torej ugotovitev o kršitvi ni oprla na s tem povezana dejstva in dokaze.

27Ker pa je tožeča stranka pisanje naslovila na novega delodajalca, po mnenju tožene stranke nikakor ni mogoče z gotovostjo trditi, da naslovnik ne bi smel odpreti pošiljke, četudi je bila v pošiljki dodatna kuverta, še zlasti, ker je bila zunanja kuverta v osnovi naslovljena na B.B. novega delodajalca, notranja pa ni bila opremljena s kakršnimkoli napisom, ki bi tistemu, ki je odpiral pošiljko, sporočal, da pošiljka ni poslovne narave. Ob tem tudi ne gre spregledati dejstva, da pravica pisemske tajnosti še zlasti v odnosu delodajalec -delojemalec ni absolutna, tožeča stranka pa ni izkazala, da je preverila, na kakšen način ima B.B. novi delodajalec urejeno odpiranje pisemskih pošiljk znotraj organizacije; glede na to, da gre za pravno osebo zasebnega sektorja, kjer posebna pravna podlaga za odpiranje pisemskih pošiljk ne obstaja, je področje odpiranja pošte lahko stvar dogovora oziroma ureditve v notranjih aktih organizacije (takšno stališče je IP zavzel tudi v mnenju št. 0712-551/2007/2). Tudi, če bi izhajali iz analogije s pravili Uredbe o upravnem poslovanju (Uradni list RS, št. 9/18), ki v četrtem odstavku 37. člena določa, da javni uslužbenec, ki je določen za odpiranje pošte, ne sme odpreti pošte, ki je naslovljena na organ in javnega uslužbenca tega organa z navedbo, iz katere izhaja, da se vroči osebno naslovniku (»osebno«, »v roke«, »naslovniku« in podobno), je jasno, da tožeča stranka ni v zadostni meri poskrbela za zavarovanje B.B. osebnih podatkov, saj notranje kuverte ni ustrezno označila, IP pa ne pozna podlage, ki bi že samo dejstvo »kuverte v kuverti« enačila z napisom »v roke« ali »osebno«. K zavarovanju osebnih podatkov iz dopisa pa zagotovo tudi ni pripomoglo dejstvo, da je v glavi dopisa, naslovljenega na B.B., tožeča stranka celo prečrtala njegov stalni naslov ter napisala naziv B.B. novega delodajalca, še zlasti, če bi notranja pravila odpiranja pisemskih pošiljk pri B.B. novem delodajalcu določala, da se pošta, naslovljena na pravno osebo in ki nima oznake, da jo je potrebno vročiti »osebno« ali »v roke« določenemu zaposlenemu (kar bi bil po mnenju IP povsem realen scenarij), šteje za poslovno korespondenco, torej se brez izjeme odpre; v takem primeru namreč oseba, ki bi takšno pošiljko odprla v skladu s pravili, glede na opremo dopisa ne bi mogla takoj sklepati, da gre za osebno pošto in bi to lahko nedvoumno ugotovila šele preko seznanitve z vsebino dopisa in posledično B.B. osebnimi podatki.

28IP tožeči stranki ni omogočil vpogleda v prijavo, saj bi s tem razkril vir prijave in kršil drugi odstavek 16. člena ZIN. V danem primeru prijave namreč ni bilo mogoče prilagoditi do te mere, da iz nje prijavitelj neposredno ali posredno ne bi bil razviden. Dejstvo, ali je bila kuverta odprta s strani tretje osebe, ali ne, za samo ugotovitev kršitve (nezadostno zavarovanje osebnih podatkov, ki izvira iz načina pošiljanja dopisa, ki je vseboval osebne podatke nekdanjega delavca, na naslov njegovega novega delodajalca brez izvedbe vseh možnih ukrepov za zagotovitev osebne vročitve nekdanjemu delavcu) ni odločilnega pomena, bi pa v nadaljnji obravnavi zadeve lahko vplivalo na odmero sankcije, o čemer pa tožena stranka ne more odločati v postopku inšpekcijskega nadzora, ki je bil ustavljen z izpodbijanim sklepom, pač pa lahko o tem odloča zgolj v prekrškovnem postopku.

29Ne glede na uveljavitev Splošne uredbe o varstvu podatkov z dnem 25. 5. 2018 določbe ZVOP-1 še vedno veljajo v delih, ki niso v nasprotju s Splošno uredbo oziroma vsebujejo podrobnejše opredelitve glede na določbe Splošne uredbe. 24. in 25. člen ZVOP-1 vsebinsko konkretizirata 32. člen Splošne uredbe, zato 3. točka prvega odstavka 24. člena, tretji odstavek 24. člena in prvi odstavek 25. člena ZVOP-1 predstavljajo ustrezno pravno podlago za ugotovitev kršitve nezadostnega zavarovanja osebnih podatkov pri prenosu, torej tudi neustrezne ocene tveganja. Ocena nezadostnega zavarovanja osebnih podatkov med prenosom tožene stranke izhaja iz dejstva, da tožeča stranka ni izvedla vseh ukrepov, ki bi jih brez nesorazmernega napora lahko (pripis na notranji kuverti »osebno« ali »v roke«), da bi tveganje razkritja osebnih podatkov dodatno zmanjšala. Slednje prej kaže na to, da tožeča stranka ocene tveganja v konkretnem primeru sploh ni izvedla.

30Tožeča stranka navaja, da se IP v izpodbijani odločitvi ni opredelil do njenih navedb iz odgovora na poziv z dne 26. 9. 2018, do predloženih dokazil ter da ni pojasnil, zakaj predlaganih dokazov ni izvedel.

31Tožena stranka je tožeči v inšpekcijskem postopku dala možnost razjasnitve dejanskega stanja z navajanjem dejstev in okoliščin. Dejstva in okoliščine, ki jih je tožeča stranka navedla, ter dokazila, ki jih predložila, so pojasnila dejansko stanje v zadostni meri za odločitev v inšpekcijskem postopku, da je postopek potrebno ustaviti. Državna nadzornica ni upoštevala dokaznih predlogov tožeče stranke, ker je ocenila, da njihova izvedba za nadaljnji potek inšpekcijskega postopka ni potrebna oziroma smiselna (prvi odstavek 165. člen ZUP).

32V prvi pripravljalni vlogi vloga tožeča stranka pravi, da prihaja toženec v nasprotje sam s sabo, saj je tožnik zgolj sledil njegovemu pravnemu pouku iz izpodbijanega sklepa, po katerem ga je sam toženec napotil na varstvo pravic v upravnem sporu. ZIN ne predvideva ustavitve postopka s sklepom, v primerih, ko je inšpektor ugotovil kršitev predpisov - kot je v zadevnem primeru. Ustavitev postopka nima nobenih učinkov na zavezanca le, če gre za ustavitev iz razloga, ker kršitev predpisov ni bila ugotovljena (po 28/1 oziroma 24/III členu ZIN). Tudi po določbah ZIN izdani sklep o ustavitvi postopka po ustaljeni sodni praksi lahko pomeni takšen ukrep inšpektorja, s katerim se posega v pravice, dolžnosti in pravne koristi tretjih, ki jim je posledično treba priznati pravico do pravnega sredstva (na primer sodba Upravnega sodišča RS št. III U 418/2009 z dne 3.11.2010).

33Pravi, da primera X Ips 2009/2015 ni mogoče aplicirati na dejansko stanje, kot je v zadevi tožnika. Povsem brezpredmetno je navajanje tožene stranke, da bo imel tožnik pravno varstvo v prekrškovnem postopku in bo v prekrškovnem postopku lahko uveljavljal tožbene očitke. Inšpekcijski postopek in prekrškovni postopek sta dva po svoji vsebini in namenu različna postopka, praviloma ju vodijo tudi različni organi.

34Tožnik je prepričan, da mu gre varstvo v tem upravnem sporu. V nasprotnem primeru bi toženec kot inšpekcijski organ v primeru vsebinskih odločitev zakrinkanih v procesne, kot je odločitev iz izpodbijanega akta, izvajal absolutno oblast brez sodne ali kakršnekoli drugačne kontrole, kar bi predstavljalo po tožnikovem prepričanju tudi poseg v njegovo pravico iz 25. člena Ustave RS.

35Tožnik na tem mestu argumentom iz tožbe dodaja še nov očitek kršitve materialnega prava, in sicer kršitev 213/I člena ZUP v povezavi s 3/II členom ZIN; izrek izpodbijanega sklepa namreč ni oblikovan v skladu z zakonom. 213/I člen ZUP zahteva, da se v izreku odloči o predmetu postopka in o vseh zahtevkih strank. Predmet inšpekcijskega postopka je nadzor nad izvajanjem oziroma spoštovanjem zakonov in drugih predpisov. Ugotovitev v izreku upravnega akta v inšpekcijskem postopku tako mora vsebovati odločitev o tem, ali je bil prekršen zakon. Ne glede na presojo inšpekcijskega organa o "smiselnosti" nadaljevanja postopka v javnem interesu, mora biti iz izreka upravnega akta razvidno, kakšna je njegova odločitev o predmetu postopka - je bil zakon kršen ali ne. Izpodbijani sklep je očitno nezakonit že iz tega razloga, ker izrek ni oblikovan v skladu z zakonom. Tak, kot je, toženi stranki služi kot argument za odrek pravnega sredstva tožniku in vsebinski odločitvi daje videz procesne odločitve.

36Tožnik vztraja, da je mnenje tožene stranke št. 0712-1/201711205 z dne 12. 6. 2017 popolnoma uporabljivo tudi za konkretni primer. Ustreznost zavarovanja pisemske pošiljke mora biti določena kot standard in ne sme biti odvisna od tega, kdo je pošiljatelj, kdo naslovnik oziroma prejemnik. Iz citiranega mnenja tožene stranke izhaja, da niti pošiljanje osebnih podatkov (v konkretnem primeru je bila pošiljatelj banka) v ovojnici, ki ni bila zalepljena, ne pomeni nujno kršitve zavarovanja, kot standardno zavarovanje pa je opisano pošiljanje osebnih podatkov v zaprti oziroma zalepljeni neprosojni ovojnici.

37Vse navedeno je tožnik storil in med strankama ni sporno, da ovojnice, naslovljene na g. B.B. ni odprl nihče drug razen njega. Med strankama tako ni sporno, da je novi delodajalec odprl prvo ovojnico, naslovljeno nanj, v kateri je bila druga zalepljena in neprosojna ovojnica, katere naslovnik je bil g. B.B., in je novi delodajalec to ovojnico zaprto predal g. B.B. Med strankama je spor le o tem, ali je tožnik, potem ko je g. B.B. zavračal sprejem pošte na svojem domačem naslovu, zagotovil zadostno zavarovanje osebnih podatkov, ko je pisanje za g. B.B. vložil v neprosojno kuverto, jo zalepil in nanjo napisal osebno ime g. B.B., to kuverto pa zaprl v drugo neprosojno kuverto, ki jo je naslovil na B.B. novega delodajalca.

38Iz izpodbijanega sklepa, kot je tožnik poudaril že v tožbi, ni mogoče ugotoviti, zakaj tožnik s svojim ravnanjem ni v zadostni meri zagotovil zavarovanja in s čim natančno naj bi kršil določbe 24. in 25. člena ZVOP-1, ter katere od določb teh členov naj bi kršil.

39Tožeča stranka dodaja, da v odgovoru na tožbo tožena stranka razlaga svojo odločitev najmanj prepozno, saj v izpodbijanem sklepu svoje odločitve ni obrazložila, s tem da "ni mogoče z gotovostjo trditi, da naslovnik ne bi smel odpreti pošiljke, četudi je bila v pošiljki dodatna kuverta".Tožena stranka pri tem zapiše, da ni mogoče spregledati dejstva, da pisemska tajnost še zlasti v odnosu delavec - delodajalec ni absolutna, tožnik pa, da ni izkazal, da je preveril, na kakšen način ima B.B. novi delodajalec urejeno odpiranje pisemskih pošiljk znotraj organizacije.

40Tožnik najprej poudarja, da toženec od njega nikoli ni zahteval nobenih pojasnil ali dokazil o tem, ali in kako naj bi pred pošiljanjem pisanja B.B. novemu delodajalcu preverjal, kako ima ta urejeno odpiranje pisemskih pošiljk znotraj organizacije. To pomeni, da ga k odločitvi v izpodbijanem sklepu nikakor ni vodil opisani razlog, saj se ga je očitno domislil šele v fazi odgovora na tožbo.

41Sicer pa tožnik poudarja, da je temeljno pravilo materialnega dokaznega bremena, da dokazno breme nosi tisti, ki zatrjuje obstoj določenega dejstva, in ne tisti, ki ga zanika.

42Tožena stranka od tožnika v odgovoru na tožbo (ne prej v pozivu in ne v izpodbijanem sklepu) zahteva izvedbo vseh možnih ukrepov za zagotovitev osebne vročitve nekdanjemu delavcu. Takšna zahteva je v izrecnem nasprotju z ureditvijo varnosti osebnih podatkov po Splošni uredbi in zavarovanjem osebnih podatkov po ZVOP-1. Tožena stranka je na svoji spletni strani objavila navodila za upravljavce glede zagotavljanja varnosti osebnih podatkov po Splošni uredbi, ki jo je po 25.5.2018 treba uporabljati pred nacionalnim predpisom, in navodila o tem, kako izvajati 24. in 25. člen ZVOP-1. Med drugim je tožena stranka zapisala, da odločitev o tem kakšno stopnjo varnosti potrebuje določen zavezanec, je zato njegova naloga, pri tem pa naj upošteva stopnjo tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti.

43Upravljavcem tako nikoli ni treba izvajati »vseh možnih ukrepov« pač pa ocenijo tveganje glede na naravo osebnih podatkov, njihov obseg, okoliščine in namene obdelave, ter sprejmejo ukrepe za varnost osebnih podatkov (oziroma zavarovanje po ZVOP-1), ki so po njihovi oceni primerni.

44Tožnik je glede na dejstvo, da je pošiljka vsebovala običajne osebne podatke (ne pa posebnih vrst osebnih podatkov - po ZVOP-1 občutljivih osebnih podatkov), da je bil njihov obseg majhen, da jih je pošiljala po navadni pošti, ocenila, da so bili pri prenosu dovolj zavarovani na način, da so bili vloženi v zaprto neprosojno kuverto, na katero je napisala osebno ime g. B.B., to kuverto pa zaprla v neprosojno kuverto naslovljeno na B.B. novega delodajalca. Tožnik je tveganje za varnost osebnih podatkov pravilno ocenil, ukrepi zavarovanja so bili primerni, saj zaprte kuverte, naslovljene na B.B. ni odprl nihče, razen naslovnika - B.B. Tako ni sporno, da je oziroma so pooblaščene osebe novega B.B. delodajalca iz načina pošiljanja razumele, da gre za pisanje, ki ga je treba zaprtega izročiti B.B. in so tako tudi ravnale.

45Tožena stranka je prvič v odgovoru na tožbo (ne tudi v izpodbijanem sklepu) natančneje opredelila določbe 24. in 25. člena ZVOP-1, ki naj bi jih kršil tožnik; 24/I točka 3, 24/III in 25/I člen ZVOP-1.

46Kot je tožnik že natančno pojasnil, je napravil oceno tveganja, ji prilagodil svoje ravnanje, dejansko se je izkazalo, da je tveganje pravilno ocenil in do nepooblaščene seznanitve z B.B. osebnimi podatki ni prišlo.

47V odgovoru na pripravljalno vlogo tožena stranka vztraja na stališču, da tožeča stranka za vložitev predmetne tožbe nima pravnega interesa, kar pomeni, da so po oceni tožene stranke vse navedbe s katerim tožeča stranka nasprotuje ugotovitvi tožene stranke, da je bila storjena kršitev določb ZVOP-1, za ta postopek nerelevantne.

48Tožena stranka tožeči stranki ne odreka obstoja pravnega interesa za sprožitev upravnega spora na splošno, temveč ji odreka obstoj pravnega interesa za upravni spor z namenom izpodbijanja sklepa o ustavitvi postopka zaradi vsebine obrazložitve, ne pa vsebine izreka, saj je to v nasprotju z enotnim in v celoti uveljavljenim stališčem teorije in sodne prakse.

49V 1. alineji prvega odstavka 32. člena ZIN je določeno, da ima inšpektor, če pri opravljanju nalog inšpekcijskega nadzora ugotovi, da je kršen zakon ali drug predpis oziroma drug akt, katerega izvajanje nadzoruje, pravico in dolžnost odrediti ukrepe v skladu s tem zakonom ali drugim zakonom, katerega izvajanje nadzoruje inšpektor, za odpravo nepravilnosti in pomanjkljivosti, v roku, ki ga sam določi; po določbi 2. alineje pa ima inšpektor pravico in dolžnost izvesti postopke v skladu z zakonom o prekrških. Ker je v konkretnem postopku tožena stranka ugotovila kršitev, ki je bila storjena z enkratnim dejanjem v preteklosti in je zaradi tega z odločbo za nazaj ni bilo mogoče več odpraviti in zaradi tega tudi ni bilo možno z odločbo odrediti ukrepov za odpravo nepravilnosti, zaradi narave ugotovljene kršitve inšpekcijski postopek ni bil več smiseln in ga je bilo zato potrebno ustaviti. Inšpekcijski postopek se z izdajo odločbe iz 1. alineje prvega odstavka 32. člena ZIN konča v primeru, ko kršitev še traja in je treba z inšpekcijskim ukrepom odrediti vzpostavitev zakonitega stanja. V primeru, ko kršitev ne traja več, zavezancu z odločbo za nazaj ni mogoče odrediti ukrepov za odpravo nepravilnosti, zaradi česar je potrebno inšpekcijski postopek ustaviti, inšpektor pa je dolžan zaradi ugotovljene kršitve v preteklosti skladno z določbo 2. alineje prvega odstavka 32. člena ZIN izvesti postopke v skladu z zakonom o prekrških. Ker je tožena stranka v inšpekcijskem postopku ugotovila kršitev ZVOP-1, inšpekcijskega postopka ni mogla ustaviti na podlagi 28. člena ZIN.

50Tožena stranka bo morala v prekrškovnem postopku ponovno in v celoti ugotoviti obstoj kršitve in ugotovljenega prekrška ne bo mogla utemeljiti s sklicevanjem na razloge iz sklepa, izdanega v inšpekcijskem postopku, kot je tožena stranka že navedla v odgovoru na tožbo.

51Na ugotovitve v obrazložitvah sicer pravnomočnih upravnih aktov ni vezan niti isti niti drug oblastni organ, ki v okviru svojih pristojnosti odloča v drugem postopku, torej je trditev, da bo tožeča stranka vselej veljala za kršiteljico zakona, pretirana in neutemeljena.

52Omenjena določba ZUP govori o vsebini izreka odločbe in ne sklepa. Ustavitev postopka nedvomno je procesno vprašanje, o katerem se ne odloča z odločbo.

53Ali je bila kuverta odprta s strani tretje osebe, še ni bilo ugotovljeno, bo pa to potrebno ugotoviti v prekrškovnem postopku zaradi odmere sankcije.

54Tožena stranka tudi odgovarja, da je bil tožeči stranki v okviru inšpekcijskega postopka poslan poziv, iz katerega izhaja, da naj navede tudi morebitna dodatna pojasnila in priloži dokumentacijo, ki bi lahko pripomogla k razjasnitvi dejanskega stanja. Tožeči stranki je bila torej nedvomno dana možnost, da se izjasni o vseh okoliščinah pošiljanja predmetnega dopisa gospodu B.B. na naslov njegovega novega delodajalca. Iz odgovora tožeče stranke pa na noben način ne izhaja, da bi tožeča stranka kadarkoli na kakršenkoli stopila v stik z B.B. novim delodajalcem, saj je med drugim celo navedla, da podatka o njegovi novi zaposlitvi ni nikoli obdelovala.

55Trditev tožeče stranke o tem, da je predhodno opravila oceno tveganja za varnost osebnih podatkov, je v celoti neutemeljena, saj je tožeča stranka v odgovoru na poziv tožene stranke izrecno navedla, da pošiljka ni vsebovala nobenih osebnih podatkov g. B.B. Če se tožeča stranka ni zavedala, da v dopisu pošilja osebne podatke, je njena trditev o izvedbi ocene tveganja za varnost osebnih podatkov v zvezi z uporabljenim načinom pošiljanja dopisa preprosto neresnična. Ni mogoče spregledati dejstva, da tožeča stranka ni izvedla preprostega ukrepa (tj. da bi na notranjo kuverto izpisala »osebno« ali »v roke«), ki od nje ne bi zahteval niti dodatnega časa niti z njim ne bi imela dodatnih stroškov, bi pa objektivno bistveno dvignil nivo zavarovanja osebnih podatkov oziroma zmanjšal tveganje za pravice in svoboščine posameznika. Zavezanec, ki je ocenil tveganje, razkritja osebnih podatkov ne bi smel spregledati oziroma zanemariti kot nepotrebnega.

56V naslednji pripravljalni vlogi tožeča stranka pravi, da ne izpodbija predmetnega sklepa o ustavitvi postopka zaradi vsebine obrazložitve, kot to zmotno navaja tožena stranka, temveč zaradi nepravilnega in nezakonitega izreka izpodbijanega sklepa, ki je oblikovan v nasprotju z materialnim predpisi in ob odsotnosti kakršnihkoli razlogov za izpodbijano odločitev, hkrati pa dodatno utemeljuje, zakaj ima, kljub na videz zanjo ugodni odločitvi, pravni interes za izpodbijanje predmetnega akta.

57Upravni akt (bodisi odločba bodisi sklep) je pisna, obrazložena odločitev upravnega organa, s katero se neposredno poseže v pravico ali pravno korist posameznika ali se mu naloži pravna obveznost. Zaradi te njegove teže mora vsebovati vse predpisane zakonske sestavine na način in po obliki, kot to določa zakon, odločitev pa mora biti vsebinsko zakonita. Navedenega tožena stranka v predmetnem postopku ni upoštevala, saj izrek sklepa ni oblikovan v skladu z zakonom. Predvsem pa je spregledala, da se tudi z izdanimi sklepi (četudi bi bili zgolj procesne narave) poseže v pravno korist posameznika. Da je bilo z .izpodbijanim sklepom (ki vsebuje vsebinsko odločitev) poseženo v pravni položaj tožeče stranke, v nasprotju z zmotnim stališčem tožene stranke, ni sporno, saj je tožena stranka izpodbijani sklep izdala iz razloga, ker je ugotovila, da je tožeča stranka kršila določbe ZVOP-1 in ker je šlo za enkratni dogodek in ukrepi inšpektorja niso smiselni. Če tožena stranka ne bi ugotovila, da so bile s strani tožeče stranke zagrešene kršitev ZVOP-1, bi inšpekcijski postopek ustavila na podlagi 28. člena ZIN, in ne bi argumenta za svojo odločitev oprla na četrti odstavek 135. člena ZUP, ki je v skladu s teorijo in upravno prakso pravna podlaga za ustavitev inšpekcijskega postopka ravno v primerih, ko so ugotovljene nepravilnosti in kršitve zakona ali drugega predpisa, vendar pa nadaljnje ukrepanje organa ni več potrebno.

58Iz navedenega izhaja, da je kljub na videz procesni odločitvi tožena stranka v okviru le te odločala o vsebinskih vprašanjih, saj je ugotovila kršitev ZVOP-1, zaradi česar bo v skladu z odločitvijo iz izpodbijanega sklepa uvedla tudi ločen, prekrškovni postopek. Tožeča stranka je namreč očitno že zavzela stališče, da je do prekrška v zvezi z varstvom osebnih podatkov v konkretnem primeru prišlo, kar poleg iz izpodbijanega sklepa izhaja tudi iz navedb tožene stranke v tem postopku, ko navaja, da bo v prekrškovnem postopku zaradi odmere sankcije potrebno ugotoviti, ali je bila kuverta odprta s strani tretje osebe ali ne.

59Zanikanje tožene stranke, da je med strankama nesporno, da ovojnice, ki je bila naslovljena na g. B.B., ni odprl nihče drug razen njega, je absurdno, saj kolikor bi tožena stranka ugotovila drugače, bi to v obrazložitvi izpodbijanega sklepa nedvomna navedla oz. pojasnila, podatek o tem, da je bila ovojnica odprta s strani druge osebe, pa bi se nedvomno nahajal bodisi v inšpekcijskem spisu bodisi v prijavi, vendar pa takšnega podatka ni nikjer. Prav tako je državna nadzornica, ki je vodila inšpekcijski postopek, predstavnicama tožeče stranke, Č.Č.in D.D., ob vpogledu v zadevo, izrecno povedala, da podatka o tem, da bi kuverto g. B.B. odprla tretja oseba ni nikjer, kar je tožeča stranka že pojasnila, navedeno pa lahko potrdita tudi obe omenjeni kot priči.

60Tožena stranka je tista, na kateri je dokazno breme in bi morala dokazati svoje trditve o kršitvah določb 24. in 25. člena ZVOP-1, kar pomeni, da je tožena stranka tista, ki bi morala ugotavljati, kakšna pravila so veljala pri naslovniku in na kakšen način ima B.B. delodajalec urejeno odpiranje pisemskih pošiljk znotraj organizacije, ter obrazložiti zakaj je to relevantno za samo zadevo v smislu navajanja konkretnih zakonskih zavez pošiljateljev pisemskih pošiljk.

61Iz mnenja IP št. 0712-61/2006 izhaja, da je prepovedano odpiranje pošte, ki je naslovljena na uslužbenca in „v primeru, da je delodajalec v dvomu, ali gre za zasebno ali službeno pošto, pošiljke ne sme odpreti“. V konkretnem primeru, ko je bila v pošiljki dodatna, zaprta in neprosojna, ovojnica, naslovljena osebno na g. B.B., iz pošiljke pa tudi ni nedvomno izhajalo, da gre za pošto, ki je službene narave, je tako nesporno, da novi delodajalec pošiljke ni smel odpreti, kar je bilo povsem jasno tudi delodajalcu, ki je neodprto ovojnico predal neposredno g.B.B.

62Ne glede na navedeno se je tožeča stranka nedvomno zavedala, da je vsebina pošiljke takšna, ki se tiče le naslovnika osebno, tj. g. B.B., v skladu s tem pa je izbrala tudi primeren in ustrezno varen način pošiljanja. Le-ta bi bil namreč v primeru, da ocena tveganja s strani tožeče stranke ne bi bila narejena, zagotovo drugačen oz. enostavnejši. Predlaga zaslišanje prič.

Obrazložitev k prvi točki izreka:

63Tožba je utemeljena.

64Tožena stranka je v predmetnem inšpekcijskem postopku med drugim odločala na podlagi ZIN (Uradni list RS, št. 43/07 in 40/14). Po določilu drugega odstavka 3. člena ZIN se glede postopkovnih vprašanj, ki niso urejena s tem zakonom ali s posebnim zakonom iz prvega odstavka tega člena, uporablja zakon, ki ureja splošni upravni postopek. Po prvem odstavku določila 3. člena ZIN pa se za inšpekcije, katerih delovanje urejajo posebni zakoni, ZIN uporablja samo glede vprašanj, ki niso urejena s posebnimi zakoni. Po določbi 50. člena ZVOP-1 se za opravljanje inšpekcijskega nadzora po tem zakonu uporabljajo določbe ZIN, kolikor ZVOP-1 ne določa drugače.

65Procesno vprašanje o tem, ali v situaciji, ko inšpekcijski organ v postopku ugotovi kršitev zakona s strani zavezanca, a v izreku odloči o ustavitvi postopka, ni urejeno v ZInfP niti v ZVOP-1, kar izhaja tudi iz vsebine izpodbijanega akta in odgovorov tožene stranke v upravnem sporu. Za ustavitev postopka v omenjenih pravnih okoliščinah je torej treba uporabiti ZIN, ki ima glede tega specialne določbe glede na ZUP.

66Po ZIN inšpekcijski organ za varstvo osebnih podatkov postopek ustavi, če ugotovi, da je bila prijava lažna (tretji odstavek 24. člena ZIN). V predmetni zadevi prijava ni bila lažna, kar med strankama ni sporno.

67Druga možnost za ustavitev postopka po ZIN pa je primer, ko v postopku nadzora inšpektor ugotovi, da zavezanec ni storil kršitve zakona ali drugega predpisa (prvi odstavek 28. člena ZIN). Metoda razlage zakona argumentum a contrario sodišče zato vodi k interpretaciji, da če organ ugotovi kršitev predpisa, postopka ne sme ustaviti, ampak mora v izreku ugotoviti kršitev predpisa s strani zavezanca. V konkretnem primeru je inšpektor po izvedenem postopku ugotovil kršitev zakona, vendar te ugotovitve ni vključil v izrek, ampak zgolj v obrazložitev upravnega akta.

68Tudi druga metoda razlage, kjer gre za ustavi-skladno interpretacijo zakona, govori za to, da kadar gre za materialno-pravno področje varstva osebnih podatkov v razmerjih med vpletenimi zasebnimi subjekti, ne more biti dvoma, da mora pristojni inšpektor, če ugotovi, da je zasebni subjekt kršil pravico do varstva zasebnosti oziroma osebnih podatkov fizične osebe po ZVOP-1, predmetno ugotovitev kršitve zakona vključiti v izrek upravnega akta, kajti takšna ugotovitev državnega organa posega v pravni položaj zavezanca in mora zato zavezanec v inšpekcijskem postopku imeti pravico do učinkovitega pravnega sredstva (25. člen Ustave) in sodnega varstva (23. členu Ustave) zoper takšno odločitev.

69Dejstvo, da je kršitev ZVOP-1 že storjena, da gre za enkratno dejanje, ki ga z ukrepom ni mogoče (več) preprečiti, ne pomeni, da lahko organ v izreku akta odloči o ustavitvi postopka, v obrazložitvi pa ugotovi kršitev zakona, ker tega ni mogoče utemeljiti z nobeno zakonito metodo razlage predpisa.

70Takšno razlago namreč podpira tudi sistematična metoda razlage predpisa, kajti določilo 32. člena ZIN ne samo, da ni ovira za odločanje o kršitvi v izreku upravnega akta, ampak zgornjo razlago zakona dodatno potrjuje in gre v tem primeru za tretjo metodo razlage obravnavanega predpisa. Po tem določilu, če inšpektor pri opravljanju nalog ugotovi, da je kršen zakon ali drug predpis, katerega izvajanje nadzoruje, ima pravico in dolžnost, da odredi določene ukrepe, ki so našteti v prvem odstavku tega določila, med katerimi je tudi generalna klavzula o ukrepih in dejanjih, za katere je pooblaščen po zakonu, in ki očitno ne izključujejo preventivnih ukrepov za varstvo osebnih podatkov sistemske narave.

71Tudi z vidika splošne določbe prvega odstavka 213. člena ZUP, kar je drugi vidik sistematične metode razlage ZIN, je izpodbijani akt nezakonit, kajti po tej določbi, ki pravi, da se v izreku odloči o predmetu postopka (v zvezi z določbo tretjega odstavka istega člena),¹ je v izreku upravne odločbe lahko tudi zgolj ugotovitev kršitve zakona. Tožena stranka se te obveznosti ne more izogniti s tem, da namesto odločbe izda sklep, ker bi bilo to v nasprotju z že omenjenimi metodami razlage predpisa.

72Na zgornjo interpretacije v ničemer ne more vplivati določba četrtega odstavka 135. člena ZUP. Po določbi četrtega odstavka 135. člena ZUP ima organ sicer možnost, da postopek ustavi, če se je začel po uradni dolžnosti, vendar pa ta „možnost“ ne pomeni, da ima tudi v zgoraj opisanih okoliščinah konkretnega primera, ko gre za varstvo osebnih podatkov, diskrecijo, ali bo v izrek vključil ugotovitev o kršitvi ZVOP-1 s strani zavezanca, ali ne, ker bi bilo to v nasprotju s pravico do učinkovitega sodnega varstva iz 23. člena Ustave, in ker je specialnejša določba glede ustavitve postopka v ZIN.

73Nadalje je tudi po določbi drugega odstavka 5. člena ZUS-1 upravni spor dopusten zoper sklep,s katerim je bil postopek odločanja o izdaji upravnega akta ustavljen. V tej zvezi je sklicevanje tožene stranke na sklep Vrhovnega sodišča v zadevi X Ips 209/2015 z dne 5. 10. 2016 neustrezno za obravnavani primer. V zadevi X Ips 209/2015 je šlo za vprašanje, ali je prijavitelj oziroma pobudnik inšpekcijskega nadzora na gradbenem področju lahko stranka v postopku, v katerem je inšpektor ustavil postopek in s tem po stališču Vrhovnega sodišča ni oblikoval ali spreminjal pravnega položaja pobudnika in ni ugotavljal pravnih razmerij in pravnih dejstev. Poleg tega je šlo v tej zadevi za vprašanje pravnega interesa pobudnika za obnovo inšpekcijskega postopka. V predmetni zadevi s področja varstva osebnih podatkov pa je tožnik zavezanec po ZVOP-1, ki ga upravni akt v obrazložitvi bremeni kršitve zakona in s tem pravic upravičenca do varstva osebnih podatkov.

74To pomeni, da je tožena stranka kršila določila tretjega odstavka 24. člena in prvega odstavka 28. člena ZIN v povezavi s prvim odstavkom 213. člena ZUP, ker ni v izreku pač pa v obrazložitvi upravnega akta odločila o predmetu postopka, in se odločbe zato ne da preizkusiti (7. točka drugega odstavka 237. člen ZUP). Gre za bistveno kršitev določb postopka, zaradi katere je treba tožbi ugoditi in izpodbijani sklep odpraviti (tretji odstavek 27. člena ZUS-1). V ponovnem postopku bo tožena stranka morala - seveda v odvisnosti od vsebine odločitve - vključiti v obrazložitev tudi v čem zavezanec ni v zadostni meri poskrbel za zavarovanje osebnih podatkov glede na konkretna določala 24. in 25. člena ZVOP-1, če bo prišla do enakega zaključka kot v prvotnem postopku. V vsakem primeru bo morala dati zavezancu možnost, da se učinkovito brani, tako da v postopku sodeluje v smislu tretjega in četrtega odstavka 146. člena ZUP pred izdajo upravnega akta, in da argumente zavezanca vključi v dokazno oceno. Tožena stranka mora izdati nov upravni akt v 30 dneh od prejema te sodbe, pri tem pa je vezana na stališča sodišča glede materialnega prava in vodenja postopka (četrti odstavek 64. člena ZUS-1).

Obrazložitev k drugi točki izreka:

75Določilo 3. odstavka 25. člena ZUS-1 določa, da sodišče, kadar ugodi tožbi in upravni akt odpravi, tožniku glede na opravljena procesna dejanja in način obravnavanja zadeve v upravnem sporu prisodi pavšalni znesek povračila stroškov skladno s pravilnikom, ki ga izda minister za pravosodje, prisojeni znesek pa plača toženec. Po določilu 2. odstavka 3. člena Pravilnika o povrnitvi stroškov tožniku v upravnem sporu (Pravilnik, Ur. l. RS št. 24/2007, 107/2013) se tožniku, če je bila zadeva rešena na seji in je tožnik v postopku imel pooblaščenko, ki je odvetnica, priznajo stroški v višini 285,00 EUR. Po določilu zadnjega stavka določila 3. odstavka 25. člena ZUS-1 prisojeni znesek plača toženec. Tožena stranka je dolžna plačati navedeni znesek tožeči stranki, povečan za 22% DDV, kar skupaj znese 347,70 EUR. Ta znesek mora tožena stranka plačati tožeči stranki v 15 dneh od prejema sodbe, v primeru zamude tega roka pa skupaj z zakonitimi zamudnimi obrestmi, ki tečejo od prvega dne po preteku 15 dni po prejemu sodbe do plačila.

¹ Po določbi tretjega odstavka 213. člena ZUP, če se z določbo naloži kakšno dejanje, se določi v izreku tudi, v katerem roku ga je treba opraviti. To pomeni, da izrek upravne odločbe nujno ne vsebuje odreditve konkretnih ukrepov.