VSRS Sodba IV Ips 2/2021

Zahteva za varstvo zakonitosti se zavrne.

A.

1Informacijski pooblaščenec (v nadaljevanju: IP) je z odločbo o prekrških št. 0603-35/2018/11 z dne 28. 2. 2020 storilca A. B. spoznal za odgovornega storitve dvaintridesetih prekrškov po tretjem odstavku 91. člena Zakona o varstvu osebnih podatkov (v nadaljevanju: ZVOP-1) v zvezi s 1. točko prvega odstavka 91. člena ZVOP-1. Za vsak prekršek mu je določil globo 830,00 EUR, nato pa mu izrekel enotno sankcijo, in sicer globo v znesku 2.380,00 EUR.

2Vrhovni državni tožilec Hinko Jenull je zoper navedeno odločbo vložil zahtevo za varstvo zakonitosti zaradi, kot navaja, kršitev iz prve alineje 62. člena in druge alineje prvega odstavka 62.a člena Zakona o prekrških (v nadaljevanju: ZP-1) na način iz 1. in 4. točke 156. člena ZP-1 v zvezi s tretjim odstavkom 59. člena ZP-1, ter kršitve po drugi alineji 62. člena in prvi alineji prvega odstavka 62.a člena ZP-1, vse v zvezi s tretjim odstavkom 3.a člena, 8. členom in četrtim odstavkom 153. člena Ustave RS. Zatrjevane kršitve so povezane z uveljavitvijo Splošne uredbe o varstvu podatkov (v nadaljevanju: GDPR),¹ ki se je začela uporabljati 25. 5. 2018 in na podlagi katere bi morala Republika Slovenija, kot navaja vložnik, urediti sankcioniranje kršitev pravil uredbe glede obdelave osebnih podatkov v novem sistemskem okviru oziroma vsaj s prilagoditvijo obstoječega, vendar tega ni storila. Ključni vložnikovi očitki so, da: (i) v konkretni zadevi ni bilo materialnopravne podlage za opredelitev očitanih dejanj kot prekrškov, (ii) da je treba GDPR v razmerju do določb ZVOP-1 in ZP-1 šteti za milejši predpis, (iii) da v predmetni zadevi ni odločil (stvarno) pristojni organ in (iv) da je bila neposredno in posredno kršena Ustava RS, ker določbe GDPR niso bile prenesene v slovenski pravni red in ker jih prekrškovni organ ni upošteval oziroma uporabil. Vložnik Vrhovnemu sodišču predlaga, da zaradi podanih kršitev zakona in Ustave RS zahtevi ugodi in izpodbijano odločbo spremeni tako, da postopek o prekrških na podlagi 1. točke prvega odstavka 136. člena ZP-1 ustavi.

3Vrhovno sodišče je zahtevo za varstvo zakonitosti na podlagi 171. člena ZP-1 v zvezi z drugim odstavkom 423. člena Zakona o kazenskem postopku (v nadaljevanju ZKP) vročilo storilcu, ki se o njej ni izjavil.

4Prekrškovni organ (IP) je v spis vložil dopis, v katerem navaja, da sam sicer ni stranka predmetnega postopka, vendar vseeno podaja svoj pogled na problematiko, ki jo izpostavlja zahteva. Vrhovnemu sodišču predlaga, da zahtevo zavrne in ugotovi, da zakon z izpodbijano odločbo ni bil kršen.

B-I.

5V predmetni zadevi je bil storilec z izpodbijano odločbo IP z dne 28. 2. 2020 spoznan za odgovornega storitve več prekrškov, ker je v obdobju med marcem in junijem 2017 pri opravljanju dela uradne osebe za dostop do informacij javnega značaja pri Vrhovnem državnem tožilstvu RS razkril osebne podatke dvaintridesetih posameznikov, ne da bi za takšno obdelavo (tj. razkrivanje) njihovih osebnih podatkov obstajala pravna podlaga v zakonu ali osebni privolitvi teh posameznikov. Prekrškovni organ je storilčeva ravnanja opredelil kot večkratno kršitev prvega odstavka 8. člena ZVOP-1, ki določa, da se lahko osebni podatki obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Sankcijo za prekršek predpisuje 1. točka prvega odstavka v zvezi s tretjim odstavkom 91. člena ZVOP-1, ki določa, da se z globo od 830 do 2.080 EUR kaznuje odgovorna oseba državnega organa, če obdeluje osebne podatke, ne da bi imel za to podlago v zakonu ali v osebni privolitvi posameznika (8. člen ZOVP-1).

6Vložnik zahtevo utemeljuje s štirimi sklopi argumentov. Prvenstveno trdi, da je kršitev prvega odstavka 8. člena ZVOP-1, ki se v konkretni zadevi očita kršitelju, ostala brez navezave na konkretne določbe GDPR kot veljavne prekrškovne in tudi sankcijske norme (glede vsebine, kot jo je do njene uveljavitve urejal prvi odstavek 8. člena ZVOP-1), kar posledično pomeni, da z vidika načela zakonitosti ni bilo materialnopravne podlage za opredelitev očitanih dejanj kot prekrškov (ki bi tudi sicer glede na GDPR bili lahko opredeljeni le kot upravne kršitve, za kar v Republiki Sloveniji sploh ni ustrezne podlage). Kršitev zakona je po zatrjevanem stališču podana, ker v izpodbijani odločbi ni opredeljena pravna podlaga, iz katere bi, skladno z načelom zakonitosti, izhajalo, da gre za prekrške po GDPR in za kršitve katerih določb gre, oziroma, ker v izpodbijani odločbi ni opredeljena prekrškovna določba, ki bi po GDPR (oziroma v povezavi z GDPR) edino lahko bila uporabljena. Drugi vložnikov argument je, da GDPR kot kasnejši in izrecno ter celovito uveljavljen nadomestni predpis v temelju določa upravno (in ne prekrškovno) sankcioniranje njenih določb, kar pomeni, da je v razmerju do ZVOP-1 v zvezi z ZP-1, glede na načelo zakonitosti (2. člen ZP-1), milejši predpis. Zatrjevana kršitev zakona je v tem oziru podana, ker je bil glede obravnavanih prekrškov uporabljen predpis (ZVOP-1), ki se ne bi smel uporabiti, saj ga je nadomestil drug milejši predpis (GDPR). Tretji vložnikov argument se osredotoča na upravne globe, ki jih za kršitev c) točke prvega odstavka 6. člena GDPR predpisuje 83. člen GDPR. Vložnik uveljavlja, da slovenski nacionalni sistem izrekanja upravnih glob ne določa, deveti odstavek 83. člena GDPR pa v takšnem primeru predpisuje, da pristojni nadzorni organ sproži postopek za naložitev globe, ki jo nato izrečejo pristojna nacionalna sodišča. Po stališču zahteve bi moral IP kot nadzorni organ, če bi že imel materialno podlago za ukrepanje (ki je po prepričanju vložnika sicer ni bilo), sprožiti postopek za naložitev globe pred sodiščem, kar pomeni, da v konkretni zadevi ni odločil (stvarno) pristojni organ. Nazadnje vložnik zatrjuje, da je bila kršena Ustava RS (neposredno določba tretjega odstavka 3.a in četrtega odstavka 153. člena Ustave RS, posredno pa določba 8. člena in drugega odstavka 153. člena Ustave RS), ker zakonodajalec določb GDPR ni prenesel v slovenski pravni red in ker jih prekrškovni organ pri odločanju ni upošteval, niti uporabil.

B-II.

7Načelo zakonitosti je kot eno izmed temeljnih načel prekrškovnega prava vsebinsko opredeljeno v 2. členu ZP-1, ki določa meje sankcioniranja prekrškov. Sodna praksa je na tej podlagi že večkrat sprejela stališče, da je treba pri obravnavanju prekrškov glede zakonskih znakov in sankcij ter drugih materialnopravnih institutov uporabiti predpis, ki je veljal v času izvršitve prekrška. Če se po storitvi prekrška enkrat ali večkrat spremenijo materialnopravne določbe ZP-1 ali predpis, ki določa prekršek, se uporabi zakon ali predpis, ki je za storilca milejši (drugi odstavek 2. člena ZP-1).²

8Vložnikove očitke je treba prvenstveno presojati skozi pravila o časovni veljavnosti predpisov. Kot je razvidno iz izpodbijane odločbe, je čas storitve prekrškov v konkretni zadevi umeščen v obdobje med marcem in junijem 2017, torej v čas veljavnosti določb ZVOP-1. Splošna uredba o varstvu podatkov se je začela uporabljati dne 25. 5. 2018 (drugi odstavek 99. člena GDPR), izpodbijana odločba pa je bila izdana dne 28. 2. 2020.

9Iz predstavljene časovnice izhaja, da se je prekrškovni organ pri izdaji odločbe o prekrških oprl na materialnopravne določbe ZVOP-1, ki so veljale v času storitve prekrškov, kar je skladno s prvim odstavkom 2. člena ZP-1. V zahtevi izpostavljena pravila GDPR, ki določajo zakonitost obdelave podatkov in sankcije za njihove kršitve (6. člen GDPR v zvezi s 83. členom GDPR), so se začela uporabljati šele z dnem 25. 5. 2018 z učinkom za naprej (ex nunc), kar pomeni, da bi bila lahko v predmetni zadevi relevantna le, če bi bila za storilca z vidika drugega odstavka 2. člena ZP-1 milejša.

10Središčno vprašanje, na katerega je treba odgovoriti v konkretni zadevi, je torej, ali predstavljajo pravila GDPR, ki določajo zakonitost obdelave osebnih podatkov (6. člen GDPR) in sankcije za kršitve (zlasti 83. člen GDPR), za storilca milejši predpis v primerjavi z določbami 1. točke prvega odstavka v zvezi s tretjim odstavkom 91. člena ZVOP-1 in prvim odstavkom 8. člena ZVOP-1, ki so v času storitve prekrškov določali zakonske znake obravnavanih prekrškov in sankcije zanj.

11Med relevantnimi določbami GDPR,³ ki jih je Vrhovno sodišče upoštevalo pri presoji vprašanja milejšega predpisa, je določba prvega odstavka 6. člena GDPR, ki ureja temeljne pogoje za zakonitost obdelave osebnih podatkov. V jedru navedene določbe je enaka materija, kot jo ureja (med drugim) prvi odstavek 8. člena ZVOP-1, saj gre za najosnovnejšo opredelitev pravnih temeljev za obdelavo osebnih podatkov. Če posameznik nima nobene podlage za obdelavo osebnih podatkov, kar se v konkretni zadevi očita storilcu, gre z vidika določb ZVOP-1 za ravnanje v nasprotju s prvim odstavkom 8. člena ZVOP-1, z vidika določb GDPR pa za ravnanje v nasprotju s prvim odstavkom 6. člena GDPR.

12Glede na določbo prvega in drugega odstavka 6. člena GDPR države članice temeljev za zakonitost obdelave osebnih podatkov ne morejo urediti poljubno drugače, kot to določa uredba,⁴ ampak lahko ohranijo oziroma sprejmejo podrobnejše določbe (le) za prilagoditev uporabe pravil GDPR, ki se nanašajo na točki (c) in (e) prvega odstavka 6. člena GDPR.⁵ V primeru kršitve prvega odstavka 6. člena GDPR ima nadzorni organ popravljalna pooblastila iz drugega odstavka 58. člena GDPR, med drugim, da poleg ali namesto ukrepov iz tega odstavka naloži upravno globo iz 83. člena GDPR. Za kršitve določbe 6. člena GDPR je v petem odstavku 83. člena GDPR predpisana upravna globa⁶ v znesku do 20.000.000 EUR ali v primeru družbe v znesku do 4% skupnega svetovnega letnega prometa v preteklem proračunskem letu.

13Vložnik zagovarja tezo, da je GDPR kot kasnejši predpis za storilca v konkretni zadevi milejši zato, ker določa upravno (in ne prekrškovno) sankcioniranje njenih določb. Takšno stališče je poenostavljeno in zmotno, saj pravna opredelitev sankcije ni edino merilo pri presoji, ali ima izbrana sankcija kaznovalno naravo in s tem kaznovalne učinke. Pri presoji narave posamezne sankcije je treba dodatno upoštevati tudi naravo kršitve in s tem cilj, ki ga sankcija zasleduje, nazadnje pa je relevantna tudi teža sankcije, ki se lahko izreče kršitelju.⁷ Po določbah GDPR mora biti sankcioniranje učinkovito, sorazmerno in odvračilno (prvi odstavek 83. člena GDPR), kar kaže, da je v predpisanih sankcijah mogoče vsaj deloma prepoznati (tudi) povračilne elemente sankcioniranja. Hkrati je treba ugotoviti, da predpisana sankcija za kršitev prvega odstavka 6. člena GDPR dosega občutno višje denarne zneske od globe, kot jo za obravnavane prekrške predpisuje ZVOP-1 (v razponu od 830 do 2.080 EUR), kar vse nasprotuje zaključku, da so določbe GDPR o upravnem sankcioniranju na načelni ravni za konkretnega storilca milejše od prekrškovnih določb ZVOP-1, ki jih je pri odločanju uporabil prekrškovni organ.

14Vrhovno sodišče tudi v kontekstu celotnega besedila GDPR ugotavlja, da ta državam članicam prepušča določeno mero diskrecije pri urejanju sankcioniranja kršitev njenih pravil. Tako je že v 149. točki uvodnih pojasnil, na katero se opira tudi zahteva, zapisano, da bi morale imeti države članice možnost, da določijo pravila o kazenskih sankcijah za kršitve te uredbe, pa tudi za kršitve nacionalnih pravil, sprejetih v skladu s to uredbo in v mejah te uredbe. Točka 150. uvodnih pojasnil navaja, da naložitev upravne globe ali izdaja opozorila ne vpliva na uporabo drugih pooblastil nadzornih organov ali drugih kazni v skladu s to uredbo. Točka 152. uvodnih pojasnil pa določa, da bi morale države članice v primerih, kadar uredba ne zagotavlja harmonizacije upravnih kazni ali po potrebi v drugih primerih, denimo v primeru hudih kršitev te uredbe, uporabiti sistem, ki zagotavlja učinkovite, sorazmerne in odvračilne kazni, pri čemer bi morala biti narava takšnih kazni, kazenskih ali upravnih, določena s pravom držav članic. Celoten sistem GDPR stremi k okrepljenemu izvrševanju njenih pravil, čemur je namenjeno tudi učinkovito, sorazmerno in odvračilno sankcioniranje kršiteljev. Ker imajo države članice razmeroma široko polje pri urejanju nacionalnih pravil, s katerimi naj se sankcionirajo kršitve pravil o varstvu podatkov po GDPR,⁸ se tudi vložnikovo stališče, ki skuša prepričati, da so upravne globe iz 83. člena GDPR edina možna in za storilca v primerjavi z določbami ZVOP-1 najmilejša sankcija za obravnavane kršitve, izkaže za neutemeljeno.

15Načelo primarnosti prava EU (angl. principle of supremacy), na katerega se po svoji vsebini v zahtevi opira vložnik, narekuje, da v primeru nasprotja med določbo pravnega reda države članice in določbo pravnega reda EU prevlada slednja.⁹ V konkretni zadevi materialne določbe prvega odstavka 8. člena ZVOP-1 v povezavi s prekrškovno sankcijo po 1. točki prvega odstavka in tretjem odstavku 91. člena ZVOP-1, ki določajo nezakonito ravnanje z osebnimi podatki in predpisujejo sankcijo zanj, niso v nepremostljivem nasprotju s pravili GDPR, ampak ostajajo v njenih mejah. To pomeni, da načelo primarnosti prava EU v konkretni prekrškovni zadevi ne more biti upošteven razlog za retroaktivno uporabo materialnih določb GDPR. Vložnikova argumentacija, kot jo ponuja zahteva, bi bila poleg tega nevzdržna z vidika učinkovitosti prava EU, saj bi v skrajni izpeljavi vodila do položaja, ko dejanja, ki so bila po nacionalnem pravu v času njihove storitve opredeljena kot prekrški in je bila zanje z zakonom predpisana sankcija, po začetku uporabe GDPR ne bi mogla biti več sankcionirana, čeprav z določbami GDPR niso bila dekriminirana.¹⁰

16Vse navedeno narekuje sklep, da materialne določbe GDPR, na katere se sklicuje vložnik, za konkretnega storilca niso milejše v primerjavi z določbami ZVOP-1, na katerih temelji izpodbijana odločba, zato je uveljavljanje kršitve načela zakonitosti in 2. člena ZP-1 v predmetnem postopku neutemeljeno.

17Vrhovni državni tožilec skozi svoje navedbe zastavlja še vprašanje, ali je v konkretnem prekrškovnem postopku odločal pristojni organ. Pri tem ob sklicevanju na deveti odstavek 83. člena GDPR trdi, da bi moral IP kot nadzorni organ sprožiti postopek pred sodiščem, ki bi nato izreklo sankcijo za storilca. Vrhovno sodišče v tem delu ugotavlja, da se vložnik pri svojih izvajanjih osredotoča (le) na izrekanje upravnih glob po petem oziroma devetem odstavku 83. člena GDPR, pri tem pa prezre procesno avtonomijo, ki jo določbe GDPR puščajo državam članicam pri uresničevanju skupnih standardov varstva osebnih podatkov. Določbe GDPR ne le, da državam članicam dopuščajo predpisovanje in izrekanje (tudi) drugih sankcij za kršitve pravil o varstvu podatkov, ampak - kar je bistveno, v procesnem smislu niso nadomestile postopkovnih pravil ZP-1, ki veljajo za prekrškovne postopke glede dejanj, ki so bila v času njihove storitve opredeljena kot prekršek in je bila zanje z zakonom predpisana sankcija (1. člen ZP-1).

18Vrhovno sodišče po vsem navedenem ugotavlja, da je IP v času izdaje izpodbijane odločbe odločal kot pristojni prekrškovni organ in da je skladno s prvim odstavkom 2. člena ZP-1 zakonito uporabil tisti materialnopravni predpis, ki je veljal v času storitve prekrškov, saj kasneje sprejeti predpis za storilca ni bil milejši. Vsa preostala z zahtevo načeta vprašanja, vključno z dilemo, kdaj in na kakšen način bi moral slovenski zakonodajalec evropske predpise o varstvu podatkov udejanjiti v slovenskem pravnem redu, niso v pristojnosti Vrhovnega sodišča pri odločanju o izrednih pravnih sredstvih, zato nanje ni mogoče odgovoriti.

C.

19Vrhovno sodišče je po ugotovitvi, da zatrjevane kršitve zakona niso podane, zahtevo za varstvo zakonitosti zavrnilo kot neutemeljeno.

¹ Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov).
² Prim. sodbi Vrhovnega sodišča IV Ips 43/2007 z dne 15. 4. 2008 in IV Ips 33/2018 z dne 18. 9. 2018. Enako tudi K. Filipčič: Komentar k 2. členu ZP-1, v: Zakon o prekrških s komentarjem (ur. H. Jenull, P. Čas, N. Orel), GV Založba, Ljubljana 2018, str. 37.
³ Čeprav vložnik tega ne problematizira, je treba omeniti, da so v konkretni zadevi določbe GDPR relevantne, čeprav je osebne podatke posameznikov razkrival kršitelj, zaposlen pri Vrhovnem državnem tožilstvu RS. Posebna pravila iz Direktive (EU) 2016/680 z dne 27. 4. 2016, ki dopolnjujejo ureditev iz GDPR, veljajo namreč le za varstvo posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij. Če se podatki pri teh organih obdelujejo za druge namene, se uporabljajo pravila GDPR (glej 11. točko uvodnih pojasnil Direktive (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ).
⁴ Sodišče EU je že presodilo, da 6. člen GDPR določa izčrpen seznam primerov, v katerih je mogoče šteti, da je obdelava osebnih podatkov zakonita (zadeva C-61/19 z dne 11. 11. 2020, točka 34). V povezavi s prej veljavno direktivo o varstvu posameznikov pri obdelavi osebnih podatkov je bilo sprejeto tudi stališče, da države članice ne smejo dodati nobenih novih načel glede zakonitosti obdelave osebnih podatkov, niti določiti dodatnih zahtev, ki bi spreminjale obseg enega od šestih določenih načel (zadeva C-582/14 z dne 19. 10. 2016, točka 57).
⁵ Gre za podrobnejša pravila glede obdelave osebnih podatkov za izpolnitev zakonske obveznosti, ki velja za upravljalca, oziroma glede obdelave osebnih podatkov, ki je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljalcu (drugi odstavek 6. člena GDPR).
⁶ Primernejši prevod bi bil upravna kazen ali administrativna sankcija. Tako tudi K. Kraigher Mišič: Komentar k 83. členu GDPR, v: Komentar splošne uredbe o varstvu podatkov (ur. N. Pirc Musar), Ur. l. RS, Ljubljana 2020, str. 967.
⁷ Prim. sodba velikega senata Sodišča EU v zadevi C-537/16 z dne 20. 3. 2018, tč. 28-35.
⁸ Prim. denimo določbo 84. člena GDPR.
⁹ Tako V. Trstenjak, M. Brkan: Pravo EU – Ustavno, procesno in gospodarsko pravo EU, GV Založba, Ljubljana 2012, str. 206. Prim. tudi P. Craig, G. de Búrca: EU Law - Text, Cases and Materials (7. izdaja), Oxford University Press, Oxford 2020, str. 307-314.
¹⁰ Nacionalno sodišče, ki v okviru svojih pristojnosti skrbi za uporabo določb pravnega reda EU, je dolžno zagotavljati polni učinek teh predpisov (tako že sodba Sodišča v zadevi 106/77 z dne 9. 3. 1978), zato bi bilo sklicevanje na določbe GDPR z namenom utemeljevanja, da kršitelja po začetku veljavnosti uredbe ni (več) mogoče sankcionirati, v nasprotju z zahtevami prava Unije.