UPRS sodba U 2477/2005

Tožba se zavrne.

Tožena stranka je z izpodbijano odločbo odločila, da se pravni osebi A.A.A., d.o.o., Ž., odreja, da v roku 14 dni od vročitve te odločbe s popravki računalniškega programa uporabnikom in vsem drugim osebam, ki imajo možnost dostopa do podatkov v modulu oziroma zbirki ..., onemogoči, da bi z vnosom imena in/ali priimka, ali s klikom na osebno ime zastopnika, člana vodstva, ustanovitelja, ali člana nadzornega sveta, ali na kakršen koli drugačen način prišli do podatka o tem, v katerih poslovnih subjektih je z imenom in/ali priimkom določena oseba zastopnik, član vodstva, ustanovitelj ali član nadzornega sveta (1. točka izreka). Iz 2. točke izreka izpodbijane odločbe izhaja, da mora A.A.A. d. o. o. v roku 6 mesecev od vročitve te odločbe uporabnikom in vsem drugim osebam, ki imajo možnost dostopa do podatkov v zbirki ..., z blokado ali izbrisom osebnih imen v zbirki ... onemogočiti vsakršen priklic, vpogled, dostop ali uporabo osebnih imen zastopnikov, članov vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov oziroma prenehati z razkrivanjem, sporočanjem ter širjenjem osebnih imen zastopnikov, članov vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov. Iz 3. točke izreka izpodbijane odločbe izhaja, da po preteku roka, določenega v 2. točki izreka, lahko A.A.A. d. o. o. razkriva, sporoča ter širi le še osebne podatke o tistih zastopnikih, članih vodstva, ustanoviteljih in članih nadzornih svetov poslovnih subjektov, ki so bili predhodno pisno ali na drug ustrezen način seznanjeni z namenom obdelave določenih njihovih osebnih podatkov ter so za takšno obdelavo podali ustrezno osebno privolitev posameznika ali sklenili ustrezno pogodbo. Iz 4. točke izreka pa izhaja, da posebni stroški niso zaznamovani. Tožena stranka v obrazložitvi svoje odločbe navaja, da je inšpektor za varstvo osebnih podatkov dne 11. 5. 2005 pri tožeči stranki po uradni dolžnosti uvedel postopek inšpekcijskega nadzora nad izvajanjem določb Zakona o varstvu osebnih podatkov (ZVOP-1). Postopek je bil uveden zaradi prijave, iz katere je izhajal sum, da tožeča stranka z obdelavo osebnih podatkov v modulu ..., ki ga prek spletnih strani na naslovu www.... nudi svojim uporabnikom, krši določbe 8., 10., 16., 19. in 83. člena ZVOP-1. V postopku je bilo pri pregledu vsebine in delovanja modula ... ugotovljeno, da je modul ... dejansko zbirka osebnih podatkov, ki vsebuje osebne in neosebne podatke, ki se nanašajo na poslovne subjekte registrirane v Republiki Sloveniji. Modul oziroma zbirka osebnih podatkov z nazivom "..." je eden od produktov tožeče stranke, ki dostop do navedene zbirke ter uporabo podatkov, ki se vodijo v navedeni zbirki, proti plačilu naročnine ponuja svojim uporabnikom. V tej zbirki se poleg neosebnih podatkov, ki se nanašajo na posamezen poslovni subjekt vodijo tudi osebna imena zastopnikov, vodstva, ustanoviteljev ter članov nadzornega sveta ter ažurno spremlja vse njihove premike in pozicije v različnih podjetjih. Omogoča tudi sledenje povezavam med podjetji prek vodilnih oseb in njihovi medsebojni povezanosti. Podatki v navedeni zbirki so kombinacija notranjih raziskav in zunanjih virov: Poslovnega registra Slovenije, poslovnega imenika ... Slovenija, Uradnega lista RS in dnevnega časopisja. Iz ugotovitev v postopku inšpekcijskega nadzora je razvidno, da se kot primarni vir, iz katerega se napajajo in ažurirajo podatki v navedeni zbirki, uporabljajo podatki iz Poslovnega registra Slovenije, ki jih tožeča stranka v elektronski obliki prejema od Agencije Republike Slovenije za javnopravne evidence in storitve (AJPES). Fizičnim osebam oziroma posameznikom se pri vnosu njihovih podatkov v bazo ne posreduje informacij o upravljavcu zbirke osebnih podatkov, o namenu obdelave osebnih podatkov, o vrsti zbranih podatkov, o uporabnikih ali vrstah uporabnikov ter o pravico do vpogleda, prepisa, kopiranja, dopolnitve, popravka, blokiranja in izbrisa osebnih podatkov, ki se nanašajo nanje, kot to določa 19. člen ZVOP-1. V postopku inšpekcijskega nadzora je inšpektor ugotavljal, na kakšen način lahko uporabniki iščejo podatke, ki se vodijo v zbirki ... ter kakšne vrste podatkov lahko takšni uporabniki pregledujejo in izpisujejo. Ugotovljeno je bilo, da se ob vnosu imena in/ali priimka v rubriko "ključne besede" uporabniku izpišejo vsi poslovni subjekti, s katerimi je iskana beseda povezana. Inšpektor je pri možnosti iskanja po kriterijih v rubriko "ključne besede" vnesel osebno ime, npr. A.A. ali pa samo priimek. Po kliku na gumb išči ali na tipko "enter" se izpišejo zadetki, npr. za ključno osebo "A.A." 18 zadetkov oz. 18 poslovnih subjektov, ki so kakor koli povezani z iskalnim izrazom. Ob kliku na katerega od izpisanih poslovnih subjektov se odprejo podatki, ki se nanašajo na iskani poslovni subjekt. Med podatki, ki se prikažejo, so tudi osebna imena zastopnikov, ustanoviteljev, vodstva in članov nadzornega sveta. V primeru, da pri izpisu podatkov, ki se nanašajo na posamezni subjekt kliknemo na katerega od osebnih imen, se odprejo podatki, ki se nanašajo na z osebnim imenom navedeno fizično osebo. Izpiše se ime in priimek fizične osebe ter kontaktni nazivi enega ali več subjektov. Za vsak subjekt, ki se nanaša na z osebnim imenom navedeno fizično osebo se izpiše matična številka, konkretni naziv ter položaj fizične osebe. Inšpektor je po izpisu podatkov, ki se nanašajo na posamezen poslovni subjekt, s kliki na gumbe "Zgodovina zastopnikov", "Zgodovina (vodstva)", "Zgodovina ustanoviteljev" in "Zgodovina NS" ugotovil, da se po kliku na katerega od teh gumbov za posamezni poslovni subjekt odpre novo okno, npr. "Zgodovina vodstva", v katerem se poleg osnovnih podatkov za posamezni poslovni subjekt, izpišejo tudi osebna imena bivših članov vodstva, poleg teh osebnih imen se v oklepaju izpiše njegova funkcija, poleg tega pa se za vsakega bivšega člana izpiše tudi datum prenehanja. Tožena stranka se v obrazložitvi svoje odločitve sklicuje na določbe Zakona o varstvu osebnih podatkov (Ur. list RS, št. 86/2004, ZVOP-1), ki v 3. točki prvega odstavka 6. člena ZVOP-1 določa, kaj je obdelava osebnih podatkov, v 1. točki prvega odstavka istega člena določa kaj je osebni podatek, v 2. točki prvega odstavka istega člena definira posameznika, v 5. točki prvega odstavka istega člena definira kaj je to zbirka osebnih podatkov ter v 6. točki prvega odstavka istega člena definira, kdo je upravljavec osebnih podatkov. Tožena stranka nato zaključuje, da je tožeča stranka z vidika določb 6. člena ZVOP-1 dejansko upravljavec osebnih podatkov, ki v modulu ... obdeluje osebne podatke zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov. Podatek o tem, v katerem poslovnem subjektu je z imenom in/ali priimkom določena oseba zastopnik, član vodstva, ustanovitelj ali član nadzornega sveta je iz zakonske definicije izraza "osebni podatek" in izraza "posameznik" nedvomno že mogoče šteti kot osebni podatek, saj gre za podatek, ki se nanaša na določljivega posameznika. Ker se uporabniku modula ... izpišejo vsi poslovni subjekti, v katerih je z imenom in priimkom določena fizična oseba član vodstva, ustanovitelj ali član nadzornega sveta, lahko uporabnik takšno osebo z lahkoto identificira na način, ki ne povzroča velikih stroškov, nesorazmernega napora in ne povzroča veliko časa. Vse kar mora npr. storiti pri subjektih, ki so vpisani v sodni register je to, da si za poslovni subjekt, ki ga zanima, pridobi npr. redni izpisek iz sodnega registra, na katerem so poleg osebnih imen ustanoviteljev in zastopnikov navedeni tudi naslovi njihovega bivališča. Tožena stranka tako ugotavlja, da je modul ... dejansko zbirka osebnih podatkov, v katero je bilo po navedbi tožeče stranke na dan 23. 6. 2005 vpisanih 207.420 osebnih imen ter da je tožečo stranko mogoče šteti kot upravljavca osebnih podatkov po 6. točki prvega odstavka 6. člena ZVOP-1, saj tožeča stranka sama ali pa lahko tudi v sodelovanju z drugimi pravnimi ali fizičnimi osebami določa sredstva in namene obdelave osebnih podatkov v zbirki osebnih podatkov ..., pri čemer ne gre zgolj za uporabo osebnih podatkov za lastne potrebe, ampak gre nesporno za zbiranje, pridobivanje, vpisovanje, prilagajanje in povezovanje osebnih podatkov v novo zbirko osebnih podatkov, ki je namenjena razkrivanju, sporočanju, širjenju in dajanju osebnih podatkov na razpolago uporabnikom te nove zbirke osebnih podatkov. Osebni podatki se po določbah 8. člena ZVOP-1 lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Po določbah 16. člena ZVOP-1 se lahko osebni podatki zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače. Tožena stranka nadalje navaja, da so pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, kamor sodi tudi tožeča stranka (23. točka prvega odstavka 6. člena ZVOP-1), taksativno določene v 10. členu ZVOP-1. Tako bi bila obdelava osebnih podatkov na podlagi zakona dopustna le primeru, če bi bilo v katerem od področnih zakonov določeno, da lahko določene pravne osebe zasebnega sektorja obdelujejo določene osebne podatke zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov, pri čemer bi moralo biti v zakonu tudi določeno, za kakšne namene se lahko obdelujejo takšni osebni podatki. Iz določb Zakona o sodnem registru, Zakona o Poslovnem registru Slovenije, Zakona o društvih in Zakona o političnih strankah, na katere se v svojih obrazložitvah sklicuje tožeča stranka, izhaja, da so podatki, vpisani v sodni register, poslovni register, register društev ter v register političnih strank javni. Vendar pa določbe glede javnosti podatkov, ki so vpisani v navedene registre, dejansko določajo le javnost podatkov, ki se nanaša na posamezen poslovni subjekt. Vsako zbiranje, pridobivanje, urejanje, shranjevanje, razkrivanje, sporočanje, širjenje ali povezovanje osebnih podatkov pomeni obdelavo osebnih podatkov in s tem poseg v ustavno pravico iz 38. člena Ustave Republike Slovenije. Zakon o poslovnem registru Slovenije v tretjem odstavku 16. člena tudi izrecno določa, da uporabniki ne smejo spreminjati dobljenih podatkov in jih posredovati drugim uporabnikom. Gre torej za posredovanje, sporočanje in širjenje osebnih podatkov za namene in način, ki ni določen v nobenem zakonu, Zakon o sodnem registru, na katerega se sklicuje tožeča stranka, pa v 50. členu celo izrecno prepoveduje dostop do podatkov na način, ki bi omogočal ugotoviti, ali je določena oseba ustanovitelj (družbenik) v subjektu vpisa in v katerem subjektu vpisa je ustanovitelj (družbenik) ter ali je določena oseba član uprave oziroma nadzornega sveta v subjektu vpisa in v katerem subjektu vpisa je član uprave oziroma nadzornega sveta. Tožena stranka zaključuje, da tožeča stranka v zakonu nima podlage, ki bi jo pooblaščala za združevanje, urejanje, prilagajanje in shranjevanje osebnih podatkov zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov v novi zbirki osebnih podatkov. Nadalje ugotavlja, da bi tožeča stranka lahko osebna imena zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov obdelovala v primeru, če bi posamezniki, na katere se osebni podatki nanašajo, po predhodni seznanitvi izjavili, da tožeči stranki dovoljujejo, da njihova osebna imena zbira iz raznih javno dostopnih virov, da lahko njihove tako pridobljene podatke vnaša, povezuje, prilagaja in shranjuje v svojih zbirkah osebnih podatkov ter, da lahko uporabnikom modula ... sporoča oz. daje na razpolago podatke o tem, v katerih poslovnih subjektih so bodisi zastopniki, člani vodstva, ustanovitelji ali člani nadzornih svetov. V postopku pa je bilo ugotovljeno, da tožeča stranka nima osebne privolitve posameznika ter posameznikov tudi ni seznanila z namenom obdelave njihovih osebnih podatkov. Naročilnica za objavo v poslovnem imeniku ... Slovenija, na katero se sklicuje tožeča stranka, se ne more šteti kot osebna privolitev posameznika za obdelavo osebnih podatkov zastopnikov, vodstva, ustanoviteljev ali članov nadzornih svetov poslovnih subjektov v zbirki .... Podatki iz naročilnice se namreč zbirajo za namene objave ... imenika, katerega upravljavec je družba B.B.B. d.o.o. in ne tožeča stranka, naročilnice ne izpolnijo vsi poslovni subjekti, katerih podatki so objavljeni v zbirki .... Poleg tega iz naročilnice izhaja, da so podatki namenjeni za objavo v poslovnem imeniku ... Slovenija, kar pa je povsem nekaj drugega kot zbirka .... V postopku je bilo tudi ugotovljeno, da tožeča stranka z zastopniki, člani vodstva, ustanovitelji in člani nadzornih svetov poslovnih subjektov ni v takšnem pogodbenem razmerju, iz katerega bi izhajalo, da lahko za namene izpolnjevanja pogodbe njihove osebne podatke obdeluje v zbirki ... in da torej tožeča stranka osebnih imen zastopnikov, vodstva in ustanoviteljev ter članov nadzornih svetov poslovnih subjektov ne obdeluje na podlagi pogodbenega razmerja. Ugotovljeno je bilo tudi, da za obdelavo osebnih podatkov niso podani razlogi iz 3. odstavka 10. člena ZVOP-1, to je nujnost zaradi uresničevanja zakonitih interesov zasebnega sektorja, ki bi očitno prevladali nad interesi posameznika, na katerega se nanašajo podatki. Tožeča stranka je kot zakoniti interes za obdelavo osebnih podatkov navajala 7. in 8. člen Zakona o sodnem registru, kjer je določeno, da je sodni register javna knjiga, da so podatki vpisani v sodni register javni ter, da se nihče ne more sklicevati na to, da ni poznal podatkov, ki so vpisani v sodni register. Zaradi zagotavljanja javnosti podatkov iz sodnega registra, poslovnega registra Slovenije, registra društev ter registra političnih strank, obdelava osebnih podatkov zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov v zbirki ... dejansko ni nujna. Osebe zasebnega sektorja se lahko pri uresničevanju svojih zakonitih interesov sklicujejo le na podatke, ki so jih pridobile neposredno iz sodnega ali drugega registra, ne pa na podatke, ki so si jih pridobile iz zbirke .... V postopku je bilo tako zaključeno, da tožeča stranka nima pravne podlage, ki bi jo pooblaščala, da osebne podatke zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov, ki jih vodi v svoji zbirki osebnih podatkov ..., razkriva, sporoča, širi in daje na razpolago svojim uporabnikom. Ker gre pri takšnem načinu razkrivanja, sporočanja in širjenja osebnih podatkov za obdelavo osebnih podatkov za namene, ki niso določeni z zakonom ali razvidni iz osebne privolitve posameznika, tožena stranka zaključuje, da je potrebno takšno obdelavo glede na težo kršitve takoj prepovedati. Razkrivanje, sporočanje ter širjenje podatkov o tem, kdo so zastopniki, člani vodstva, ustanovitelji in člani nadzornih svetov poslovnega subjekta, pa ob upoštevanju dejstva, da so takšni podatki javni in splošno dostopni, nedvomno pomeni manjšo nevarnost za posege v zasebnost prej navedenih fizičnih oseb. Ker pa tožeča stranka zaenkrat nima pravne podlage, ki bi jo pooblaščala za razkrivanje, sporočanje ter širjenje osebnih podatkov, ki se nanašajo na posamezni poslovni subjekt, je tožeči stranki dana možnost, da si v roku 6 mesecev pridobi ustrezne osebne privolitve oziroma sklene ustrezne pogodbe, ki bi tožečo stranko pooblaščale za obdelavo osebnih podatkov.

Tožeča stranka vlaga tožbo, ker meni, da odločba tožene stranke ni zakonita. Tožeča stranka meni, da je tožena stranka napačno uporabila materialni predpis, ko je ugotovila, da naj bi tožeča stranka s tem, da njen iskalnik omogoča tudi iskanje po imenu in priimku, posegla v zagotovljeno varstvo osebnih podatkov. Navaja, da je tožena stranka spregledala, da so nosilci podatka "ime in priimek" ta podatek sami dali na voljo javnosti in da podatek "ime in priimek" ne omogoča identifikacije nosilca tega podatka ter da programski modul, ki ga je tožena stranka prepovedala, sam po sebi ne predstavlja priobčitve osebnega podatka, pač pa le izvaja iskanje po javno dostopnih podatkih. Tožeča stranka navaja, da podatek "ime in priimek", ki ga da kot rezultat iskanja programski modul ..., ne omogoča identifikacije nosilca, saj zgolj na podlagi tega podatka ni mogoče opraviti identifikacije posameznika, na katerega naj bi se nanašal ta podatek. Pri tem se sklicuje na 6. člen ZVOP-1, ki določa, da je osebni podatek podatek, ki se nanaša na posameznika. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša ta osebni podatek, pri čemer je fizična oseba določljiva, če se jo lahko neposredno ali posredno identificira in način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Tožena stranka v izpodbijani odločbi navaja, da je v iskalec ... vnesla ime in priimek "A.A." ter na podlagi tega ugotovila, da se oseba s tem imenom pojavlja v 18 primerih. Tožeča stranka je ob preverjanju ugotovitev tožene stranke ugotovila, da iskalec res da 18 zadetkov, vendar pa je med temi zadetki tudi 5 zadetkov, ki se nanašajo na obrate oziroma poslovne enote iste pravne osebe. Dejansko tako iskalec najde 13 zadetkov - podjetij oziroma pravnih oseb, pri katerih naj bi sodeloval A.A.. Tožeča stranka je na podlagi tega zaprosila za izpiske iz sodnega registra za navedena podjetja in ugotovila, da nikakor ne gre za eno in isto osebo - posameznika. Dva pravna subjekta nista vpisana v sodni register, tako, da tožeča stranka ni mogla preveriti na koga naj bi se nanašala oznaka "A.A.". Tožeča stranka je za pridobitev izpiskov iz sodnega registra za družbe porabila celoten enodnevni delavnik ter za izpiske plačala skupaj 57.760,00 SIT sodne takse, vendar kljub temu še vedno, tudi na podlagi zbranih podatkov ne more ugotoviti, ali je katera izmed oseb z imenom in priimkom "A.A." glavni inšpektor Inšpektorata za varstvo osebnih podatkov, se pravi oseba, ki je izdala sporno odločbo. Ker identifikacija ni možna, je tožena stranka napačno štela, da gre za varovan osebni podatek v smislu 6. člena ZVOP-1. Tožena stranka je nadalje tudi napačno ugotovila, da ni dovoljeno javnosti priobčiti podatka "ime in priimek" oziroma drugih podatkov, ki so vpisani v sodni register oziroma drugo javno evidenco. Glede na določbo 8. člena ZVOP-1, se osebni podatki lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Zakon o sodnem registru (Ur. l. RS št. 13/94, ZSRer) določa kateri podatki se vpisujejo v sodni register (7. točka in 8. točka 1. odstavka 4. člena) in določa, da je podatek o imenu in priimku eden izmed podatkov, ki se vpisuje v sodni register. Glede na določbe 7. člena ZSReg je sodni register javna knjiga in so torej tudi osebni podatki oseb, ki opravljajo neko funkcijo v pravnih subjektih, javni. Enako velja glede podatkov, ki se zbirajo v Poslovnem registru Slovenije. Fizična oseba, ki torej vstopa v pravno osebo kot njen ustanovitelj, zastopnik ali član nadzornega sveta, torej eksplicitno dopusti določen poseg v svojo zasebnost, saj s sprejemom funkcije v pravni osebi po samem zakonu pristane tudi na to, da bodo določeni njegovi osebni podatki postali javno dostopni. Namen je jasen. Zagotoviti je potrebno javnost in transparentnost in to vseh podatkov, ki so vsebovani v sodnem registru in zaradi tega je dovoljena tudi obdelava teh podatkov. Tožeča stranka ne obdeluje osebnih podatkov, temveč podatke iz sodnega registra, del katerih pa so tudi osebni podatki. S tem so po mnenju tožeče stranke izpolnjeni pogoji po 8. členu ZVOP-1, ki določa, da se smejo podatki obdelovati, če tako določa zakon. Tožena stranka je nadalje tudi napačno sklepala, da programski modul ... omogoča prioobčitev z ZVOP-1 zaščitenih podatkov. Omogoča le iskanje po javno dostopnih podatkih, kar pomeni, da je vsebinsko in namensko enak vsem ostalim iskalcem na svetovnem spletu, od njih pa se razlikuje le v toliko, da je specializiran za iskanje po podjetjih, ki imajo sedež v Sloveniji. Glede na dejstvo, da tožena stranka izpodbijano odločbo utemeljuje s podatki, ki jih je pridobila z iskanjem podatka "A.A." je tožeča stranka navedeni podatek vnesla tudi v druge iskalnike, pri katerih je dobila bistveno več zadetkov in pri katerih je moč hitro ugotoviti tisto osebo, ki je izdala izpodbijano odločbo. Iskalec ... ne omogoča takšne stopnje identifikacije, saj je namenjen predvsem iskanju podatkov o podjetjih in s tem povezanih podatkov. Število zadetkov (18) je tako manjše, kot pri ostalih iskalnikih, rezultati pa so osredotočeni izključno na podjetja in pravne osebe, se pravi na področje, kateremu je namenjen iskalnik. Iskalec ... kot specializirani iskalec išče le po podatkih, ki so bili pridobljeni v skladu z zakonskimi določbami, v postopku vpisa pravnih oseb, kar pomeni, da so vsi podatki, ki jih najde javni po izrecni volji oseb, na katere se nanašajo in po izrecnih določbah zakonov. Tožeča stranka predlaga, da sodišče izpodbijano odločbo odpravi in odloči, da je tožena stranka dolžna plačati tožeči stranki predpravdne stroški v višini 57.760,00 SIT, skupaj z zakonitimi zamudnimi obrestmi od dneva vložitve tožbe do plačila, v roku 15 dni pod izvršbo, ter stroške tega postopka, v višini, kot jih priglaša, skupaj z zakonitimi zamudnimi obrestmi od izdaje prvostopne sodbe do plačila, v roku 15 dni, pod izvršbo.

Tožena stranka - Informacijski pooblaščenec, ki je pravni naslednik Inšpektorata za varstvo osebnih podatkov Ministrstva za pravosodje, ki ga je ustanovil Zakon o informacijskem pooblaščencu (Uradni list RS št. 113/2005, v nadaljevanju ZinfP), v odgovoru na tožbo navaja, da je dne 31. 12. 2005 stopil v veljavo ZinfP, s katerim se je ustanovil Informacijski pooblaščenec, ki je kot samostojen in neodvisen državni organ pristojen za inšpekcijski nadzor nad izvajanjem določb ZVOP-1. V odgovoru na tožbo pripominja, da se je tožeča stranka dne 5. 1. 2006 preimenovala v C.C.C., d.o.o.. Tožena stranka meni, da je tožba tožeče stranke neutemeljena, pri čemer se sklicuje na razloge izpodbijane odločbe in dodaja nekaj dodatnih razlogov. Modul ... je z vidika določb 5. točke 1. odstavka 6. člena ZVOP-1 nedvomno mogoče šteti kot zbirko osebnih podatkov, saj navedena zbirka poleg drugih podatkov vsebuje tudi osebna imena zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov. Tak podatek pa je z vidika določb 2. točke 1. odstavka 6. člena ZVOP-1 že mogoče šteti kot osebni podatek, saj gre za podatek, ki se nanaša na določljivega posameznika. Posameznik se po prej navedeni določbi šteje za določljivega tudi v primeru, če se ga lahko posredno identificira. Ker se uporabniku modula ... izpišejo vsi poslovni subjekti, v katerih je z imenom in priimkom določena fizična oseba član vodstva, ustanovitelj ali član nadzornega sveta, lahko uporabnik takšno osebo v večini primerov z lahkoto posredno identificira na način, ki ne povzroča velikih stroškov, nesorazmernega napora in ne zahteva veliko časa. Vse, kar mora npr. storiti pri subjektih, ki so vpisani v sodni register je to, da si za poslovni subjekt, ki ga zanima, pridobi npr. redni izpisek iz sodnega registra, na katerem so poleg osebnih imen ustanoviteljev in zastopnikov navedeni tudi naslovi njihovega bivališča. V primeru vnosa osebnega imena "A.A.", ki je v izpodbijani odločbi navedeno zgolj ilustrativno, si je iz razloga, ker je navedeno osebno ime v RS relativno pogosto, tožeča stranka morala pridobiti 10 izpiskov iz sodnega registra, da je ugotovila, kateri A.A. je dejansko povezan s določenim poslovnim subjektom. Če bi tožeča stranka namesto tega imena v iskalnik ... vnesla ime in priimek, ki v RS ni tako pogosto, bi se ji izpisalo bistveno manj poslovnih subjektov, ki so povezani s posameznim osebnim imenom, kar pomeni, da bi želenega posameznika, katerega ime in priimek se vodi v zbirki osebnih podatkov ..., lahko identificirala z bistveno manjšimi stroški. Tudi v primeru, da posamezni poslovni subjekt ni vpisan v sodni register, to še ne pomeni, da posameznika, katerega ime in priimek se v modulu ... vodi pri posameznem subjektu, ni mogoče identificirati. Uporabnik, ki ga zanima, kdo je dejansko z osebnim imenom določen zastopnik nekega društva, bo posameznika zlahka identificiral z vpogledom v register društev, ki je javen, podobno pa velja tudi za zastopnike političnih strank, saj je tudi ta register javen. Določbe Zakona o sodnem registru glede javnosti podatkov, vpisanih v sodni register, na katerega se vseskozi sklicuje tožeča stranka, je z vidika določb 8. člena ZVOP-1 mogoče šteti le kot zakonsko podlago, ki upravljavca sodnega registra pooblašča za razkrivanje osebnih podatkov javnosti. Vendar to, da so določeni osebni podatki v določeni zbirki osebnih podatkov javni, z vidika določb 8., 9. in 10. člena ZVOP-1 še ne pomeni, da se lahko takšni osebni podatki skupaj z osebnimi podatki iz drugih javno dostopnih zbirk osebnih podatkov ter osebnimi podatki iz drugih javno dostopnih virov brez izrecne zakonske ali kakšne druge pravne podlage iz 9. in 10. člena ZVOP-1 povežejo ali uporabljajo za vzpostavitev in vodenje neke nove zbirke osebnih podatkov ter, da se lahko tako zbrani osebni podatki zatem shranjujejo, prilagajajo, uporabljajo, razkrivajo, sporočajo, širijo oziroma dajejo na razpolago drugim uporabnikom, kot to v obravnavanem primeru dela tožeča stranka. Ob sklicevanju tožeče stranke na javnost podatkov v Poslovnem registru Slovenije pa tožena stranka navaja, da je Poslovni register Slovenije primarna zbirka glede podatkov, ki se nanašajo na državne organe, organe lokalnih skupnosti in samostojne podjetnike ter da tretji odstavek 16. člena Zakona o poslovnem registru uporabnikom podatkov iz poslovnega registra izrecno prepoveduje posredovanje dobljenih podatkov drugim uporabnikom. Obdelava osebnih podatkov, ki je v nasprotju z namenom njihovega zbiranja, pa je prepovedana že v prvem odstavku 38. člena Ustave Republike Slovenije. V obravnavanem primeru tudi ni mogoče mimo dejstva, da gre v primeru obdelave osebnih podatkov v zbirki ... za ponovno uporabo informacij javnega značaja, ki jo določa Zakon o dostopu informacij javnega značaja. Bistven element ponovne uporabe informacij javnega značaja je dodana vrednost informaciji javnega značaja - zasebni sektor naj bi torej ponudil več kot ponuja organ v okviru izvajanja svojih javnih nalog. Vendar pa je ZDIJZ v 6. odstavku 6. člena izrecno določil, da organ zavrne zahtevo za ponovno uporabo zahtevane informacije, če se zahteva nanaša na podatke iz prvega odstavka tega člena, kamor spadajo tudi osebni podatki (3. točka 1. odstavka). Obdelava osebnih podatkov ter namen obdelave osebnih podatkov mora biti torej v zakonu vnaprej določen in ustavno dopusten, ali pa mora imeti upravljavec osebnih podatkov za obdelavo določenih osebnih podatkov osebno privolitev posameznika, pri čemer mora biti posameznik v takšnem primeru skladno z določbami 8. člena ZVOP-1 predhodno seznanjen tudi z namenom obdelave. Tožena stranka se sklicuje še na določbo 50. člena ZSReg, v katerem je določeno, da nihče nima pravice dostopa do podatkov, ki so shranjeni v centralni informatizirani bazi sodnega registra, na način, ki bi mu omogočal ugotovitev naslednjih dejstev: - ali je določena oseba ustanovitelj (družbenik) v subjektu vpisa in v katerem subjektu vpisa je ustanovitelj (družbenik), - ali je določena oseba član uprave oziroma nadzornega sveta v subjektu vpisa in v katerem subjektu vpisa je član uprave oziroma nadzornega sveta. Tožena stranka poudarja, da osebne podatke zastopnikov, članov vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov iz javnih knjig in drugih registrov oz. uradnih evidenc, lahko glede na obstoječo zakonodajo zakonito razkrivajo, sporočajo ter širijo oziroma dajejo na razpolago javnosti le upravljavci teh zbirk osebnih podatkov. Upravljavci takšnih zbirk osebnih podatkov so tudi edini, ki razpolagajo s točnimi, ažurnimi ter verodostojnimi podatki, ki se nanašajo na posamezne poslovne subjekte in njihove zastopnike, člane vodstva, ustanovitelje in člane nadzornih svetov, zaradi česar se uporabniki podatkov iz posameznih registrov oziroma zbirk v pravnem prometu lahko sklicujejo le na podatke, ki so jih prejeli neposredno od upravljavcev z zakonom določenih registrov oziroma zbirk. Navedeno pomeni, da tožeča stranka z obdelavo osebnih podatkov v zbirki ... krši tudi načelo točnosti in ažurnosti iz 18. člena ZVOP-1. Kar zadeva navedbe tožeče stranke, da spletni iskalniki kot so www.najdi.si in podobni, omogočajo pridobitev množice podatkov, opozarja, da je sklicevanje na takšne iskalnike v obravnavani zadevi brezpredmetno, saj za dostop do osebnih podatkov prek spletnih strani odgovarja upravljavec takšnih podatkov. Tožena stranka zato predlaga, da sodišče tožbo tožeče stranke kot neutemeljeno v celoti zavrne.

Zastopnica javnega interesa - državna pravobranilka je z dopisom z dne 31. 8. 2005 prijavila udeležbo v tem postopku.

Po izdaji izpodbijane odločbe je tožeča stranka pri Upravnem sodišču RS zahtevala odložitev izvršitve navedene odločbe. S sklepom Upravnega sodišča RS opr. št. ... z dne 7. 12. 2005 (ki je dne 17. 12. 2005 postal pravnomočen) je bilo zahtevi tožeče stranke za izdajo začasne odredbe ugodeno in izvršitev izpodbijane odločbe začasno odložena do pravnomočnosti sodbe v tem upravnem sporu.

Tožba ni utemeljena.

V predmetni zadevi je sporno, ali je tožeča stranka, ob vložitvi tožbe A.A.A., d.o.o., A., sedaj pa C.C.C. d.o.o., A., z obdelavo podatkov v modulu ..., ki ga prek spletnih strani nudi svojim uporabnikom, kršila določbe Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/2004, v nadaljnjem besedilu ZVOP-1). Tožena stranka - ob vložitvi tožbe Inšpektorat za varstvo osebnih podatkov Ministrstva za pravosodje, sedaj pa v skladu z Zakonom o informacijskem pooblaščencu (Uradni list RS št. 113/2005) Informacijski pooblaščenec, je v postopku zaključila, da predstavlja opisano ravnanje tožeče stranke kršitev določb ZVOP-1, zaradi česar je izdala izpodbijano odločbo. Po presoji sodišča je izpodbijana odločba pravilna in na zakonu utemeljena, prav tako so pravilni razlogi, ki jih je za takšno odločitev navedla tožena stranka in se sodišče nanje sklicuje ter jim sledi (2. odstavek 71. člena Zakona o upravnem sporu, Uradni list RS, št. 105/06, v nadaljevanju ZUS-1), v zvezi s tožbenimi ugovori pa dodaja:

Niso utemeljeni tožbeni ugovori tožeče stranke, iz katerih izhaja, da je tožena stranka pri taki odločitvi napačno uporabila materialni predpis in napačno opredelila, da iskanje po imenu in priimku posega v zaščito osebnih podatkov v smislu določb ZVOP-1.

Iz 2. točke 6. člena ZVOP-1 izhaja, da je posameznik določena ali določljiva fizična oseba, na katero se nanaša osebni podatek; fizična oseba je določljiva, če se jo lahko neposredno ali posredno identificira, predvsem s sklicevanjem na identifikacijsko številko ali na enega ali več dejavnikov, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto, pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa. Po 5. točki 6. člena ZVOP-1 je zbirka osebnih podatkov vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Glede na navedeno zakonsko opredelitev zbirke osebnih podatkov je modul ... mogoče šteti kot zbirko osebnih podatkov, saj vsebuje tudi osebna imena (ime in priimek) zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov. Ime in priimek navedenih pa je mogoče šteti za osebni podatek, saj gre za podatek, ki se nanaša na določljivega posameznika. Po določbi 2. točke 6. člena ZVOP-1, se posameznik šteje za določljivega tudi v primeru, če se ga lahko posredno identificira. Ni mogoče pritrditi tožbenim ugovorom tožeče stranke, da podatek "ime in priimek", ki ga da kot rezultat iskanja programski modul ..., ne omogoča identifikacije nosilca, ker zgolj na podlagi tega podatka ni mogoče opraviti identifikacije posameznika, na katerega naj bi se nanašal ta podatek. Sodišče pritrjuje ugotovitvam tožene stranke, da je večino posameznikov, za katere se v modulu ... vodi zgolj ime in priimek, mogoče identificirati. Kot je bilo v postopku ugotovljeno, si mora uporabnik modula ... le pridobiti izpiske iz sodnega registra za tiste poslovne subjekte, za katere se zanima. V primeru, da posamezni poslovni subjekt ni vpisan v sodni register, pa je posameznika mogoče identificirati z vpogledom v register društev ali drug register. Ni mogoče pritrditi tožeči stranki, ki se sklicuje na 6. člen ZVOP-1 in utemeljuje, da je v konkretnem primeru pri vnosu imena in priimka "A.A." v iskalnik ..., iskalec dal 18 zadetkov, pri čemer identifikacija te osebe ni bila mogoča, čeprav je tožeča stranka za pridobitev izpiskov iz sodnega registra porabila veliko časa in denarja. Sodišče pritrjuje ugotovitvam tožene stranke, da se v zbirki ... obdelujejo osebni podatki, saj je z imenom in priimkom naveden zastopnik, član vodstva, ustanovitelj ali član nadzornega sveta določenega poslovnega subjekta že določljiv, saj se ga da (v večini primerov) identificirati na način, ki ne povzroča veliko stroškov, nesorazmernega napora in ne zahteva veliko časa. Pri tem je res, da bo pri pogostejših imenih identifikacija posameznika povezana z večjimi stroški in večjim naporom ter porabo več časa, kot v primeru, ko gre za manj pogosta imena. Vendar pa gre v obeh primerih za osebni podatek iz 6. člena ZVOP-1.

ZVOP-1 v 8. členu določa, da se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (1. odstavek). Iz 2. odstavka navedenega člena pa izhaja, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov. Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju so določene v 10. členu ZVOP-1. Ta določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo osebnih podatkov podana osebna privolitev posameznika (1. odstavek). Drugi odstavek navedenega člena določa, da se ne glede na prejšnji odstavek lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Iz 3. odstavka navedenega člena pa izhaja, da se ne glede na prvi odstavek tega člena lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki.

Tožena stranka je v navedeni zadevi pravilno ugotovila, da tožeča stranka nima pravne podlage, ki bi jo pooblaščala, da osebne podatke zastopnikov, vodstva, ustanoviteljev in članov nadzornih svetov poslovnih subjektov, ki jih vodi v svoji zbirki osebnih podatkov ..., razkriva, sporoča, širi in daje na razpolago svojim uporabnikom. Tožeča stranka se v tožbi neutemeljeno sklicuje na javnost podatkov po Zakonu o sodnem registru (ZSReg, Ur. l. RS, št. 13/94) in po Zakonu o poslovnem registru Slovenije (ZPRS, Ur. l. RS, št. 13/95), s čimer utemeljuje, da obstoja zakonska podlaga za obdelavo teh podatkov. Določbe Zakona o sodnem registru glede javnosti podatkov, vpisanih v sodni register je z vidika 8. člena ZVOP-1 mogoče šteti le kot zakonsko podlago, ki upravljalca sodnega registra pooblašča za razkrivanje osebnih podatkov javnosti. Pravilen je zaključek tožene stranke, da to, da so določeni osebni podatki v določeni zbirki osebnih podatkov javni, z vidika določb 8., 9. in 10. člena ZVOP-1 še ne pomeni, da se lahko takšni osebni podatki skupaj z osebnimi podatki iz drugih javno dostopnih zbirk osebnih podatkov ter osebni podatki iz drugih javno dostopnih virov brez izrecne zakonske ali kakšne druge pravne podlage iz 9. in 10. člena ZVOP-1 povežejo ali uporabljajo za vzpostavitev in vodenje neke nove zbirke osebnih podatkov ter, da se lahko tako zbrani osebni podatki zatem shranjujejo, prilagajajo, uporabljajo, razkrivajo, sporočajo, širijo oziroma dajejo na razpolago drugim uporabnikom, kar v obravnavanem primeru dela tožeča stranka. Iz 3. odstavka 16. člena ZPRS izhaja, da smejo uporabniki podatkov poslovnega registra uporabljati podatke samo za namene, za katere so jim bili podatki posredovani. Uporabniki ne smejo spreminjati dobljenih podatkov in jih posredovati drugim uporabnikom. Iz 2. odstavka 50. člena ZSReg izhaja, da nihče nima pravice do dostopa do podatkov, ki so shranjeni v centralni informatizirani bazi sodnega registra, na način, ki bi mu omogočal ugotovitev naslednjih dejstev: - ali je določena oseba ustanovitelj (družbenik) v subjektu vpisa in v katerem subjektu vpisa je ustanovitelj (družbenik); - ali je določena oseba član uprave oziroma nadzornega sveta v subjektu vpisa in v katerem subjektu vpisa je član uprave oziroma nadzornega sveta. Navedbe tožeče stranke, da so podatki, ki se vpisujejo v sodni register javni, s čimer naj bi bili v konkretnem primeru izpolnjeni pogoji po 8. členu ZVOP-1, ki določa, da se smejo podatki obdelovati, če tako določa zakon, tako niso utemeljeni. V navedeni zadevi je bilo pravilno ugotovljeno, da niso podane pravne podlage, ki jih določa 10. člen ZVOP-1, ki bi tožeči stranki omogočale obdelavo osebnih podatkov v modulu .... Neutemeljeno je tudi sklicevanje tožeče stranke, da so vsi podatki, ki jih najde iskalec ... javni po izrecni volji oseb, na katere se nanašajo in po izrecnih določbah zakonov. Iz izpodbijane odločbe izhaja pravilen zaključek tožene stranke, da v konkretni zadevi za predmetno obdelavo osebnih podatkov ni bila dana osebna privolitev posameznika (14. točka prvega odstavka 6. člena ZVOP-1) ter da le-ti niso bili seznanjeni z namenom obdelave njihovih osebnih podatkov (19. člen ZVOP-1). V postopku je bilo prav tako ugotovljeno, da niso podane morebitne druge pravne podlage, zaradi katerih bi bilo postopanje tožeče stranke dopustno.

Iz navedenih razlogov je bilo potrebno tožbo zavrniti.

V navedeni zadevi je Upravno sodišče RS s sklepom opr. št. ... z dne 4. 9. 2006 priznalo položaj stranke v tem upravnem sporu B.B. in C.C.. Slednja sta po pooblaščenih odvetnikih Upravnemu sodišču RS poslala izjavi (kar je sodišče prejelo 26. 2. 2007), da se odpovedujeta svojemu sodelovanju oziroma udeležbi v tem postopku, zaradi česar jih sodišče ni več štelo kot stranki v tem postopku.

Ker je po presoji sodišča izpodbijana odločba pravilna in na zakonu utemeljena, je sodišče tožbo, na podlagi 1. odstavka 63. člena ZUS-1 v zvezi z 2. odstavkom 105. člena tega zakona, kot neutemeljeno zavrnilo.

Ker je sodišče zavrnilo tožbo, je v tej odločitvi vsebovana tudi zavrnitev stroškovnega zahtevka tožeče stranke, na podlagi 1. odstavka 154. člena Zakona o pravdnem postopku (ZPP, Uradni list RS, št. 73/2007 - UPB) - v zvezi s 4. odstavkom 25. člena ZUS-1.