UPRS sodba I U 1079/2012

Tožbi se ugodi ter se odločba Informacijskega pooblaščenca št. 0612-11/2012/8 z dne 15. 6. 2012 odpravi in se zadeva vrne Informacijskemu pooblaščencu v ponovni postopek.

Z izpodbijano odločbo je Informacijski pooblaščenec (v nadaljevanju Pooblaščenec oziroma toženka) odločil, da mora zavezanec Urad RS za nadzor prirejanja iger na srečo (v nadaljevanju tožnik) zaradi ugotovljenih nepravilnosti glede izvajanja določb Zakona o varstvu osebnih podatkov (v nadaljevanju ZVOP-1): iz dnevniških datotek za spletno stran

www.infounpis.si

nepovratno izbrisati naslednje podatke, ki skupaj ali posamič predstavljajo osebne podatke posameznikov, na navedeno spletno stran preusmerjenih z drugih spletnih strani: obiskana vsebina (cs-uri-stem), poizvedba odjemalca (cs-uri-query), uporabniško ime avtenticiranih uporabnikov (cs-username), vrsta in verzija uporabljenega protokola (cs-version), podatki o brskalnem okolju (cs(User-Agent); 2. tvorjenje dnevniških datotek te spletne strani nastaviti tako, da se v njih ne bodo beležili zgoraj navedeni podatki o posameznikih, ki so bili na stran preusmerjeni z drugih spletnih strani. Odločeno je bilo še, da mora tožnik ukrepe izvršiti v 3 dneh od prejema odločbe in o odpravi nepravilnosti obvestiti nadzornika ter da stroški v postopku niso nastali (II., III. in IV. točka izreka).

Kot izhaja iz obrazložitve odločbe, da je Pooblaščenec ob inšpekcijskem ogledu 4. 4. 2012 ugotovil, da je tožnik registriral domeno

www.infounpis.si

in zaprosil Ministrstvo za finance (MF) za vzpostavitev spletnega strežnika, na katerega bi bili preusmerjeni obiskovalci spletnih strani, prek katerih se prirejajo spletne igre na srečo brez koncesije vlade. Strežnik je bil vzpostavljen na podlagi naročilnice, ki jo je MF izdalo družbi A. d.d., tožnik pa s to družbo in ne z družbo B. d.o.o., ki dejansko zagotavlja storitev strežnika, ni sklenil pogodbe o obdelavi osebnih podatkov. Tožnik je namreč imel dostop do statistike obiskov predmetne spletne strani, in sicer so bili na spletni povezavi dostopni podatki o datumu in času obiska, IP naslovu obiskovalca, brskalnem okolju, napotiteljih ter drugi podatki. Dostop do podatkov ni bil zavarovan in je bil mogoč tudi izven omrežja tožnika, kar je ta nato na poziv Pooblaščenca onemogočil. Tožnik je nato odgovoril še, da je dosegel spremembo nastavitve strežnika, pri kateri se ne beležijo IP naslovi, in izbris dnevniških datotek za nazaj. Odgovoru priložene dnevniške datoteke za obdobje od 3. do 31. 5. 2012 so vsebovale naslednje podatke: datum in čas obiska (date time), vrsta zahtevka spletnemu strežniku (cs method), obiskana vsebina (cs-uri-stem), poizvedba odjemalca (cs-uri-query), uporabniško ime avtenticiranih uporabnikov (cs-username; polje je bilo prazno), vrsta in verzija uporabljenega protokola (cs-version), podatki o brskalnem okolju (cs(User-Agent)), napotitelj (cs(Referer)), status zahtevka (sc-status) in velikost podanega zahtevka v byte-ih (sc-bytes).

Podatke o IP številkah je praviloma treba obravnavati kot osebne podatke; pri tem se Pooblaščenec sklicuje se na določila ZVOP-1, Direktivo Evropskega parlamenta in Sveta 95/46/ES z dne 24. 10. 1995 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov (v nadaljevanju Direktiva), sodno prakso Sodišča EU in mnenje 4/2007 Delovne skupine evropskih nadzornih organov za varstvo osebnih podatkov. Podobno je treba obravnavati podatke o obiskanih spletnih straneh, o tehničnih značilnostih uporabnikovega brskalnega okolja, o uporabniških imenih, piškotke in podatke, s katere spletne strani je bil posameznik napoten na spletno stran. Ti podatki skupaj ali posamič se nanašajo na konkreten obisk in s tem na posameznika, ki je lahko določljiv, čeprav v dnevniških datotekah ni najbolj določljivih podatkov, kot je IP naslov. Dovolj veliko število raznovrstnih podatkov lahko namreč tvori enoličen podpis brskalnega okolja posameznika. 107a. člen Zakona o igrah na srečo (v nadaljevanju ZIS) ne daje pravne podlage za preusmeritev obiskovalcev strani s spletnimi igrami na srečo na drugo spletno stran in ne za zbiranje njihovih osebnih podatkov. Tožnik je torej brez pravne podlage vzpostavil zbirko osebnih podatkov posameznikov, preusmerjenih na spletno stran www.infounpis.si. Upravljavec zbirke je tožnik, saj je on določil namen vzpostavitve spletnega strežnika in s tem namen obdelave beleženih osebnih podatkov. Do podatkov je tudi dostopal in jih s tem obdeloval, kar potrjuje njegova komunikacija z mediji, ki so poročali o zabeleženih več kot 18.000 obiskih spletne strani. Katere od 11 v dnevniških datotekah beleženih kategorij osebnih podatkov je treba izbrisati, da posameznika ne bo več mogoče določiti brez nesorazmerno velikih stroškov, napora ali časa, je empirično vprašanje, ki zahteva posebno analizo. Določitev posameznika na podlagi podatkov o datumu in času obiska ter vrsti, statusu in velikosti poslanega zahtevka je zelo težavna. Zato je Pooblaščenec odredil izbris tistih podatkov, na podlagi katerih je posameznika neprimerno lažje določiti, enako pa tudi način nastavitve tvorjenja dnevniških datotek za naprej. Izbrisa podatka o napotitelju ni naložil, ker bi ga tožnik potreboval, če bi se odločil za beleženje podatkov o osebah, ki so spletno stran neposredno obiskale.

Tožnik vlaga tožbo v upravnem sporu. Odločba, ki jo je sicer izvršil, je nezakonita. Pooblaščenec je nepravilno ugotovil dejansko stanje in napačno uporabil materialno pravo, saj podatki, za katere zahteva izbris in ukinitev beleženja, ne posamično in ne skupaj niso osebni podatki. Tožnik obširno odgovarja na argumentacijo glede obravnavanja IP številk kot osebnih podatkov, oporeka Pooblaščenčevi interpretaciji sodbe Sodišča EU v zadevi C-360/10 (SABAM), češ da se ne nanaša na IP naslove, ampak na podatke, ki jih uporabniki objavljajo na svojem profilu socialnega omrežja, sklicuje se na priloženo študijo sodne prakse nacionalnih sodišč in analizo uporabe Direktive. Poudarja, da ni ponudnik dostopa do interneta ali upravljavec lokalnega omrežja, ki bi uporabnikom interneta dodeljeval IP naslove in te dodelitve sistematično beležil, pa tudi ne ponudnik internetnih storitev, zato ga je treba obravnavati kot vsako drugo osebo, ki ima spletno stran, pri kateri se v dnevniku strežnika beležijo podatki obiskovalcev. Sam obiskovalca na podlagi IP naslova ne more identificirati. Pri presoji, ali gre za osebni podatek, je pomemben tudi namen zbiranja; da tožniku ni mogoče očitati zbiranja podatkov za namen identifikacije preusmerjenih uporabnikov, očitno izhaja iz njegovih zahtev ob vzpostavitvi zadevnega strežnika.

Z odločbo je Pooblaščenec razširil nabor osebnih podatkov na podatke, ki se lahko beležijo na strežnikih po specifikaciji W3C, kot so: cs-uri-stem (ta pomeni vsebino, do katere se dostopa, pri čemer pa strežnik

www.infounpis.si

prikazuje eno samo statično spletno stran z enostavnim tekstom in eno sliko, to je torej edina vsebina); cs-uri-query (je del URI, ki se nahaja za znakom „?“, vendar

www.infounpis.si

ne podpira nobenih poizvedb, zato je to polje prazno oziroma je to poljuben niz, ki ga je posredoval spletni strežnik strani, s katere dostopa klient); cs.username (ker www.infounpis.si ne podpira prijav uporabnikov, je polje vedno prazno); cs-version (je verzija uporabljenega protokola za splet in je za vse uporabnike ali HTTP/1.1. ali HTTP/1.0); podatek cs (User-Agent) pa spletnemu strežniku pove, kateri brskalnik je bil uporabljen za dostop in v kakšnem računalniškem okolju, da prilagodi obliko odziva za najbolj pravilen prikaz zahtevane informacije; zaradi avtomatskega posodabljanja licenčne sistemske opreme se pretežno uporabljajo najnovejše verzije brskalnikov in operacijskih sistemov, pogosto se uporablja več vrst brskalnikov na istem računalniku, s programi, vključenimi v operacijski sistem, in privzetimi nastavitvami pa se okolje brskalnika še dodatno unificira). Tako ni jasno, ali in kako bi bilo mogoče na podlagi navedenih podatkov oziroma sploh (po ukinitvi beleženja IP naslovov preostalih) podatkov v dnevniških datotekah spletnega strežnika

www.infounpis.si

določiti uporabnika, še manj, koliko stroškov, napora in časa bi to zahtevalo. To v odločbi tudi ni konkretizirano obrazloženo.

Nadalje tožnik izpostavlja še, da je v zakonih (Zakon o elektronskem poslovanju in elektronskem podpisu, Zakon o elektronskih komunikacijah) in v veljavnih Priporočilih informacijske varnostne politike javne uprave predpisana odgovornost za zagotavljanje varnosti informacijskih sistemov; beleženje IP naslovov in ostalih podatkov v dnevniških datotekah je legitimen in zakonit ukrep za zagotavljanje te varnosti. Napačen je tudi zaključek, da je tožnik hkrati z namenom vzpostavitve strežnika določil tudi namen obdelave podatkov v dnevniških datotekah strežnika, saj teh dveh namenov ni mogoče enačiti. Tožnik ponudnika storitve pri vzpostavitvi konkretnega strežnika ni usmerjal, o tem ni bil niti povprašan. Ne drži niti, da je podatke obdeloval, saj za števec obiska spletne strani zadošča že zapis v dnevniških datotekah z datumom in časom. Sicer pa se na vseh spletnih strežnikih, ki jih imajo osebe iz privatne in javne sfere, beležijo dnevniški zapisi, vključno z IP naslovi, vendar noben drug „naročnik storitve“ ali „upravljavec“ s strani toženke ni bil deležen takšne obravnave, torej da gre za zbirko osebnih podatkov. Po navedenem tožnik predlaga, da sodišče izpodbijano odločbo odpravi ter odloči, da IP naslovi in v izreku izpodbijane odločbe navedeni podatki niso osebni podatki.

Toženka v odgovoru na tožbo vztraja pri odločbi in njenih razlogih, ki jih ob prerekanju tožbenih navedb obširno dopolnjuje. Navaja, da se definicija osebnih podatkov ne razlikuje za različne subjekte (ponudnike dostopa do interneta in druge) in da pojma določljivosti posameznika ni mogoče gledati le skozi zmožnosti konkretnega subjekta. Sklepanje, da ne gre za osebne podatke, če niso bili zbrani z namenom identifikacije posameznikov, je napačno in nevarno. Glede na obseg informacij, ki jih je o posamezniku mogoče izvedeti na podlagi njegovih aktivnosti na spletu, je treba IP naslove obravnavati kot osebne podatke, ki se ob naraščanju uporabe pametnih mobilnih telefonov in podobnih naprav bližajo posebej zavarovanim enoličnim povezovalnim znakom. Sodbe Sodišča EU morajo prevladati nad sodbami nacionalnih sodišč; toženka se sklicuje še na mnenji Delovne skupine 1/2008 in 13/2011, na predlog Uredbe o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter odločbo Ustavnega sodišča RS št. Up-106/05. Nadalje navaja stališča iz mnenja Delovne skupine 2/2010 in nekaj praktičnih primerov (primer spletne izposojevalnice filmov Netflix, projekt Underpants) ter vztraja, da so tudi podatki, na katere se nanaša izpodbijana odločba, osebni podatki, saj je glede na nabor podatkov v dnevniških datotekah možnost razlikovanja med posamezniki povsem realna, kar dodatno obrazlaga.

Predvsem pa, kot že v odločbi, izpostavlja, da v konkretnem primeru ni šlo za klasične obiske spletne strani. Tožnik je prekoračil (sicer prav tako sporno) v zakonu predvideno možnost omejevanja dostopa do spletnih strani z igrami na srečo in posegel po preusmeritvi obiskovalcev. Ti so mu s svojimi brskalniki posredovali veliko osebnih podatkov, za obdelavo katerih nima pravne podlage v smislu 9. člena ZVOP-1; to sledi iz mnenja Ministrstva za pravosodje z dne 27. 12. 2011, pa tudi iz samega sklepa Upravnega sodišča RS št. I U 2115/2011 z dne 10. 1. 2012, izdanega v postopku omejitve dostopa do spletnih strani na predlog tožnika. Priporočila, ki jih omenja, ne morejo pomeniti pravne podlage za obdelavo podatkov; ker tožnik nima zakonskih pooblastil za izvedbo preusmeritve, pa zbiranja podatkov tudi ne more upravičevati z varnostnimi razlogi. O neenaki obravnavi ni mogoče govoriti, saj toženka ne pozna nobenega drugega takšnega primera. Pripominja še, da je tožnik odločbo izvršil in ni posegel po pravnih sredstvih za zadržanje njene izvršitve ter da je v podobni situaciji v zadevi U 587/2008 sodišče tožbo zavrglo. Po navedenem pa toženka predlaga zavrnitev tožbe.

V nadaljnjih vlogah tožnik zavrača navedbe in argumentacijo toženke, ta pa prereka tožnikove navedbe in nadalje utemeljuje svoja stališča.

Sodišče je ugotovilo, da je bil Urad RS za nadzor prirejanja iger na srečo s 1. 1. 2013 ukinjen. Ne glede na navedeno so izpolnjeni procesni pogoji za izdajo te sodbe, in sicer ob upoštevanju, da so bila vsa predhodna procesna dejanja opravljena že pred omenjenim datumom, vse naloge Urada, ki se nanašajo na nadzor prirejanja iger na srečo in na katere se tako navezuje tudi v tem sporu izpodbijana odločba, pa je na podlagi samega zakona oziroma zakonitega predpisa prevzela Davčna uprava RS (glej določila ZIS-E, zlasti 2. in 3. člen, ter 1. in 2. člen Uredbe o spremembah in dopolnitvah Uredbe o organih v sestavi ministrstev, objavljene v Uradnem listu RS, št. 109/12).

Tožbe sodišče ni zavrglo, ampak jo je obravnavalo po vsebini. Dejstvo, da je zavezanec odločbo izvršil in ni vložil pravnih sredstev za zadržanje njene izvršitve, namreč še ne pomeni, da nima pravnega interesa za presojo pravilnosti in zakonitosti odločbe in s tem pravnega interesa za upravni spor. Še toliko bolj to velja, ko se z izrečenimi ukrepi stanje ureja tudi za naprej, kot v obravnavanem primeru. Takšno stališče prevladuje v novejši sodni praksi.

Sodišče je na podlagi 1. alineje drugega odstavka 59. člena Zakona o upravnem sporu (v nadaljevanju ZUS-1) odločilo brez glavne obravnave.

Tožba je utemeljena.

V obravnavanem primeru je med strankama sporno, ali so bili tožniku utemeljeno naloženi ukrepi iz izpodbijane odločbe, pri čemer ostaja sporno tudi osnovno vprašanje, ali so podatki iz dnevniških datotek za spletno stran

www.infounpis.si

, ki so predmet odločbe, sploh osebni podatki v smislu določil ZVOP-1 ali ne. O tem stranki v vlogah obširno izmenjujeta navedbe in argumente, tudi take, ki v upravnem postopku niso bili obravnavani. Sodišče ugotavlja, da je k takšnemu stanju zadeve privedla bistvena kršitev postopkovnih pravil, ki jo je toženka zagrešila pri vodenju inšpekcijskega postopka. V tem je sicer tožniku vročila zapisnik o inšpekcijskem ogledu in tudi še po tem je z njim intenzivno komunicirala. Vendar pa, ko je bila izpolnjena njena zahteva, da se onemogoči javni dostop do statistike obiskov spletnega strežnika spletne strani

www.infounpis.si

, in po tem, ko jo je tožnik obvestil, da je bilo izklopljeno tudi beleženje IP naslovov na omenjenem strežniku, za nazaj pa so bili ti podatki izbrisani, toženka tožnika ni seznanila, da so tudi drugi v dnevniških datotekah beleženi podatki glede preusmerjenih posameznikov osebni podatki v smislu določil 1. in 2. točke 6. člena ZVOP-1 ter katera dejstva so bistvena za tak zaključek. Povedano drugače, tožnika pred izdajo odločbe ni seznanila, katere od podatkov v dnevniških datotekah šteje kot takšne, da je na njihovi podlagi mogoče posameznika identificirati brez velikih stroškov, nesorazmerno velikega napora ali veliko časa, kot tudi ne z dejanskimi okoliščinami, pomembnimi za to njeno presojo. S tem je toženka kršila pravila Zakona o splošnem upravnem postopku (v nadaljevanju ZUP), ki bi jih v skladu s tretjim odstavkom 50. člena ZVOP-1 in drugim odstavkom 3. člena Zakona o inšpekcijskem nadzorstvu (v nadaljevanju ZIN) morala uporabiti tudi v obravnavani zadevi. Kršila je prvi odstavek 9. člena ZUP, po katerem je stranki, preden se izda odločba, treba dati možnost, da se izjavi o dejstvih in okoliščinah, pomembnih za odločbo, pa tudi tretji odstavek istega člena, ki določa, da organ, razen v primerih, določenih z zakonom, svoje odločbe ne sme opreti na dejstva, glede katerih stranki ni bila dana možnost izjave. Neupoštevanje citiranih pravil pomeni absolutno bistveno kršitev pravil upravnega postopka, kot to določa 3. točka drugega odstavka 237. člena ZUP.

Spoštovanje pravice stranke, da se pred izdajo odločbe izjavi o vseh pomembnih dejstvih in okoliščinah, pa tudi prispeva, da se pretresejo vsi za odločitev relevantni argumenti ter s tem pripomore, da se v postopku pravilno in popolno ugotovi dejansko stanje in posledično pravilno uporabi materialno pravo, odločba pa ustrezno obrazloži. V konkretnem primeru je tožnik zaradi opisane kršitve šele v tožbi v upravnem sporu podal ugovore, ne le pravne, ampak tudi dejanske narave, ki jih ni mogoče opredeliti kot nerelevantne za odločitev. Vsi ti ugovori bi morali biti obravnavani že v inšpekcijskem postopku in nato v razlogih odločbe, ki tako ne zadošča zahtevanemu standardu obrazložitve. Bistveni zaključek, da tudi po izbrisu oziroma ukinitvi beleženja IP naslovov v dnevniških datotekah vsebovani podatki, na katere se nanaša odločba, pomenijo osebne podatke, je namreč obrazložen na splošni ravni, toženka pa se je premalo opredelila do dejanskih okoliščin konkretnega primera, ki jih izpostavlja tudi tožnik (5. točka obrazložitve sodbe). Prav tako je zgolj splošno obrazložila, zakaj je odredila izbris oziroma prepoved beleženja določenih od teh podatkov: sama namreč v odločbi navaja, da je to empirično vprašanje, ki terja posebno analizo, ki pa je v obrazložitvi odločbe ni. Toženka sicer razloge za odločitev dopolnjuje z vlogami v sodnem postopku. Vendar z odgovorom na tožbo oziroma celo z nadaljnjimi vlogami v sodnem postopku obrazložitve odločbe ni mogoče dopolnjevati oziroma nadomestiti; takšna je tudi ustaljena sodna praksa. Vsa za odločitev relevantna vprašanja dejanske in pravne narave morajo biti namreč obravnavana že v upravnem postopku, argumenti pa navedeni v obrazložitvi izdane odločbe. Ta mora vsebovati vse elemente, predpisane v prvem odstavku 214. člena ZUP, med drugim konkretno in popolnoma ugotovljeno dejansko stanje z dokazi, na katere je oprto, in razlogi, odločilnimi za presojo posameznih dokazov, pa tudi jasno navedbo vseh pravnih podlag, na katere se opira odločba, ter razloge, ki glede na ugotovljeno dejansko stanje narekujejo prav takšno odločbo. Če obrazložitev odločbe nima takšne vsebine, je stranka ne more učinkovito izpodbijati; sodišče pa ne more preizkusiti pravilnosti in zakonitosti odločbe (in temu je namenjen upravni spor). Še toliko bolj vse povedano velja, kadar gre, kot v obravnavanem primeru, za zgolj enostopenjski upravni postopek, v katerem ni možnosti, da bi razloge odločitve pred njenim sodnim preizkusom dopolnil oziroma popravil drugostopenjski organ. Če se odločbe ne da preizkusiti, je to nadaljnja absolutna bistvena kršitev pravil upravnega postopka (7. točka drugega odstavka 237. člena ZUP) in s tem razlog za odpravo odločbe.

Glede na ugotovljene bistvene kršitve pravil postopka, na katere sodišče v upravnem sporu pazi po uradni dolžnosti in zaradi katerih, kot rečeno, ni mogoče preizkusiti, ali je bilo v zadevi dejansko stanje pravilno in popolno ugotovljeno ter ali je bilo pravilno uporabljeno materialno pravo, je sodišče na podlagi 3. točke prvega odstavka 64. člena ZUS-1 tožbi ugodilo, izpodbijano odločbo odpravilo ter zadevo vrnilo v ponovni postopek toženki oziroma organu, ki je prevzel njene naloge. Ta naj pred ponovno odločitvijo, kolikor bo postopek nadaljevala, tožnika pregledno seznani z vsemi dejanskimi okoliščinami in tudi s pravno podlago, na katero namerava opreti odločitev, in mu da možnost, da se o tem izjavi. Do argumentov v morebitnem odgovoru naj se toženka nato tudi opredeli v razlogih izdanega akta.

Zaradi pravilnega in učinkovitega vodenja ponovnega postopka sodišče glede na stališča, ki sta jih stranki zagovarjali v sodnem postopku, dodaja naslednje:

Definicijo, kaj je osebni podatek, določa ZVOP-1, predvsem v določilih 1. in z njo povezane 2. točke 6. člena. Iz določil ZVOP-1 je torej treba izhajati pri presoji, ključni za odločitev v tej zadevi, to je, ali so podatki, na katere se nanaša izpodbijana odločba, sploh osebni podatki ali to niso. Šele za tem pride na vrsto obravnavanje ostalih relevantnih vprašanj: kdo je upravljavec osebnih podatkov, v čem je pravna podlaga za obdelavo osebnih podatkov (pri tem je tožniku treba pojasniti, da v skladu s 3. točko 6. člena ZVOP-1 vsako zbiranje že pomeni tudi obdelavo osebnih podatkov). Vedno je treba zasledovati pravu EU lojalno razlago zakonskih določil in pri tem je nujno upoštevati relevantno sodno prakso Sodišča EU. Pri tem pa ni odveč opozoriti, da vprašanje obravnavane inšpekcijske zadeve ni, ali je IP številka oziroma naslov osebni podatek, pač pa, ali je kot takšne mogoče opredeliti ostale v dnevniških datotekah vsebovane podatke, na katere se nanaša izpodbijana odločba. Mnenja Delovne skupine, pa tudi vse študije in analize, na katere se sklicuje tožnik, so lahko zgolj pripomoček pri razjasnitvi posameznih vprašanj, izhajati pa je treba iz veljavnega prava kot podlage za odločitev.

Toženka v izpodbijani odločbi in nato v svojih vlogah večkrat izpostavi, da je tožnik z izvedeno preusmeritvijo obiskovalcev na spletno stran

www.infounpis.si

prekoračil zakonska pooblastila iz ZIS oziroma da za preusmeritev v zakonu ni podlage. Pri tem razlogovanju ji sodišče ne more slediti. Kot izhaja iz navedb strank in podatkov upravnega spisa, je tožnik za izvedbo preusmeritve pridobil odločbo sodišča prve stopnje, ki jo je potrdilo tudi Vrhovno sodišče. Kolikor razpolaga s pravnomočno sodno odločbo za preusmeritev, tožniku ni mogoče očitati, da za preusmeritev nima pravne podlage. Čeprav se toženka z odločitvijo sodišča morebiti ne strinja, ni tista, ki bi bila pristojna presojati njeno zakonitost, ampak je na pravnomočno sodno odločbo vezana (prvi in drugi odstavek 2. člena Zakona o sodiščih, Uradni list RS, št. 19/94 in nadaljnji). Pristojna pa je (izven posamičnih pravnih postopkov, ki jih vodijo za to pristojni državni organi) za inšpekcijski nadzor nad izvajanjem predpisov, ki urejajo varstvo in obdelavo osebnih podatkov.