Upravljavec osebne podatke obdeluje odgovorno, zakonito, pošteno in pregledno ter jih varuje v skladu s Splošno uredbo o varstvu podatkov (GDPR), Zakonom o varstvu osebnih podatkov (ZVOP-2) in drugimi predpisi, ki urejajo posamezne obdelave osebnih podatkov.

Posameznik, na katerega se nanašajo osebni podatki, lahko v zvezi z obdelavo svojih osebnih podatkov uveljavlja pravice, določene v členih 15 do 22 GDPR.

Posamezna pravica ni nujno uporabljiva pri vsaki obdelavi. Njena uporaba je odvisna zlasti od pravne podlage obdelave, namena obdelave in drugih okoliščin konkretnega primera. Če zahtevi posameznika v celoti ali delno ni mogoče ugoditi, upravljavec posameznika seznani z razlogi in razpoložljivimi pravnimi sredstvi.

1. Pravica do dostopa do osebnih podatkov

Posameznik ima pravico od upravljavca pridobiti potrditev, ali se osebni podatki v zvezi z njim obdelujejo.

Če se osebni podatki obdelujejo, ima posameznik pravico do dostopa do teh podatkov in do informacij o:

• namenih obdelave;
• kategorijah osebnih podatkov;
• uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo osebni podatki razkriti, zlasti uporabnikih v tretjih državah ali mednarodnih organizacijah;
• predvidenem obdobju hrambe osebnih podatkov oziroma, kadar tega ni mogoče določiti, merilih za določitev obdobja hrambe;
• obstoju pravice do popravka ali izbrisa osebnih podatkov, omejitve obdelave oziroma pravice do ugovora obdelavi;
• pravici do vložitve pritožbe pri Informacijskem pooblaščencu;
• viru osebnih podatkov, kadar osebni podatki niso bili pridobljeni neposredno od posameznika;
• obstoju avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov, ter, kadar je to relevantno, smiselnih informacijah o uporabljeni logiki ter pomenu in predvidenih posledicah take obdelave;
• ustreznih zaščitnih ukrepih, kadar se osebni podatki prenašajo v tretjo državo ali mednarodno organizacijo.

Posameznik ima pravico pridobiti tudi kopijo osebnih podatkov, ki so predmet obdelave. Prva kopija se zagotovi brezplačno. Za dodatne kopije se lahko v primerih, ki jih dovoljujejo GDPR in ZVOP-2, zaračunajo razumni stroški.

Če je zahteva vložena elektronsko, se informacije praviloma zagotovijo v običajni elektronski obliki, razen če posameznik zahteva drugače. Pravica do kopije ne sme negativno vplivati na pravice in svoboščine drugih oseb.

2. Pravica do popravka in dopolnitve

Posameznik ima pravico zahtevati, da upravljavec brez nepotrebnega odlašanja popravi netočne osebne podatke, ki se nanašajo nanj.

Ob upoštevanju namenov obdelave lahko posameznik zahteva tudi dopolnitev nepopolnih osebnih podatkov, tudi s predložitvijo dopolnilne izjave.

3. Pravica do izbrisa osebnih podatkov

Posameznik lahko zahteva izbris osebnih podatkov, zlasti kadar:

• osebni podatki niso več potrebni za namene, za katere so bili zbrani ali drugače obdelani;
• posameznik prekliče privolitev, na kateri temelji obdelava, in za obdelavo ne obstaja druga pravna podlaga;
• posameznik uspešno ugovarja obdelavi;
• so bili osebni podatki obdelani nezakonito;
• je treba osebne podatke izbrisati zaradi izpolnitve pravne obveznosti;
• so bili osebni podatki zbrani v zvezi s ponudbo storitev informacijske družbe otroku v primerih, ki jih določa GDPR.

Pravica do izbrisa ni absolutna. Zahtevi na primer ni mogoče ugoditi, kadar je nadaljnja obdelava potrebna zaradi izpolnjevanja pravne obveznosti, izvajanja naloge v javnem interesu ali javne oblasti, zaradi arhiviranja v javnem interesu ali zaradi uveljavljanja, izvajanja ali obrambe pravnih zahtevkov.

4. Pravica do omejitve obdelave

Posameznik ima pravico zahtevati omejitev obdelave, kadar:

• oporeka točnosti osebnih podatkov, in sicer za čas, ki upravljavcu omogoča preveriti njihovo točnost;
• je obdelava nezakonita, posameznik pa namesto izbrisa zahteva omejitev uporabe podatkov;
• upravljavec osebnih podatkov ne potrebuje več za namen obdelave, posameznik pa jih potrebuje za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov;
• je posameznik vložil ugovor obdelavi, dokler se ne preveri, ali zakoniti razlogi upravljavca prevladajo nad razlogi posameznika.

Če je obdelava omejena, se osebni podatki praviloma lahko še naprej hranijo, druga dejanja obdelave pa se izvajajo le pod pogoji, ki jih določa GDPR.

5. Pravica do prenosljivosti podatkov

Kadar obdelava temelji na privolitvi ali pogodbi in se izvaja z avtomatiziranimi sredstvi, ima posameznik pravico prejeti osebne podatke, ki jih je posredoval upravljavcu, v strukturirani, splošno uporabljani in strojno berljivi obliki.

Posameznik ima tudi pravico te podatke posredovati drugemu upravljavcu in, kadar je to tehnično izvedljivo, zahtevati njihov neposredni prenos med upravljavcema.

Pravica do prenosljivosti se praviloma ne uporablja za obdelave, potrebne za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti. Pogoje določa 20. člen GDPR.

6. Pravica do ugovora

Kadar obdelava temelji na opravljanju naloge v javnem interesu oziroma izvajanju javne oblasti ali na zakonitih interesih upravljavca oziroma tretje osebe, lahko posameznik iz razlogov, povezanih z njegovim posebnim položajem, kadar koli ugovarja obdelavi osebnih podatkov, vključno z oblikovanjem profilov.

Upravljavec po prejemu ugovora preneha obdelovati osebne podatke, razen če izkaže nujne legitimne razloge za nadaljnjo obdelavo, ki prevladajo nad interesi, pravicami in svoboščinami posameznika, ali če je nadaljnja obdelava potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

Če se osebni podatki obdelujejo za neposredno trženje, ima posameznik pravico kadar koli ugovarjati taki obdelavi, vključno s profiliranjem, kolikor je povezano z neposrednim trženjem. Po ugovoru se podatki za ta namen ne smejo več obdelovati.

7. Pravica do preklica privolitve

Kadar obdelava temelji na privolitvi, lahko posameznik privolitev kadar koli prekliče.

Preklic privolitve ne vpliva na zakonitost obdelave, ki je bila na podlagi privolitve izvedena pred njenim preklicem.

8. Pravice v zvezi z avtomatiziranim odločanjem

Posameznik ima pod pogoji iz 22. člena GDPR pravico, da zanj ne velja odločitev, ki temelji izključno na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in ima pravne učinke v zvezi z njim ali nanj na podoben način znatno vpliva.

Ta pravica ima zakonsko določene izjeme, zlasti kadar je avtomatizirana odločitev potrebna za sklenitev ali izvajanje pogodbe, dovoljena s pravom Evropske unije ali Republike Slovenije ali temelji na izrecni privolitvi posameznika.

---

Postopek uveljavljanja pravic

Kako lahko vložite zahtevo

Zahtevo za uveljavljanje pravic lahko posameznik vloži pri upravljavcu:

• po elektronski pošti: obcina@bled.si;
• po pošti na naslov: Občina Bled, Cesta svobode 13, 4260 Bled;
• osebno pri upravljavcu oziroma na zapisnik.

Za vprašanja v zvezi z varstvom osebnih podatkov se lahko posameznik obrne tudi na pooblaščeno osebo za varstvo osebnih podatkov:

Pooblaščena oseba za varstvo osebnih podatkov posamezniku pomaga pri vprašanjih glede obdelave osebnih podatkov, zahtevo pa obravnava in o njej odloča upravljavec.

Kaj naj zahteva vsebuje

Za hitrejšo obravnavo priporočamo, da posameznik navede:

• ime in priimek;
• kontaktne podatke za odgovor;
• pravico, ki jo želi uveljavljati;
• dovolj natančen opis podatkov, dejavnosti obdelave, postopka ali obdobja, na katero se zahteva nanaša;
• morebitne druge informacije, ki lahko pomagajo pri iskanju njegovih osebnih podatkov.

Posamezniku ni treba poznati naziva evidence dejavnosti obdelave ali pravne podlage obdelave, da bi lahko uveljavljal svoje pravice.

Preverjanje identitete

Upravljavec lahko zahteva dodatne informacije za potrditev identitete posameznika le, kadar obstaja razumen dvom o identiteti osebe, ki je vložila zahtevo.

Zahtevajo se lahko samo podatki, ki so potrebni in sorazmerni za zanesljivo preverjanje identitete. Upravljavec zaradi preverjanja identitete ne sme sistematično zahtevati več osebnih podatkov, kot je potrebno.

Če upravljavec posameznika na podlagi razpoložljivih in dodatno predloženih podatkov objektivno ne more identificirati, ga o tem obvesti.

Rok za odgovor

Upravljavec o zahtevi odloči oziroma posameznika obvesti o sprejetih ukrepih brez nepotrebnega odlašanja in najpozneje v enem mesecu od prejema zahteve.

Ob upoštevanju kompleksnosti in števila zahtev se lahko rok po potrebi podaljša za največ dva dodatna meseca. O podaljšanju in razlogih zanj mora upravljavec posameznika obvestiti v enem mesecu po prejemu zahteve.

Če upravljavec na zahtevo ne namerava ukrepati, mora posameznika brez nepotrebnega odlašanja in najpozneje v enem mesecu obvestiti o razlogih ter o možnosti vložitve pritožbe in uveljavljanja sodnega varstva.

Stroški

Uveljavljanje pravic je praviloma brezplačno.

Če so zahteve očitno neutemeljene ali pretirane, zlasti zaradi njihovega ponavljanja, lahko upravljavec pod pogoji GDPR in ZVOP-2 zaračuna razumne stroške oziroma v primerih, ki jih dovoljuje zakon, zavrne ukrepanje.

Če bodo nastali stroški, mora biti posameznik o tem vnaprej obveščen.

Zavarovanje podatkov med postopkom

Od prejema zahteve upravljavec osebnih podatkov, ki so predmet postopka, povezanih dnevnikov obdelave in drugih relevantnih informacij ne sme izbrisati, spremeniti ali odsvojiti do pravnomočne odločitve o zahtevi, nato pa ravna v skladu s sprejeto odločitvijo.

Pritožba in sodno varstvo

Če posameznik meni, da upravljavec njegove osebne podatke obdeluje v nasprotju s predpisi ali da njegove zahteve ni ustrezno obravnaval, lahko vloži pritožbo pri: