Dostop policije do prometnih podatkov službenega elektronskega sporočila - IPRS

Dostop policije do prometnih podatkov službenega elektronskega sporočila + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.09.2021 Številka: 07121-1/2021/1834 Kategorije: --> Kategorije: Delovna razmerja, Elektronska pošta, Pravne podlage Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede pridobivanja prometnih podatkov službenega elektronskega sporočila policije. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. IP uvodoma nadalje pojasnjuje, da določba prvega odstavka 37. člena Ustave RS (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami) zagotavlja tajnost pisem in drugih občil. Varovana je torej primarno vsebina komunikacij. Vprašanje, ali je tega strogega varstva deležna še kakšna druga okoliščina, ki spremlja komunikacijo, je obravnavalo Ustavno sodišče v odločbi številka Up-106/05, v kateri je zavzelo stališče, da poseg v svobodo komuniciranja ni dovoljen brez predhodnega dovoljenja sodišča. Ustavno sodišče je zapisalo, da na področje komunikacijske zasebnosti sodijo v prvi vrsti podatki, ki se nanašajo na vsebino sporočila, ter v nadaljevanju izpostavilo, da je v teoriji zastopano stališče, da ni varovana zgolj vsebina komunikacije, temveč tudi okoliščine in dejstva, povezana s komunikacijo. Med te okoliščine in dejstva prav gotovo sodijo tudi prometni podatki, torej podatki o tem, kdo je komuniciral, kdaj in s kom, morda pa tudi druge okoliščine, kot je npr. vrsta uporabljene komunikacije. Nadalje drugi odstavek 37. člena Ustave RS določa, da lahko samo zakon predpiše, da se na podlagi odločbe sodišča za določen čas ne upošteva varstvo tajnosti pisem in drugih občil in nedotakljivost človekove zasebnosti, če je to nujno za uvedbo ali potek kazenskega postopka ali za varnost države. Kot je razvidno iz navedene določbe, je poseg v komunikacijsko zasebnost načeloma dovoljen samo, če so izpolnjeni v tej določbi navedeni kumulativni pogoji. To pomeni, da sme upravičena oseba (tudi policija) obravnavane podatke o elektronskih sporočilih pridobiti le pod strogimi pogoji, in sicer, če za to obstaja podlaga v zakonu, je to nujno za potek kazenskega postopka, in je za pridobitev podatkov izdana odredba sodišča. Splošno delodajalec načeloma torej nima pravne podlage za vpogled v vsebino elektronske pošte zaposlenega niti za vpogled v prometne podatke. Vendar pa delodajalec lahko vnaprej opredeli in pisno obvesti zaposlene, v katerih izrednih primerih in pod katerimi strogimi pogoji ter po kakšnem postopku lahko izjemoma vpogleda v prometne podatke. Seveda morajo biti takšni razlogi taksativni in izjemni, zato bi bilo v takšnih primerih potrebno presojati vsak primer posebej. Predhodna obveščenost zaposlenih delavcev tako sama po sebi še ne pomeni, da je nadzor nad službenimi sredstvi dopusten in je tako potrebni, ne pa nujno tudi zadostni pogoj za zakonitost nadzora uporabe delovnih sredstev, ki vključuje obdelavo osebnih in/ali komunikacijskih podatkov. Bistveno je tudi, da je nadzor oziroma vpogled dopusten le izjemoma v primeru, ko se namenov, zaradi katerih se pregled opravi, ne more doseči na drug, milejši način, torej z manjšim posegov v delavčevo zasebnost. IP nadalje pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi policija, podana v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Čeprav ZVOP-1 razlikuje med javnim in zasebnim sektorjem, je področje delovnega prava specialno urejeno za oba sektorja v posebnih zakonih, predvsem v Zakonu o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmIS-

1. a)in Zakonu o evidencah na področju dela in socialne varnosti (ZEPDSV; Uradni list RS, št. 40/06). Zaradi izrazite neenakosti moči strank v delovnopravnih razmerjih oziroma zaradi varstva delavca, ki je v razmerju do delodajalca zagotovo šibkejša stranka, je zakonodajalec to področje uredil strožje, zaradi česar na tem področju praviloma niti v zasebnem sektorju ne dopušča avtonomije strank v smislu, da bi delodajalec lahko brez podlage v zakonu od delavca zahteval katerekoli osebne podatke ali jih obdeloval na drugi pravni podlagi (npr. privolitev, pogodba, …). Delavec lahko namreč tudi na delovnem mestu utemeljeno pričakuje določeno stopnjo zasebnosti, delodajalec pa mora v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. ZDR-1 v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati. Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, za kaj takšne osebne podatke potrebuje. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati. Pri presoji mora delodajalec vedno izhajati iz načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. Pri izvedbi posameznih postopkov in ukrepov je torej treba vedno upoštevati tudi načelo sorazmernosti in vedno izbrati tisti ukrep, ki najmanj poseže v pravice zaposlenega glede na zasledovani zakoniti cilj. Posameznih ukrepov torej ne bi smeli odrejati, če je mogoče primerljiv učinek doseči z milejšimi ukrepi. Če se na ravni posameznega delodajalca določen ukrep opredeli kot nujen, potreben in učinkovit, pa ga je treba izvajati na način, ki najmanj posega v telo in zasebnost posameznika in brez prekomerne obdelave osebnih podatkov. IP ponavlja, da zaposleni tudi na delovnem mestu upravičeno pričakuje določeno stopnjo zasebnosti. Ob tem IP izpostavlja, da mora delodajalec v skladu s 24. in 25. členom ZVOP-1 ter 32. členom Splošne uredbe o varstvu podatkov zagotoviti ustrezne tehnične in organizacijske postopke in ukrepe, s katerimi bo preprečil nepooblaščeno obdelavo, uničenje, izgubo ali spremembo osebnih podatkov. V svojih aktih mora predpisati postopke in ukrepe za zavarovanje osebnih podatkov in določiti osebe, ki so odgovorne za posamezne zbirke osebnih podatkov. Upravljavec (v konkretnem primeru delodajalec) mora torej sorazmerno natančno predpisati postopke in ukrepe, s katerimi bo varoval (med drugim tudi) elektronsko pošto zaposlenih. Uporaba informacijskih tehnologij na delovnem mestu in pravice delodajalca do nadzora njihove rabe v zakonodaji nista izrecno regulirana. Tako tudi vpogled v elektronsko pošto zaposlenega sam po sebi ni eksplicitno prepovedan, vendar je ob tem vsekakor treba upoštevati predpisane interne postopke in ukrepe za zavarovanje, ki veljajo pri delodajalcu, katerih pa, kot omenjeno, IP ne more presojati izven inšpekcijskega postopka. Ob tem IP ponovno poudarja, da je varovanje tajnosti komunikacij določeno že z ustavo in se vanjo načeloma lahko posega le na podlagi sodne odredbe. IP pojasnjuje, da Zakon o nalogah in pooblastilih policije (ZNPPol; Uradni list RS, št. 15/13, 23/15 - popr., 10/17, 46/19 - odl. US, 47/19) v tretjem odstavku 112. člena določa, da sme policija snemati in rekonstruirati tiste elektronske komunikacije v svojem informacijsko-telekomunikacijskem sistemu, ki so namenjene opravljanju policijskih nalog in potekajo znotraj policije ali z drugimi državnimi organi ali nosilci javnih pooblastil. V skladu z zakonom se lahko posnetki ali njihove rekonstrukcije obdelujejo za preverjanje zakonitosti in strokovnosti policijskih postopkov in ukrepov pri opravljanju policijskih nalog. Udeleženci komunikacije morajo biti vnaprej obveščeni o tem, da se komunikacija snema in kakšen je namen snemanja. Namen obdelave prometnih podatkov ter snemanja klicev preko telefonske številko 113, govornih radijskih komunikacij v informacijsko-telekomunikacijskem sistemu policije (v nadaljevanju: ITSP) in vsebine drugih komunikacij določa Pravilnik o obdelavi podatkov o elektronskih komunikacijah policije in o dostopu do policijskih zbirk podatkov (Uradni list RS, št. 84/13; v nadaljevanju: pravilnik). V skladu z drugim odstavkom 1. člena pravilnika se namreč navedeni podatki in posnetki uporabljajo za identificiranje, registriranje in reševanje klicev v sili, ki jih prejme policija, ter da se policiji, organom, pristojnim za nadzor nad njenim delovanjem, in drugim organom, pooblaščenim z zakonom, omogoči rekonstrukcija ter preverjanje zakonitosti in strokovnosti postopkov in ukrepov, ki jih je v zvezi s posamezno nalogo izvedla policija. Posledično se torej tako zbrani posnetki in podatki (med njimi tudi prometni podatki) lahko obdelujejo le za navedene namene. V skladu s 1. točko 2. člena pravilnika se kot prometni podatki štejejo podatki o prometu, ki se obdelujejo zaradi prenosa komunikacij v okviru ITSP, in podatki o dostopu do policijskih zbirk podatkov. Nadalje je v 3. točki prvega odstavka 3. člena pravilnika določeno, da policija lahko hrani naslednje prometne podatke o elektronskih sporočilih: čas komunikacijskega dogodka; prejemnik sporočila; pošiljatelj oziroma podpisnik sporočila; identifikatorji uporabnika in strežnika; naslov in oznake sporočila; velikost sporočila; status sporočila (dogodka). Navedeni podatki se v skladu z drugim odstavkom istega člena hranijo dve leti od datuma komunikacije. IP dodaja še, da je v 12. členu pravilnika določeno, da morajo biti prometni podatki in posnetki, ki se hranijo po določbah tega pravilnika, varovani tako, da so dostopni samo pooblaščenim osebam in da je vsak dostop do teh podatkov oziroma posnetkov evidentiran. V skladu s prvim odstavkom 11. člena pravilnika lahko notranja organizacijska enota policije, pristojna za zaščito podatkov, izpiše shranjene prometne podatke iz 3. člena tega pravilnika ali izdela kopijo posnetka govorne komunikacije, elektronskega sporočila oziroma uporabe internetnih storitev, kadar je treba zaradi ugotavljanja zakonitosti in strokovnosti izvršenih nalog policije rekonstruirati ali preveriti postopke in ukrepe, ki jih je v okviru posamezne naloge izvedla policija. Tako zbrani posnetki in podatki se torej lahko obdelujejo le za navedene namene. Ob tem IP ponovno opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. V vašem zaprosilu za mnenje navajate, da je v skladu z 31. členom Zakona o organiziranosti in delu v policiji (ZODPol; Uradni list RS, št. 15/13, 11/14, 86/15, 77/16, 77/17, 36/19, 66/19 - ZDZ, 200/20) zagotavljanje notranje varnosti v policiji naloga policije. Vrste in način izvajanja postopkov in ukrepov za zagotavljanje notranje varnosti v policiji ureja Pravilnik o notranji varnosti v policiji (Uradni list RS, št. 67/14). Ta v prvem odstavku 8. člena določa, da so notranjevarnostni postopki iz 2. točke 4. člena tega pravilnika preprečevanje, odkrivanje, ocenjevanje, analiziranje in preiskovanje odklonskih pojavov in ravnanj; ter izvajanje ukrepov za zmanjšanje tveganj za krnitev integritete uslužbencev policije in policijskih enot. V skladu s prvim odstavkom 9. člena istega pravilnika sme policija pri izvedbi notranjevarnostnih postopkov izvesti določene ukrepe, med drugim tudi zbrati, pregledati in analizirati podatke policije, ki bi lahko bili pomembni v notranjevarnostnem postopku ter pregledati in analizirati revizijske sledi tehničnih sredstev in opreme policije, vpogledati v zbirke tehničnih informacij, ki pojasnjujejo, prikazujejo, ali drugače zapisujejo dogodek, ki je predmet odklonskega pojava ali ravnanja (registrafon, videonadzor, GPS in druge oblike sledenja, registrator brezžičnih komunikacij ipd.), ter po potrebi zahtevati kopije, izpise ali prepise. IP meni, da dajejo navedene in še nekatere določbe pravilnika enoti, ki je pristojna za zagotavljanje notranje varnosti v policiji in v okviru tega izvaja tudi notranjevarnostna preverjanja, možnost izvedbe dokaj širokih preiskav. Vendar pa mora tudi ta enota, v kolikor zahteva kakšne podatke po Pravilniku o obdelavi podatkov o elektronskih komunikacijah policije in o dostopu do policijskih zbirk podatkov (torej tudi izpiske prometnih podatkov iz ITSP), slediti postopkom in omejitvam po tem pravilniku oziroma širše po 3. odstavku 112. člena ZNPPol, ki je podlaga zanj. IP ponavlja, da že navedeni tretji odstavek 112. člena ZNPPol določa, da sme policija snemati in rekonstruirati tiste elektronske komunikacije v svojem informacijsko-telekomunikacijskem sistemu, ki so namenjene opravljanju policijskih nalog in potekajo znotraj policije ali z drugimi državnimi organi ali nosilci javnih pooblastil ter da se v skladu z zakonom lahko posnetki ali njihove rekonstrukcije obdelujejo za preverjanje zakonitosti in strokovnosti policijskih postopkov in ukrepov pri opravljanju policijskih nalog. Nadalje Pravilnik o obdelavi podatkov o elektronskih komunikacijah policije in o dostopu do policijskih zbirk podatkov, ki je bil sprejet za izvrševanje 112. člena ZNPPol, v prvem odstavku 11. člena določa, da lahko notranja organizacijska enota policije, pristojna za zaščito podatkov, izpiše shranjene prometne podatke iz 3. člena tega pravilnika ali izdela kopijo posnetka govorne komunikacije, elektronskega sporočila oziroma uporabe internetnih storitev, kadar je treba zaradi ugotavljanja zakonitosti in strokovnosti izvršenih nalog policije rekonstruirati ali preveriti postopke in ukrepe, ki jih je v okviru posamezne naloge izvedla policija. Navedeno določbo pravilnika je po mnenju IP treba tolmačiti v luči in okviru zakonske določbe 112. člena ZNPPol in tako pravilnik (tako navedeni pravilnik kot tudi kak drugi, npr. Pravilnik o notranji varnosti) ne more širiti zakonske določbe, ampak je namenjen njenemu izvrševanju. Iz navedenega tako po mnenju IP izhaja, da se prometni podatki lahko zahtevajo zgolj zavoljo rekonstrukcije in preverbe zakonitosti in strokovnosti policijskih postopkov in ukrepov, ki jih je v okviru opravljanja posamezne naloge izvedla policija. Po mnenju IP se tako lahko izpis prometnih podatkov zahteva zgolj v zvezi s konkretno nalogo, ki jo je treba v zahtevku za izpis tudi ustrezno določno navesti. IP sklepno pojasnjuje, da je o vprašanjih glede uporabe službenih sredstev in relacije delodajalec - zaposleni v povezavi s podatki na službenih sredstvih obširno pisal v smernicah Varstvo osebnih podatkov v delovnih razmerjih. Vse relevantne informacije v zvezi z elektronsko pošto boste našli na straneh 21-26. Smernice so dostopne na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_-_Varstvo_OP_v_delovnih_razmerjih_verzija_1.1_koncna.pdf S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026