Izmenjava podatkov med Direktoratom za migracije in Policijo - IPRS

Izmenjava podatkov med Direktoratom za migracije in Policijo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 15.12.2021 Številka: 07120-1/2021/621 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Pridobivanje OP iz zbirk, Pravne podlage Informacijski pooblaščenec (IP) je prejel vaš zgoraj naveden dopis, s katerim se na IP obračate s prošnjo za opredelitev glede izmenjave podatkov med Ministrstvom za notranje zadeve, Direktoratom za migracije, ter Policijo, skladno z Zakonom o varstvu osebnih podatkov. Gre za podatke o odločitvah, ki jih na podlagi
3. člena Zakona o mednarodni zaščiti (Uradni list RS, št. 16/17–UPB1 in 54/21; v nadaljnjem besedilu: ZMZ-1) izda pristojni organ, tj. Ministrstvo za notranje zadeve, ki po zakonu vodi in odloča v postopkih mednarodne zaščite. Podatke o odločitvah iz 10., 11., 12.,
4. in
5. odstavka
6. člena zakona potrebuje Policija za vnos v elektronsko zbirko podatkov Schengenski informacijski sistem (SIS) na podlagi
7. člena Uredbe (EU) 2018/1860 in
8. člena Uredbe (EU) 2018/1861 Omenjene podatke … vodi v elektronski zbirki podatkov Azilni register. Relevantni podatki bi se zapisali v …., kjer je ustrezno označeno, kateri podatek se bo zapisal tudi v SIS. Ustrezna služba … preveri kakovost informacij in jih vnese v SIS preko nacionalnega vmesnika NI.SIS, kot je določeno v
9. členu Uredbe (EU) 2018/
10. IP prosite za opredelitev, ali gre v zadevnem primeru za posredovanje podatkov ali povezovanje zbirk podatkov ter informacijo, v kakšnem obsegu in na kakšen način je takšno posredovanje/povezovanje v okviru obstoječe zakonodaje mogoče izvesti? Če IP meni, da opisana izmenjava podatkov šteje za povezovanje zbirk osebnih podatkov, potem IP hkrati tudi prosite, da tovrstno povezovanje dovoli oziroma zanj izdate pozitivno odločbo ter s tem namenom na IP posredujete še dodatne relevantne podatke, ki so potrebni za izdajo odločbe (navedbo namena izmenjave podatkov, navedbo osebnih podatkov, ki jih želite izmenjevati znotraj zbirk, ter opis postopkov zaščite osebnih podatkov). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s
11. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
12. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba),
13. točko prvega odstavka
14. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1) ter
15. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi vašim zgoraj navedenim zaprosilom. **** IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov in podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov, pač pa lahko izven teh postopkov podaja le nezavezujoča mnenja in pojasnila. V Republiki Sloveniji je povezava zbirk osebnih podatkov iz uradnih evidenc in javnih knjig posebej urejena v
16. poglavju VI. dela (Področne ureditve) še vedno veljavnega ZVOP-1, povezavo zbirk, ki jih vodijo organi, pristojni za področje preprečevanja, preiskovanja odkrivanja ali pregona kaznivih dejan ali izvrševanja kazenskih sankcij za namene izvrševanja teh pristojnosti, pa ureja
17. člen Zakona o varstvu osebnih podatkov na področju obravnave kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD). ZVOP-1 v prvem odstavku
18. člena določa, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek
19. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek
20. člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku
21. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov. V
22. členu ZVOP-1 je določena še prepoved povezovanja, in sicer je prepovedano povezovati zbirke osebnih podatkov iz kazenske evidence in prekrškovnih evidenc z drugimi zbirkami osebnih podatkov ter povezovati zbirke osebnih podatkov iz kazenske evidence in prekrškovne evidence. ZVOPOKD povezavo zbirk osebnih podatkov ureja v
23. členu, kjer je v prvem odstavku določeno, da se zbirke pristojnih organov lahko povezujejo med seboj ali z drugimi uradnimi evidencami, javnimi knjigami ali drugimi zbirkami, v katerih se obdelujejo posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, samo če takšno povezovanje izrecno določa zakon. Drugi odstavek
24. člena ZVOPOKD nadalje določa, da povezovanje zbirk v skladu s prejšnjim odstavkom pomeni elektronsko povezovanje dveh ali več uradnih evidenc, javnih knjig ali drugih zbirk, ki se upravljajo pri različnih upravljavcih ali pri istem upravljavcu na podlagi različnih pravnih podlag, in ki se neodvisno od tehnične izvedbe izvaja v obsegu oziroma na način, ki predstavljata ali bi lahko predstavljala bistveno večje tveganje za človekove pravice ali temeljne svoboščine posameznikov kot obdelava osebnih podatkov le v okviru ene same uradne evidence, javne knjige ali zbirke. Povezovanje zbirk pomeni tudi obdelavo dveh ali več zbirk istega ali različnih upravljavcev pri istem obdelovalcu, če ni z organizacijskimi in tehničnimi ukrepi in postopki zagotovljena popolna ločenost obdelav osebnih podatkov iz teh zbirk. V tretjem odstavku
25. člena ZVOPOKD je še določeno, da najpozneje 30 dni pred začetkom povezovanja zbirk iz prvega odstavka tega člena, mora pristojni organ oziroma obdelovalec poslati obvestilo nadzornemu organu, v katerem navede, da namerava izvesti povezovanje v skladu s tem členom, ga podrobno opisati zlasti z navedbo pravnih podlag, tehničnih rešitev in zaščitnih ukrepov ter priložiti oceno učinka, razen če ocene učinka v skladu z določbo tretjega odstavka
26. člena tega zakona ni treba izdelati. Povezava zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov, vendar pa ZVOP-1 in Splošna uredba za razliko od zgoraj citirane določbe drugega odstavka
27. člena ZVOPOKD ne definirata pomena izraza »povezava zbirk osebnih podatkov«. IP je zato pomen izraza »povezava zbirk osebnih podatkov« v smislu določb
28. poglavja VI. dela ZVOP-1 opisal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi«, kjer je med drugim pojasnil, da se kot povezava zbirk osebnih podatkov šteje avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja neposredno vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. Posredovanje osebnih podatkov v smislu
29. člena ZVOP-1 z uporabo sredstev informacijske tehnologije je precej podobno povezovanju zbirk osebnih podatkov v širšem smislu, saj se takšno posredovanje praviloma izvaja na dva načina, in sicer: upravljavec osebnih podatkov naredi izvleček osebnih podatkov iz zbirke ter jih posreduje drugemu uporabniku oziroma upravljavcu, uporabnik osebnih podatkov, kateremu upravljavec ob zagotovitvi ustreznih zaščitnih ukrepov omogoči neposredni dostop do določenih osebnih podatkov v zbirki, z uporabo uporabniškega imena in gesla vstopi v zbirko upravljavca in na ta način v okviru svojih pooblastil iz zbirke sam pridobi določene osebne podatke. Uporabnik osebnih podatkov lahko po pridobitvi osebnih podatkov dobljene podatke prekopira, prepiše ali na drug podoben način vključi v svojo zbirko osebnih podatkov, s čimer se njegova zbirka spremeni (poveča, ažurira ipd.), in s tem tudi sam postane upravljavec osebnih podatkov. Bistveni element razlikovanja med posredovanjem podatkov iz
30. člena ZVOP-1 z uporabo sredstev informacijske tehnologije ter med povezovanjem zbirk osebnih podatkov iz
31. poglavja VI. dela ZVOP-1 je tako zlasti v tem, da mora pooblaščena oseba upravljavca ali uporabnika osebnih podatkov v primerih posredovanja oz. pridobivanja podatkov po
32. členu ZVOP-1 vedno vstopiti v vsako zbirko posebej, medtem ko je v primeru povezovanja zbirk osebnih podatkov v širšem smislu dovolj, da vstopi le v eno zbirko, sistem pa ji za tem omogoči pridobitev določenih osebnih podatkov iz vseh povezanih zbirk. **** IP meni, da v primeru Azilnega registra, ki ga vodi ... (IP sklepa, da gre za zbirko, ki se vodi na podlagi
33. člena ZMZ-1), ne gre za zbirko, ki bi jo pristojni organi vodili za namene izvrševanja pristojnosti s področja preprečevanja, preiskovanja odkrivanja ali pregona kaznivih dejan ali izvrševanja kazenskih sankcij, zaradi česar je navedeni register oziroma zbirko osebnih podatkov dopustno povezovati z drugimi zbirkami pod pogoji, ki so določeni v
34. poglavju VI. dela ZVOP-
35. IP po pregledu relevantnih določb
36. ter
37. do
38. člena ZMZ-1 in določb
39. in
40. člena Uredbe (EU) 2018/1860 ter
41. in
42. člena Uredbe (EU) 2018/1861 ugotavlja, da navedeni predpisi ne določajo povezave Azilnega registra s policijskim sistemom …. ter Schengenskim informacijskim sistemom (SIS), pač pa določajo dolžnost posredovanja izvršljivih odločb ali izvršljivih sklepov o mednarodni zaščiti iz desetega odstavka
43. člena ZMZ-1 pristojni policijski postaji ter dolžnost vnosa razpisov ukrepov za državljane tretjih držav, ki jim je bila izdana odločba o vrnitvi, v SIS. Kategorije oz. vrste podatkov, ki se v zvezi z razpisom ukrepa za vrnitev vnesejo v SIS, so natančno določene v
44. členu Uredbe (EU) 2018/
45. IP upravljavcem ne more svetovati, na kakšen konkreten način, prek kakšnih vmesnikov in z uporabo kakšne konkretne tehnologije in tehnične rešitve lahko izmenjujejo osebne podatke oziroma jih posredujejo uporabnikom. Zato vam lahko v zvezi s tem pojasnimo zgolj to, da mora upravljavec pri posredovanju osebnih podatkov zagotoviti zlasti to, da se bodo uporabnikom posredovali oziroma se mu bo omogočil dostop zgolj do tistih osebnih podatkov, za katere je posamezen uporabnik pooblaščen in ima ustrezno pravno podlago ter da mora ob tem z izvajanjem ustreznih zaščitnih ukrepov zagotovi varnost osebnih podatkov (
46. in
47. člen Splošne uredbe ter 22.,
48. in
49. člen ZVOP-1), kar med drugim vključuje tudi vodenje dnevnikov obdelave, s katerimi se zagotavljanje možnosti naknadnega ugotavljanja, kdo je v določenem času obdeloval določene podatke ter komu, kdaj in na kakšni pravni podlagi so bili določeni osebni podatki razkriti oziroma posredovani. IP na podlagi vašega zaprosila ne more podati jasnega in dokončnega odgovora o tem, ali gre v vašem opisanem primeru za povezavo zbirk ali zgolj za posredovanje osebnih podatkov. Je pa iz vašega zaprosila in dodatnih pojasnil v zvezi s predvidenim posredovanjem in izmenjavo osebnih podatkov mogoče sklepati, da se opisan način izmenjave podatkov še ne šteje kot povezava zbirk osebnih podatkov, ampak bo šlo za posredovanje osebnih podatkov, saj se osebni podatki iz Azilnega registra ne bodo avtomatično prenesli v SIS, pač pa bo do pripravljenih in ustrezno označenih osebnih podatkov v … dostopil uslužbenec oddelka …., ki bo zatem po preverbi kakovosti podatkov le te preko nacionalnega vmesnika vnesel v SIS. IP na koncu še opozarja, da bosta morala … in … po mnenju IP pred implementacijo nameravanega posredovanja oziroma izmenjave podatkov izdelati oceno učinka v zvezi z varstvom osebnih podatkov, kot jima to nalaga
50. člen Splošne uredbe. Lep pozdrav, Pripravil: Jože Bogataj, namestnik informacijske pooblaščenke Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026