Obdelava OP v policijskem postopku - IPRS

Obdelava OP v policijskem postopku + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.05.2021 Številka: 07121-1/2021/949 Kategorije:Policijski postopki, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage, Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD) --> Kategorije: Policijski postopki, Pravne podlage, Pravica do seznanitve z lastnimi osebnimi podatki, Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj - ZVOPOKD Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov vašega pokojnega sina s strani policije. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka. Glede obdelave osebnih podatkov umrlih oseb IP pojasnjuje, da Splošna uredba o varstvu podatkov v uvodni določbi št. 27 izrecno določa, da se ta uredba ne uporablja za osebne podatke umrlih oseb. Države članice lahko določijo pravila za obdelavo osebnih podatkov umrlih oseb, zato se na tem področju še vedno uporabljajo določbe ZVOP-
8. Ta v prvem odstavku
9. člena določa, da lahko upravljavec osebnih podatkov podatke o umrlem posamezniku posreduje samo tistim uporabnikom osebnih podatkov, ki so za obdelavo osebnih podatkov pooblaščeni z zakonom. Ne glede na to določbo pa upravljavec osebnih podatkov podatke o umrlem posamezniku posreduje osebi, ki je po zakonu, ki ureja dedovanje, njegov zakoniti dedič prvega ali drugega dednega reda, če za uporabo osebnih podatkov izkaže pravni interes, umrli posameznik pa ni pisno prepovedal posredovanja teh osebnih podatkov. Za posredovanje osebnih podatkov umrlega posameznika morajo biti torej kumulativno izpolnjeni trije pogoji: - podatki se lahko posredujejo zakonitemu dediču prvega ali drugega dednega reda; - ta mora izkazati pravni interes; - zapustnik ni prepovedal posredovanja podatkov. Zakon o dedovanju (ZD; Uradni list SRS, št. 15/76, 23/78, Uradni list RS, št. 13/94 – ZN, 40/94 – odl. US, 117/00 – odl. US, 67/01, 83/01 – OZ, 73/04 – ZN-C, 31/13 – odl. US, 63/16) v
10. členu opredeljuje prvi dedni red, v katerega spadajo zapustnikovi potomci in zakonec. V drugi dedni red pa v skladu s
11. členom spadajo zapustnikovi starši (v konkretnem primeru torej vi in vaš mož) in zakonec. Posredovanje osebnih podatkov umrle osebe navedenim dedičem s strani upravljavca osebnih podatkov je torej dopustno, v kolikor so izpolnjeni zgoraj navedeni trije pogoji. IP ob tem pojasnjuje, da pravni interes posameznika temelji na varstvu določene pravne koristi, ki predstavlja na zakon ali drug predpis oprto osebno korist. Upravljavec mora pravni interes posameznika za pridobitev podatkov oceniti na podlagi okoliščin konkretnega primera. Pravni interes, ki ga mora izkazati posameznik, se mora nanašati na samega posameznika (ne na morebitne tretje osebe) in mora biti neposreden, konkreten in praven. Pravni interes pomeni neposredno in na zakon oprto osebno premoženjsko ali nepremoženjsko korist (ne zadošča dejanski interes). Sklepati je mogoče, da je pravni interes za pridobivanje osebnih podatkov o umrlem lahko izkazan v primeru, če vlagatelj podatke o umrlem posamezniku potrebuje zaradi varovanja ali uveljavljanja svojih pravic pred tretjimi osebami, kar pomeni, da mora v svoji vlogi za pridobitev osebnih podatkov umrlega jasno navesti, katere svoje pravice bo varoval oziroma uveljavljal ter pred katerimi tretjimi osebami (npr. sodišče, zavarovalnica,…) bo te svoje pravice varoval oziroma uveljavljal. IP pojasnjuje, da predstavljena ureditev velja splošno za vse upravljavce, torej tudi tiste, ki jih navajate v vašem zaprosilu za mnenje (policija, zdravstvene ustanove). IP glede obdelave osebnih podatkov nadalje splošno pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi policija, podana v
12. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Področno pravno podlago za obdelavo osebnih podatkov s strani policije predstavlja Zakon o nalogah in pooblastilih policije (ZNPPol; Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19). V skladu s
13. členom ZNPPol je zbiranje in obdelava podatkov eno od policijskih pooblastil, ki jih smejo policisti izvajati ob opravljanju policijskih nalog. Podrobneje nato ZNPPol v
14. členu določa, da policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti. Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov. V prvem odstavku
15. člena ZNPPol je določeno, da mora policija podatke, zbrane pri obravnavanju dogodka ali opravljanju policijskih nalog, na obrazloženo pisno zahtevo, v kateri morajo biti izkazane okoliščine iz četrtega odstavka
16. člena ZNPPol (izkazana premoženjska in nepremoženjska škoda, telesna poškodba, sum storitve kaznivega dejanja ali prekrška in podobni primeri) posredovati osebi, ki izkaže pravni interes. Upravičena oseba mora v pisni zahtevi natančno opredeliti vrsto podatka in namen, za katerega ga potrebuje. Za pridobitev želenih podatkov po tej poti je torej treba na policijo nasloviti zahtevo za posredovanje podatkov ter izpolniti zgoraj navedene pogoje, ki jih določa ZNPPol, podrobneje pa so opredeljeni še v
17. in
18. členu Pravilnika o zaščiti podatkov policije (Uradni list RS, št. 67/14). Pisna zahteva mora tako vsebovati: osebne podatke vlagatelja; natančen opis okoliščin (podatke o kraju, času dogodka, osebnem položaju vlagatelja v dogodku in podobno); vrsto podatkov, ki jih vlagatelj potrebuje za uveljavljanje pravic; obrazložen namen uporabe podatkov (zakaj in kje namerava vlagatelj uporabiti podatke). IP ob tem ponavlja, da v okviru mnenja ne more presojati zakonitosti konkretnih obdelav osebnih podatkov in ponovno poudarja, da je presoja in odgovornost za zakonitost posredovanja osebnih podatkov vedno na upravljavcu (v konkretnem primeru policiji). IP v okviru mnenja ne more presojati, ali je oziroma bi bila posamezna zahteva za posredovanje osebnih podatkov utemeljena. V zvezi z zdravstvenimi ustanovami IP pojasnjuje, da Zakon o pacientovih pravicah (ZPacP; Uradni list RS, št. 15/08, 55/17, 177/20) za izvajalce zdravstvene dejavnosti pravico do seznanitve z zdravstveno dokumentacijo po pacientovi smrti ureja v
19. členu. Na podlagi te določbe imajo po pacientovi smrti pravico do seznanitve z njegovo zdravstveno dokumentacijo osebe, ki so za obdelavo podatkov pooblaščene z zakonom, ter pacientov zakonec, zunajzakonski partner, partner iz istospolne skupnosti, otroci in posvojenci, kadar teh oseb ni, pa pacientovi starši. Te osebe se lahko z zdravstveno dokumentacijo umrlega pacienta seznanijo brez izkazovanja posebnega pravnega interesa. Navedene osebe morajo pri zahtevi za seznanitev zgolj navesti, s katerimi podatki se želijo seznaniti in zakaj (zakoniti namen seznanitve). Poleg tega morajo seveda izkazati ustrezno razmerje do pokojnega pacienta. Ob tem IP dodaja, da pacient lahko za časa življenja prepove, da bi se z njegovo zdravstveno dokumentacijo po njegovi smrti seznanile določene osebe. Od tega pravila pa obstaja izjema, in sicer se kljub pacientovi prepovedi lahko njegovi starši, potomci, zakonec, zunajzakonski partner, partner iz istospolne skupnosti, bratje in sestre ali druge, pacientu bližnje osebe preko zdravnika lahko seznanijo s tistimi osebnimi podatki, ki so oziroma bi lahko bili pomembni za njegovo zdravje. O zahtevi za seznanitev mora izvajalec zdravstvene dejavnosti odločiti v 15 dneh. Zoper njegov molk ali zavrnilni odgovor je dopustno vložiti pritožbo, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti pri upravljavcu v 15 dneh od prejema odgovora. Zahtevo in pritožbo lahko podate s pomočjo obrazcev, ki so dostopni na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/ Glede vašega vprašanja o pridobitvi informacij, kdo je na policiji vpogledoval v vaše podatke in podatke vašega moža, IP najprej splošno pojasnjuje, da Splošna uredba o varstvu podatkov pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki ureja v
20. členu, ki v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: namene obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija; kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; pravico do vložitve pritožbe pri nadzornem organu; kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22