Obdelava podatkov s strani policije in mobilnih operaterjev - IPRS

Obdelava podatkov s strani policije in mobilnih operaterjev + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.01.2022 Številka: 07121-1/2021/2638 Kategorije: --> Kategorije: Policijski postopki, Pravica do seznanitve z lastnimi osebnimi podatki, Telekomunikacije in pošta, Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj - ZVOPOKD Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave vaših lokacijskih podatkov s strani policije in mobilnega operaterja. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. IP uvodoma pojasnjuje tudi, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi. IP tako splošno pojasnjuje, da Splošna uredba o varstvu podatkov v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Za vsakršno obdelavo osebnih podatkov (torej tudi s strani vašega znanca) mora torej obstajati ena izmed navedenih pravnih podlag. IP nadalje splošno pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi policija, podana v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Področno pravno podlago za obdelavo osebnih podatkov s strani policije predstavlja Zakon o nalogah in pooblastilih policije (ZNPPol; Uradni list RS, št. 15/13, 23715 – popr., 10/17, 46/19 – odl. US, 47/19, 153/21 - odl. US). Ta v 112. členu določa, da policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti. Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov. Ob tem IP dodaja, da obdelavo osebnih podatkov s strani policije določajo tudi drugi zakoni. Tak zakon je npr. Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD; Uradni list RS, št. 177/20), ki ureja varstvo pri obdelavi osebnih podatkov, ki jih policija, državna tožilstva, Uprava Republike Slovenije za probacijo, Uprava Republike Slovenije za izvrševanje kazenskih sankcij in drugi državni organi Republike Slovenije, ki so zakonsko določeni kot pristojni za področja preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, obdelujejo za namene izvrševanja teh pristojnosti. Tak zakon je npr. tudi Zakon o kazenskem postopku (ZKP; Uradni list RS, št. 176/21 - UPB), ki v prvem odstavku 148. člena določa, da če so podani razlogi za sum, da je bilo storjeno kaznivo dejanje, za katero se storilec preganja po uradni dolžnosti, mora policija ukreniti potrebno, da se izsledi storilec kaznivega dejanja, da se storilec ali udeleženec ne skrije ali ne pobegne, da se odkrijejo in zavarujejo sledovi kaznivega dejanja in predmeti, ki utegnejo biti dokaz in da se zberejo vsa obvestila, ki bi utegnila biti koristna za uspešno izvedbo kazenskega postopka. V prvem odstavku 149.b člena pa je določeno, da če so podani razlogi za sum, da je bilo izvršeno, da se izvršuje ali da se pripravlja oziroma organizira kaznivo dejanje iz četrtega odstavka prejšnjega člena (med ta kazniva dejanja spada tudi kaznivo dejanje zlorabe osebnih podatkov po tretjem, četrtem, petem in šestem odstavku 143. člena KZ-1) in je za odkritje, preprečitev ali dokazovanje tega kaznivega dejanja ali odkritje storilca treba pridobiti podatke o prometu v zvezi s komunikacijo osumljenca, oškodovanca ali oseb iz drugega odstavka prejšnjega člena, lahko preiskovalni sodnik na obrazložen predlog državnega tožilca odredi operaterju oziroma ponudniku storitev informacijske družbe, da pristojnemu organu sporoči relevantne podatke v zvezi z omenjeno komunikacijo, ki obstajajo v času izdaje odredbe. Preiskovalni sodnik v odredbi opredeli kategorije podatkov, ki jih zahteva. Odredba se operaterju oziroma ponudniku storitev informacijske družbe vroča v delu, ki se nanaša nanj. V skladu s četrtim odstavkom 149.b člena ZKP operater oziroma ponudnik storitev informacijske družbe svojemu uporabniku, naročniku ali tretjim osebam ne sme razkriti, da je ali da bo v skladu s tem členom posredoval določene podatke. Tega ne sme razkriti 24 mesecev po preteku meseca, v katerem se je zaključilo izvrševanje odredbe. V zvezi z obdelavo osebnih podatkov s strani mobilnih operaterjev IP nadalje splošno pojasnjuje, da mora operater v skladu s 147. členom Zakona o elektronskih komunikacijah (ZEKom-1; Uradni list RS, št. 109/12, 110/13, 40/14 – ZIN-B, 54/14 – odl. US, 81/15, 40/17, 189/21 - ZDU-1M) sicer varovati zaupnost komunikacij. Ta zaupnost se nanaša na vsebino komunikacij, podatke o prometu in lokacijske podatke, povezane s komunikacijo, ter dejstva in okoliščine v zvezi s prekinitvijo povezave ali s tem, da povezava ni bila vzpostavljena. Informacije o komunikacijah smejo tako pridobiti le v obsegu, ki je nujno potreben za izvajanje določenih javnih komunikacijskih storitev, te informacije pa smejo uporabljati ali posredovati drugim le zaradi izvajanja teh storitev. Peti odstavek istega člena nadalje določa, da so vse oblike nadzora oziroma prestrezanja komunikacij, ki jih izvajajo tretje osebe in te niso uporabniki, udeleženi v komunikaciji, kot so poslušanje, prestrezanje, snemanje, shranjevanje in posredovanje komunikacij iz prvega odstavka tega člena brez soglasja zadevnih uporabnikov, prepovedane, razen če je to dovoljeno v skladu s prejšnjim odstavkom ali v skladu s 153. ter 160. členom tega zakona oziroma če je taka oblika nadzora oziroma prestrezanja nujno potrebna za prenos sporočil (npr. telefaks sporočila, elektronska pošta, elektronski predali, glasovna pošta, storitev SMS). Določba 153. člena ZEKom-1 ureja posredovanje prometnih in lokacijskih podatkov v primerih varovanja življenja in telesa, določba 160. člena ZEKom-1 pa zakonito prestrezanje komunikacij na podlagi odredbe pristojnega organa. V skladu s 44. točko 3. člena ZEKom-1 so podatki o lokaciji vsakršni podatki, obdelani v elektronskem komunikacijskem omrežju ali v okviru elektronske komunikacijske storitve, ki kažejo na zemljepisni položaj terminalske opreme uporabnika javno dostopne elektronske komunikacijske storitve. V skladu s 151. členom ZEKom-1 morajo biti podatki o prometu, ki se nanašajo na naročnike in uporabnike ter jih je operater obdelal in shranil, izbrisani ali spremenjeni tako, da se ne dajo povezati z določeno ali določljivo osebo takoj, ko niso več potrebni za prenos sporočil, razen v primerih podatkov, pri katerih je po tem zakonu določen daljši rok hrambe glede spremljanja in nadzora porabe podatkovnih storitev (132.a člen), glede klica v sili (šesti odstavek 134. člena), glede notranjih postopkov (149. člen), glede zavarovanja in neizbrisne registracije posredovanja prometnih in lokacijskih podatkov v primerih varovanja življenja in telesa (153.a člen), glede sledenja zlonamernih ali nadležnih klicev (155. člen), ter glede zakonitega prestrezanja komunikacij (peti odstavek 160. člena). V 152. členu ZEKom-1 določa še, da se sme lokacijske podatke, ki niso hkrati podatki o prometu in se nanašajo na uporabnike ali naročnike, obdelovati le v takšni obliki, da se ne dajo povezati z določeno ali določljivo osebo, ali pa na podlagi predhodnega soglasja uporabnika ali naročnika v obsegu in trajanju, ki sta potrebna za izvedbo storitve z dodano vrednostjo. Uporabnik ali naročnik lahko to soglasje kadar koli prekliče. IP sklepno splošno pojasnjuje, da Splošna uredba o varstvu podatkov pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki ureja v 15. členu, ki v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: namene obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija; kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; pravico do vložitve pritožbe pri nadzornem organu; kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22