Posredovanje osebnih podatkov tujim preiskovalnim organom + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 12.12.2022 Številka: 07121-1/2022/1370 Kategorije: --> Kategorije: Policijski postopki, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Telekomunikacije in pošta Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je vaša stranka, ki deluje na področju ponujanja strežniških storitev in upravljanja strežnikov, zaskrbljena, da bi bila lahko podvržena zahtevi tujih preiskovalnih organov po posredovanju osebnih podatkov, ki se nahajajo na strežnikih v njeni domeni. Vaša stranka dnevno obdeluje občutljive podatke in informacije, ki zajemajo osebne podatke, vključno s podatki o IP naslovih, identifikacijskimi podatki, podatki o strežniških storitvah in registraciji itd. Sprašujete nas, ali mora na zahtevo tujih preiskovalnih organov (npr. nemške policije, brez sodne odredbe slovenskega sodišča) zahtevane osebne podatke predati ali takšno zahtevo zavrniti. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. IP ne more komentirati morebitne (ne)zakonitosti pozivov tujih preiskovalnih organov, saj z njimi ni seznanjen in jih ne obravnava v inšpekcijskem postopku, zato v samem mnenju ne moremo biti konkretni in vam svetovati, ali se lahko posredovanje po takšnih pozivih zakonito zavrne ali ne. Uradni organi, tudi organi tujih držav, morajo biti sposobni izkazati ustrezno pravno podlago, na podlagi katere zahtevajo osebne podatke. IP lahko v vašem primeru zgolj svetuje, da vaša stranka pred posredovanjem kakršnih koli osebnih podatkov temeljito razišče pravno podlago za zahteve, ki jih prejema, in posreduje osebne podatke izključno, kadar je prepričana v zakonitost zahtevane obdelave osebnih podatkov. V primeru zahtev za posredovanje osebnih podatkov organom držav, ki niso članice EU (tretje države), je treba temeljito preučiti dopustnost posredovanja z vidika iznosa osebnih podatkov izven EU. Obrazložitev Uvodoma želimo pojasniti, da so ponudniki strežniških storitev (ponudniki gostovanja) običajno opredeljeni kot pogodbeni obdelovalci osebnih podatkov in ne kot sami upravljavci. Več o tem je IP zapisal v Smernicah o pogodbeni obdelavi, ki so na voljo na tem spletnem naslovu: https://www.ip-rs.si/prirocniki_smernice/Smernice_o_pogodbeni_obdelavi.pdf. Ne glede na to opredelitev pa je pogodbeni upravljavec seveda odgovoren in zavezan k zakoniti obdelavi osebnih podatkov v njegovi domeni in lahko osebne podatke posreduje le na ustrezni pravni podlagi. V situaciji, ki jo opisujete, sta možna dva pravna režima, in sicer je v veljavi en režim v primeru zahtev organov držav članic EU, drugače pa je v primeru zahtev organov iz držav, ki niso članice EU, posebej še, če med Republiko Slovenijo in takšno tretjo državo ni sklenjen ter v veljavi noben mednarodni sporazum. IP ne more komentirati morebitne (ne)zakonitosti pozivov tujih preiskovalnih organov, saj z njimi ni seznanjen in jih ne obravnava v inšpekcijskem postopku, zato v samem mnenju ne moremo biti konkretni in vam svetovati, ali se lahko posredovanje po takšnih pozivih zakonito zavrne ali ne. Kot smo že poudarili, mora vsak upravljavec ter obdelovalec osebnih podatkov obdelovati osebne podatke zgolj na ustrezni pravni podlagi. Uradni organi, tudi organi tujih držav, posebej pa organi držav članic EU, morajo biti sposobni izkazati ustrezno pravno podlago, na podlagi katere zahtevajo osebne podatke, ki jih obdeluje subjekt, kot je vaša stranka. Na področju preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj je bila v zvezi z obdelavo osebnih podatkov sprejeta Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ. Slednja s cilji in nameni zavezuje organe preiskovanja in pregona kaznivih dejanj v celotni EU k spoštovanju skupnih standardov varstva osebnih podatkov, med katere v prvi vrsti sodi načelo zakonitosti obdelave osebnih podatkov. Nadalje lahko na ravni Sveta Evrope omenimo Konvencijo Sveta Evrope o kibernetski kriminaliteti, ki nalaga pogodbenicam obveznost, da vzpostavijo ustrezne pravne podlage za pridobivanje naročniških, prometnih in vsebinskih podatkov, ki se nanašajo na določeno komunikacijo preko računalniškega sistema.
- člen Konvencije izpostavlja pomen ustreznih varovalk in pogojev za spoštovanje temeljnih človekovih pravic, ki jih varuje EKČP, a konkretne rešitve prepušča državam članicam. IP meni, da se mora vaša stranka, z namenom zagotavljanja zakonite obdelave osebnih podatkov, pred morebitnim posredovanjem osebnih podatkov svojih strank, temeljito pozanimati o pravnih podlagah za pozive in zahteve tujih preiskovalnih organov, ki jih omenjate. Če tuj preiskovalni organ svoje zahteve ne utemelji na konkretni pravni podlagi, vaša stranka ne more biti prepričana o zakonitosti obdelave osebnih podatkov s posredovanjem. Na nacionalni in evropski ravni je treba tako omeniti Zakon o sodelovanju v kazenskih zadevah z državami članicami Evropske unije (Uradni list RS, št. 48/13, 37/15, 22/18 in 94/21; v nadaljevanju ZSKZDČEU-1), ki med drugim v slovenski pravni red preliva določbe Direktive Evropskega Parlamenta in Sveta 2014/41/EU z dne
- aprila 2014 o evropskem preiskovalnem nalogu v kazenskih zadevah. Zakon med drugim določa medsebojno priznavanje in izvrševanje (…) odločb sodišč ali drugih pristojnih organov, s katerimi se izda evropski preiskovalni nalog, (…) odločb pristojnih organov, s katerimi je predvideno skupno izvajanje preiskovalnih ukrepov, izmenjava podatkov iz kazenske evidence ter sodelovanje z Eurojustom in Evropsko pravosodno mrežo (…). V kolikor bi šlo za izvajanje evropskega preiskovalnega naloga, je treba biti pozoren na ustrezno spoštovanje določb ZSKZDČEU-1 in omenjene direktive s strani pristojnih organov. Vendar izmenjava podatkov v takšnem primeru ne poteka neposredno med tujim preiskovalnim organom in denimo ponudnikom strežniških storitev, temveč preko mehanizma priznavanja tujih odločb sodnih ali drugih pristojnih organov. Takšne odločbe ali odredbe nato izvršujejo pristojni slovenski organi. Ponudniki gostiteljstva so tudi t.i. ponudniki storitev informacijske družbe v skladu z Zakonom o elektronskem poslovanju na trgu ((Uradni list RS, št. 96/09 – UPB, s sprem. in dop.; v nadaljevanju ZEPT). Četrti odstavek
- člena ZEPT določa, da morajo ponudniki storitev vsem pristojnim organom na njihovo zahtevo najkasneje v roku treh dni od njenega prejema sporočiti podatke, na podlagi katerih je mogoče identificirati prejemnike njihove storitve (ime in priimek, naslov, firma, elektronski naslov). Navedene podatke morajo ponudniki storitev sporočiti zaradi odkrivanja in preprečevanja kaznivih dejanj na podlagi odredbe sodišča, brez odredbe sodišča pa, če tako določa področni zakon. Tudi v tem primeru bi zahtevo po posredovanju podatkov izvrševali slovenski, ne pa tuji preiskovalni ali drugi organi. Nujno je poudariti potrebo po pridobivanju sodne odredbe, razen v primeru izjem. Za pridobivanje podatkov o IP naslovih je v slovenskem pravnem prostoru že dlje časa ustaljena sodna praksa (predvsem od zadeve Benedik proti Sloveniji, v kateri je ESČP ugotovilo kršitev s strani Republike Slovenije, gl. 62357/14), da je za pridobivanje podatkov o dinamičnem IP naslovu in njegovem uporabniku potrebna sodna odredba. IP meni, da je treba določbe Ustave RS razumeti tako, da nudijo varstvo pred posegi v pravico do varstva osebnih podatkov in zasebnosti v Sloveniji vsakomur ne glede na to, ali bi v zasebnost skušali posegati slovenski ali tuji državni organi. Republika Slovenija mora namreč zagotoviti zaščito pred neutemeljenimi, neustavnimi in nezakonitimi posegi v pravico do zasebnost in varstvo osebnih podatkov. Če sklenemo, pravne podlage za posredovanje osebnih podatkov točno določenim organom za točno določene namene pod določenimi pogoji v zakonodaji obstajajo, vendar je treba glede na konkretne okoliščine vsakokratnega primera presoditi, ali so konkretni pozivi za posredovanje osebnih podatkov utemeljeni na določbah zakona, ki veže slovenske ponudnike strežniških storitev. Tega, kot rečeno, IP v mnenju ne more presoditi, tudi sicer pa bi lahko v morebitnem inšpekcijskem postopku preverjal le zakonitost obdelav osebnih podatkov, ki potekajo ali so potekale v preteklosti. Dotlej lahko IP zgolj svetuje, da vaša stranka pred posredovanjem kakršnih koli osebnih podatkov temeljito razišče pravno podlago za zahteve, ki jih prejema, in posreduje osebne podatke izključno, kadar je prepričana v zakonitost zahtevane obdelave osebnih podatkov. V primeru zahtev po posredovanju osebnih podatkov v države izven Evropske unije, pa IP svetuje še dodatno previdnost in upoštevanje določb o iznosu osebnih podatkov v tretje države, kot to določa Splošna uredba o varstvu podatkov. Več o iznosu osebnih podatkov si lahko preberete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/prenos-osebnih-podatkov-v-tretje-dr%C5%BEave-in-mednarodne-organizacije/. Za zaključek vam še svetujemo, da se za pridobivanje informacij glede veljavnih sporazumov o sodelovanju Republike Slovenije z drugimi državami (članicami EU ali s tretjimi državami) obrnete na Ministrstvo za zunanje zadeve RS. Lepo vas pozdravljamo, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026