Posredovanje podatkov o IP naslovu bralca - IPRS

Posredovanje podatkov o IP naslovu bralca + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.02.2014 Številka: 0712-1/2014/711 Kategorije:Policijski postopki --> Kategorije: Policijski postopki Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po elektronski pošti prejel vaš dopis, v katerem navajate, da ste od policije prejeli zaprosilo za posredovanje podatkov o enemu od komentatorjev na spletni strani vaše radijske postaje, ki naj bi v šest različnih zapisih v času od septembra do decembra 2013, narejenih pod določenim psevdonimom, storil kaznivo dejanje razžalitve oz. žaljive obdolžitve zoper župana vaše občine. Policija prosi za:
3. ime, priimek in naslov uporabnika, telefonsko številko, ter datum oz. uro registracije;
4. IP številko, s katere je uporabnik opravil registracijo, oz. objavil vsakega od šestih zapisov;
5. kdaj in od kje je bil ustvarjen uporabnikov profil. Pri tem se sklicuje na pooblastilo po
6. odstavku 149.b člena Zakona o kazenskem postopku. Zanima vas, ali ste jim navedene podatke tudi dolžni posredovati. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
7. točke
8. odstavka
9. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
10. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pooblaščenec meni, da morate podatke iz
11. in
12. točke policiji posredovati na podlagi njenega pisnega zaprosila, podatke iz
13. točke pa šele na podlagi odredbe preiskovalnega sodnika. Ponudnik spletne strani mora v skladu z
14. odstavkom Zakona o elektronskem poslovanju (ZEPT) vsem pristojnim organom na njihovo zahtevo najkasneje v treh dneh sporočiti zahtevane podatke, na podlagi katerih je mogoče identificirati uporabnike njihove storitve. Zahteva organa mora biti oprta na veljavno pravno podlago. V primeru, ko policija posredovanje omenjenih podatkov zahteva zaradi odkrivanja in preprečevanja kaznivih dejanj, mora imeti za to podlago v Zakonu o kazenskem postopku (ZKP). ZKP v
15. odstavku
16. člena določa, da sme policija zaradi odkrivanja uradno pregonljivih kaznivih dejanj zahtevati potrebna obvestila od oseb. Dalje ZKP v
17. odstavku 149.b člena specifično določa, da lahko policija na podlagi odredbe preiskovalnega sodnika od operaterja elektronskih komunikacij (po ZEKom-1) pridobi podatke o prometu v elektronskem komunikacijskem omrežju, oz. v
18. odstavku 149.b člena določa, da lahko policija na podlagi pisne zahteve od operaterja elektronskih komunikacij (po ZEKom-1) pridobi podatke o lastniku ali uporabniku določenega komunikacijskega sredstva, in o času, v katerem je tako sredstvo bilo oziroma je v uporabi. V kolikor se policijski zahtevki za posredovanje podatkov torej nanašajo na podatke, za dostop do katerih je v skladu z drugimi določbami ZKP ali Ustave potrebna sodna odredba, mora policija zahtevi priložiti prepis izreka o sodne odredbe. Upoštevaje, da
19. odstavek 149.b člena po mnenju MNZ, MP, MIZŠ in Pooblaščenca ni veljavna podlaga za zahtevanje podatkov od ponudnikov po ZEPT, ter da podatek o IP naslovu, preko katerega je uporabnik spletne strani uporabil določeno storitev te spletne strani, predstavlja prometni podatek, za posredovanje katerega je v skladu z določbo
20. člena Ustave in prakso Ustavnega sodišča RS potrebna sodna odredba, ponudnik spletne strani podatkov o IP naslovih svojih uporabnikov po mnenju Pooblaščenca ne sme posredovati brez sodne odredbe. Okoliščina, da ukrep pridobivanja podatkov o prometu od ponudnikov spletnih strani v ZKP-ju trenutno ni izrecno urejen, v skladu s sodbo Vrhovnega sodišča I Ips 46/2011 oz. načelnim pravno mnenjem občne seja VS RS z dne
21. in 19.6.1996 ne more biti ovira za izdajo takšne odredbe, oz. za pridobivanje zadevnih podatkov brez sodne odredbe. Ostale zahtevane podatke (konkretno datum in čas registracije uporabnika, ter kraj registracije, če z njima razpolaga), mora ponudnik spletne strani po mnenju Pooblaščenca policiji posredovati na podlagi zahteve po
22. odstavku
23. člena ZKP. Ponudnik spletne strani ni dolžan hraniti prometnih podatkov o uporabnikih spletne strani. Obrazložitev:Pooblaščenec uvodoma opozarja, da se očitani kaznivi dejanji razžalitve po
24. oz. žaljive obdolžitve po
25. členu Kazenskega zakonika (Uradni list RS, št. 50/2012 – UPB2, v nadaljevanju KZ-1) v skladu s
26. členom KZ-1 (posebne določbe o pregonu) preganjata na zasebno tožbo, razen v primeru, če sta bili storjeni proti državnemu organu ali občinskemu ali pokrajinskemu organu ali proti uradni ali vojaški osebi v zvezi z opravljanjem njune službe v tem organu - kjer se pregon začne na predlog, in potem nadaljuje po uradni dolžnosti. V kolikor bi se sporni zapisi na vaši spletni strani torej nanašali na župana kot zasebnika, ali ne bi bili v zvezi z njegovim delom, za postopanje policije po
27. odstavku 149.b člena Zakona o kazenskem postopku (Uradni list RS, št. 32/2012 – UPB8, in 47/2013, v nadaljevanju ZKP) ne bi bilo pravne podlage, saj je omenjeni ukrep dovoljen le v zvezi s kaznivimi dejanji, ki se preganjajo po uradni dolžnosti. Presojo, ali je kriterij
28. odstavka
29. člena izpolnjen, opravi pristojni državni tožilec oz. kasneje sodišče, zato se Pooblaščenec v to vprašanje ne spušča in podaja mnenje pod predpostavko, da so kriteriji za pregon po uradni dolžnosti tudi podani. Kot izhaja iz policijskega zaprosila, ki ga prilagate vašemu dopisu, naj bi policijska preiskava tekla zavoljo šestih objav v rubriki »pisma bralcev« na vaši spletni strani http://www.primorskival.si/pisma.php. Rubrika je zasnovana kot javna oglasna deska, za pošiljanje komentarja (»pisma«) pa je potrebna vnaprejšnja prijava (in še pred tem registracija). Pooblaščenec preveri, katere osebne podatke vaša spletna stran zbira oz. obdeluje, ter nato poda mnenje glede njihovega posredovanja policiji. Uporabnik mora ob registraciji navesti uporabniško ime, geslo, ter e-poštni naslov, na katerega potem prejme potrditveni e-mail. Datum in čas registracije se tipično zabeležita v zalednem sistemu, ni pa nujno. Isto velja za datum in čas objave komentarja (pisma). IP naslov ob registraciji oz. podaji komentarja se tipično beleži in hrani v dnevniških zapisih (logih) na gostujočem strežniku, in še ločeno v zalednem sistemu; oboje spet ne nujno. Na podlagi pregleda izvorne kode ne izhaja, da bi spletna stran uporabljala katerega od popularnih CMS-jev, ampak po vsej verjetnosti lastno rešitev, zato Pooblaščenec o zbiranju datuma registracije oz. IP naslovov ob registraciji oz. objavi komentarja na konkretni spletni strani ne more sklepati. Pogoji uporabe spletne strani ne opredeljujejo, katere podatke se zbira, za katere namene, ter za kako dolgo. Pooblaščenec zato priporoča, da se navedeno v skladu z
30. oz.
31. členom Zakona o varstvu osebnih podatkov ustrezno navede. Pri tem so upravljavcu lahko v pomoč voljo Smernice Informacijskega pooblaščenca glede varstva osebnih podatkov na spletnih forumih , glej posebej povzetek na strani 23, kjer opozarjamo, da ponudnik spletne strani nima dolžnosti hrambe prometnih podatkov o svojih uporabnikih (v smislu obveznosti po XIII. poglavju ZEKom-1, ki bremeni operaterje elektronskih komunikacij); da naj zatorej o svojih uporabnik zbira zgolj tiste podatke osebne, ki jih nujno potrebuje, ter jih hrani najkrajši še potrebni čas; da naj v pravilih spletne strani jasno opredeli, katere osebne podatke zbira, za kateri namen, ter kako dolgo se hranijo; ter da lahko osebne podatke uporabnikom posreduje le za to upravičenim osebam. Upoštevaje navedeno Pooblaščenec:
32. glede podatkov iz prve točke zaprosila ugotavlja, da ob registraciji ni potrebno navesti osebnega imena ali priimka, poštnega naslova, ali telefonske številke. Datum in čas registracije se tipično zabeležita v zalednem sistemu, ni pa nujno. E-poštni naslov se beleži, vendar policija zanj ne prosi.
33. glede podatkov iz druge točke zaprosila, se pravi IP številke, s katerih je uporabnik opravil registracijo oz. potem objavil vsakega od šestih zapisov, Pooblaščenec opozarja, da gre v tem primeru za tehnični podatek v zvezi s konkretnim obiskom spletne strani in torej prometni podatek, ne pa morebiti podatek o uporabniku . Prometni podatki so slovenskem pravnem redu zaščiteni dvojno, prvič kot osebni podatek (
34. člen Ustave) in drugič v okviru pravice do varstva zasebnosti pisem in drugih občil (
35. člen Ustave). Posledično lahko upravljavec spletne strani podatek o IP naslovu, v kolikor ga že zabeleži , hrani in obdeluje le toliko časa, kolikor je to nujno potrebno za dosego namena, za katerega je bil podatek zbran. Po preteku tega roka mora biti podatek izbrisan oz. anonimiziran. Upoštevaje, da se IP naslov tipično rabi predvsem za preprečevanje neželenih obiskov (pajki, DDOS, idr.), bo ta rok praviloma kratek, tj. v dnevih ali kvečjemu nekaj tednih. Zanašanje na relativno dolgotrajne privzete roke hrambe dnevniških datotek pri priljubljenih spletnih oz. aplikacijskih strežnikih ne more biti razlog za daljšo oz. trajno hrambo podatka o uporabnikovem IP naslovu. Dalje Pooblaščenec v zvezi s tem še enkrat poudarja, da upravljavec podatka o IP naslovu ni dolžan hraniti; pravzaprav, hrani ga lahko le, če ga hoče in če ima za to veljavno pravno podlago (
36. –
37. člen ZVOP-1), in še potem le toliko časa, kot ga rabi zavoljo dosega namena (
38. oz.
39. člen ZVOP-1). Obenem je smiselno, da ponudnik, upoštevaje določbe ZVOP-1 o pošteni in zakoniti oz. sorazmerni obdelavi osebnih podatkov iz
40. oz.
41. člena ZVOP-1, razmisli, ali lahko spletno stran upravlja brez hrambe tega podatka. Zoper nezakonite ali drugače nezaželene komentarje, se je denimo mogoče boriti z dobro zastavljeno moderacijsko politiko, ne nujno blokado uporabnikov na podlagi njihovega (že tako dinamičnega) IP naslova.
42. glede podatkov iz tretje točke zaprosila Pooblaščenec ugotavlja, da se čas, ko je bil ustvarjen zadevni uporabnik po vsej verjetnosti beleži (kot v predprejšnjem odstavku), kraj pa ne. Kraj bi bilo mogoče evt. ugotoviti na podlagi uporabnikove IP številke (geolokacija), vendar to v stroki ne velja kot pretirano zanesljiva metoda. Pooblaščenec se potem opredeli do pravne podlage za posredovanje navedenih podatkov. Krovni predpis za posredovanje osebnih podatkov je Zakon o varstvu osebnih podatkov (ZVOP-1). ZVOP-1 v
43. členu določa, da mora upravljavec osebnih podatkov proti plačilu stroškov posredovanja, če zakon ne določa drugače, posredovati osebne podatke uporabnikom osebnih podatkov. Dostavek »če zakon ne določa drugače«, je pri tem potrebno razumeti tako, da mora imeti uporabnik, ki prosi za posredovanje, tudi veljavno pravno podlago po členih
44. do
45. ZVOP-
46. Za prosilce iz javnega sektorja, kamor spada policija, v skladu s prvim odstavkom
47. členom ZVOP-1 velja, da mora obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določati zakon . Pooblastile policije na splošno ureja Zakon o nalogah in pooblastilih policije (ZNPPol). ZNPPol v
48. členu (obveznost posredovanja podatkov) določa, da če policisti zaradi opravljanja policijskih nalog zbirajo osebne in druge podatke o osebah iz obstoječih zbirk podatkov, jim morajo državni organi in pravne osebe [..] zaradi izvajanja pristojnosti in nalog iz tega zakona ter zaradi varstva in učinkovitega uresničevanja interesov pravne države, na podlagi pisne ali podobne izkazljive zahteve brezplačno posredovati zahtevane osebne in druge podatke. Pooblastilo po tem členu torej samo po sebi še ni dovolj, ampak se mora naslanjati na nek drug predpis, ki določa konkretne policijske naloge. Policija se v svojem zaprosilu sklicuje na tretji odstavek 149.b člena Zakona o kazenskem postopku, tj. temeljnega procesnega zakona, ki celovito ureja področje odkrivanja in preiskovanja kaznivih dejanj (s strani policije, tožilstva, oz. sodišča). Vendar omenjeni člen, v skladu z mnenjem Pooblaščenca, Ministrstva za notranja zadeve, Ministrstva za pravosodje, ter Ministrstva za Izobraževanje, znanost in šport , zadeva zgolj pridobivanje podatkov od operaterja elektronskih komunikacijskih storitev po Zakonu o elektronskih komunikacijah (ZEKom-1), ne pa tudi ponudnika spletne strani. Posledično omenjeni 149.b člen ZKP ne more biti podlaga za posredovanje nobenih podatkov o uporabniku spletne strani. Lahko pa policija določene podatke od ponudnika zahteva na podlagi
49. odstavka
50. člena ZKP (splošno pooblastilo za zbiranje obvestil). To velja zgolj za podatke, ki niso posebej varovani po
51. členu ustave . Omenjena dikcija je skladna tudi z določbo
52. odstavka
53. člena Zakona o elektronskem poslovanju na trgu (Uradni list RS, št. 96/2009-UPB2, v nadaljevanju ZEPT), ki ureja delovanje ponudnikov storitev informacijske družbe; torej tudi ponudnikov spletnih strani. ZEPT tam določa, da morajo ponudniki storitev informacijske družbe »vsem pristojnim organom na njihovo zahtevo najkasneje v roku treh dni od njenega prejema sporočiti podatke, na podlagi katerih je mogoče identificirati prejemnike njihove storitve (ime in priimek, naslov, firma, elektronski naslov). Navedene podatke morajo ponudniki storitev sporočiti zaradi odkrivanja in preprečevanja kaznivih dejanj na podlagi odredbe sodišča, brez odredbe sodišča pa, če tako določa področni zakon«. Odsek v krepkem po mnenju Pooblaščenca prvenstveno pomeni, da mora biti za vsako posredovanje podatkov o uporabniku storitve (spletne strani) podana veljavna pravna podlaga. Zanjo mora v prvi vrsti poskrbeti prosilec za posredovanje osebnih podatkov. Pri tem ni nujno, da je prosilec policija. Direktiva EU o elektronskem poslovanju , ki je bila podlaga za sprejem izvornega ZEPT v letu 2006, glede odgovornosti ponudnikov storitev informacijske družbe (členi 12-14) dovoljuje, da »da sodišče ali upravni organ skladno s pravnimi sistemi držav članic od ponudnika storitve zahteva ustavitev ali preprečitev kršitev«. Izvorni ZEPT je v
54. odstavku
55. člena tako določal, da »Zakon lahko določi, da mora ponudnik storitev na zahtevo pristojnega organa razkriti podatke, na podlagi katerih je možno identificirati prejemnika njegove storitve«. Kot prosilec je torej lahko nastopil, upoštevaje seveda že zapisano o pogojih za poseg v komunikacijsko zasebnost, tudi upravni organ, npr. inšpekcijska služba. Novela ZEPT-A, sprejeta 2009, je potem prav na pobudo MNZ-Policije spremenila dikcijo odstavka, tako da je precizirala, kateri podatki se morajo posredovati, ter v katerem roku. Dalje je v drugi povedi istega odstavka še natančneje določila pravno podlago za primere, ko se posredovanje zahteva »zaradi odkrivanja in preprečevanja kaznivih dejanj« (se pravi, v okviru kazenskega postopka). V tem primeru je posredovanje dovoljeno le na podlagi odredbe sodišča, razen če področni zakon določa, da je posredovanje dovoljeno brez odredbe sodišča. Posledično se v ostalih primerih - npr. v inšpekcijskem postopku, postopku po prekršku, ali pravdnem postopku - ta omejitev ne uporablja, ampak je potrebno upoštevati omejitve področnega zakona (ter seveda, še enkrat, ustavne norme, med drugim glede pogojev za poseg v komunikacijsko zasebnost). Glede tega je jasen tudi predlagatelj zakona, ki v komentarju k
56. členu novele ZEPT-A, s katero je bil tako spremenjen
57. člen ZEPT, zapiše: »Določba je zaradi lažjega odkrivanja in preprečevanja kaznivih dejanj namenjena jasnejšemu prenosu možnosti, ki jo nudi člen 15 direktive o elektronskem poslovanju, vse ob izkazani potrebi po izboljšavi ureditve s strani Ministrstva za notranje zadeve, hkrati pa ne posega v obstoječe pravne podlage iz področnih zakonov. Tako ta sprememba v ničemer ne ovira obstoječe pravice pristojnih inšpekcijskih organov, da na podlagi
58. odstavka
59. člena Zakona o inšpekcijskem nadzoru pridobijo nekatere podatke o uporabnikih spletne strani (npr. ime in priimek ali e-poštni naslov, ne seveda prometnih podatkov). Ker v danem primeru gre za posredovanje podatkov o uporabnikih spletne strani »zaradi odkrivanja in preprečevanja kaznivih dejanj«, je glede potrebe po sodni odredbi potrebno osvetliti prav določbe »področnega zakona«, to je Zakona o kazenskem postopku, in, v kolikor le te ne ponujajo neposrednega odgovora, še Ustave Republike Slovenije in prakso slovenskih sodišč. ZKP v
60. člena tako, inter alia, določa, da sme policija – samostojno, tj. brez sodne odredbe – pri preiskovanju uradno pregonljivega kaznivega dejanja (kot skrajno zgoraj) zbirati obvestila (kot zgoraj) ali pregledati dokumentacijo pravnih oseb (oboje
61. odstavek). Dalje sme osumljenca po predhodnem opozorilu o njegovih pravicah zaslišati (bodisi po
62. odstavku
63. člena bodisi po 148.a členu), ga fotografirati, mu odvzeti prstne odtise in pod določenimi pogoji še bris ustne sluznice (
64. odstavek
65. člena), oz. zoper njega po ustrezni avtorizaciji uporabiti večje število prikritih preiskovalnih ukrepov (čl.149.a in sledeči). Pridobivanje podatkov o prometu v elektronskem komunikacijskem omrežju specifično ureja 149.b člen. Prvi odstavek omogoča pridobivanje podatkov o prometu v elektronskem komunikacijskem omrežju od operaterja, na podlagi odredbe preiskovalnega sodnika. Tretji odstavek omogoča pridobivanje podatkov o uporabniku elektronskega komunikacijskega sredstva za elektronski komunikacijski promet, ter o času, ko je bilo to sredstvo v uporabi, spet od operaterja, na podlagi pisne zahteve policije. A kot že rečeno zgoraj, se po mnenju več državnih inštitucij, ki so tako ali drugače pristojne za vprašanja kazenskega postopka oz. elektronskih komunikacij, pojem »operater« v tem členu nanaša izključno na operaterja elektronskih komunikacij (ponudnika mobilne telefonije, interneta, idr.) v smislu ZEKom-
66. Tako izhaja tudi iz novele ZKP-K