Seznanitev z lastnimi osebnimi podatki v zbirki data retention - IPRS

Seznanitev z lastnimi osebnimi podatki v zbirki data retention + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.03.2013 Številka: 0712-16/2013/2 Kategorije:Vpogled v lastne OP --> Kategorije: Pravica do seznanitve z lastnimi osebnimi podatki Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je
4. 2013 prejel vaš dopis, v katerem navajate, da ste od naročnika prejeli zahtevo, da mu posredujete izpis osebnih podatkov, ki so vsebovani v zbirkah osebnih podatkov vaše družbe in se nanašajo nanj – izrecno je izpostavil, da želi izpis retencijskih podatkov. Posameznik med drugim želi prejeti podatke (t.i. retencijske podatke), ki jih o njem zbirate v skladu s
5. in
6. členom Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/2012; ZEKom-1). Glede na to, da ste mnenje pooblaščenca na to temo pridobili pred 15.1.2013, ko je začel veljati nov Zakon o elektronskih komunikacijah, vas glede na spremenjene pravne podlage zanima:
7. Ali morate posamezniku na podlagi njegove zahteve posredovati hranjene podatke, ki jih o posamezniku obdelujete na podlagi
8. in
9. člena ZEKom-1, čeprav ZEKom-a omejuje pravice dostopa do podatkov iz retencijske baze?
10. Ali lahko zaradi posredovanja podatkov po ZVOP-1 kršite določila ZEKom-1?
11. Če ste dolžni posamezniku posredovati hranjene podatke iz
12. člena ZEKom-1, ali morate podatke, ki se nanašajo tudi na druge osebe ustrezno prikriti (npr. s prikritjem zadnjih treh številk telefonskih številk, ali pa zadnjih treh številk klicanih telefonskih številk, ker gre za naročnika potrošnika, v skladu s
13. odstavkom
14. člena ZEKom-1 ni potrebno prikriti? V primeru prekrivanja boste primorani posegati v obliko podatkov, kot so shranjeni. Prosite nas za jasen in nedvoumen odgovor, na podlagi katerega boste lahko zahtevi ugodili ali pa jo utemeljeno zavrnili. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
15. tč.
16. odst.
17. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
18. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pooblaščenec je na področju seznanitve z lastnimi osebnimi podatki pritožbeni organ, zato vam dajemo le splošna pojasnila o stališču Pooblaščenca v zvezi z vašimi vprašanji. Pooblaščenec meni, da opredelitev namenov hrambe podatkov ali pravic dostopa do podatkov za tretje (uporabnike osebnih podatkov) še ne pomeni omejitve ustavne in zakonske pravice posameznika do seznanitve z lastnimi osebnimi podatki. ZEKom-1 tudi z drugimi določbami ni omejil pravice posameznika do seznanitve z lastnimi osebnimi podatki, ki jih o njem zbira operater na podlagi določb
19. in
20. člena ZEKom-1, z izjemo določb
21. člena. Posameznik ima na podlagi
22. člena ZEKom-1 možnost, da prepreči prikaz identitete priključka, s katerega kliče, kar je treba obravnavati kot z zakonom določeno izjemo po
23. členu ZVOP-1 glede seznanitve z lastnimi osebnimi podatki. Prav tako posameznik, ki zahteva lastne osebne podatke, ne razpolaga z vsemi podatki o drugih osebah (kot cilju komunikacije), zato do teh podatkov na tej podlagi ni upravičen, saj bi s tem prišlo do posega v pravice in svoboščine drugih. Pooblaščenec zato meni, da operater posamezniku ni dolžan omogočiti seznanitve z nekaterimi podatki, ki so potrebni za prepoznanje cilja komunika¬cije, za druge podatke, ki jih je dolžan hraniti na podlagi določb
24. in
25. člena ZEKom, pa mora posamezniku omogočiti pravico do seznanitve. O b r a z l o ž i t e v: Pooblaščenec uvodoma pojasnjuje, da je na področju seznanitve z lastnimi osebnimi podatki na podlagi
26. al.
27. odst.
28. člena ZInfP pritožbeni organ, zato se izven konkretnega postopka ne more in ne sme konkretno opredeliti do vašega konkretnega vprašanja. V primeru, da posameznik ne bo zadovoljen z vašo odločitvijo o njegovi zahtevi, bo o pritožbi namreč odločal Pooblaščenec. Če bi vam torej dali kakršnakoli konkretna navodila, kako rešiti konkretno zahtevo posameznika, bi s tem prejudicirali odločitev morebitnega pritožbenega postopka, zato vam v nadaljevanju, podajamo zgolj splošna pojasnila o našem splošnem stališču v zvezi z vašimi vprašanji. Ad.1 in 2 Pri podaji odgovora na prvi dve vaši vprašanji je bistveno opraviti presojo relacije med ZEKom-1 in ZVOP-1 in ugotoviti, ali ZEKom-1 omejuje sistemsko pravico posameznika do seznanitve z lastnimi osebnimi podatki. Gre za temeljno pravico posameznika glede varstva osebnih podatkov, ki je opredeljena v
29. odstavku
30. člena Ustave RS, ki določa, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj, in pravico do sodnega varstva ob njihovi zlorabi. ZVOP-1 v
31. členu določa, da je pravice iz
32. člena ZVOP-1 mogoče z zakonom izjemoma omejiti iz razlogov varstva suverenosti in obrambe države, varstva nacionalne varnosti in ustavne ureditve države, varnostnih, političnih in gospodarskih interesov države, izvrševanja pristojnosti policije, preprečevanja, razkrivanja, odkrivanja, dokazovanja in pregona kaznivih dejanj in prekrškov, odkrivanja in kaznovanja kršitev etičnih norm za določene poklice, iz monetarnih, proračunskih ali davčnih razlogov, zaradi nadzora nad policijo in varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih. Pooblaščenec ugotavlja, da ZEKom-1 v
33. odstavku
34. člena določa namene, za katere morajo operaterji hraniti podatke o prometu v javnem komunikacijskem omrežju, in sicer gre za: - namene pridobivanja podatkov v javnem komunikacijskem omrežju, ki jih določa zakon, ki ureja kazenski postopek, - za namene zagotavljanja nacionalne varnosti in ustavne ureditve ter varnostnih, političnih in gospodarskih interesov države, kakor jih določa zakon, ki ureja Slovensko obveščevalno-varnostno agencijo, - in za obrambo države, kakor jih določa zakon, ki ureja obrambo države, hraniti podatke iz
35. člena tega zakona, če jih ustvari ali obdela pri zagotavljanju z njimi povezanih javnih komunikacijskih storitev. Taksativno naštevanje organov, ki so po ZEKom-1 pristojni za dostop do hranjenih prometnih podatkov, je namenjeno predvsem preprečevanju nepooblaščenih dostopov tretjih oseb do podatkov o elektronski komunikaciji posameznika, ni pa namenjeno ščitenju posameznika pred lastnimi osebnimi podatki. Na vprašanje, ali sama opredelitev namenov hrambe podatkov izključuje pravico posameznika do seznanitve z lastnimi osebnimi podatki, je zato Pooblaščenec mnenja, da opredelitev namenov hrambe podatkov in/ali pravic dostopa do podatkov še ne predstavlja omejitve pravice do seznanitve z lastnimi osebnimi podatki. Ad contrario bi namreč pomenilo, da vsak zakon, ki določa (in po Ustavi tudi mora) namen obdelave osebnih podatkov oz. opredeljuje pravice dostopa do podatkov, že tudi omejuje pravico posameznika do dostopa do teh podatkov, če ta namen oz. pravica ni izrecno našteta. Pooblaščenec je mnenja, da je tudi zato, da ne bi vsak zakon posebej urejal pravice do seznanitve, ta pravica urejena na sistemski ravni z določbami ZVOP-1 in da mora drug zakon izrecno omejiti pravico posameznika do seznanitve z lastnimi podatki, omejitve pa so lahko predpisane le iz razlogov in pod pogoji, ki so taksativno našteti v
36. člena ZVOP-
37. Kot primer lahko navedemo ureditev iz Zakona o Slovenski obveščevalno-varnostni agenciji (Ur. l. RS št. 81/06; ZSOVA), ki v
38. členu izrecno omejuje pravice posameznika do seznanitve z lastnimi osebnimi podatki.
39. odstavek
40. člen ZSOVA določa, da kadar agencija zbira osebne in druge podatke po določbah
41. člena tega zakona, o tem ni dolžna obvestiti posameznika, na katerega se podatki nanašajo, posameznik pa nima pravice do vpogleda v zbirko osebnih podatkov. Ti pravici posameznika se lahko omejita na način iz
42. odstavka
43. člena ZSOVA le, če bi to onemogočilo ali otežilo izvršitev naloge. V takšnem primeru lahko na zahtevo direktorja agencije upravljavci zbirk osebnih podatkov seznanijo osebo, na katero se osebni podatki nanašajo, šele po preteku petih let od posredovanja podatkov agenciji. V nadaljevanju je zato treba preveriti, ali vsebuje ZEKom-1 druge določbe, ki bi omejevale zadevno pravico posameznika. Določbe
44. odstavka
45. člena ZEKom-1, ki se nanašajo na razčlenjeni račun, za naročnike potrošnike ne zahtevajo, da bi za varovanje zasebnosti kličočih uporabnikov, ki so fizične osebe, in klicanih naročnikov, operater moral izpustiti ali prekriti zadnja tri mesta klicanih telefonskih številk. Pooblaščenec drugih določb ZEKom-1, ki bi (lahko) omejile pravico posameznika do seznanitve z lastnimi osebnimi podatki ni našel. Glede na navedeno je Pooblaščenec mnenja, da ZEKom-1 ni omejil pravice posameznika do seznanitve z lastnimi osebnimi podatki, ki jih o njem zbira operater na podlagi določb
46. in
47. člena ZEKom-1, z izjemo določenih podatkov, kot pojasnjujemo v nadaljevanju. Operater mora kot upravljavec osebnih podatkov namreč upoštevati, da se ta pravica posameznika nanaša samo na posameznikove osebne podatke in mora pri izvrševanju te pravice paziti, da posamezniku ne omogoči dostopa do podatkov, ki bi pomenili poseg v varstvo pravic in svoboščin drugih (njihovih osebnih podatkov). Treba se je namreč zavedati, da zbirka podatkov, ki jo operaterji hranijo na podlagi določb
48. člena vsebuje podatke, ki se nanašajo tako na vir komunikacije kot na cilj komunikacije in se posledično nanašajo na različne posameznike. V zvezi s tem se zastavlja vprašanje, ali je posameznik upravičen do podatkov tako o odhodnih kot o dohodnih komunikacijah (klicih in sporočilih). Posameznik ima namreč pravico do seznanitve s podatki, ki se nanašajo nanj, ne pa tudi do podatkov, ki se nanašajo na druge osebe. Vsekakor gre v primerih seznanitve z lastnimi osebnimi podatki, ki se nanašajo na komunikacijsko zasebnost posameznika, za mejne primere, saj je podatek o tem, da sta dva posameznika komunicirala drug z drugim, vedno in tipično osebni podatek vsakega od obeh posameznikov. Pooblaščenec je glede tega mnenja, da se mora posameznik, ki kliče določeno telefonsko številko, zavedati, da s tem razkriva svojo telefonsko številko klicanemu, pri tem pa to, ali si je klicani njegovo številko shranil ali ne, ali njegov aparat to omogoča in za koliko časa to omogoča, ni relevantno, pomembno pa je, ali je klicatelj vklopil funkcijo (t.i. CLIR), ki pre¬prečiti prikaz identitete (t.i. CLIP). Klicatelj ima namreč na podlagi določbe
49. odstavka
50. člena ZEKom-1 možnost pre¬prečiti prikaz identitete priključka. Isto določa
51. člen Direktive 2002/58/ES Evropskega parlamenta in Sveta z dne
52. julija 2002 o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (Direktiva o zasebnosti in elektronskih komunikacijah; v nadaljevanju Direktive). Recital 34 Direktive določa, da kar zadeva identiteto kličočega, je treba zaščititi pravico klicatelja, da zavrne prikaz identitete priključka, s katerega kliče, in pravico poklicanega, da zavrne klice z neprepoznanih priključkov. V posebnih primerih pa je prikrivanje prikaza identitete kličočega upravičeno. Nekateri naročniki, zlasti telefonski priključki za klice v nuji in podobne organizacije, želijo zajamčiti anonimnost svojih klicateljev. Kar zadeva prikaz identitete priključka v zvezi, je treba zaščititi pravico in legitimne interese klicočega, da zavrne prikaz identitete priključka, na katerega je klicatelj dejansko priključen, zlasti v primeru predanih klicev. Operater posamezniku ni dolžan omogočiti seznanitve z določenimi podatki o dohodnih klicih, kot je podatek o identiteti klicatelja, če je ta preprečil prikaz identitete, saj bi s tem lahko posegel v varstvo pravic in svoboščin drugih. Podobno bi operater posegel v varstvo pravic in svoboščin drugih, če bi posamezniku (kot klicani osebi) razkril lokacijo klicatelja, ki jo sicer prav tako hrani med retencijskimi podatki. Pooblaščenec zato meni, da operater posamezniku ni dolžan omogočiti seznanitve z določenimi (ne pa vsemi) podatki, ki so potrebni za prepoznanje cilja komunikacije, saj bi s tem lahko posegel v varstvo pravic in svoboščin drugih, in sicer posamezniku, ki nastopa v vlogi vira komunikacije, na njegovo zahtevo ne sme razkriti naslednjih podatkov, ki so potrebni za prepoznanje cilja komunika¬cije: • pri telefonskih storitvah v fiksnem in mobilnem omrežju o imena in naslova naročnika ali registriranega uporabnika (klicatelja), o lokacije klicatelja, ko je klical (ID celice), o IMEI številke (mednarodne identitete mobilnega terminala) klicatelja, • pri dostopu do elektronske pošte in uporabi telefonije prek internetnega protokola o imena in naslova naročnika ali registriranega uporabnika kot namembnega prejemnika komunikacije. Prav tako posamezniku, ki nastopa v vlogi cilja komunikacije ne sme razkriti podatkov, ki so potrebni za odkritje in prepoznanje vira komunikacije: • pri telefonskih storitvah v fiksnem in mobilnem omrežju o telefonske številke kličočega, če je ta preprečil prikaz identitete priključka ter imena in naslova naročnika ali registriranega uporabnika. Povedano nekoliko enostavneje, posameznik ne bi smel z izvrševanjem pravice do seznanitve z lastnimi osebnimi podatki izvedeti naslednje podatke iz zbirke po
53. členu ZEKom-1: o imena in naslova osebe, ki ga je klicala, o lokacije osebe, ki ga je klicala, o IMEI številke telefona osebe, ki ga je klicala, o lokacije osebe, ki ga je klicala (ko ga je klicala), o imena in naslova osebe, kateri je poslal e-pošto ter o telefonske številke osebe, ki ga je klicala, če je to številko pri klicu zakrila. S pridobitvijo navedenih podatkov bi se namreč posameznik seznanil z osebnimi podatki drugih oseb, te podatke pa so druge osebe bodisi aktivno in zakonito zakrile (npr. prikaz identitete klicatelja) bodisi posameznik, ki vlaga zahtevo, z njimi (še) ne razpolaga (npr. lokacija klicatelja na začetku klica, njegovo ime ali naslov). Seznanitev z drugimi podatki, ki jih je dolžan hraniti na podlagi
54. in
55. člena ZEKom-1, pa mora omogočiti na posameznikovo zahtevo, saj s tem po mnenju pooblaščenca ne posega v varstvo pravic tretjih oseb. Ad.3 Glede na odgovor na prejšnji vprašanji Pooblaščenec meni, da niste dolžni prikrivati zadnjih treh telefonskih številk, temveč je bistveno upoštevati omejitve, ki se nanašajo na določene kategorije podatkov, kot smo pojasnili zgoraj. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026