Pridobivanje podatkov od policije na podlagi ZZasV-1

Datum

10.11.2023

Številka

07121-1/2023/1402

Kategorije

Policijski postopki, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Zanima vas, ali določbe ZZasV-1 dajejo podlago za naknadno pridobivanje podatkov od policije izključno za namene vnosa le-teh v evidenco o uporabi ukrepov varnostnika in drugih sredstev iz četrtega odstavka 82. člena ZZasV-1. Opisujete, da podatke oseb dobite na kraju v okviru ugotavljanja istovetnosti ter jih v skladu z ZZasV-1 vnesete v evidenco. Če pa kršitelj odkloni ugotavljanje istovetnosti, kasneje istovetnost ugotovijo policisti. Navajate, da se v skladu s šestim odstavkom 57. člena ZZasV-1 iz te evidence obdelujejo samo podatki o: »vrsti, času in kraju uporabe ukrepov varnostnika ali drugih sredstev, obveščanje policije, razlog uporabe, osebno ime varnostnika, ki je ukrep uporabil, posledice uporabe ter oceno zakonitosti in strokovnosti uporabljenega ukrepa«. Ker se podatki o kršiteljih torej ne obdelujejo, menite, da posredovanje podatkov o kršiteljih s strani policije zgolj z namenom vpisa v evidenco o uporabi ukrepov varnostnika in drugih sredstev ni v skladu pravili o varstvu osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20; v nadaljevanju ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Čeprav v ZZasV-1 ni neposredne pravne podlage za naknadno posredovanje osebnih podatkov osebe s strani policije imetnikom licence oziroma varnostnikom za vnos v evidenco o uporabi ukrepov varnostnika in drugih sredstev iz 4. odstavka 82 člena ZZasV-1, bi bila v primeru, ko varnostnik ne ugotovi istovetnosti osebe ob uporabi ukrepa, ta lahko podana upoštevajoč določbe ZVOPOKD o posredovanju osebnih podatkov, tretji odstavek 40. člena ZNPPol in tretji odstavek 12. člena Pravilnika o izvajanju Zakona o zasebnem varovanju.

IP sicer meni, da bi moral ZZasV-1 za opisano situacijo posredovanje osebnih podatkov z namenom vnosa v evidenco določati jasneje in upoštevaje načelo najmanjšega obsega podatkov.

V okviru mnenja IP ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, saj je ta presoja odgovornost upravljavca osebnih podatkov.

Obrazložitev

IP uvodoma opozarja, da je odgovornost za zakonito obdelavo osebnih podatkov na upravljavcu, ki mora biti zakonitost obdelave tudi zmožen dokazati. V okviru mnenja pa lahko IP poda le splošne usmeritve, saj izven konkretnih nadzornih postopkov ne more presojati ustreznosti določene obdelave (npr. posredovanja) z vidika skladnosti s predpisi s področja varstva osebnih podatkov oziroma utemeljenosti konkretnih zahtev za posredovanje osebnih podatkov.

Vsak upravljavec mora imeti za obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. V drugem odstavku istega člena pa je med drugim določeno, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave. Podobno določa prvi odstavek 6. člena ZVOPOKD, ki velja za obdelave osebnih podatkov s strani organov, pristojnih za področja preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij za namene izvrševanja teh pristojnosti. Obdelava osebnih podatkov za namene iz prvega odstavka 1. člena tega zakona je po tej določbi zakonita le, če je potrebna in v obsegu, v katerem je potrebna, za opravljanje nalog pristojnih organov, določenih z zakonom, ter če vrste osebnih podatkov, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen obdelave in rok hrambe ali rok za redni pregled potrebe po hrambi določa zakon.

Zakon o zasebnem varovanju (Uradni list RS, št. 17/11; v nadaljevanju: ZZasV-1) v 45. členu določa ukrepe, ki jih sme ob določenih pogojih uporabiti varnostnik pri opravljanju nalog zasebnega varovanja. Med temi ukrepi je tudi ugotavljanje istovetnosti. V skladu z drugim odstavkom 57. člena ZZasV-1 je imetnik licence dolžan v primerih iz prvega odstavka 57. člena ZZasV-1 najkasneje v 48 urah od uporabe ukrepov in drugih sredstev o tem pisno poročati policijski postaji, na območju katere so bili uporabljeni. Pisno poročilo o uporabi ukrepov varnostnika, ki ga pripravi varnostni menedžer, mora vsebovati podatke, ki jih za posamezno evidenco določa četrti odstavek 82. člena ZZasV-1. Ta določa, da evidenca o uporabi ukrepov varnostnika in drugih sredstev vsebuje: podatke o vrsti ukrepa varnostnika (zadržanje, uporaba fizične sile, sredstev za vklepanje in vezanje), uporabi plinskega razpršilca ali strelnega orožja; razlogu uporabe; o varnostniku, ki je ukrep uporabil (osebno ime, rojstni podatki, EMŠO ter naziv in sedež imetnika licence); o osebi, zoper katero je bil ukrep uporabljen (osebno ime, rojstni podatki, stalno ali začasno prebivališče); času in kraju; času obveščanja in predaje osebe policiji; morebitnih telesnih poškodbah in ocena o zakonitosti in strokovnosti uporabljenega ukrepa. Poročilo imetnika licence policiji torej med drugim vsebuje tudi podatke o osebi, zoper katero je bil ukrep uporabljen (osebno ime, rojstni podatki, stalno ali začasno prebivališče).

Šesti odstavek 57. člena ZZasV-1, na katerega se sklicujete, določa, da mora skupno poročilo o uporabi ukrepov varnostnika iz prejšnjega odstavka vsebovati podatke o vrsti, času in kraju uporabe ukrepov varnostnika ali drugih sredstev, obveščanje policije, razlog uporabe, osebno ime varnostnika, ki je ukrep uporabil, posledice uporabe ter oceno zakonitosti in strokovnosti uporabljenega ukrepa. V tej določbi res ni navedenega podatka o osebi, zoper katero je bil ukrep uporabljen. Vendar pa IP izpostavlja, da gre pri tem za poročilo, ki se posreduje reprezentativnemu združenju, in ne za vsebino evidence po četrtem odstavku 82. člena ZZasV-1.

12. člen Pravilnika o izvajanju Zakona o zasebnem varovanju (Uradni list RS, št. 100/11) določa, da, kadar je potrebno pisno poročanje v skladu s 57. členom zakona, varnostnik ugotovi istovetnost osebe (osebno ime, rojstne podatke ter stalno ali začasno prebivališče). Če so podani razlogi, zaradi katerih ne more ugotoviti istovetnosti osebe, ali bi bilo nevarno, da na kraju zadržanja ugotavlja istovetnost zadržane osebe, varnostnik pridobi podatke od policije neposredno na kraju uporabe ukrepa ali pa policijo naknadno zaprosi za podatke.

Kot opozarjate, v obravnavanem primeru ZZasV-1 izrecno res ne določa namena posredovanja osebnih podatkov (npr. vnos v evidenco), namen obdelave pa mora biti vedno določen v zakonu. Pri posredovanju podatkov s strani policije pa je treba upoštevati tudi določbe Zakona o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19 in 153/21 – odl. US, v nadaljevanju ZNPPol) in ZVOPOKD. Skladno s prvim odstavkom 67. člena ZVOPOKD je posredovanje osebnih podatkov s strani pristojnega organa drugi osebi javnega sektorja ali s strani druge osebe javnega sektorja pristojnemu organu dovoljeno, če je za posredovanje podana pravna podlaga v skladu s 6., 7. ali 8. členom tega zakona. Pristojni organ oziroma druga oseba javnega sektorja, ki se ji osebni podatki posredujejo, osebne podatke obdeluje samo za namen, za katerega so ji bili posredovani. Postopek posredovanja osebnih podatkov je urejen v 69. členu ZVOPOKD. ZNPPol pa v tretjem odstavku 40. člena določa, da smejo policisti ugotavljati identiteto osebe in posredovati njene podatke tudi na upravičeno zahtevo uradnih oseb ter nosilcev javnih pooblastil, če je to nujno za izvajanje pooblastil teh uradnih oseb ali za zagotavljanje njihove varnosti. Namen posredovanja podatkov o identiteti imetniku licence oziroma varnostniku je torej lahko podan v tej določbi, saj je ustrezno izpolnjevanje zakonsko predpisane evidence po oceni IP mogoče šteti kot izvajanje javnega pooblastila.

Glede na navedeno IP meni, da v ZZasV-1 res ni neposredne pravne podlage za naknadno posredovanje osebnih podatkov kršiteljev imetnikom licence za vnos v evidenco o uporabi ukrepov varnostnika in drugih sredstev iz 4. odstavka 82 člena ZZasV-1. Kljub temu pa ni izključeno, da bi bila pravna podlaga lahko podana upoštevajoč tudi določbe ZVOPOKD o posredovanju osebnih podatkov, tretji odstavek 40. člena ZNPPol in tretji odstavek 12. člena Pravilnika o izvajanju Zakona o zasebnem varovanju. Če zakon namreč določa obvezno vsebino evidence, pravilnik način pridobivanja teh podatkov, policija pa ima pravno podlago za posredovanje osebnih podatkov o identiteti osebe na upravičeno zahtevo nosilcev javnih pooblastil, če je to nujno za izvajanje pooblastil teh uradnih oseb, je namreč mogoče, da je za obravnavano posredovanje osebnih podatkov podana pravna podlaga. Podobno stališče je IP zavzel tudi v mnenju št. 07120-1/2023/230 z dne 19. 4. 2023.

Stališče, »da določbe ZZasV-1 ne dajejo podlage za naknadno pridobivanje podatkov od policijskih postaj izključno za namene vnosa te-teh v evidenco o uporabi ukrepov varnostnika in drugih sredstev iz 4. odstavka 82 člena ZZasV-1«, se zato zdi preozko, da bi nanj oprli načelno prepoved naknadnega pridobivanja podatka o identiteti osebe s strani varnostnika od policije v primeru, ko varnostnik ne ugotovi istovetnosti osebe ob uporabi ukrepa, saj je treba upoštevati tudi zgoraj izpostavljene določbe drugih zakonov ter pravilnika. Ob tem IP dodaja, da je bil ZZasV-1 sprejet še pred ZVOP-2 in ZVOPOKD in bi bilo primerneje, da bi sporno posredovanje osebnih podatkov z namenom vnosa v evidenco izrecno oziroma jasno določil upoštevaje načelo najmanjšega obsega podatkov. Vendar pa je treba do sprejetja ustreznejše zakonske ureditve upoštevati nekoliko širše tolmačenje obstoječe zakonodaje.

Sklepno IP ponovno poudarja, da v okviru mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov