Pridobivanje podatkov iz evidence registriranih vozil s strani detektivov

Datum

24.06.2025

Številka

07121-1/2025/809

Kategorije

Pravne podlage, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede pridobivanja podatkov iz evidence registriranih vozil s strani detektiva.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Detektiv v skladu s prvim odstavkom 33. člena ZDD-2 opravlja detektivsko dejavnost na podlagi pisnega pooblastila naročnika, iz katerega je razvidno delovno področje iz tega zakona, namen in obseg danega pooblastila. Za opravljanje svoje dejavnosti mora detektiv torej imeti ustrezno pisno pooblastilo naročnika.

Kontrolo prevoza na delo in z dela ter s tem povezano obdelavo osebnih podatkov delavcev lahko delodajalec izvaja sam, lahko pa za kontrolo najame detektiva, saj v skladu z 9. točko drugega odstavka 34. člena

ZDD-2

sodi v detektivovo delovno področje med drugim tudi pridobivanje informacij o zlorabah uveljavljanja pravice do povračila stroškov prevoza na delo in z dela.

V skladu s 37. členom ZDD-2 ima detektiv v okviru pisnega pooblastila naročnika ali odredbe sodišča pravico pridobivati podatke iz uradnih evidenc, če je do tega upravičen naročnik ali če to izrecno določa ZDD-2 ali drug zakon.

IP meni, da detektivi ne bi smeli imeti v delu, ki se nanaša na obdelave osebnih podatkov in druge oblike posegov v zasebnost, pooblastil, ki bi presegala pravne podlage za zakonito pridobivanje osebnih podatkov ali drugih oblik posegov v zasebnosti posameznika s strani naročnika. Detektiv tako na podlagi 37. člena ZDD-2 ne sme zbirati podatkov iz evidenc, če do tega ni upravičen naročnik, ki je nanj prenesel to pooblastilo, ali če tega izrecno ne določa ZDD-2 ali drug zakon. Obseg pridobivanja osebnih podatkov iz evidenc v skladu s 37. členom ZDD-2 je torej določen oziroma omejen na način, da lahko detektiv pridobiva osebne podatke le v obsegu, ki ga določa ZDD-2 ali drug zakon, v preostalem delu pa le v obsegu, do katerih je upravičen naročnik.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presoja glede zakonitosti oziroma ustreznosti obdelave je na vsakem upravljavcu posebej (v konkretnem primeru na upravni enoti).

IP nadalje pojasnjuje, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

Ker IP tako ni pristojen za nadzor nad zakonitostjo vodenja upravnih in drugih postopkov upravnih enot in se posledično ne more opredeljevati do ugotovitvenega postopka v konkretnih zadevah, ki jih rešujejo upravne enote, je mnenje IP le načelno oziroma splošno. IP tako splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca, ki mora pri tem upoštevati konkretne okoliščine in namene obdelave. Sama obdelava osebnih podatkov mora potekati na eni od pravnih podlag, ki jih določa prvi odstavek 6. člena Splošne uredbe. V skladu s tem je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

IP splošno pojasnjuje, da glede obdelave osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 - ZIUPOPDVE, 119/21 - ZČmlS-A, 202/21 - odl. US, 15/22, 54/22 – ZUPŠ-1, 114/23, 136/23 – ZIUZDS; v nadaljevanju: ZDR-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšna obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Nadalje ZDR-1 v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

IP nadalje pojasnjuje, da je kontrola prevoznih stroškov v določenih primerih potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja. Določba prvega odstavka 130. člena ZDR-1 namreč predpisuje, da mora delodajalec delavcu zagotoviti povračilo stroškov za prehrano med delom, za prevoz na delo in z dela ter povračilo stroškov, ki jih ima pri opravljanju določenih del in nalog na službenem potovanju. Kontrolo prevoza na delo in z dela ter s tem povezano obdelavo osebnih podatkov delavcev lahko delodajalec izvaja sam, lahko pa za kontrolo najame detektiva, saj v skladu z 9. točko drugega odstavka 34. člena Zakona o detektivski dejavnosti (Uradni list RS, št. 95/24; v nadaljevanju: ZDD-2) sodi v detektivovo delovno področje med drugim tudi pridobivanje informacij o zlorabah uveljavljanja pravice do povračila stroškov prevoza na delo in z dela.

IP nadalje pojasnjuje, da lahko detektiv opravlja dejavnosti na področjih, ki so določena z ZDD-2. Na podlagi 33. člena ZDD-2 detektiv opravlja detektivsko dejavnost na podlagi pisnega pooblastila naročnika, iz katerega je razvidno delovno področje iz tega zakona, namen in obseg danega pooblastila. V primeru sklenjene pogodbe med detektivom in naročnikom mora biti pooblastilo priloga pogodbe.

Za opravljanje svoje dejavnosti mora detektiv torej imeti ustrezno pisno pooblastilo naročnika. Ta lahko na detektiva prenese samo tiste pravice, ki jih ima sam. Pravica detektiva za pridobivanje informacij in podatkov izhaja torej iz naročnikovega naročila, kar pomeni, da detektiv nima pravice samostojno zbirati, obdelovati, shranjevati in uporabljati informacij in podatkov, za katere ga naročnik ni pisno pooblastil. Naročnik tako ne more preko detektiva pridobivati osebnih podatkov, za obdelavo katerih sam nima pravne podlage. Pooblastilo za pridobivanje osebnih podatkov preko detektiva je torej možno zgolj v obsegu, za katerega ima sam naročnik pravno podlago.

Upravičenja, ki jih zakon podeljuje detektivu, so določena v 35. členu ZDD-2:

·pridobivanje podatkov od oseb ali iz javno dostopnih virov;

·pridobivanje podatkov iz evidenc;

·pridobivanje podatkov z osebno zaznavo;

·uporaba tehničnih sredstev.

Detektiv v skladu z drugim odstavkom 35. člena ZDD-2lahko opravlja storitve za naročnika samo v okviru detektivovega delovnega področja, določenega v tem zakonu (v 34. členu).

V skladu s 37. členom ZDD-2 ima detektiv v okviru pisnega pooblastila (ta mora vsebovati delovno področje iz 34. člena ZDD-2, namen in obseg danega pooblastila) naročnika ali odredbe sodišča pravico pridobivati podatke iz uradnih evidenc, če je do tega upravičen naročnik ali če to izrecno določa ZDD-2 ali drug zakon. Detektiv lahko za posamezno osebo obdeluje naslednje osebne podatke, ki so potrebni za opravljanje detektivske dejavnosti: ime in priimek, naslov bivališča, EMŠO ali davčno številko, razen če posamezna točka tega odstavka ne določa drugače. Podatke pridobi iz določenih zbirk osebnih podatkov in evidenc, med drugim tudi iz evidence registriranih vozil iz zakona, ki ureja motorna vozila (podatki o posameznem vozilu, ki morajo biti navedeni na prometnem dovoljenju, in o lastniku vozila ali osebi, na katero je vozilo registrirano). Če se detektivova zahteva nanaša na posredovanje podatkov iz evidence registriranih vozil, je upravljavec zbirke podatkov dolžan detektivu posredovati podatke v treh delovnih dneh od prejema detektivove pisne zahteve. Detektiv mora zahtevi priložiti tudi fotokopijo pisnega pooblastila ali odredbe sodišča.

IP pojasnjuje, da lahko detektiv v prejšnjem odstavku navedene podatke pridobi na način in po postopku, kot ga določa 41. člen ZVOP-2. V skladu s prvim odstavkom 41. člena ZVOP-2 mora zahteva za posredovanje osebnih podatkov, če drug zakon ne določa drugače, vsebovati naslednje podatke:

1.podatke o vlagatelju zahteve (v primeru pravne osebe: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih podatkov.

IP na podlagi navedenega meni, da detektivi ne bi smeli imeti v delu, ki se nanaša na obdelave osebnih podatkov in druge oblike posegov v zasebnost, pooblastil, ki bi presegala pravne podlage za zakonito pridobivanje osebnih podatkov ali drugih oblik posegov v zasebnosti posameznika s strani naročnika. Zakonskih pooblastil detektiva tako nikakor ne gre tolmačiti na način, da bi ta lahko ogrožal zakonsko ali ustavno varovane pravice posameznikov oziroma da bi lahko detektiv izvajal določene aktivnosti oziroma obdelave osebnih podatkov, ki jih sam naročnik zakonito ne sme. IP zato izpostavlja, da detektiv na podlagi 37. člena ZDD-2 ne sme zbirati podatkov iz evidenc, če do tega ni upravičen naročnik, ki je nanj prenesel to pooblastilo, ali če tega izrecno ne določa ZDD-2 ali drug zakon (tak zakon pa mora biti skladen z Ustavo). Detektiv tako lahko dostopa le do tistih osebnih podatkov, za dostop do katerih ima pravno podlago naročnik oziroma povedano drugače - naročnik na detektiva ne more prenesti pooblastila, s katerim ne razpolaga. Obseg pridobivanja osebnih podatkov iz evidenc v skladu s 37. členom ZDD-2 je torej določen oziroma omejen na način, da lahko detektiv pridobiva osebne podatke le v obsegu, ki ga določa ZDD-2 ali drug zakon, v preostalem delu pa le v obsegu, do katerih je upravičen naročnik.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni navedeni pogoji za obdelavo podatkov, ki jih navajate v vašem zaprosilu za mnenje oziroma za njihovo posredovanje s strani upravne enote. IP ob tem ponavlja, da konkretno presojo zakonitosti obdelave osebnih podatkov v posameznem primeru lahko opravi le v okviru nadzornega ali drugega upravnega postopka.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka