Osebni podatki novinarjev v varovani koloni vozil uradne delegacije RS

Datum

26.07.2023

Številka

07120-1/2023/365

Kategorije

Mediji, Policijski postopki, Posredovanje osebnih podatkov, Pravne podlage, Privolitev, Uradni postopki

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Zanima vas, ali lahko oziroma kako naj Urad Vlade Republike Slovenije za komuniciranje (UKOM) od novinarjev, udeležencev medijskega dogodka v tujini, ki se nanj odpravijo v varovani koloni vozil skupaj z uradno delegacijo Republike Slovenije, vnaprej zbira in posreduje osebne podatke, ki jih varnostni organ za vsakega udeleženca kolone zahteva ob vstopu varovane kolone vozil v tujo državo oziroma za zagotavljanje varnosti in lažjo organizacijo posameznega medijskega dogodka.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20; v nadaljevanju ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Ustrezna pravna podlaga je odvisna od namena obdelave osebnih podatkov.

Iz določb ZNDM-2 ni razbrati pravne podlage, da bi osebne podatke novinarjev, ki se zahtevajo za prehod državne meje, zbiral UKOM in jih vnaprej posredoval policiji. Prav tako UKOM ni zadolžen za zagotavljanje varnosti na določenem medijskem dogodku, zato tovrstnih osebnih podatkov novinarjev najverjetneje ne bi smel zbirati za lasten namen, prav tako pa je vprašljivo, če bi to morebiti lahko storil v imenu pristojnega (domačega ali tujega) organa.

Pravno podlago za obdelavo osebnih podatkov novinarjev, ki je potrebna za namen organizacije in izvedbe medijskega dogodka, bi lahko predstavljala točka e) prvega odstavka 6. člena Splošne uredbe v zvezi s četrtim odstavkom 6. člena ZVOP-2 ali 93. člen ZVOP-2.

Predpostavka za posredovanje osebnih podatkov je, da upravljavec z njimi razpolaga. ZVOP-2 je predvidel poseben postopek za posredovanje osebnih podatkov, ki ga izvedejo osebe javnega sektorja, in sicer v 39. členu v zvezi z 41. členom ZVOP-2. Organ, ki želi pridobiti osebne podatke novinarjev, bi moral tako v zahtevi med drugim izkazati pravno podlago za njihovo posredovanje ter navesti namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve.

Obrazložitev

IP uvodoma poudarja, da izven nadzornega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da v okviru mnenja ne more ocenjevati zakonitosti posameznih obdelav osebnih podatkov niti ne more prevzemati svetovalne vloge, kako organizirati konkretne poslovne procese oziroma na kakšen način v konkretnih primerih ustrezno ravnati. Zato v nadaljevanju izpostavlja le usmeritve, ki so vam lahko pri tem v pomoč.

Kot pojasnjujete, bi osebne podatke novinarjev, ki se bodo udeležili medijskega dogodka v tujini in so prisotni v varovani koloni vozil skupaj z uradno delegacijo Republike Slovenije, zbirali in posredovali policiji oziroma drugemu varnostnemu organu zaradi zahtev ob vstopu v tujo državo ter zaradi zagotavljanja varnosti in lažje organizacije in izvedbe medijskih dogodkov.

IP pojasnjuje, da morate imeti za vsako obdelavo osebnih podatkov novinarjev zakonito pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe (privolitev, izvajanje pogodbe, zakonska obveznost itn.). Ustrezna pravna podlaga je odvisna tudi od namena obdelave osebnih podatkov.

V prvi vrsti je zato treba razlikovati med 1) obdelavo osebnih podatkov, ki je potrebna za mejno kontrolo ob prestopu državne meje, 2) obdelavo, ki je potrebna za zagotavljanje varnosti na določenem medijskem dogodku, in 3) obdelavo, ki je potrebna za namen organiziranja takšnega dogodka.

Organizacija in način opravljanja nadzora državne meje ter mednarodno policijsko sodelovanje je urejeno v Zakonu o nadzoru državne meje (Uradni list RS, št. 35/10 – uradno prečiščeno besedilo, 15/13 – ZNPPol, 5/17, 68/17, 47/19, 139/20, 161/21 in 29/22; v nadaljevanju ZNDM-2). Mejna kontrola se opravi izključno ob nameravanem prestopu državne meje in praviloma na območju mejnega prehoda, kjer policist opravlja mejno kontrolo (prvi odstavek 28. člena in prvi odstavek 33. člena ZNDM-2). Policist, ki opravlja mejno kontrolo, sme med drugim zahtevati predložitev veljavnih dokumentov, ki so potrebni za prestop državne meje ter opraviti kontrolo potnikov. Glede na navedene določbe IP ne razbere pravne podlage, da bi osebne podatke novinarjev, ki se zahtevajo za prehod državne meje, zbiral UKOM in jih vnaprej posredoval policiji.

Glede na zakonske pristojnosti in delovne naloge UKOM tudi ni zadolžen za zagotavljanje varnosti na določenem medijskem dogodku, saj je to praviloma dolžnost policije oziroma drugega varnostnega organa. Zato tovrstnih osebnih podatkov novinarjev najverjetneje ne bi smel zbirati za lasten namen, prav tako pa je vprašljivo, če bi to morebiti lahko storil v imenu pristojnega (domačega ali tujega) organa. Zakon o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19 in 153/21 – odl. US; v nadaljevanju ZNPPol) v 3. poglavju denimo ureja policijska pooblastila za varovanje določenih oseb in objektov. Tako skladno s prvim odstavkom 98. členom ZNPPol policisti varujejo določene osebe, prostore, objekte in okoliše objektov, ki so posebnega državnega pomena, skladno s petim odstavkom istega člena pa so morajo državni organi in osebe iz prvega in drugega odstavka tega člena policiji posredovati podatke in informacije, ki bi lahko vplivale na varnost ali na opravljanje policijskih nalog za zagotavljanje varnosti teh oseb, prostorov, objektov in okolišev objektov. Policija sme na podlagi 99. člena ZNPPol izvajati varnostne preglede oseb oziroma na podlagi 101. člena ZNPPol akreditacijski postopke (omejeno varnostno preverjanje za zagotavljanje varnosti določenim varovanim osebam v prostorih posebnega pomena ali objektih, kjer bodo potekali določeni dogodki državnega pomena) ter s tem namenom obdelovati predpisane osebne podatke. Vsebinsko podobne določbe in pristojnosti glede varovanja najverjetneje vsebujejo tudi druge nacionalne zakonodaje.

Drugače pa velja za obdelavo osebnih podatkov novinarjev z namenom organizacije in izvedbe določenega medijskega dogodka. Če bi takšna obdelava spadala v domet vaših zakonitih pristojnosti in nalog, bi morda lahko temeljila na določbi točke e) prvega odstavka 6. člena Splošne uredbe (obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu) v zvezi s četrtim odstavkom 6. člena ZVOP-2, če se s to obdelavo ne bi poseglo v upravičen interes novinarjev. Kot izhaja iz mnenja Delovne skupine za varstvo podatkov po členu 29 št. 6/2014 (WP 217), pa ima pravna podlaga po členu 7(e) Direktive 95/46/ES, kar še vedno velja tudi za smiselno enako podlago po točki e) prvega odstavka 6. člena Splošne uredbe, lahko zelo široko področje uporabe, zaradi česar sta potrebna stroga razlaga in v vsakem posameznem primeru jasna opredelitev zadevnega javnega interesa in javne oblasti, ki upravičuje obdelavo.

Pravno podlago za obdelavo osebnih podatkov novinarjev s strani UKOM pa bi lahko predstavljal tudi 93. člen ZVOP-2, ki ureja vprašanje, kako pridobiti in nadalje obdelovati osebne podatke za udeležbo na uradnih dogodkih. Skladno s to določbo lahko oseba iz javnega ali zasebnega sektorja uporablja kontaktne podatke posameznikov, ki jih je zbrala iz javno dostopnih virov ali v okviru izvrševanja svojih javnih nalog ali so ji jih posamezniki, na katere se nanašajo, prostovoljno razkrili ali dali privolitev, za namene organiziranja uradnih srečanj, izobraževanj, usposabljanj in dogodkov, določanja sestav ali delovanje komisij, svetov, delegacij in drugih podobnih dejavnosti javnega sektorja, dajanja izjav za javnost, razen izvajanja neposrednega trženja. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, pa morajo biti ločene od drugih zbirk osebnih podatkov, ki nastanejo pri izvrševanju zakonitih pristojnosti, nalog ali obveznosti. Za namene iz prejšnjega odstavka lahko oseba javnega sektorja uporablja le naslednje osebne podatke: osebno ime, telefonsko številko, naslov elektronske pošte ali drugo komunikacijsko številko oziroma oznako, podatke o delodajalcu ali organizaciji ter podatke o področju dela, položaju, funkciji, članstvu v klubu ali hobiju posameznika, na katerega se nanašajo osebni podatki. Na podlagi privolitve posameznika lahko oseba javnega sektorja za iste namene obdeluje tudi naslov stalnega ali začasnega prebivališča in druge osebne podatke, posebne vrste osebnih podatkov pa le izjemoma in če ima za to izrecno privolitev posameznika.

Novinarje bi morali o izbrani pravni podlagi, pa tudi o nekaterih drugih informacijah o obdelavi (na primer kakšen je namen za obdelavo, komu se osebne podatke posreduje, koliko časa se bodo osebni podatki hranili), skladno s 13. oziroma 14. členom Splošne uredbe prav tako ustrezno seznaniti.

IP nadalje izpostavlja, da je predpostavka za posredovanje osebnih podatkov dejstvo, da upravljavec z njimi (zakonito) razpolaga. ZVOP-2 je predvidel poseben postopek za posredovanje osebnih podatkov, ki ga izvedejo osebe javnega sektorja, in sicer v 39. členu v zvezi z 41. členom ZVOP-2. Osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom tega zakona, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona (razen če drug zakon določa drugače). Prejemnik podatkov sme osebne podatke obdelovati samo za namen, za uresničevanje katerega se mu posredujejo. Upravljavec vlagatelju zahteve, če drug zakon ne določa drugače, zahtevane osebne podatke posreduje najpozneje v 15 dneh od prejema popolne zahteve ali pa ga v tem roku pisno obvesti o razlogih, zaradi katerih mu zahtevanih osebnih podatkov ne bo posredoval; če pa upravljavec ne ravna v skladu s prejšnjim odstavkom, se šteje, da je zahteva zavrnjena (drugi in tretji odstavek 41. člena ZVOP-2). Četrti odstavek 41. člena ZVOP-2 nadalje določa, da kadar je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ (torej IP). V nadaljevanju je glede odločitve IP možen tudi upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek.

Glede na navedeno bi moral torej tisti organ, ki želi pridobiti osebne podatke novinarjev, v zahtevi med drugim izkazati pravno podlago za njihovo posredovanje ter navesti namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve. Zgolj pojasnilo, da »po nepotrebnem otežujete organizacijo in izvedbo dogodka«, za utemeljitev zahteve ne zadostuje. Prav tako bi pri takšnem posredovanju osebnih podatkov tujim organom lahko prišle v poštev določbe V. poglavja Splošne uredbe o prenosih. Ker pa kot upravljavec poznate konkretne okoliščine primera in ste sami odgovorni za zakonitost obdelave osebnih podatkov, vam IP natančnejšega odgovora v mnenju ne more podati.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka