Obdelava OP iz identifikacijskih dokumentov

Datum

17.03.2023

Številka

07121-1/2023/372

Kategorije

Biometrija, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov iz identifikacijskih dokumentov in uporabe biometrije.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

ZVOP-2 v drugem odstavku 94. člena možnost prepisa, kopiranja ali druge obdelave osebnih podatkov iz uradnih identifikacijskih dokumentov posameznika za namen njegove identifikacije veže na izvajanje z zakonom predpisane naloge.

IP meni, da določbe drugega odstavka 94. člena ZVOP-2 ne gre interpretirati ozko v smislu, da kot pravna podlaga za obdelavo podatkov iz uradnih identifikacijskih dokumentov za namen identifikacije posameznika lahko prideta v poštev zgolj točki (c) in (e) prvega odstavka 6. člena Splošne uredbe, ampak je kot možno pravno podlago za v tem odstavku opisano obdelavo osebnih podatkov iz uradnih identifikacijskih dokumentov treba upoštevati tudi druge pravne podlage iz 6. člena Splošne uredbe.

Iz določbe drugega odstavka 83. člena ZVOP-2 izhaja možnost, da se v zasebnem sektorju biometrični osebni podatki za namen varstva točnosti identitete strank pod pogoji iz tega člena izvajajo tudi na podlagi pogodbe s posameznikom (stranko).

IP v okviru neobvezujočega mnenja ne more presojati skladnosti konkretnih rešitev s predpisi s področja varstva osebnih podatkov.

IP posebej opozarja na določbo prvega odstavka 83. člena ZVOP-2, ki določa, da morajo biti dejanja obdelave biometričnih osebnih podatkov v zasebnem sektorju potrjena v skladu z 52. členom ZVOP-2.

Obrazložitev

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretne rešitve, ki ste jo opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali drugem upravnem postopku. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je na samem upravljavcu osebnih podatkov.

IP pojasnjuje, da ZVOP-2 v prvem odstavku 94. člena določa, da smejo upravljavec, obdelovalec ali uporabnik za namen identifikacije posameznika, ali za namen zagotavljanja točnosti in posodobljenosti osebnih podatkov, vpogledati v njegove uradne identifikacijske dokumente. Drugi odstavek istega člena določa, da sme upravljavec, ki izvaja z zakonom predpisano nalogo, za namen identifikacije posameznika tudi prepisati, kopirati ali drugače obdelati podatke iz njegovih uradnih identifikacijskih dokumentov. ZVOP-2 torej možnost prepisa, kopiranja ali druge obdelave osebnih podatkov iz uradnih identifikacijskih dokumentov posameznika za namen njegove identifikacije, veže na upravljavčevo izvajanje z zakonom predpisane naloge. Kot pravni podlagi bi tako v poštev prišli točki (c) in (e) prvega odstavka 6. člena Splošne uredbe oziroma prvega in drugega odstavka 6. člena ZVOP-2.

IP pa ob tem izpostavlja tudi določbe Zakona o osebni izkaznici (Uradni list RS, št. 35/11, 41/21, 199/21; v nadaljevanju: ZOIzk-1) in Zakona o potnih listinah (Uradni list RS, št. 29/11 – UPB; v nadaljevanju: ZPLD-1). ZOIzk-1 v 4. členu določa, da smejo upravljavci zbirk osebnih podatkov osebne izkaznice kopirati samo v primerih, ki jih določa zakon. Izjemoma je kopiranje osebne izkaznice dopustno že na podlagi določb ZOIzk-1 brez izrecne podlage v drugem področnem zakonu. Poleg tega pa je osebno izkaznico za vnaprej določene namene dovoljeno kopirati tudi na podlagi pisne privolitve imetnika osebne izkaznice. Podobno tudi ZPLD-1 v 4.a členu določa, da smejo potne listine kopirati upravljavci zbirk osebnih podatkov samo v primerih, ki jih določa zakon. Potno listino v skladu z drugim odstavkom navedenega člena lahko poleg njenega imetnika kopirajo notarji in finančne družbe, ki opravljajo finančne storitve, če jo potrebujejo za dokazovanje istovetnosti državljana v konkretnem postopku. V skladu s tretjim odstavkom pa je potno listino za vnaprej določene namene dovoljeno kopirati tudi na podlagi pisne privolitve imetnika potne listine. V primerih, ki niso opisani v drugem in tretjem odstavku 4.a člena, je za ugotavljanje istovetnosti, državljanstva oziroma kontrolo točnosti podatkov, dopusten vpogled v potno listino imetnika; kadar je to potrebno, pa tudi prepis osebnih podatkov z nje.

Iz navedenih določb ZOIzk-1 in ZPLD-1 izhaja, da je osebno izkaznico oziroma potni list za vnaprej določene namene dopustno kopirati tudi na podlagi pisne privolitve njenega imetnika. Prav tako je za točno določene namene (med drugim tudi ugotavljanje istovetnosti) dopusten vpogled v osebno izkaznico oziroma potno listino imetnika; kadar je to potrebno, pa tudi prepis osebnih podatkov z dokumentov.

Tudi z ozirom na opisano ureditev dveh temeljnih uradnih identifikacijskih dokumentov, ki med drugim kot pravno podlago za njuno kopiranje določa tudi privolitev njunega imetnika v smislu točke (a) 6. člena Splošne uredbe, IP meni, da določbe drugega odstavka 94. člena ZVOP-2 ne gre interpretirati ozko v smislu, da kot pravna podlaga za obdelavo podatkov iz uradnih identifikacijskih dokumentov za namen identifikacije posameznika lahko prideta v poštev zgolj točki (c) in (e) prvega odstavka 6. člena Splošne uredbe, ampak je kot možno pravno podlago za v tem odstavku opisano obdelavo osebnih podatkov iz uradnih identifikacijskih dokumentov treba upoštevati tudi druge pravne podlage iz 6. člena Splošne uredbe, torej tudi izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe.

Glede biometrije IP splošno pojasnjuje, da obdelava fotografije posameznika sama po sebi (še) ne šteje za obdelavo biometričnih osebnih podatkov, saj fotografije spadajo v kategorijo biometričnih osebnih podatkov le, kadar so obdelane s posebnimi tehničnimi sredstvi, ki omogočajo edinstveno identifikacijo ali avtentikacijo posameznika. IP v okviru neobvezujočega mnenja ne more presojati, ali gre v konkretnem primeru, opisanem v vašem zaprosilu za mnenje, za obdelavo biometričnih podatkov.

IP nadalje pojasnjuje, da ZVOP-2 v prvem odstavku 81. člena določa, da je obdelava biometričnih osebnih podatkov v nasprotju z določbami 4. poglavja II. dela ZVOP-2 prepovedana. Nadalje ZVOP-2 v prvem odstavku 83. člena določa, da se obdelava biometričnih osebnih podatkov v zasebnem sektorju lahko izvaja le v skladu z določbami 83. člena ZVOP-2, če je to nujno potrebno za opravljanje dejavnosti, za varnost ljudi, varnost premoženja, varovanje tajnih podatkov ali varovanje poslovnih skrivnosti. Dejanja obdelave biometričnih osebnih podatkov morajo biti potrjena v skladu z 52. členom ZVOP-2. V skladu z drugim odstavkom istega člena oseba zasebnega sektorja lahko obdeluje biometrične osebne podatke zaradi varstva točnosti identitete svojih strank. Taka obdelava je dopustna, če to za namene varovanja interesov iz prejšnjega odstavka določa drug zakon, če to posebej določa pogodba ali so stranke dale izrecno privolitev. IP pojasnjuje, da so navedeni pogoji alternativni in tako iz navedene določbe izhaja možnost, da se v zasebnem sektorju biometrični osebni podatki za namen varstva točnosti identitete strank pod pogoji iz tega člena izvajajo tudi na podlagi pogodbe s posameznikom (stranko). Ob tem IP opozarja, da drugi odstavek 83. člena ZVOP-2 določa še, da kadar se biometrični osebni podatki obdelujejo na podlagi pogodbe s potrošnikom, mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, omogočiti tudi način identifikacije brez obdelave biometričnih osebnih podatkov. Tretji odstavek 83. člena ZVOP-2 pa določa, da se sme obdelava biometričnih osebnih podatkov v zasebnem sektorju izvajati tudi pod pogojem, da so dejanja obdelave teh podatkov stranke pod njenim izključnim nadzorom ali njeno izključno oblastjo ter potrjena v skladu s pristojnostmi nadzornega organa za potrjevanje iz 52. člena ZVOP-2 in omogoča stranki, da izrecno dovoli obdelavo teh podatkov drugim obdelovalcem in upravljavcem za namen dokazovanja točnosti svoje identitete.

IP ponavlja, da v okviru neobvezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru.

Lepo vas pozdravljamo,

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka