Posredovanje podatkov o uporabniku telekomunikacijskih storitev na zahtevo inšpektorata

Datum

30.12.2024

Številka

07120-1/2024/463

Kategorije

Posredovanje osebnih podatkov, Telekomunikacije in pošta, Uradni postopki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste prejeli prošnjo inšpektorata za posredovanje osebnih podatkov, ki pa po vašem mnenju ne izpolnjuje pogojev iz 40. in 41. člena ZVOP-2. Posebej izpostavljate, da vam inšpektor ni sporočil informacij v skladu s 3. alinejo 1. odstavka 41. člena, torej informacij glede namena obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve. Ko ste jih na to opozorili, se je inšpektorat skliceval na 19. člen ZIN, kar izpolnjuje pogoj glede pravne podlage iz 2. alineje 1. odstavka 41. člena ZVOP-2, vendar prošnje niso dopolnili z drugimi zahtevanimi informacijami iz prvega odstavka 41. člena ZVOP-2.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP glede na sistematiko obeh zakonov, torej ZVOP-2 in ZIN, ter namen določb drugega odstavka 19. člena ZIN ter 40. člena ZVOP-2 ugotavlja, da gre za dva različna pravna režima, od katerih en določa posredovanje osebnih podatkov na splošno (ZVOP-2), drugi pa je namenjen izvrševanju zakonskih pristojnosti inšpektorata kot specifični in specialni obliki posredovanja osebnih podatkov. IP meni, da je treba zato določbo drugega odstavka 19. člena ZIN šteti kot specialno določbo, torej kot določbo v smislu prvega odstavka 40. člena ZVOP-2, ki vsebuje odstopanje z dostavkom »razen če zakon določa drugače.«

IP zato meni, da je treba zahtevo inšpektorja obravnavati v celoti po določbah ZIN.

Ne glede na navedeno pa IP meni, da bi morala vsaka zahteva za posredovanje osebnih podatkov vedno vsebovati podatke o tem, kdo jih zahteva, pravno podlago in namen ter obseg (vrste) zahtevanih podatkov. Navedeno je nujno z vidika, da upravljavec, ki ima osebne podatke, lahko presodi utemeljenost zahteve z vidika sorazmernosti. Tudi inšpektorji lahko namreč zahtevajo le podatke, ki so potrebni in primerni za konkreten primer in konkretno pravno podlago, zato mora biti zahteva za posredovanje osebnih podatkov v določeni meri obrazložena, četudi ne na podlagi 39. ali 40. člena ZVOP-2.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Prvi odstavek 40. člena ZVOP-2 določa, da osebe zasebnega sektorja posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače.

Po drugi strani obstaja določba drugega odstavka 19. člena Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – uradno prečiščeno besedilo in 40/14; v nadaljevanju ZIN), ki določa, da morajo pravne in fizične osebe, zoper katere se ne vodi inšpekcijski postopek, in ki razpolagajo z domnevnimi dokazi oziroma drugimi, tudi osebnimi podatki, potrebnimi za izvedbo inšpekcijskega nadzora, na zahtevo inšpektorja posredovati dokaze in druge, tudi osebne podatke, oziroma morajo omogočiti zaslišanje prič za pridobitev teh dokazov ali drugih, tudi osebnih podatkov, najkasneje v treh dneh od prejema njegove zahteve.

Namen izvajanja inšpekcijskih pooblastil oziroma vodenja inšpekcijskega nadzora določa ZIN v prvem odstavku 2. člena, kjer je opredeljeno, da je inšpekcijski nadzor nadzor nad izvajanjem oziroma spoštovanjem zakonov in drugih predpisov. 7. člen ZIN vsebuje tudi načelo sorazmernosti in določa, da morajo inšpektorji opravljati svoje naloge tako, da pri izvrševanju svojih pooblastil posegajo v delovanje pravnih in fizičnih oseb le v obsegu, ki je nujen za zagotovitev učinkovitega inšpekcijskega nadzora.

Nesodelovanje z inšpektorjem je v skladu ZIN tudi sankcionirano, in sicer se lahko v skladu z 38. členom ZIN izreče globa za prekršek, kadar pravna oseba v nasprotju z drugim odstavkom 19. člena ZIN ne posreduje dokazov in drugih, tudi osebnih podatkov, oziroma ne omogoči zaslišanja prič najkasneje v treh dneh od prejema zahteve inšpektorja. Pravno varstvo zoper poziv inšpektorja ni predvideno, možna je le izjasnitev v morebitnem postopku zaradi prekrška zaradi neposredovanja oziroma pravno sredstvo proti takšni odločbi o prekršku.

Po drugi strani je v primeru postopka po 39. ali 40. členu ZVOP-2 možna zavrnitev zahteve za posredovanje osebnih podatkov, vlagatelj zahteve pa lahko v primeru nestrinjanja z zavrnitvijo vloži pritožbo oziroma sodno varstvo, kot je postopkovno opredeljeno v drugem do četrtem odstavku 41. člena ZVOP-2.

IP glede na sistematiko obeh zakonov, torej ZVOP-2 in ZIN, ter namen določb drugega odstavka 19. člena ZIN ter 40. člena ZVOP-2 ugotavlja, da gre za dva različna pravna režima, od katerih en določa posredovanje osebnih podatkov na splošno (ZVOP-2), drugi pa je namenjen izvrševanju zakonskih pristojnosti inšpektorata kot specifični in specialni obliki posredovanja osebnih podatkov. IP meni, da je treba zato določbo drugega odstavka 19. člena ZIN šteti kot specialno določbo, torej kot določbo v smislu prvega odstavka 40. člena ZVOP-2, ki vsebuje odstopanje z dostavkom »razen če zakon določa drugače.« Eden najpomembnejših argumentov za takšno razlikovanje je mehanizem, ki nastopi v primeru zavrnitve posredovanja osebnih podatkov. Zakonodajalec brez dvoma ni imel namena predpisati postopka s pritožbo ali nepravdnim sodnim postopkom za inšpektorje, ki izvršujejo svoje pristojnosti pri nadzoru nad izvajanjem oziroma spoštovanjem zakonov in drugih predpisov. Enako po našem mnenju velja za policijo, ko izvršuje pristojnosti po ZNPPol, in sodišče, ko pridobiva podatke po različni procesni zakonodaji.

Ne glede na vse navedeno pa IP meni, da bi morala vsaka zahteva za posredovanje osebnih podatkov vedno vsebovati podatke o tem, kdo jih zahteva, pravno podlago in namen ter obseg (vrste) zahtevanih podatkov. Navedeno je nujno z vidika, da upravljavec, ki ima osebne podatke, lahko presodi utemeljenost zahteve z vidika sorazmernosti. Tudi inšpektorji lahko namreč zahtevajo le podatke, ki so potrebni in primerni za konkreten primer in konkretno pravno podlago, zato mora biti zahteva za posredovanje osebnih podatkov v določeni meri obrazložena, četudi ne na podlagi 39. ali 40. člena ZVOP-2.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav.

vodja mednarodnega sodelovanja