Obdelava OP s strani policije

Datum

16.01.2024

Številka

07121-1/2024/37

Kategorije

Policijski postopki, Pravica do seznanitve z lastnimi osebnimi podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave vaših osebnih podatkov s strani policije.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti.

Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov.

Splošna uredba pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki ureja v 15. členu, Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj pa v 24. členu.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem postopku, ko so znane vse okoliščine posameznega primera.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Področno pravno podlago za obdelavo osebnih podatkov s strani policije predstavlja Zakon o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19, 153/21 – odl. US; v nadaljevanju: ZNPPol). V skladu s 33. členom ZNPPol je zbiranje in obdelava podatkov eno od policijskih pooblastil, ki jih smejo policisti izvajati ob opravljanju policijskih nalog. Podrobneje nato ZNPPol v 112. členu določa, da policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti. Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov. Nadalje prvi odstavek 115. člena ZNPPol določa, da če policisti zaradi opravljanja policijskih nalog zbirajo osebne in druge podatke o osebah iz obstoječih zbirk podatkov, jim morajo državni organi in pravne osebe, ki na podlagi zakona in v okviru svoje dejavnosti ali v zvezi z njo vodijo zbirke podatkov, zaradi izvajanja pristojnosti in nalog iz tega zakona ter zaradi varstva in učinkovitega uresničevanja interesov pravne države, na podlagi pisne ali podobne izkazljive zahteve brezplačno posredovati zahtevane osebne in druge podatke.

Policija lahko obdeluje osebne podatke tudi na podlagi drugih zakonov (npr. Zakon o kazenskem postopku, Zakon o prekrških, Zakon o tujcih, Zakon o nadzoru državne meje, Zakon o elektronskih komunikacijah, …). IP pojasnjuje, da posamezne določbe navedenih (in nekaterih drugih) zakonov predstavljajo ustrezno zakonsko podlago za obdelavo osebnih podatkov posameznika, če so izpolnjeni zakonski pogoji in te podatke policija potrebuje za opravljanje svojih nalog. Ob tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

IP ponovno poudarja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov (v konkretnem primeru policija), ki nosi tudi odgovornost za tovrstno opravljeno presojo. Zakonitost obdelave vaših osebnih podatkov je torej primarno odvisna od obstoja ustrezne pravne podlage in namena njene obdelave. Od navedenega je odvisen tudi rok hrambe podatkov in druge okoliščine varstva osebnih podatkov.

IP splošno pojasnjuje, da Splošna uredba pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki ureja v 15. členu, ki v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

a)namene obdelave;

b)vrste zadevnih osebnih podatkov;

c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija;

d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

f)pravico do vložitve pritožbe pri nadzornem organu;

g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4) Splošne uredbe (EU) o varstvu podatkov, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Zahteva se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Rok za odločitev upravljavca je en mesec od prejema zahteve. Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti v 15 dneh od prejema odgovora.

IP vam svetuje, da pri policiji podate zahtevo za seznanitev z lastnimi osebnimi podatki in počakate na njihov odgovor oziroma na potek roka za odgovor. IP svetuje tudi, da v zahtevi čim bolj natančno opredelite, kaj v zvezi z vašimi osebnimi podatki vas posebej zanima. Za podrobnejše informacije v zvezi z navedeno pravico in kako jo uveljavljati, vas napotujemo na našo spletno stran, kjer lahko najdete tudi (neobvezujoč) obrazec zahteve:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki

Iz informacij upravljavca, ki jih boste pridobili na podlagi 15. člena Splošne uredbe, naj bi bilo razvidno, ali se vaše osebne podatke obdeluje na zakoniti pravni podlagi ali ne.

Ob tem IP opozarja, da je pri uresničevanju pravice do seznanitve z osebnimi podatki, ki jih obdelujejo policija, državna tožilstva, Uprava RS za probacijo, Uprava RS za izvrševanje kazenskih sankcij ter drugi državni organi, ki so zakonsko določeni kot pristojni za področja preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, treba v primerih, ko osebne podatke navedeni organi obdelujejo za namene izvrševanja teh pristojnosti, upoštevati tudi določila Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD; Uradni list RS, št. 177/20). Ta pravico do seznanitve ureja v 24. členu, kjer določa tudi, da pristojni organ o zahtevi odloči brez nepotrebnega odlašanja, najpozneje pa v enem mesecu od prejema zahteve. Omejitve pravice do seznanitve pa ureja v 25. členu. O zavrnitvi ali omejitvi dostopa mora pristojni organ odločiti brez nepotrebnega odlašanja, najpozneje pa v 15 dneh od prejema zahteve. Ta rok se lahko s sklepom podaljša za največ 15 dni.

IP sklepno pojasnjuje, da posameznik (v konkretnem primeru vi) lahko uveljavlja pravico do seznanitve v zvezi z vsemi zbirkami osebnih podatkov, ki jih obdeluje posamezni upravljavec (v konkretnem primeru policija). V kolikor se osebni podatki posameznika v zbirkah upravljavca obdelujejo (tudi) za namene iz prejšnjega odstavka, je torej treba upoštevati (tudi) določbe ZVOPOKD. Tudi v teh primerih pa velja, da je zoper molk upravljavca ali zoper njegov zavrnilni odgovor mogoča pritožba, za reševanje katere je pristojen IP.

V kolikor boste na podlagi prejetih informacij presodili, da obstaja sum kršitve oziroma nezakonite obdelave vaših osebnih podatkov, lahko pri IP vložite prijavo kršitve varstva osebnih podatkov. To lahko storite po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana. IP priporoča, da prijavo pošljete na ustreznem obrazcu.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka