Ustrenost obdelave osebnih podatkov s strani policije

Datum

20.11.2025

Številka

07120-1/2025/504

Kategorije

Policijski postopki, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ravnanja policistov ob obravnavi dogodka in zbiranja osebnih podatkov z njihove strani.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Presoja in odgovornost za zakonitost posamezne obdelave osebnih podatkov je vedno na upravljavcu (v konkretnem primeru policiji).

Postopek o prekršku se začne po uradni dolžnosti, ko opravi prekrškovni organ v okviru svoje pristojnosti v ta namen kakršnokoli dejanje, ali pa z vložitvijo pisnega predloga oškodovanca, državnega tožilca ali državnega organa, nosilca javnih pooblastil ali samoupravne lokalne skupnosti. Za slovenske državljane predlog vsebuje naslednje podatke o kršitelju: osebno ime in enotno matično številko občana (EMŠO).

Pri obdelavi osebnih podatkov morajo policisti zagotovi spoštovanje vseh temeljnih načel varstva osebnih podatkov, med drugim tudi načela najmanjšega obsega podatkov.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presoja glede zakonitosti oziroma ustreznosti obdelave je na vsakem upravljavcu posebej (v konkretnem primeru na policiji).

IP nadalje pojasnjuje, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

IP tako splošno pojasnjuje, da Splošna uredba v 6. členu določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Temeljna področna pravna podlaga za obdelavo osebnih podatkov s strani Policije je Zakon o nalogah in pooblastilih policije (Uradni list RS, št. 22/25 - UPB; v nadaljevanju: ZNPPol). V skladu s 33. členom ZNPPol je zbiranje in obdelava podatkov eno od policijskih pooblastil, ki jih smejo policisti izvajati ob opravljanju policijskih nalog. Podrobneje nato ZNPPol v 112. členu določa, da policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti. Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov. IP ob tem ponavlja, da je presoja in odgovornost za zakonitost posamezne obdelave osebnih podatkov vedno na upravljavcu (v konkretnem primeru policiji).

IP nadalje pojasnjuje, da Policija lahko obdeluje osebne podatke tudi na podlagi drugih zakonov (npr. Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj, Zakon o kazenskem postopku, Zakon o prekrških, Zakon o tujcih, Zakon o nadzoru državne meje, Zakon o elektronskih komunikacijah, …). IP pojasnjuje, da posamezne določbe navedenih (in nekaterih drugih) zakonov predstavljajo ustrezno zakonsko podlago za obdelavo osebnih podatkov posameznika, če so izpolnjeni zakonski pogoji in te podatke policija potrebuje za opravljanje svojih nalog. Ob tem IP posebej opozarja, da mora policija pri obdelavi osebnih podatkov zagotoviti spoštovanje vseh temeljnih načel varstva osebnih podatkov, med drugim tudi načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

Nadalje je v prvem odstavku 118. člena ZNPPol določeno, da mora uslužbenec policije poleg podatkov, katerih varovanje urejajo drugi predpisi (taki so tudi osebni podatki, saj njihovo varovanje določata že sama Ustava RS in ZVOP-2), varovati tudi varovane podatke policije. Dolžnost varovanja teh podatkov traja tudi po prenehanju delovnega razmerja.

Iz navedenih določb izhaja, da morajo policisti varovati osebne podatke, s katerimi se seznanjajo pri opravljanju svojih nalog in da te podatke lahko posredujejo le upravičenim osebam, kadar so za to izpolnjeni zakonski pogoji.

IP nadalje pojasnjuje, da se v skladu z določilom 50. člena Zakona o prekrških (Uradni list RS, št. 29/11 - UPB, 21/13, 111/13, 74/14 - odl. US, 92/14 - odl. US, 32/16, 15/17 - odl. US, 73/19 - odl. US, 175/20 - ZIUOPDVE, 5/21 - odl. US, 38/24; v nadaljevanju: ZP-1) postopek o prekršku začne po uradni dolžnosti, ko opravi prekrškovni organ v okviru svoje pristojnosti v ta namen kakršnokoli dejanje, ali pa z vložitvijo pisnega predloga oškodovanca, državnega tožilca ali državnega organa, nosilca javnih pooblastil ali samoupravne lokalne skupnosti. Za slovenske državljane predlog vsebuje naslednje podatke o kršitelju: osebno ime in enotno matično številko občana (EMŠO). Enake podatke v skladu s 56. členom ZP-1 vsebuje odločba o prekršku, medtem ko v skladu s 57. členom ZP-1 plačilni nalog, ki velja kot odločba o prekršku, vsebuje osebno ime, naslov in EMŠO. V skladu z določbo drugega odstavka 105. člena ZP-1 obdolžilni predlog vsebuje osebno ime storilca, EMŠO, kraj rojstva, poklic, zaposlitev in naslov stalnega ali začasnega prebivališča.

IP nadalje splošno pojasnjuje, da Splošna uredba pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki ureja v 15. členu, ki v prvem odstavku določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije:

a)namene obdelave;

b)vrste zadevnih osebnih podatkov;

c)uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacija;

d)kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja;

e)obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi;

f)pravico do vložitve pritožbe pri nadzornem organu;

g)kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom;

h)obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22(1) in (4) Splošne uredbe (EU) o varstvu podatkov, ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki.

Zahteva se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke. Rok za odločitev upravljavca je en mesec od prejema zahteve. Zoper molk upravljavca ali zoper njegov zavrnilni odgovor je mogoča pritožba, za reševanje katere je pristojen IP. Pritožbo zaradi zavrnitve je treba vložiti v 15 dneh od prejema odgovora.

IP vam svetuje, da se za dodatno pojasnilo glede pravne podlage ter namena obdelave in natančnejšo utemeljitev potrebnosti zahtevanih osebnih podatkov obrnete neposredno na konkretnega upravljavca (policijo) in podate zahtevo za seznanitev z lastnimi osebnimi podatki. IP svetuje tudi, da v zahtevi čim bolj natančno opredelite, kaj v zvezi z vašimi osebnimi podatki vas posebej zanima (kot ste to opredelili v vašem zaprosilu za mnenje). Za podrobnejše informacije v zvezi z navedeno pravico in kako jo uveljavljati, vas napotujemo na našo spletno stran, kjer lahko najdete tudi (neobvezujoč) obrazec zahteve:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki

Iz informacij upravljavca, ki jih boste pridobili na podlagi 15. člena Splošne uredbe, naj bi bilo razvidno, ali se vaše osebne podatke obdeluje na zakoniti pravni podlagi ali ne.

IP sklepno pojasnjuje še, da posameznik v primeru, suma nezakonite obdelave osebnih podatkov s strani policistov lahko pri IP vloži prijavo zaradi kršitve varstva osebnih podatkov. Iz prijave pa mora izhajati utemeljen sum kršitve varstva osebnih podatkov, kar pomeni, da je treba navesti npr. kdaj, v katerih postopkih, s katerimi konkretnimi dejanji in katere osebne podatke naj bi upravljavec nezakonito obdeloval.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka