Pridobivanje podatkov za izvedbo prekrškovnega postopka

Datum

18.04.2023

Številka

07120-1/2023/225

Kategorije

Ocene učinkov v zvezi z varstvom podatkov, Pridobivanje OP iz zbirk

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da je Služba za cestninski nadzor, kot prekrškovni organ DARS d.d., vzpostavila novo prekrškovno aplikacijo, ki omogoča pridobivanje podatkov za izvedbo prekrškovnega postopka iz zunanjih javnih evidenc. Zanima vas, ali je v postopku, ki ga opisujete, podana zadostna pravna podlaga za pridobivanje zahtevanih podatkov o (fizičnem) lastniku vozila ter ali so izpolnjene vse zahteve po ZVOP-2. V nadaljevanju predstavljate pravne podlage, ki jih uporabljate za izvedbo zakonsko določenih nalog, ter opisujete tehnične rešitve pridobivanja podatkov. Ocenjujete, da so sistem in tehnične rešitve za pridobivanje osebnih podatkov za izvedbo prekrškovnega postopka oblikovane tako, da pri tem ne gre za povezovanje zbirk podatkov po 87. členu ZVOP-2.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

Izdelava ocene učinka v zvezi z varstvom podatkov je v primeru povezovanja zbirk po 87. členu ZVOP-2 obvezna. Tudi če gre za povezovanje uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2, pa je lahko podana obveznost izdelave ocene učinka. Podobno velja za samo pridobivanje oziroma posredovanje osebnih podatkov. V vsakem posameznem primeru je treba namreč preveriti, ali so podani elementi, ki zahtevajo izdelavo ocene učinka po 35. členu Splošne uredbe, pri čemer je treba upoštevati tudi 24. člen ZVOP-2.

V primeru uvedbe nove prekrškovne aplikacije, ki omogoča pridobivanje podatkov za izvedbo prekrškovnega postopka iz zunanjih javnih evidenc, je izdelava ocene učinka v zvezi z varstvom podatkov najverjetneje obvezna. Vendar pa IP kot nadzorni organ v okviru mnenja ni pristojen podajati zavezujočih usmeritev za to, ali je za upravljavca takšna obveznost v konkretnem primeru podana.

Obrazložitev

IP uvodoma izpostavlja, da v okviru mnenja ne more podati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru ter presojati skladnosti obdelave v okviru nove prekrškovne aplikacije, ki jo opisujete, s predpisi s področja varstva osebnih podatkov. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je namreč na upravljavcu. Zato vam IP na vaša vprašanja, ali je v konkretnem primeru podana zadostna pravna podlaga za pridobivanje osebnih podatkov ter ali so izpolnjene vse zahteve po ZVOP-2, ne more dokončno odgovoriti. Prav tako v mnenju ne more opraviti presoje, ali gre v konkretnem primeru za povezovanje zbirk v smislu 87. člena ZVOP-2. IP pa v nadaljevanju izpostavlja bistvene pravne vidike, ki so pomembni pri presoji zakonitosti pridobivanja osebnih podatkov.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, torej tudi za njihovo pridobivanje, zakonito in ustrezno pravno podlago za konkreten namen obdelave. IP meni, da ima Služba za cestninski nadzor kot prekrškovni organ DARS d.d. v določbah Zakona o prekrških, Zakona o cestninjenju, Zakona o pravilih cestnega prometa in Zakona o centralnem registru prebivalstva, na katere se sklicujete, načeloma ustrezno pravno podlago za pridobivanje tistih osebnih podatkov o lastnikih vozil (fizičnih oseb), ki jih potrebuje za izvedbo konkretnega prekrškovnega postopka, torej tudi za pridobivanje EMŠO iz dMRVL in na podlagi tega podatka za pridobivanje drugih relevantnih podatkov lastnika vozila iz CRP.

Vendar IP poudarja, da ni pristojen za komentiranje vodenja postopkov drugih prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS št. U-I-92/12-13 z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf) tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov.

Ob tem pa IP opozarja na morebitno dolžnost izvedbe ocene učinka v zvezi z varstvom podatkov po 35. členu Splošne uredbe. Obvezno izdelavo ocene učinka predvideva ZVOP-2 na primer v prvem odstavku 87. člena pri povezovanju določenih osebnih podatkov iz uradnih evidenc in javnih knjig. V zvezi s tem IP dodaja, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element razlikovanja med posredovanjem podatkov iz 39. do 43. člena ZVOP-2 ter med povezovanjem zbirk osebnih podatkov iz 7. poglavja II. dela ZVOP-2 je predvsem v tem, da mora odgovorna oseba v primerih posredovanja oziroma pridobivanja podatkov vstopiti v vsako zbirko posebej, medtem ko mora v primeru povezovanja zbirk osebnih podatkov vstopiti le v eno zbirko, sistem pa ob tem omogoči pridobitev določenih osebnih podatkov tudi iz povezanih zbirk. Več o povezovanju zbirk osebnih podatkov in razlikah s posredovanjem osebnih podatkov si lahko preberete na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/povezava-zbirk-osebnih-podatkov.

Obveznost izdelave ocene učinka v zvezi z varstvom podatkov pa je lahko podana tudi, če gre za povezovanje uradnih evidenc in javnih knjig, ki ne spadajo v okvir 87. člena ZVOP-2. Več o tem si lahko preberete v mnenju IP št. 07120-1/2023/149 z dne 20. 3. 2023, ki je dostopno na spletni strani https://www.ip-rs.si/mnenja-zvop-2/.

Podobno velja za samo pridobivanje oziroma posredovanje osebnih podatkov. V vsakem posameznem primeru je treba namreč preveriti, ali je možno, da bi lahko obdelava, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov, saj je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti presoja, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena Splošne uredbe. Skladno s točko b) tretjega odstavka 35. člena Splošne uredbe se ocena učinka zahteva med drugim v primeru obsežne obdelave osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz 10. člena Splošne uredbe. Tudi na podlagi 24. člena ZVOP-2 se ocena učinka v zvezi z varstvom osebnih podatkov po 35. členu Splošne uredbe in predhodno posvetovanje po 36. členu Splošne uredbe izvajata pred uvedbo posebnih obdelav iz prvega odstavka prejšnjega člena, med katerimi so naštete tudi obdelave osebnih podatkov, določene v zakonih, ki urejajo področja prekrškovnih evidenc.

Glede na to IP meni, da bi bila izdelava ocene učinka v zvezi z varstvom podatkov v konkretnem primeru najverjetneje nujna že zgolj zaradi uvedbe nove prekrškovne aplikacije, ki omogoča pridobivanje podatkov za izvedbo prekrškovnega postopka iz zunanjih javnih evidenc, ne glede na to, ali gre za povezovanje zbirk po 87. členu ZVOP-2 ali ne.

Vendar pa IP kot nadzorni organ v okviru mnenja ni pristojen podajati zavezujočih usmeritev za to, kdaj je izvedba ocene učinka za upravljavca v konkretnem primeru obvezna. Na to temo je to izdal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Smernice_o_ocenah_ucinka__DPIA__julij2018.pdf.

Več informacij o oceni učinka v zvezi z varstvom podatkov je dostopnih tudi na spletni strani IP:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/ocena-učinka-v-zvezi-z-varstvom-podatkov/.

IP sklepno poudarja, da je primarna odgovornost za presojo, ali je treba izdelati oceno učinka, ter za zagotovitev skladnosti obdelave s Splošno uredbo, ZVOP-2 in drugimi področnimi predpisi na upravljavcu samem, ki mora biti to skladnost tudi zmožen dokazati (drugi odstavek 5. člena Splošne uredbe).

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka