Obdelava OP s strani policije in fizične osebe

Datum

13.01.2025

Številka

07121-1/2024/1619

Kategorije

Definicija OP, Mediji, Policijski postopki, Svetovni splet

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave vaših osebnih podatkov s strani policije in fizične osebe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov.

Uslužbenec policije mora poleg podatkov, katerih varovanje urejajo drugi predpisi, varovati tudi varovane podatke policije.

IP je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije. Poseg v pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS sodi v pristojnost sodišč, pravica pa je varovana z instituti civilnega in kazenskopravnega varstva, poseg vanjo pa ima lahko za posledico tudi kazensko in odškodninsko odgovornost.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP uvodoma pojasnjuje tudi, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen http://www.pisrs.si/Pis.web/pregledPredpisa?id=USTA1). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

IP tako splošno pojasnjuje, da je treba za vsako obdelavo osebnih podatkov najprej zagotoviti ustrezno pravno podlago. V skladu s prvim odstavkom 6. člena Splošne uredbe je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Področna pravna podlaga za obdelavo osebnih podatkov s strani Policije je Zakon o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23715 – popr., 10/17, 46/19 – odl. US, 47/19, 153/21 – odl. US; v nadaljevanju: ZNPPol). V skladu s 33. členom ZNPPol je zbiranje in obdelava podatkov eno od policijskih pooblastil, ki jih smejo policisti izvajati ob opravljanju policijskih nalog. Podrobneje nato ZNPPol v 112. členu določa, da policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti. Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov.

Policija lahko obdeluje osebne podatke tudi na podlagi drugih zakonov (npr. Zakon o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj, Zakon o kazenskem postopku, Zakon o prekrških, Zakon o tujcih, Zakon o nadzoru državne meje, Zakon o elektronskih komunikacijah, …). IP pojasnjuje, da posamezne določbe navedenih (in nekaterih drugih) zakonov predstavljajo ustrezno zakonsko podlago za obdelavo osebnih podatkov posameznika, če so izpolnjeni zakonski pogoji in te podatke policija potrebuje za opravljanje svojih nalog. Ob tem IP posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

IP nadalje pojasnjuje, da ZNPPol v prvem odstavku 116. člena določa, mora policija podatke, zbrane pri obravnavanju dogodka ali opravljanju policijskih nalog, na obrazloženo pisno zahtevo, v kateri morajo biti izkazane okoliščine iz četrtega odstavka 40. člena ZNPPol (izkazana premoženjska in nepremoženjska škoda, telesna poškodba, sum storitve kaznivega dejanja ali prekrška in podobni primeri) posredovati osebi, ki izkaže pravni interes. Upravičena oseba mora v pisni zahtevi natančno opredeliti vrsto podatka in namen, za katerega ga potrebuje. Nadalje je v prvem odstavku 118. člena ZNPPol določeno, da mora uslužbenec policije poleg podatkov, katerih varovanje urejajo drugi predpisi (taki so tudi osebni podatki, saj njihovo varovanje določata že sama Ustava RS in ZVOP-2), varovati tudi varovane podatke policije. Dolžnost varovanja teh podatkov traja tudi po prenehanju delovnega razmerja.

Iz navedenih določb izhaja, da morajo policisti varovati osebne podatke, s katerimi se seznanjajo pri opravljanju svojih nalog in da te podatke lahko posredujejo le upravičenim osebam, kadar so za to izpolnjeni zakonski pogoji. IP ob tem ponavlja, da v okviru neobvezujočega mnenja ne more presojati zakonitosti konkretnih obdelav osebnih podatkov in poudarja, da je presoja in odgovornost za zakonitost posredovanja oziroma razkrivanja osebnih podatkov vedno na upravljavcu (v konkretnem primeru policiji).

V primeru, da posameznik sumi na nezakonito notranjo (s strani policistov) obdelavo osebnih podatkov, lahko pri IP vloži prijavo zaradi kršitve varstva osebnih podatkov, pri čemer IP (le) v nadzornem postopku ugotavlja, ali in kdo je znotraj upravljavca nezakonito obdeloval osebne podatke. Iz prijave pa mora izhajati utemeljen sum kršitve varstva osebnih podatkov, kar pomeni, da je treba navesti npr. kdaj, v katerih postopkih, s katerimi konkretnimi dejanji in katere vaše osebne podatke naj bi upravljavec nezakonito obdeloval.

V kolikor torej menite, da je v konkretnem primeru prišlo do nezakonite obdelave osebnih podatkov s strani posameznega ali več upravljavcev, lahko pri IP vložite prijavo kršitve varstva osebnih podatkov. To lahko storite po elektronski pošti na naslov gp.ip@ip-rs.si, oz. po navadni pošti na naslov: Informacijski pooblaščenec, Dunajska cesta 22, 1000 Ljubljana.

Priporočamo, da prijavo pošljete na ustreznem obrazcu.

Glede obdelave vaših osebnih podatkov s strani fizične osebe, ki jo navajate v vašem zaprosilu za mnenje, IP pojasnjuje, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Ustava RS; Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami). Objava imena in priimka posameznika na socialnih omrežjih in v medijih sama po sebi ne predstavlja nujno kršitve predpisov s področja varstva osebnih podatkov, lahko pa gre za poseg v pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS, ki sodi v pristojnost sodišč in je varovana z instituti civilnega in kazenskopravnega varstva, za posledico pa ima lahko tudi kazensko in odškodninsko odgovornost.

IP pojasnjuje, da se Splošna uredba uporablja za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke. Uporaba pravil s področja varstva osebnih podatkov je v določenih primerih izključena, na primer če gre za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti. V skladu s sodno prakso SEU pa dejavnosti ni mogoče šteti za popolnoma osebno ali domačo v smislu te določbe, če je njen cilj, (1) da se dostop do osebnih podatkov omogoči nedoločenemu številu oseb; ali (2) če se ta dejavnost razširja – četudi le delno – v javni prostor in je tako usmerjena iz zasebnega okolja tistega, ki opravi obdelavo podatkov.

Pravila s področja varstva osebnih podatkov se nadalje uporabljajo le za obdelavo osebnih podatkov, medtem ko ne vplivajo na zakonitost obdelave vseh ostalih podatkov. V skladu z definicijo iz 4(1) člena Splošne uredbe je osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Splošna uredba in ZVOP-2 se tako uporabljata glede obdelave osebnih podatkov na družbenih omrežjih, če podatki, ki se obdelujejo, ustrezajo definiciji osebnega podatka in ne gre za obdelavo osebnih podatkov v okviru osebne ali domače dejavnosti.

IP nadalje pojasnjuje, da objava osebnih podatkov lahko tudi v primerih, ki ne sodijo v okvir določb Splošne uredbe, kot rečeno, predstavlja poseg v pravico drugih posameznikov do zasebnosti v širšem smislu, katere meje so začrtane v 35. členu Ustave RS (varstvo pravic zasebnosti in osebnostnih pravic). Namreč ravnanje nezakonite objave osebnih podatkov lahko pomeni storitev katerega od kaznivih dejanj zoper čast in dobro ime (za presojo česar pa IP ni pristojen) iz 18. poglavja Kazenskega zakonika (Uradni list RS, št. 50/12-UPB2, s spremembami in dopolnitvami; v nadaljevanju: KZ-1). Nadalje se je v takšnem primeru mogoče pod odločenimi pogoji poslužiti tudi institutov civilnega prava. Tako lahko v skladu s 134. členom Obligacijskega zakonika (Uradni list RS, št. 97/07 - UPB1, 64/16 – odl. US, 20/18 – OROZ631; v nadaljevanju: OZ) od sodišča zahteva, da odredi prenehanje dejanja, s katerim se krši nedotakljivost človekove osebnosti, osebnega in družinskega življenja ali kakšna druga osebnostna pravica, da prepreči tako dejanje ali da odstrani njegove posledice. Poleg tega lahko posameznik, če ocenjuje, da mu je bila s posegom v zasebnost povzročena premoženjska ali nepremoženjska škoda, na podlagi 179. člena OZ zahteva tudi denarno odškodnino. Ob tem IP ponavlja, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov v skladu z 38. členom Ustave RS, nima pa pristojnosti v zvezi z zahtevki posameznikov, ki so namenjeni varstvu pravic zasebnosti in osebnostnih pravic. Za obravnavo teh zahtevkov so pristojna sodišča.

IP pojasnjuje tudi, da gre pri objavi osebnih podatkov v mediju za izvrševanje pravice do svobode izražanja misli, govora in javnega nastopanja, tiska in drugih oblik javnega obveščanja in izražanja, ki jo zagotavlja prvi odstavek 39. člena Ustave RS. Vsakdo lahko svobodno zbira, sprejema in širi vesti in mnenja. Enako kot za pravico do zasebnosti iz 35. člena Ustave RS in pravico do varstva osebnih podatkov iz 38. člena Ustave RS, tudi za pravico do svobode izražanja iz 39. člena Ustave RS velja, da ni neomejena. V primeru, ko pride do kolizije dveh sobivajočih pravic, je potrebno nasprotje med pravicami uskladiti, oblikovati pravilo o sobivanju pravic ter v tem okviru za vsak posamezen primer ob upoštevanju konkretnih okoliščin pretehtati, kateri pravici dati prednost. Varstvo svobode izražanja v razmerju do pravice do varstva osebnih podatkov je urejeno v 73. členu ZVOP‑2, ki določa:

73. člen

(varstvo svobode izražanja v razmerju do pravice do varstva osebnih podatkov)

(1) Obdelava osebnih podatkov v okviru uresničevanja svobode izražanja misli, govora in javnega nastopanja, tiska in drugih oblik javnega obveščanja in izražanja v okvirih pravnega reda Republike Slovenije je dovoljena. Vsakdo lahko svobodno zbira, sprejema in širi vesti in mnenja ter obdeluje v njih vsebovane osebne podatke, potrebne za ta namen.

(2) V okviru svobode izražanja se lahko osebni podatki za namene obveščanja javnosti s strani medijev, književnega, umetniškega ali raziskovalnega ustvarjanja, resne kritike, obrambe kakšne pravice ali varstva upravičene koristi in izobraževanja ali izobraževanja prek javno dostopnih objav in publikacij, obdelajo, objavijo ali drugače razkrijejo, če:

1. je posameznik za obdelavo, objavo ali razkritje osebnih podatkov dal privolitev;

2. je posameznik osebne podatke že javno objavil ali dal na razpolago javnosti;

3. so osebni podatki na zakonit način že bili dostopni javnosti;

4. so bili osebni podatki pridobljeni na podlagi prisotnosti posameznika na javno dostopnih krajih ali dogodkih, kjer posameznik glede na vse okoliščine ne more razumno pričakovati varstva zasebnosti, ter na način, ki ne pomeni občutnega posega v razumno pričakovano zasebnost;

5. gre za zakonito objavo mnenja ali vrednostne ocene, kjer je objava osebnih podatkov nujna za utemeljitev tega mnenja ali vrednostne ocene;

6. so bili osebni podatki pridobljeni na drug zakonit način;

7. javni interes po obveščanju javnosti, pravica do obveščenosti ter svoboda izražanja prevladajo nad upravičenimi interesi varstva zasebnosti in drugih osebnostnih pravic posameznika ali

8. tako določa drug zakon.

(3) Uveljavljanje pravic posameznika, na katerega se nanašajo osebni podatki, ki se obdelujejo po tem členu, zagotavljajo sodišča v skladu z določbami drugih zakonov, ki urejajo svobodo izražanja in sodno varstvo.

(4) Upravljavci ali obdelovalci ne smejo za namene izvajanja svobode izražanja nezakonito razkriti, nezakonito posredovati ali omogočiti nepooblaščenega dostopa do osebnih podatkov.

Kot je razvidno iz tretjega odstavka citiranega člena, uveljavljanje pravic posameznika, na katerega se nanašajo osebni podatki, ki se obdelujejo v okviru svobode izražanja po tem členu, zagotavljajo sodišča v skladu z določbami drugih zakonov, ki urejajo svobodo izražanja in sodno varstvo. Nepristojnost IP v zvezi z osebnimi podatki, ki se obdelujejo v okviru uresničevanja pravice do svobode izražanja, izhaja tudi iz prvega odstavka 19. člena ZVOP-2, ki določa, da pravice ali drugi zahtevki posameznikov, na katere se nanašajo osebni podatki, iz 73. do 75. člena tega zakona se ne izvajajo v postopkih pred nadzornim organom po določbah tega zakona ali po določbah Splošne uredbe.

Kot izhaja iz zgoraj citiranih določb ZVOP-2, lahko torej posameznik, ki meni, da objava njegovih osebnih podatkov v mediju predstavlja poseg v njegovo zasebnost ali pravico do varstva osebnih podatkov v smislu 35. in 38. člena Ustave RS, svoje pravice uveljavlja pred pristojnimi sodišči, saj gre za konflikt med nasprotujočimi si temeljnimi človekovimi pravicami (pravico do zasebnosti in osebnostnih pravic iz 35. člena Ustave RS in/ali pravico do varstva osebnih podatkov iz 38. člena Ustave RS na eni strani ter pravico do svobode izražanja iz 39. člena Ustave RS na drugi strani).

Skladno z zgoraj pojasnjenim lahko tako posameznik v primeru, ko je prepričan, da se z objavo v mediju ali s kakšnim drugim dejanjem posega v njegove osebnostne pravice, na podlagi 134. člena OZ vloži tožbo in sodišču predlaga, da odredi prenehanje dejanja, s katerim se krši nedotakljivost njegove osebnosti, osebnega in družinskega življenja ali kakšna druga njegova osebnostna pravica, da prepreči tako dejanje ali da odstrani njegove posledice. Sodišče oziroma drug pristojni organ lahko na podlagi takšne zahteve odredi, da kršitelj preneha z dejanjem, ker bo sicer moral plačati prizadetemu določen denarni znesek, odmerjen skupaj ali od časovne enote, pri čemer bo moralo seveda sodišče za vsak konkreten primer pretehtati, ali je zahteva posameznika upravičena. Če je posamezniku z objavo povzročena nepremoženjska škoda, lahko v skladu s pojasnili iz tega mnenja na podlagi 179. člena OZ vloži tudi tožbo pred pristojnim sodiščem in od povzročitelja škode zahteva denarno odškodnino.

V primeru objave podatkov, ki škodijo časti in dobremu imenu posameznika, lahko takšno ravnanje pomeni tudi storitev katerega od kaznivih dejanj zoper čast in dobro ime iz osemnajstega poglavja KZ-1, kjer so v členih 158-162 določeni elementi kaznivih dejanj, kot so npr. razžalitev, obrekovanje, žaljiva obdolžitev, opravljanja in očitanje kaznivega dejanja z namenom zaničevanja, pri čemer pa je potrebno opozoriti, da se pregon za navedena kazniva dejanja začne na zasebno tožbo (168. člen KZ-1).

Nezakonita javna objava ali posredovanje osebnih podatkov, ki izvirajo iz zbirk osebnih podatkov, v javno objavo, lahko pomeni tudi storitev kaznivega dejanja zlorabe osebnih podatkov po 143. členu KZ-1, ki določa, da kdor brez podlage v zakonu ali v osebni privolitvi posameznika, na katerega se osebni podatki nanašajo, osebne podatke, ki se obdelujejo na podlagi zakona ali osebne privolitve posameznika, posreduje v javno objavo ali jih javno objavi, se kaznuje z denarno kaznijo ali zaporom do enega leta. Prizadeti posameznik lahko v primeru takšne objave svojih osebnih podatkov poda kazensko ovadbo oziroma prijavo na policiji ali pristojnem državnem tožilstvu.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ne more presojati, ali so v konkretnem primeru, za konkreten namen in podatke izpolnjeni navedeni pogoji za obdelavo osebnih podatkov. Konkretno presojo zakonitosti obdelave v posameznem primeru lahko IP opravi le v okviru nadzornega ali drugega upravnega postopka.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka