Snemanje telefonskih pogovorov in položaj DPO

Datum

07.04.2023

Številka

07120-1/2023/191

Kategorije

Pooblaščene osebe za varstvo podatkov - DPO, Uradni postopki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede snemanja telefonskih pogovorov in položaja pooblaščene osebe za varstvo podatkov (ang. DPO).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Glede snemanja prijave je treba primarno upoštevati določbe ZZPri kot specialnega predpisa, ki daje možnost snemanja telefonskih pogovorov ob podanem soglasju prijavitelja, ob tem pa upoštevati tudi določbe ZEKom-2 glede snemanja telefonskih pogovorov.

Presoja glede določitve in položaja pooblaščene osebe za varstvo podatkov je v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov.

Položaj oziroma naloge zaupnika za prejem in obravnavo notranjih prijav same po sebi niso v konfliktu interesov oziroma nezdružljive z nalogami pooblaščene osebe za varstvo podatkov, vendar je pri tem treba upoštevati tudi (morebitne) druge naloge, ki jih v okviru upravljavca opravlja zaupnik, saj le-te lahko nezdružljive z nalogami pooblaščene osebe za varstvo podatkov in tako vodijo do konflikta interesov.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega obrazca, ki ga navajate v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

IP uvodoma poudarja tudi, da ni pristojen za nadzor zakonitosti snemanja telefonskih klicev. Podlage, pogoje in omejitve snemanja telefonskih klicev ureja Zakon o elektronskih komunikacijah (Uradni list RS, št. 130/22, 18/23 – ZDU-1O; v nadaljevanju: ZEKom-2). Za izvajanje nadzora nad spoštovanjem določb ZEKom-2 (tudi v delu, ki se nanaša na snemanje telefonskih klicev) je (razen izjemoma, kjer je v zakonu določeno drugače) pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS).

IP splošno pojasnjuje, da je ob obravnavi vprašanja ustreznega izvajanja snemanja telefonskih pogovorov med posamezniki in upravljavci osebnih podatkov torej treba upoštevati določbe ZEKom-2. Ta načeloma prepoveduje snemanje telefonskih klicev brez privolitve uporabnika ali zakonske podlage. Tako v petem odstavku 214. člena določa, da so vse oblike nadzora oziroma prestrezanja komunikacij, ki jih izvajajo tretje osebe in te niso uporabniki, udeleženi v komunikaciji, kot so poslušanje, prestrezanje, snemanje, shranjevanje in posredovanje komunikacij iz prvega odstavka tega člena brez soglasja zadevnih uporabnikov, prepovedane, razen če je to dovoljeno v skladu s prejšnjim odstavkom ali v skladu z 220. in 228. členom tega zakona oziroma če je taka oblika nadzora oziroma prestrezanja nujno potrebna za prenos sporočil (npr. telefaks sporočila, elektronska pošta, elektronski predali, glasovna pošta, storitev SMS).

V sedmem odstavku 214. člena ZEKom-2 določa, da je, ne glede na določbe petega odstavka tega člena, dovoljeno snemanje komunikacij in z njimi povezanih podatkov o prometu v okviru zakonite poslovne prakse zato, da se zagotovi dokaz o tržni transakciji ali kateri koli drugi poslovni komunikaciji, pod pogojem, da so stranke v komunikaciji predhodno obveščene o snemanju, njegovem namenu in trajanju hrambe posnetka (npr. avtomatski odzivniki). Posneto sporočilo je treba nemudoma izbrisati, najpozneje do poteka dobe, v kateri se posel lahko zakonito izpodbija. Isti člen v 8. odstavku še določa, da mora biti obvestilo o snemanju dano po istovrstnem mediju in v enaki obliki, kakor poteka snemana komunikacija.

V skladu z desetim odstavkom 214. člena ZEkom-2 je, ne glede na zgoraj navedene določbe petega odstavka istega člena, snemanje vsebine komunikacij in pridobivanje povezanih podatkov iz prvega odstavka istega člena dovoljeno tudi v javnem sektorju, in sicer v okviru organizacij in državnih organov, ki so pristojni za izvajanje obveščevalnih in varnostnih nalog, nalog policije, obrambe in zaščite, reševanja in pomoči pod pogojem, da so kličoči uporabniki predhodno obveščeni o snemanju, njegovem namenu in trajanju hranjenja posnetka (npr. avtomatski odzivniki). Drugim državnim organom je snemanje vsebine komunikacij dovoljeno, če tako določa (področni) zakon. Ob tem pa IP poudarja, da ni dopustno snemati klicev na vse številke znotraj takšnih organizacij in državnih organov, ampak le tiste, ki so neposredno namenjeni izvajanju nalog, naštetih v devetem odstavku 147. člena.

IP nadalje pojasnjuje, da določbe o snemanju telefonskih pogovorov vsebuje tudi Zakon o zaščiti prijaviteljev (Uradni list RS, št. 16/23; v nadaljevanju: ZZPri). Ta v drugem odstavku 7. člena med drugim določa, da se ustna prijava lahko s soglasjem prijavitelja tudi posname. Če je prijava podana po telefonu, se lahko po predhodnem obvestilu s soglasjem prijavitelja dokumentira s posnetkom klica. ZZPri tako daje možnost snemanja telefonskega pogovora oziroma klica ob podanem soglasju prijavitelja.

Tretji odstavek istega člena določa, da evidenca prijav med drugim vsebuje tudi gradivo, ki je nastalo v postopku obravnave prijave, vključno s posnetkom oziroma zapisom klica ali pogovora iz prejšnjega odstavka. Osebe, ki obravnavajo prijavo in ki so pooblaščene za odpravo kršitev, smejo v ta namen obdelovati osebne podatke, ki so potrebni za preiskovanje kršitve, za obvladovanje posledic kršitve in za odpravo kršitve ter zaščito prijavitelja. Četrti odstavek istega člena določa, da se podatki v evidenci prijav hranijo 5 let po koncu postopka.

IP glede na navedeno meni, da je treba glede snemanja prijave primarno upoštevati določbe ZZPri kot specialnega predpisa, ki daje možnost snemanja telefonskih pogovorov ob podanem soglasju prijavitelja, ob tem pa upoštevati tudi določbe ZEKom-2 glede snemanja telefonskih pogovorov.

Glede določitve in položaja pooblaščene osebe za varstvo podatkov IP najprej pojasnjuje, da je odločitev o tem v domeni slehernega upravljavca oziroma obdelovalca osebnih podatkov in IP po Splošni uredbi o varstvu podatkov v postopku imenovanja te osebe nima nobenih pristojnosti ter se glede tega ne more in ne sme opredeljevati. IP lahko svojo zavezujočo oceno poda le v konkretnem inšpekcijskem postopku.

IP pojasnjuje, da v skladu s šestim odstavkom 38. člena Splošne uredbe o varstvu podatkov pooblaščena oseba za varstvo podatkov lahko opravlja tudi druge naloge in dolžnosti. Vendar pa mora pri tem vsak upravljavec (v konkretnem primeru vaš organ) zagotoviti, da zaradi vsakršnih takih nalog in dolžnosti ne pride do nasprotja interesov. Eno izmed vodil pri delu pooblaščene osebe je namreč njena neodvisnost, saj pooblaščena oseba med drugim ne sme biti v konfliktu interesov. To predvsem pomeni, da pooblaščena oseba v organizaciji ne sme imeti položaja, ki bi omogočala opredelitev namenov ali storitev obdelave osebnih podatkov. Iz navedenega razloga nalog pooblaščene osebe ne more opravljati nekdo, ki odloča o sredstvih in namenih obdelave osebnih podatkov, saj bi sicer pooblaščena oseba nadzirala samo sebe. Podrobnejše določbe glede konflikta interesov vsebuje tudi ZVOP-2 v petem in šestem odstavku 46. člena. Slednji podrobneje opredeljuje nasprotje interesov, saj določa, da se v javnem sektorju šteje, da je določena oseba v nasprotju interesov, če je določena kot upravljavec informacijskega sistema, skrbnik informacijskega sistema ali vodja informacijske varnosti, ima položaj predstojnika v osebi javnega sektorja, če je član organov upravljanja ali nadzora pri upravljavcu ali obdelovalcu, če njene druge naloge vključujejo sistemsko odločanje o obdelavi osebnih podatkov pri upravljavcu ali obdelovalcu ali če zastopa upravljavca oziroma obdelovalca v sodnih ali arbitražnih postopkih v zvezi z vprašanji varstva osebnih podatkov.

Splošno gledano lahko nasprotujoči si položaji v javnem sektorju vključujejo položaje višjega vodstva (kot so predstojnik oziroma direktor, vodja službe za upravljanje s človeškimi viri, vodja oddelka za informacijsko tehnologijo) in tudi druge vloge na nižji ravni organizacijske strukture, če taki položaji ali vloge vodijo v določitev namenov in sredstev obdelave. Bistveno torej ni, ali konkretna oseba (zaposleni) obdeluje osebne podatke, ampak ali odloča o sredstvih in namenih njihove obdelave. IP ob tem pojasnjuje tudi, da je zaradi posebne organizacijske strukture vsakega upravljavca to treba obravnavati za vsak primer posebej, zato je priporočljivo, da vsak upravljavec posebej opredeli položaje, ki so glede na njegovo organizacijsko strukturo nezdružljivi s funkcijo pooblaščene osebe za varstvo podatkov.

IP tako splošno meni, da položaj oziroma naloge zaupnika za prejem in obravnavo notranjih prijav same po sebi niso v konfliktu interesov oziroma nezdružljive z nalogami pooblaščene osebe za varstvo podatkov, vendar je pri tem treba upoštevati tudi (morebitne) druge naloge, ki jih v okviru upravljavca opravlja zaupnik, saj le-te lahko nezdružljive z nalogami pooblaščene osebe za varstvo podatkov in tako vodijo do konflikta interesov. V kolikor bi bil tako za zaupnika imenovan nekdo, ki opravlja v prejšnjih dveh odstavkih navedene funkcije znotraj upravljavca oziroma zavzema drug položaj, v okviru katerega lahko odloča o namenih in sredstvih obdelave osebnih podatkov, potem navedeni funkciji ne bi bili združljivi.

IP dodaja, da so evropski nadzorni organi za varstvo osebnih podatkov že pripravili podrobne smernice, ki vam bodo v pomoč pri presojanju položaja pooblaščene osebe:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp243rev01_sl.pdf

IP vas napotuje tudi na spletno stran IP, kjer lahko prav tako najdete uporabne napotke glede pooblaščene osebe za varstvo podatkov:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/pooblaščena-oseba-za-varstvo-podatkov

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka