Posredovanje podatkov o uporabnikih telekomunikacijskih storitev pred začetkom inšpekcijskega postopka

Datum

13.02.2025

Številka

07121-1/2025/160

Kategorije

Inšpekcijski postopki, Telekomunikacije in pošta

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da kot telekomunikacijski operater prejemate zaprosila inšpektorata po drugem odstavku 19. člena Zakona o inšpekcijskem nadzoru. Iz konteksta zaprosila predvidevate, da inšpektorat v določenem konkretnem primeru še ne vodi inšpekcijskega postopka, ampak se šele odloča za uvedbo, saj sprašuje o identiteti skleniteljev naročniške pogodbe na naslovu večstanovanjske stavbe. Na konkretnem naslovu imata sklenjeno naročniško razmerje dva naročnika, zaradi česar vas med drugim skrbi načelo sorazmernosti v zvezi z ZIN in načelo najmanjšega obsega podatkov v zvezi s Splošno uredbo. Zavedate se preteklih mnenj IP o dopustnosti posredovanja določenih podatkov, vendar menite, da gre v tem primeru za drugačno situacijo, saj inšpektorat ne sprašuje za konkretno osebo (kot v preteklih primerih), temveč za določen naslov, kjer lahko živi tudi več oseb in menite, da inšpektorat še ne vodi konkretnega postopka.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da mora biti zahteva inšpektorja po drugem odstavku 19. člena ZIN utemeljena, zahteva pa se lahko nanaša le na posredovanje podatkov, potrebnih zaradi izvedbe nadzora. Vendar je pri opredelitvi pojma »izvedba inšpekcijskega nadzora« treba upoštevati več elementov, med drugim, da se lahko postopek sprva uvede tudi zoper neznanega zavezanca in se njegova identiteta šele ugotavlja. V vaši opisani situaciji je torej več elementov, ki zahtevajo interpretacijo določb ZIN in opredelitev do vprašanja zakonitosti posredovanja osebnih podatkov, česar pa IP v mnenju ne more storiti. Nenazadnje pa navajamo, da je v sistemu, vzpostavljenem v pravni državi, treba upoštevati pozive državnih organov, morebitne spore pa reševati v okviru sodne veje oblasti.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Drugi odstavek 19. člena Zakon o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – uradno prečiščeno besedilo in 40/14; v nadaljevanju ZIN) določa, da morajo pravne in fizične osebe, zoper katere se ne vodi inšpekcijski postopek, in ki razpolagajo z domnevnimi dokazi oziroma drugimi, tudi osebnimi podatki, potrebnimi za izvedbo inšpekcijskega nadzora, na zahtevo inšpektorja posredovati dokaze in druge, tudi osebne podatke, oziroma morajo omogočiti zaslišanje prič za pridobitev teh dokazov ali drugih, tudi osebnih podatkov, najkasneje v treh dneh od prejema njegove zahteve.

Prav tako ni zanemarljiv tretji odstavek 19. člena ZIN, ki določa, da lahko pri opravljanju nalog inšpekcijskega nadzora inšpektor za največ 15 dni odvzame dokumentacijo, ki jo potrebuje za obravnavanje dejanskega stanja v obravnavani zadevi, če meni, da obstaja utemeljen sum kršitev zakonov ali drugih predpisov, in če s tem ne ovira dejavnosti fizične ali pravne osebe.

Vse navedeno predpostavlja obstoj postopka oziroma zadeve, vendar se v nadaljnjo analizo vašega konkretnega primera ter določb ZIN ne moremo spuščati, saj bi lahko po eni strani neutemeljeno posegali v morebitni postopek inšpekcijskega nadzora, po drugi strani pa bi to od nas terjalo razlago določb ZIN, za kar pa IP načeloma ni pristojen (razen v delu, ki se dotika Splošne uredbe, njenih načel in pravnih podlag). Vsekakor tega vprašanja, ki vpliva na zakonitost obdelave, ne moremo reševati v mnenju.

Za ilustracijo lahko navedemo, da iz vašega dopisa ne izhaja gotovost, da postopek inšpekcijskega nadzora v takšnih primerih ni uveden, saj je tak postopek lahko uveden tudi zoper neznanega zavezanca in se v postopku zavezanca šele identificira, za kar so potrebne informacije. IP pa ne more komentirati, ali je bil postopek inšpekcijskega nadzora v konkretnem primeru uveden ali ne. Morda je bil postopek celo že uveden zoper neznanega zavezanca, česar ne vemo.

Nadalje poudarjamo, da ni mogoče z gotovostjo trditi, da inšpektor nima pooblastil za pridobivanje informacij in dokazov z namenom, da se šele odloči o uvedbi inšpekcijskega postopka. Nadalje bi bilo treba razložiti pojem »izvedba inšpekcijskega nadzora« in rešiti vprašanje, ali odločanje o uvedbi že pomeni predstopnjo izvedbe postopka. Tega IP v mnenju, kot že večkrat poudarjeno, žal ne more komentirati, vsekakor pa je na mestu splošno opozorilo tako na spoštovanje načela sorazmernosti po ZIN ter najmanjšega obsega obdelave po Splošni uredbi, kar ste navedli že sami.

ZIN pa prav tako ne predvideva postopka, po katerem bi osebe, ki jih inšpektor pozove na posredovanje dokazov in podatkov, lahko ugovarjale ali ne posredovale zahtevanih podatkov na tak poziv inšpektorja. V 38. členu ZIN je predvidena zgolj sankcija zaradi neupoštevanja poziva inšpektorja, morebitna globa pa bi se lahko izpodbijala šele v sodnem postopku. Menimo torej, da je pozive inšpektorjev načeloma treba upoštevati.

Glede same zahteve inšpektorja ter povezave s Splošno uredbo in ZVOP-2 pa vas lahko napotimo na mnenje IP št. 07120-1/2024/463 z dne 30. 12. 2024 (dostopno na: https://www.ip-rs.si/mnenja-zvop-2/posredovanje-podatkov-o-uporabniku-telekomunikacijskih-storitev-na-zahtevo-inšpektorata-1735557021). Iz citiranega mnenja izhaja, da »bi morala vsaka zahteva za posredovanje osebnih podatkov vedno vsebovati podatke o tem, kdo jih zahteva, pravno podlago in namen ter obseg (vrste) zahtevanih podatkov. Navedeno je nujno z vidika, da upravljavec, ki ima osebne podatke, lahko presodi utemeljenost zahteve z vidika sorazmernosti. Tudi inšpektorji lahko namreč zahtevajo le podatke, ki so potrebni in primerni za konkreten primer in konkretno pravno podlago, zato mora biti zahteva za posredovanje osebnih podatkov v določeni meri obrazložena.

Kot upravljavec osebnih podatkov lahko od prejemnika osebnih podatkov zahtevate, da vloga (oz. poziv) za posredovanje osebnih podatkov izpolnjuje zgoraj navedene informacije.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravil

mag. Polona Merc, univ. dipl. prav., vodja mednarodnega sodelovanja