Ali lahko mobilni operaterji posreduje CDR podatke APEK-u
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 03.11.2008Številka: 0712-718/2008/2
Kategorije: Telekomunikacije in pošta Spoštovani,
Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 14. 10. 2008 prejel vaše e-sporočilo, v katerem sprašujete za mnenje v zvezi s posredovanjem podatkov s strani operaterjev elektronskih komunikacij Agenciji za pošto in elektronske komunikacije RS (v nadaljevanju APEK) na podlagi določb 6. odstavka 104. člena Zakon o elektronskih komunikacijah (Uradni list RS, št. 13/2007 - uradno prečiščeno besedilo, ZEKom-UPB1). Vaše vprašanje se nanaša predvsem na razmerje med podatki, ki se hranijo na podlagi 107. člena ZEKom ter načina in oblike pošiljanja zahtevanih podatkov.
Informacijski pooblaščenec vam na podlagi posredovanih informacij v skladu z 2. členom Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51-2007-ZUstS-A, v nadaljevanju ZInfP) in 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07 – uradno prečiščeno besedilo; v nadaljevanju: ZVOP-1-UPB1), posreduje neobvezno mnenje.
1. Pooblaščenec je mnenja, da gre pri podatkih, ki se hranijo na podlagi določb 104. in 107. člena ZEKom, za ločeni zbirki osebnih podatkov z različnimi nameni obdelave, različnimi roki hrambe in različnimi kategorijami pooblaščenih uporabnikov. Pooblaščenec je mnenja, da APEK razpolaga s pravno podlago, ki mu omogoča, da za namen reševanja sporov v zvezi z zaračunavanjem, od operaterjev na podlagi določbe 6. odstavka 104. člena ZEKom pridobi potrebne podatke, ki so vsebovani v CDR zapisih in se hranijo na podlagi določb 2. odstavka 104. Člena, ter mnenja, da operaterji s posredovanjem teh podatkov APEK ne kršijo določb ZVOP-1-UPB1.
2. ZVOP-1-UPB1 ne določa načina ali obličnosti posredovanja osebnih podatkov, zato nimamo pristojnosti, da bi se lahko opredelili glede načina ali oblike posredovanja podatkov iz točke 1.
O b r a z l o ž i t e v:
ad 1 V prošnji za mnenje sprašujete, ali se z izvajanjem določil 6. odstavka 104. člena ZEKom kakorkoli poseže v določbe ZVOP-1-UPB1, oziroma ali ZVOP-1-UPB1 kot specialni predpis s področja varstva osebnih podatkov v povezavi s 107. in 107.a členom ZEKom kakorkoli omejuje posredovanje CDR (call data record) izpisov APEK. Kot navajate, operaterji sprva niso imeli zadržkov in so vam v primerih, ko je posameznik želel preveriti veljavnost obračuna opravljenih storitev, posredovali podatke (CDR zapise), v zadnjem času pa tovrstno posredovanje odklanjajo z obrazložitvijo, da CDR zapisi vsebujejo osebne podatke in da bi s tem kršili določbe ZVOP-1-UPB1.
Pooblaščenec uvodoma pojasnjuje pravno podlago, ki APEK omogoča pridobivanje podatkov v teh primerih. 6. odstavek 104. člena ZEKom določa, da ne glede na določbe prvega, drugega, tretjega in petega odstavka tega člena operater na pisno zahtevo pristojnega organa, ki jo ta poda z namenom reševanja sporov, zlasti sporov v zvezi z medsebojnim povezovanjem ali zaračunavanjem, in v skladu z veljavno zakonodajo, tega seznani s podatki o prometu.
Pooblaščenec v praksi ugotavlja, da prihaja s strani operaterjev do nepravilnega tolmačenja glede zbirk osebnih podatkov, ki so jih operaterji dolžni hraniti na podlagi X. poglavja ZEKom. Iz določb omenjenega poglavja ZEKom izhajajo sledeče zbirke osebnih podatkov:
• zbirka, ki zajema obdelavo podatkov o prometu, kot so definirani v 104. členu ZEKom-UPB1,
• zbirka lokacijskih podatkov, ki niso hkrati podatki o prometu (106. člen ZEKom-UPB1), in
• zbirka shranjenih prometnih in lokacijskih podatkov, pridobljenih ali obdelanih v zvezi z zagotavljanjem elektronskih komunikacijskih omrežij ali storitev za potrebe pristojnih državnih organov (107. a in 107. b člen).
Gre torej za ločene zbirke, ki se razlikujejo glede na zakonske podlage, namen obdelave osebnih podatkov, roke hrambe osebnih podatkov (3 oz. 24 mesecev, v določenih primerih pa tudi dlje), pooblaščene uporabnike itd. Pooblaščenec je mnenja, da APEK razpolaga s pravno podlago, ki mu omogoča, da za namen reševanja sporov v zvezi z zaračunavanjem od operaterjev na podlagi določbe 6. odstavka 104. člena ZEKom pridobi potrebne podatke, ki so vsebovani v CDR zapisih in ki se hranijo na podlagi določb 2. odstavka 104. člena. Ta določa, da ne glede na določbo 1. odstavka 104. člena ZEKom lahko operater do popolnega plačila storitve, vendar najdlje do preteka zastaralnega roka, hrani in obdeluje podatke o prometu, ki jih potrebuje za obračun in za plačila v zvezi z medomrežnim povezovanjem. Pooblaščenec je mnenja, da operaterji s posredovanjem teh podatkov APEK ne kršijo določb ZVOP-1-UPB1.
Podatki, ki se hranijo na podlagi 107. člena ZEKom, pa imajo povsem drugačen režim hranjenja in uporabe, kljub temu, da gre v določenem časovnem obdobju za nekatere iste podatke. Kot rečeno gre za drugo zbirko osebnih podatkov z natančno opredeljenim rokom hrambe, taksativno navedbo pooblaščenih uporabnikov in povsem drugačnim namenom obdelave glede na določbe, ki so vsebovane v 107. členu ZEKom.
Pooblaščenec bo glede na zaznane razlike v tolmačenju omenjenih členov operaterje obvestil o pravilni obravnavi zbirk osebnih podatkov, ki se obdelujejo na podlagi X. poglavja ZEKom s poudarkom na ustreznosti ureditve njihovih obveznosti z vidika 25. 26. in 27. člena ZVOP-1-UPB1, ki obsegajo dolžnost vzpostavitve katalogov zbirk osebnih podatkov in obveščanje nadzornega organa.
ad 2 Glede vašega vprašanja, ali lahko agencija v svoji zahtevi sama določi način in obliko pošiljanja teh podatkov (npr. da jih poleg v fizični obliki zahteva tudi v elektronski obliki), vam moramo odgovoriti, da ZVOP-1-UPB1 ne določa načina ali obličnosti posredovanja osebnih podatkov, zato nimamo pristojnosti, da bi se lahko opredelili glede načina ali oblike posredovanja podatkov iz točke 1.
Lepo vas pozdravljamo,
Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka