Mnenje IP glede ugotavljanja identitete vlagatelja pri vlogah, prejetih po elektronski poti brez varnega elektronskega podpisa

Informacijskemu pooblaščencu (v nadaljevanju IP) ste dne 20. 3. 2020 poslali zaprosilo za pomoč pri razlagi drugega odstavka 7. člena Zakona o začasnih ukrepih v zvezi s sodnimi, upravnimi in drugimi javnopravnimi zadevami za obvladovanje širjenja nalezljive bolezni SARS-CoV-2, ki določa, da se v upravnih zadevah lahko pisne vloge vlagajo po elektronski poti brez varnega elektronskega podpisa, če je identiteto vložnika mogoče ugotoviti "na drug zanesljiv način".

Kot navajate, bi ugotavljanje identitete vložnika "na drug zanesljiv način" v praksi lahko pomenilo (kot je tudi omenjeno v obrazložitvi novega zakona), da se od vložnika zahteva predložitev EMŠO, pri čemer se vam poraja pomislek o zanesljivosti takšnega načina preverjanja, saj ne razpolagate s podatki o EMŠO in v primeru, da se bo vložnik namesto podpisa izkazal z EMŠO, ne bi mogli preveriti, ali EMŠO res pripada tej osebi. Vaše vprašanje je tako, ali je mogoče od vložnika z namenom "ugotavljanje identitete na drug zanesljiv način" zahtevati predložitev npr. scana osebnega dokumenta, na podlagi katerega bi bilo z gotovostjo mogoče potrditi, da EMŠO res pripada dotični osebi in posledično na zanesljiv način preveriti  njegovo identiteto. Ob tem bi seveda vlagatelju pojasnili, da lahko skladno z veljavno zakonodajo s področja osebnih podatkov zakrije vse svoje osebne podatke na poslanem osebnem dokumentu, ki niso nujno potrebni za to, da organ preveri vložnikovo istovetnost.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim zgoraj navedenim vprašanjem.

****

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov. V mnenju lahko zato poda zgolj splošna pojasnila, ne more pa presojati ustreznosti konkretnega ravnanja posameznih upravljavcev in obdelovalcev ter ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe.

Kar zadeva zbiranje in obdelavo osebnih podatkov za namene vodenja upravnih postopkov je treba opozoriti še na Sklep Ustavnega sodišča RS št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), po katerem IP inšpekcijskega nadzora nad izvajanjem ZVOP-1 ne sme izvajati tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (drugi odstavek 120. člena Ustave za upravne organe, 125. člen Ustave za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oz. vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

****

IP v zvezi z vašim vprašanji pojasnjuje, da se v primerih, kadar se osebni podatki obdelujejo za namene vodenja upravnih postopkov, kot pravna podlaga za obdelavo osebnih podatkov šteje (e) točka prvega odstavka 6. člena Splošne uredbe, saj gre za obdelavo, ki je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu, države članice pa lahko skladno z drugim odstavkom 6. člena ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti s točkama (c) in (e) prvega odstavka, tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave.

Obdelava osebnih podatkov za namene vodenja upravnega postopka se z vidika določb 6. člena Splošne uredbe šteje za zakonito, če se izvaja skladno s pravili, ki jih določajo materialni in postopkovni predpisi, ki določajo načela in pravila vodenja konkretnega upravnega postopka. IP ob tem opozarja še na načela v zvezi z obdelavo osebnih podatkov iz 5. člena Splošne uredbe, pri čemer je treba v zvezi z vašim vprašanjem posebej izpostaviti dve načeli, in sicer:

• načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (točka (c) prvega odstavka 5. člena Splošne uredbe); to pomeni, da osebnih podatkov ni dopustno zbirati »na zalogo« ter da je pridobivanje posameznih vrst osebnih podatkov in njihova uporaba dopustna v primeru jasno izkazane pravne podlage, torej če so določeni osebni podatki potrebni za konkreten upravni postopek oziroma ali za kakšne druge zakonite namene;
• načelo točnosti skladno s katerim morajo biti osebni podatki točni, in kadar je to potrebno, posodobljeni; sprejeti je treba vse razumne ukrepe za zagotovitev, da se netočni osebni podatki brez odlašanja izbrišejo ali popravijo ob upoštevanju namenov, za katere se obdelujejo (točka (d) prvega odstavka 5. člena Splošne uredbe).

Vsebina vloge, način njene vložitve in obravnave ter s tem povezano zbiranje osebnih podatkov se torej ob upoštevanju zgoraj navedenih načel presojajo z vidika določb 63. do 69. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06- UPB2, s sperm; v nadaljevanju ZUP), določb področnih predpisov ter določb Uredbe o upravnem poslovanju (Uradni list RS, št. 9/18 in 14/2020).

Po določbah drugega odstavka 63. člena ZUP se kot vloga, ki je v elektronski obliki, šteje vloga, ki je podpisana z varnim elektronskim podpisom s kvalificiranim potrdilom, v 101. členu Uredbe o upravnem poslovanju pa je določeno, da se elektronska vloga lahko vloži brez elektronskega podpisa, enakovrednega lastnoročnemu podpisu, v postopkih:

1. z zahtevo za dostop do informacij javnega značaja;
2. z zahtevo za dostop do informacij za medije po zakonu, ki ureja medije;
3. pobiranja davkov, če zavezanec za davek vloži vlogo prek portala eDavki.

Uredba o upravnem poslovanju v 18. členu še določa, da organ sprejema vloge se ne sme pogojevati s predložitvijo priloge v obliki javne listine o dejstvu iz uradne evidence, podobno določbo pa vsebuje tudi tretji odstavek 66. člena ZUP.

Iz zgoraj citiranih določb 63. člena ZUP in 101. člena Uredbe o upravnem poslovanju izhaja, da se lahko elektronske vloge brez elektronskega podpisa, enakovrednega lastnoročnemu podpisu, vlagajo le v treh, taksativno določenih postopkih, kar pa se bo spremenilo v času veljavnosti Zakona o začasnih ukrepih v zvezi s sodnimi, upravnimi in drugimi javnopravnimi zadevami za obvladovanje širjenja nalezljive bolezni SARS-CoV-2 (COVID-19) (ZZUSUDJZ). Navedeni zakon v drugem odstavku 7. člena določa, da se v upravnih zadevah pisne vloge lahko vlagajo po elektronski poti brez varnega elektronskega podpisa, če je identiteto vložnika mogoče ugotoviti na drug zanesljiv način. V istem odstavku je nadalje še določeno, da se v teh primerih dokumenti, ki vplivajo na pravni položaj, vročajo na vložnikov naslov stalnega ali začasnega prebivališča iz registra stalnega prebivalstva.     

Kot ugotavljate že sami, ZZUSUDJZ posebej ne določa, kaj se šteje kot zanesljiv način ugotavljanja identitete vložnika in bi ugotavljanje identitete vložnika "na drug zanesljiv način" v praksi lahko pomenilo, da se od vložnika zahteva predložitev EMŠO, pri čemer se vam poraja pomislek o zanesljivosti takšnega načina preverjanja, saj ne razpolagate s podatki o EMŠO in v primeru, da se bo vložnik namesto podpisa izkazal z EMŠO, ne bi mogli preveriti, ali EMŠO res pripada tej osebi. Zaradi tega se sprašujete, ali je mogoče od vložnika z namenom "ugotavljanja identitete na drug zanesljiv način" zahtevati predložitev npr. scana osebnega dokumenta, na podlagi katerega bi bilo z gotovostjo mogoče potrditi, da EMŠO res pripada dotični osebi in posledično na zanesljiv način preveriti  njegovo identiteto.

****

IP na podlagi zgoraj navedenih pravnih podlag in načel v zvezi z obdelavo osebnih podatkov, ki se zbirajo za namene vodenja upravnih postopkov, meni, da zahtevanje skeniranega osebnega dokumenta za namene ugotavljanje identitete vložnika ni mogoče šteti kot način, ki bi v zadostni meri upošteval načela obdelave osebnih podatkov iz 5. člena Splošne uredbe ter da je mogoče identiteto vložnika preveriti na drugačne in zanesljivejše načine.

Kot prvo je treba upoštevati, da ZUP, Uredba o upravnem poslovanju ter ZZUSUDJZ ne predvidevajo zbiranja kopij osebnih dokumentov ter da ZUP in Uredba o upravnem poslovanju celo izrecno prepovedujeta pogojevanje sprejema vloge s predložitvijo potrdil, izpiskov in drugih podatkov o dejstvih iz uradne evidence. Vsebina vloge in vrste osebnih podatkov, ki jih mora vloga obsegati, je na splošno določena v prvem odstavku 66. člena ZUP, ki določa, da mora vloga med drugim obsegati predvsem osebno ime in naslov prebivališča vlagatelja, ter da organ lahko na obrazcu vloge, ob sprejemu vloge ali z dopisom za dopolnitev vloge zahteva od stranke, da navede svojo uradno dodeljeno identifikacijsko številko, če je to potrebno zaradi identifikacije stranke ali zaradi pridobivanja podatkov iz uradnih evidenc.

Kot drugo je treba upoštevati, da je kopijo osebnega dokumenta veliko lažje ponarediti kot originalni osebni dokument ter da se pri zbiranju kopij osebnih dokumentov nikoli z gotovostjo ne ve, ali kopijo osebnega dokumenta dejansko pošilja njen imetnik ter ali gre dejansko za kopijo originalnega osebnega dokumenta. Smisel preverjanja identitete posameznika z vpogledom v njegov osebni dokument in s sem povezanega hranjenja kopije osebnega dokumenta se namreč kaže tudi v tem, da se poleg zagotavljanja točnosti osebnih podatkov ob vpogledu v osebni dokument v navzočnosti njenega imetnika preveri, ali je oseba, ki predloži osebni dokument, res tista, za katero se izdaja ter se ob skrbnem pregledu predloženega osebnega dokumenta hkrati preveri tudi to, če osebni dokument morda ni ponarejen. IP ob tem še opozarja, da sedmi odstavek 4. člena Zakona o osebni izkaznici (Uradni list RS, št. 35/11, v nadaljevanju ZOIzk-1) izrecno prepoveduje hranjenje kopije osebne izkaznice v elektronski obliki, kar pomeni, da bi moral organ todi v primeru, ko bi mu posameznik samoiniciativno posredoval kopijo osebne izkaznice v elektronski obliki, prejeto kopijo za namene hrambe natisniti na papir in ustrezno označiti, elektronsko kopijo pa uničiti, kar enako velja tudi za prejete kopije potnega lista (sedmi odstavek 4.a člena ZPLD-1).    

IP tako meni, da obstajajo drugi, primernejši načini preverjanje identitete vlagatelja, kot je zahteva po predložitvi kopije njegovega osebnega dokumenta, pri čemer bo moral vsak organ po temeljitem razmisleku sam določiti tiste identifikatorje, za katere organ utemeljeno predvideva, da so relevantni za konkreten postopek in so znani samo vlagatelju. EMŠO se tako lahko šteje le kot ena, ne pa nujno tudi edina identifikacijska številka, s pomočjo katere bo organ preverjal identiteto vložnika, saj ni mogoče določiti enotnega identifikatorja za vse primere. Poleg tega je treba ob upoštevanju načela sorazmernosti in možnih posledic sprejetja vloge s strani vlagatelja, ki se predstavlja za drugo osebo, vzeti v obzir,  da uporaba več identifikatorjev hkrati, ki niso nujno vsi z zakonom opredeljene enolične identifikacijske številke posameznika (kot so to npr. EMŠO, davčna številka ali številka zdravstvenega zavarovanja) lahko precej zmanjša tveganje zlorabe, saj obstaja manjša verjetnost, da zlonamerni vlagatelj hkrati pozna več identifikatorjev. Kot takšni dodatni identifikatorji se lahko uporabijo zlati tisti, s katerimi organ že razpolaga (npr. številka zadeve, številka že izdane odločbe vlagatelju), če pa teh ni pa tudi takšni, kot je npr. npr. telefonska številka, številka naročnika ali kopija kakšnega dokumenta (npr. računa ali poziva) z osebnimi podatki vložnika, za katerega je mogoče z dovolj veliko verjetnostjo sklepati, da ga pozna oziroma z njim razpolaga zgolj vlagatelj.

K zgoraj navedenemu je potrebno še posebej opozoriti, da je zaradi zagotovitve varnosti strank zakonodajalec v drugem odstavku 7. člena ZZUSUDJZ že sam določil, da se v primeru vlog, ki se vlagajo po elektronski poti brez varnega elektronskega podpisa, dokumenti, ki vplivajo na pravni položaj, vročajo na vložnikov naslov stalnega ali začasnega prebivališča iz registra stalnega prebivalstva. Iz takšne določbe izhaja, da mora organ, ki prejme takšno vlogo, pred vročanjem dokumenta, ki vpliva na pravni položaj, naslov stalnega ali začasnega prebivališča obvezno pridobiti iz registra stalnega prebivalstva, s čimer se hkrati lahko preverja točnost osebnih podatkov vložnika ter ob enem zagotavlja, da se dokumenti ne bi vročali napačnim osebam oz. bo dokument prejela tista osebe, za katero se vlagatelj predstavlja. Citirana določba drugega odstavka 7. člena ZZUSUDJZ se ob uporabi določbe 34.a in 139. člena ZUP šteje kot zadostna pravna podlaga, ki organ ne samo pooblašča, pač pa tudi zavezuje, da točnost osebnih podatkov vlagatelja preveti s pridobitvijo osebnih podatkov iz registra stalnega prebivalstva. Takšna poizvedba oz. pridobitev osebnih podatkov se opravi na način, določen v 92. in 93. členu Uredbe o upravnem poslovanju, torej na način, da organ pridobiti podatek z neposrednim vpogledom v uradno evidence, ali pa s pridobivanjem podatkov od drugega organa na podlagi zahteve, o čemer se naredi uradni zaznamek. IP torej meni, da je preverjanje točnosti osebnih podatkov v uradnih evidencah primerneje kot preverjaje le teh iz kopije osebnega dokumenta, ki bi ga  organu poslal vlagatelj.

V upanju, da vam bo naš odgovor v pomoč, vas lepo pozdravljamo.

Pripravil:

Jože Bogataj,

namestnik infrmacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka