Posredovanje osebnih podatkov tujemu organu pregona

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste podjetje, ki posluje in trži svoje produkte globalno. Prejeli ste poizvedbo nemške policije za osebne podatke, ki jih v svojih zbirkah podatkov obdelujete o enem izmed imetnikov vaših produktov. Organi pregona podatke potrebujejo z namenom predkazenske/kazenske preiskave. Zanima vas, ali lahko zakonito posredujete zahtevane osebne podatke organom pregona v Nemčiji in po kakšnem protokolu, da bo posredovanje skladno s Splošno uredbo.  

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

IP ne more komentirati vprašanja zakonitosti pozivov tujih preiskovalnih organov, saj z njimi ni seznanjen in jih ne obravnava v inšpekcijskem postopku, prav tako pa je za sodelovanje med državami članicami EU na področju pravosodja pristojno Ministrstvo za pravosodje. IP poudarja, da morajo biti uradni organi, tudi organi tujih držav, sposobni izkazati ustrezno pravno podlago, na podlagi katere zahtevajo osebne podatke. V vašem primeru vam lahko zgolj svetujemo, da pred posredovanjem kakršnih koli osebnih podatkov temeljito raziščete pravne podlage (se posvetujete z Ministrstvom za pravosodje in/ali obrnete na organ, ki od vas zahteva podatke)  ter posreduje osebne podatke izključno, če ste prepričani v zakonitost zahtevane obdelave osebnih podatkov.

Obrazložitev

Uvodoma navajamo, da je Uredba o evropskem nalogu za predložitev in evropskem nalogu za zavarovanje elektronskih dokazov v kazenskih zadevah,[1] ki jo omenjate, res šele v fazi predloga in ne sprejetega in veljavnega akta Evropske unije. Vendar IP pri tem tudi ugotavlja, da se navedeni predlog uredbe nanaša na zavarovanje ali predložitev podatkov, ki jih shranjuje ponudnik storitev elektronskih komunikacij, informacijske družbe ali dodeljevanja internetnih domenskih imen in številk IP, zato tudi v primeru uveljavitve tega akta nismo prepričani, da bi se nanašal na vas, saj ni jasno, ali sodite med ponudnike naštetih storitev.

Ne glede na to, pa je bila na področju preprečevanja, preiskovanja, odkrivanja in pregona kaznivih dejanj v zvezi z obdelavo osebnih podatkov sprejeta Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ. Slednja s cilji in nameni zavezuje organe preiskovanja in pregona kaznivih dejanj v celotni EU k spoštovanju skupnih standardov varstva osebnih podatkov, med katere v prvi vrsti sodi načelo zakonitosti obdelave osebnih podatkov.

Vsak upravljavec osebnih podatkov, torej tudi nemška policija, mora imeti ustrezno pravno podlago za obdelavo (denimo pridobivanje) osebnih podatkov, takšno pravno podlago pa mora biti sposobna tudi izkazati.

Na nacionalni in evropski ravni je treba tako omeniti Zakon o sodelovanju v kazenskih zadevah z državami članicami Evropske unije (Uradni list RS, št. 48/13, 37/15, 22/18 in 94/21; v nadaljevanju ZSKZDČEU-1), ki med drugim v slovenski pravni red preliva določbe Direktive Evropskega Parlamenta in Sveta 2014/41/EU z dne 3. aprila 2014 o evropskem preiskovalnem nalogu v kazenskih zadevah. Zakon med drugim določa medsebojno priznavanje in izvrševanje (…) odločb sodišč ali drugih pristojnih organov, s katerimi se izda evropski preiskovalni nalog, (…) odločb pristojnih organov, s katerimi je predvideno skupno izvajanje preiskovalnih ukrepov, izmenjava podatkov iz kazenske evidence ter sodelovanje z Eurojustom in Evropsko pravosodno mrežo (…). V kolikor bi šlo za izvajanje evropskega preiskovalnega naloga, je treba biti pozoren na ustrezno spoštovanje določb ZSKZDČEU-1 in omenjene direktive s strani pristojnih organov. Vendar izmenjava podatkov v takšnem primeru ne poteka neposredno med tujim preiskovalnim organom in denimo vami, temveč preko mehanizma priznavanja tujih odločb sodnih ali drugih pristojnih organov. Takšne odločbe ali odredbe nato izvršujejo pristojni slovenski organi.

Več o evropskem preiskovalnem nalogu si lahko preberete na: https://e-justice.europa.eu/92/SL/european_investigation_order_mutual_legal_assistance_and_joint_investigation_teams.

V vašem primeru je vprašanje zakonitosti posredovanja osebnih podatkov odvisna od načina izvrševanja zakonodaje na področju predkazenskega in kazenskega (pravosodnega) sodelovanja med pristojnimi organi držav članic Evropske unije. Ta vprašanja, povezana z izvrševanjem omenjene zakonodaje, je v Sloveniji pristojno Ministrstvo za pravosodje, zato vam svetujemo, da se glede teh vprašanj obrnete nanje.

IP meni, da se morate z namenom zagotavljanja zakonite obdelave osebnih podatkov pred morebitnim posredovanjem osebnih podatkov svojih strank, temeljito pozanimati o pravnih podlagah za zahteve nemške policije, ki jih omenjate. Če tuj preiskovalni organ svoje zahteve ne utemelji na konkretni pravni podlagi, ne morete biti prepričani o zakonitosti obdelave osebnih podatkov s posredovanjem. Zato se poleg posvetovanja z Ministrstvom za pravosodje lahko neposredno obrnete tudi na organ, ki od vas zahteva posredovanje osebnih podatkov.

Če sklenemo, pravne podlage za posredovanje osebnih podatkov točno določenim organom za točno določene namene pod določenimi pogoji v zakonodaji sicer obstajajo, vendar je treba glede na konkretne okoliščine vsakokratnega primera presoditi, ali so konkretni pozivi za posredovanje osebnih podatkov utemeljeni na določbah zakona, ki vas zavezuje. Tega IP v mnenju žal ne more konkretno presoditi, tudi sicer pa bi lahko v morebitnem inšpekcijskem postopku preverjal le zakonitost obdelav osebnih podatkov, ki potekajo ali so potekale v preteklosti. Kot rečeno vam svetujemo, da se za tolmačenje zakonodaje na področju pravosodnega sodelovanja med državami članicami EU obrnete na Ministrstvo za pravosodje, za pojasnilo o pravnih podlagah pa tudi na samo nemško policijo kot upravljavca osebnih podatkov, ki od vas zahteva posredovanje.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

 informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

[1] V vašem dopisu sicer omenjate direktivo, vendar ima predlog direktive drugačen namen, in sicer določitev harmoniziranih pravil o imenovanju pravnih zastopnikov za namene zbiranja dokazov v kazenskih postopkih (https://eur-lex.europa.eu/legal-content/SL/TXT/HTML/?uri=CELEX:52018PC0226&from=EN).