Obdobje hrambe podatkov o prometu

Pri Informacijskem pooblaščencu (IP) smo dne 9. 8. 2023 prejeli vaše zaprosilo za dopolnitev mnenja št. 07121-1/2023/1033 z dne 8. 8. 2023 glede obdobja hrambe identifikacijskih podatkov komentatorjev na spletu. Zanima vas, kako dolgo smejo operaterji hraniti podatke o IP in IMEI skladno s veljavnimi predpisi in v katerih predpisih je to določeno.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Podatki o prometu so kateri koli podatki, obdelani za namen prenosa komunikacije po elektronskem komunikacijskem omrežju ali zaradi njegovega zaračunavanja; mednje prištevamo tako IP naslove kot tudi IMEI številke.

2. Rok hrambe prometnih podatkov je reguliran v drugem odstavku 218. člena ZEKom-2, ki določa, da lahko operater ne glede na določbe prvega odstavka 218. člena ZEKom-2 do popolnega plačila storitve, vendar najdlje do preteka zastaralnega roka, hrani in obdeluje podatke o prometu, ki jih potrebuje za obračun in za plačila v zvezi z medomrežnim povezovanjem.

3. Za nadzor nad izvajanjem 218. člena ZEKom-2 je pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS) in ne Informacijski pooblaščenec.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V skladu z definicijo iz 55. točke 3. člena Zakona o elektronskih komunikacijah (Uradni list RS, št. 130/22 in 18/23 – ZDU-1O, v nadaljevanju: ZEKom-2) so podatki o prometu kateri koli podatki, obdelani za namen prenosa komunikacije po elektronskem komunikacijskem omrežju ali zaradi njegovega zaračunavanja. Kot smo zapisali v mnenju št. 07121-1/2023/1033 z dne 8. 8. 2023, IP naslove prištevamo med prometne podatke, enako pa velja tudi za mednarodno identiteto mobilnega terminala (IMEI).

Hramba prometnih podatkov je regulirana v 218. členu ZEKom-2, ki določa:

(1) Podatki o prometu, ki se nanašajo na naročnike in uporabnike ter jih je operater obdelal in shranil, morajo biti izbrisani ali spremenjeni tako, da jih ni mogoče povezati z določeno ali določljivo osebo takoj, ko niso več potrebni za prenos sporočil, razen v primerih podatkov, pri katerih je po tem zakonu določen daljši rok hrambe glede spremljanja in nadzora porabe podatkovnih storitev (198. člen tega zakona), glede javnega obveščanja in alarmiranja (201. člen tega zakona), glede notranjih postopkov (216. člen tega zakona), glede zavarovanja in neizbrisne registracije posredovanja prometnih in lokacijskih podatkov v primerih varovanja življenja in telesa (220. člen tega zakona), glede sledenja zlonamernih ali nadležnih klicev (223. člen tega zakona) ter glede zakonitega prestrezanja komunikacij (peti odstavek 228. člena tega zakona).

(2) Ne glede na določbo prejšnjega odstavka lahko operater do popolnega plačila storitve, vendar najdlje do preteka zastaralnega roka, hrani in obdeluje podatke o prometu, ki jih potrebuje za obračun in za plačila v zvezi z medomrežnim povezovanjem.

(3) Izvajalec javne komunikacijske storitve lahko zaradi trženja elektronskih komunikacijskih storitev ali izvajanja storitev z dodano vrednostjo obdeluje podatke iz prvega odstavka tega člena v obsegu in trajanju, potrebnem za takšno trženje ali storitve, samo na podlagi predhodnega soglasja naročnika ali uporabnika, na katerega se ti podatki nanašajo. Naročniki oziroma uporabniki morajo biti pred danim soglasjem obveščeni o vrstah podatkov o prometu, ki se obdelujejo, ter namenu in trajanju takšne obdelave. Uporabnik ali naročnik ima pravico, da to soglasje kadar koli prekliče.

(4) Izvajalec storitve mora za namene iz drugega odstavka tega člena zaradi seznanitve naročnikov in uporabnikov v splošnih pogojih navesti, kateri prometni podatki se bodo obdelovali in koliko časa.

(5) Podatke o prometu smejo v skladu s prejšnjimi odstavki tega člena obdelovati le pooblaščene osebe, ki pod nadzorstvom operaterja skrbijo za zaračunavanje ali upravljanje prometa, odgovarjajo na vprašanja porabnikov, odkrivajo prevare, tržijo elektronske komunikacijske storitve ali zagotavljajo storitve z dodano vrednostjo, pri čemer mora biti ta obdelava omejena na obseg, ki je potreben za namene takih dejavnosti.

(6) Ne glede na določbe prvega, drugega, tretjega in petega odstavka tega člena operater na pisno zahtevo, ki je vložena zaradi reševanja sporov, zlasti sporov v zvezi z medsebojnim povezovanjem ali zaračunavanjem, in v skladu z veljavno zakonodajo agenciji, izvajalcu izvensodnega reševanja potrošniških sporov v skladu z zakonom, ki ureja izvensodno reševanje potrošniških sporov, ali pristojnemu sodišču posreduje podatke o prometu.

(7) Agencija nadzira izvajanje določb tega člena najmanj enkrat na dve leti.

Za nadzor nad izvajanjem 218. člena ZEKom-2 je pristojna Agencija za komunikacijska omrežja in storitve Republike Slovenije (AKOS) in ne Informacijski pooblaščenec.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila:

dr. Pika Šarf,

Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka