Postopek Informacijskega pooblaščenca - vpogledi v osebne podatke politikov
+ -Dosedanje ugotovitve Informacijskega pooblaščenca (IP) ne kažejo sistemskih kršitev pri vpogledovanju Policije v osebne podatke politikov – pri vpogledu v osebne podatke poslanca Jožefa Horvata na Božični večer kršitev ni bilo, pač pa je bil poslanec Jožef Horvat v povsem enakem položaju kot vseh drugih 178, od skupno 180 Jožefov Horvatov v Sloveniji
1. Policijski vpogledi v osebne podatke 45 politikov
IP je februarja zoper Policijo zaradi suma, da naj bi njeni zaposleni nezakonito vpogledovali v osebne podatke politikov, uvedel inšpekcijski nadzor, kjer preverja ali so bili med 1. 1. 2019 in 18. 2. 2020 prek informacijsko - komunikacijskega sistema policije (ne)zakonito obdelovani osebni podatki 45-ih politikov - od tega 19 predsednikov parlamentarnih strank in vodij poslanskih skupin.
Iz v postopku pridobljenih izpisov dnevnikov obdelav osebnih podatkov je razvidno kateri zaposleni so obdelovali osebne podatke politikov ter kako (npr. vpisi, ažuriranja, vpogledi, ….). Osebne podatke 45-ih politikov je obdelovalo 700 zaposlenih na Policiji. Eden od zaposlenih je obdeloval osebne podatke sedmih politikov, štirje zaposleni šestih politikov, sedem petih in osem zaposlenih štirih politikov. Ostali zaposleni so večinoma obdelovali podatke enega, redki pa tudi dveh ali treh politikov.
Osebne podatke posameznih politikov je sicer obdelovalo tudi več kot 50 različnih zaposlenih (administracija), daleč največje število obdelav pa je bilo v dnevnikih zabeleženih pri osebah, ki so bile deležne policijskega varovanja in sicer z vnašanjem podatkov v evidence, kar pomeni zakonito obdelavo. Pri takem vnašanju podatkov se v policijske in druge evidence sploh ne vpogleduje, sama obdelava (vnos) pa se vseeno zabeleži v dnevniku in prikaže na izpisu.
Policija je pojasnila razloge obdelav – večinoma gre za vnose podatkov v evidence Policije, nadzor državne meje, preprečevanje, odkrivanje in preiskovanje kaznivih dejanj ter po zakonu obvezno zagotavljanje točnosti, ažurnosti in pravočasno uničenje ali blokiranje podatkov. Pravna podlaga za to obdelavo osebnih podatkov so 112., 115. in 121. člen Zakona o nalogah in pooblastilih policije (ZNPPol), torej je šlo za obdelavo za zakonite namene, to je za opravljanje policijskih nalog iz 4. člena ZNPPol .
Postopek sicer še teče, a iz dosedanjih ugotovitev izhaja, da je bilo velika večina do sedaj preverjenih obdelav osebnih podatkov zakonitih. Nezakonita obdelava je bila do sedaj ugotovljena pri enem policistu, ki pa jo je Policija zaznala že sama še pred uvedbo postopka IP in je zoper njega na IP že lani podala predlog za uvedbo prekrška, IP pa je postopek zaključil z izdajo prekrškovne odločbe, ki pa še ni pravnomočna. Iz dosedanji ugotovitev sicer izhaja sum nezakonite obdelave še treh policistov, a postopek še teče.
2. Zakoniti vpogledi v osebne podatke poslanca Jožefa Horvata na Božični večer
IP je posebej preveril obdelavo osebnih podatkov poslanca Jožefa Horvata, ki je javno izpostavil, da naj bi Policija na Božični večer, 24. 12. 2019, pred polnočnico nezakonito vpogledovala v njegove osebne podatke, kar naj bi dokazovali izpiski, ki jih je prejel od Ministrstva za notranje zadeve (MNZ). IP je ugotovil, da je policist PP Murska Sobota dne 24. 12. 2019 ob 23:24:43 uri na zaprosilo policijske patrulje v aplikacijo vpisal iskalne parametre za osebo z imenom in priimkom Jožef Horvat, saj je patrulja PP Murska Sobota izvajala terensko policijsko nalogo za konkretno osebo, zato je morala preveriti njene osebne podatke. Pri takšni poizvedbi se na podlagi iskalnih parametrov imena in priimka iz centralnega registra prebivalstva in registra stalnega prebivalstva pridobijo osebni podatki o vseh osebah, ki ustrezajo iskalnemu parametru. Uporabnik tako na ekranu vidi vse osebe z iskanim imenom in priimkom, njihove EMŠO, datume rojstva, državo in kraj rojstva, prebivališče in državljanstvo. Iz vidnih podatkov nato uporabnik določi, od katere osebe konkretno potrebuje kakšne podrobnosti (npr. seznam naslovov, davčno številko, spremembo imena, seznam vozil, seznam slik osebe z listinami, ipd.) in vse to sistem zabeleži. Iz policijskih dnevnikov tako izhaja, da je policist dne 24. 12. 2019 ob 23:24.43 uri naredil poizvedbo po imenu in priimku Jožef Horvat, nato pa je iz nabora vidnih podatkov nadaljeval z obdelavo podatkov točno določenega Jožefa Horvata, ki ga je takrat dejansko obravnavala policija, to pa ni bil poslanec. Vse te nadaljnje (podrobne) obdelave so se nato zabeležile zgolj v dnevniku obdelav, ki se nanaša na konkretnega Jožefa Horvata v policijski obravnavi, ki pa kot rečeno ni bil poslanec Jožef Horvat. V primeru iskanja zgolj po imenu in priimku, se v torej dnevniku obdelava zabeleži pri prav vseh osebah s tem imenom in priimkom. To pomeni, da bi v primeru zahteve za seznanitev z lastnimi osebnimi podatki vseh z istim imenom in priimkom (konkretno npr. vsi Jožefi Horvati), vsi od upravljavca dobili izpis, ki bi izkazoval ta isti vpogled. Da se taka obdelava zabeležbi v dnevniku prav za vse je nujno zaradi zagotavljanja sledljivosti obdelave in omogočanja poznejšega ugotavljanja kateri uporabniki (npr. policisti) so bili seznanjeni z osebnimi podatki vseh soimenjakov. Vse nadaljnje poizvedbe pa so ustrezno zabeležene zgolj pri tistemu, kjer je nadaljnja obdelava potekala. Poslanec Jožef Horvat je bil torej v povsem enakem položaju kot vseh drugih 178, od skupno 180 Jožefov Horvatov v Sloveniji, saj je bil v policijskem postopku točno določen in identificiran Jožef Horvat, ki pa ga s poslancem povezuje zgolj ista kombinacija imena in priimka.
3. Zakoniti vpogledi Informacijskega pooblaščenca v osebe podatke politikov
IP je inšpekcijski postopek preverjanja zakonitosti vpogledov v osebne podatke 19 politikov uvedel tudi zoper nekatere druge upravljavce zbirk osebnih podatkov, kjer preverja zakonitost vpogledov v osebne podatke, ki se vodijo:
- v Centralnem registru prebivalstva (CRP) Ministrstva za notranje zadeve;
- v Evidenci registriranih vozil (MRVL) Ministrstva za notranje zadeve;
- v davčnem registru in Evidenci o davkih Finančne uprave RS;
- v Centralnem kreditnem registru (SISBON) Banke Slovenije.
IP je vse upravljavce pozval k predložitvi izpiskov iz dnevnika obdelav osebnih podatkov 19-ih politikov za čas od 1. 1. 2019 do 28. 2. 2020. Zaradi pridobitve teh izpiskov za točno določenega posameznika, je moral IP upravljavcu v svoji zahtevi navesti osebna imena in EMŠO posameznikov, za katere je zahteval izpiske iz dnevnika vpogledov. Ker IP z EMŠO seveda ne razpolaga, je dne 12. 3. 2020 prek aplikacije eRisk iz Centralnega registra (enako kot to pridobivajo vsi drugi inšpekcijski organi) pridobil EMŠO številke 19 politikov, za katere je zahteval dnevnike obdelav, kar pa se je seveda zabeležilo tudi v dnevniku pri Ministrstvu za notranje zadeve. Državna nadzornica za varstvo osebnih podatkov pri IP je vpogled in pridobitev podatkov opravila na podlagi 19. člena Zakona o inšpekcijskem nadzoru (ZIN) v povezavi s 37., 50., 53. členom ZVOP-1, ki državnega nadzornika pooblašča, da pri opravljanju inšpekcijskega nadzora brezplačno pridobi in uporablja osebne podatke iz uradnih evidenc in drugih zbirk osebnih podatkov, ki so potrebni za izvedbo inšpekcijskega nadzora. IP ima torej pri opravljanju inšpekcijskega nadzora glede pridobivanja osebnih podatkov iz zbirk podobna pooblastila kot ostali inšpekcijski organi.
Sklepno: Vsi inšpekcijski postopki zaradi kompleksnosti zadeve v celoti še niso zaključeni, je pa IP zaradi velikega zanimanja javnosti in preplaha, da Policija morebiti sistematično nezakonito obdeluje osebne podatke politikov, navedeno preveril in pojasnil prednostno. V izogib nejasnostim in napačnim interpretacijam pridobljenih podatkov, pa bi bilo vsekakor koristno, da bi prejemniki podatkov od upravljavca hkrati pridobili tudi ustrezno pojasnilo, saj je za kakršnekoli zaključke nujno potrebno poznati vsaj osnove delovanja informacijskega sistema upravljavca zbirk podatkov.
Mojca Prelesnik, informacijska pooblaščenka