Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 07.10.2009
Naslov: On line dostop inšpekcij do baze podatkov
Številka: 0712-410/2009/2
Vsebina: Inšpekcijski postopki
Pravni akt: Mnenje

Spoštovani,

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 1. 9. 2009 prejel vašo vlogo, v kateri prosite za mnenje glede varstva osebnih podatkov. Navajate sledeče.:

Lovska in ribiška inšpekcija vas v dopisu z dne 5. 6. 2009 prosi za neomejen dostop v smislu on-line vpogleda v evidence Lovske zveze Slovenije (v nadaljevanju LZS), ki jih v elektronski obliki vodijo vaše članice, upravljavke lovišč. Evidenca vsebuje tako podatke o vseh članicah in njihovih članih, vseh objektih članic, škodah od divjadi, kategorizacijah odvzete divjadi, letnem upravljavskem načrtu lovišč in še nekatere druge podatke. Dopis ste posredovali predsedniku komisije LZS za organizacijska in pravna vprašanja, ki vam je posredoval pravno mnenje, ki ga prilagate. Prav tako navajate, da nam lahko v vaših prostorih podrobneje predstavite evidenco LZS in njeno vsebino, ki je dostopna preko medmrežja.

Iz dopisa Lovske in ribiške inšpekcije izhaja, da je lovska inšpekcija že do sedaj pri svojem delu uporabljala aplikacijo Lisjak. S posodobitvijo in nadgradnjo omenjenega programa so se razširile vsebine, pomembne tudi pri delu lovske inšpekcije in so sestavni del evidenc, ki jih morajo voditi upravljavci lovišč. Inšpekcija ima omejen vpogled in s širitvijo programa nima omogočene uporabe vsebin, ki so bile v programu nadgradnje oz. se ji je vpogled v dele programa celo omejil. Prosijo za vpogled v dele programa, ki so pomembni za delo inšpekcije oz. so celo sestavni del evidenc upravljavca (objekti, škoda, kinologija, kategorizacija,…). Prav tako bi potrebovali dostop do članskega dela, poleg »pregleda« in »bivši člani« tudi v del »urejanje«, predvsem zaradi uporabe rojstnih podatkov in naslovov članov lovskih družin. Za vse dostope potrebujejo vstop v program samo na nivoju vpogleda, brez kakršnih koli možnosti vnosa oz. spreminjanja podatkov.


V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/2007 – uradno prečiščeno besedilo; v nadaljevanju ZVOP-1-UPB1) ter 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/2005 in 51/2007-ZUstS) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

1.    Glede dela vprašanja, ki se nanaša na področje dostopa do informacij javnega značaja, Pooblaščenec navaja, da je v postopku po ZDIJZ pritožbeni organ, zato v teh postopkih ne more prejudicirati odločitve. Vsekakor pa je LZS zavezanec po ZDIJZ v tistem delu dejavnosti, ki se opravlja kot javna služba oziroma v delu izvajanja javnega pooblastila.  

2.    ZVOP-1-UPB1 ne določa iskalnih pogojev za pridobivanje osebnih podatkov iz zbirk osebnih podatkov ter tako ne omejuje možnosti iskanja osebnih podatkov po različnih kriterijih. Pooblaščenec zato meni, da v primeru, ko kriteriji iskanja v področnem zakonu niso izrecno določeni, upravljavec osebnih podatkov pooblaščenim uporabnikom osebnih podatkov lahko zagotovi možnost iskanja oziroma pridobivanja osebnih podatkov po različnih kriterijih. Pri določitvi kriterijev iskanja je potrebno uporabniku osebnih podatkov primarno vedno dati možnost iskanja na način, ki ob vnosu določenih podatkov praviloma vrne le osebne podatke ene osebe (npr. vnos imena in priimka ter EMŠO, vnos imena in priimka ter datuma rojstva, vnos imena in priimka ter naslova prebivališča, vnos imena in priimka ter lovsko družino ipd.). V primeru pridobivanja osebnih podatkov s strani pooblaščenih uradnih oseb državnih organov (npr. lovski inšpektorat) Pooblaščenec meni, da je ob upoštevanju njihovih z zakonom določenih pooblastil, dopustno določenim pooblaščenim uradnim osebam (zlasti tistim s preiskovalnimi pooblastili) dodatno omogočiti tudi iskanje na način razširjenega iskanja oziroma iskanja po kriterijih, ko aplikacija izpiše osebne podatke večjega števila oseb, ki ustrezajo določenim kriterijem (npr. izpis vseh oseb z določenim: imenom in priimkom, datumom rojstva, naslovom prebivališča, lovske družine ipd.). Kriterije iskanja oziroma pridobivanja osebnih podatkov je torej potrebno določiti za vsakega uporabnika posebej, in sicer po skrbni proučitvi zakonsko določenih pooblastil posameznega uporabnika osebnih podatkov ter ob upoštevanju načela sorazmernosti, kar pomeni, da morajo biti iskalni kriteriji ustrezni in primerni glede na zakonska pooblastila posameznega uporabnika ter namene, za katere se osebni podatki iščejo oz. pridobivajo. V primeru, ko se določenemu uporabniku osebnih podatkov omogoči razširjeno iskanje, mora takšen uporabnik osebnih podatkov predhodno še posebej utemeljiti, zakaj svojih zakonsko določenih nalog oz. pooblastil ne bo mogel učinkovito izvajati brez zagotovitve možnosti razširjenega iskanja.

3.    V primeru neposrednega pridobivanja osebnih podatkov s strani pooblaščenih oseb posameznih uporabnikov osebnih podatkov, je z vidika določb ZVOP-1-UPB1 potrebno zagotoviti predvsem sledeče:
         - strojna, sistemska in aplikativna programska oprema morajo zagotoviti, da bo dostop do podatkov v mejah pooblastil posameznega uporabnika (npr. lovske inšpekcije), kar pomeni, da lahko posamezni uporabniki dostopajo le do tistih osebnih podatkov, za pridobivanje katerih so pooblaščeni z zakonom;
         - za vsako posredovanje oz. razkritje osebnih podatkov je potrebno zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podati so bili posredovani, komu, kdaj in na kakšni podlagi;
         - zagotoviti je potrebno popolno sledljivost obdelave osebnih podatkov, kar pomeni, da bo morala biti zagotovljena možnost naknadnega ugotavljanja, katere pooblaščene osebe (zaposleni pri uporabniku osebnih podatkov) so v določenem času vpogledovale oz. pridobivale osebne podatke določenega posameznika;
- osebni podatki, ki so uporabnikom dostopni po telekomunikacijskih sredstvih in omrežjih, morajo biti pri prenosu vedno zavarovani z uporabo kriptografskih metod in metod za avtentikacijo in avtorizacijo uporabnikov tako, da je zagotovljen varen dostop do podatkov in njihova nečitljivost oziroma neprepoznavnost med prenosom.


O b r a z l o ž i t e v:

1. Splošno
Pooblaščenec je v skladu s prvim odstavkom 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) pristojen za:
-    odločanje o pritožbi zoper odločbo, s katero je organ zavrgel ali zavrnil zahtevo ali drugače kršil pravico do dostopa ali ponovne uporabe informacije javnega značaja ter v okviru postopka na drugi stopnji tudi za nadzor nad izvajanjem zakona, ki ureja dostop do informacij javnega značaja, in na njegovi podlagi izdanih predpisov;
-    inšpekcijski nadzor nad izvajanjem zakona in drugih predpisov, ki urejajo varstvo ali obdelavo osebnih podatkov oziroma iznos osebnih podatkov iz Republike Slovenije, ter opravljanje drugih nalog, ki jih določajo ti predpisi;
-    odločanje o pritožbi posameznika, kadar upravljavec osebnih podatkov ne ugodi zahtevi posameznika glede pravice posameznika do seznanitve z zahtevanimi podatki, do izpisov, seznamov, vpogledov, potrdil, informacij, pojasnil, prepisovanja ali kopiranja po določbah zakona, ki ureja varstvo osebnih podatkov.

Iz vaše vloge izhaja, da gre za vprašanje dostopa do informacij javnega značaja, za varstvo osebnih podatkov ter posredovanje drugih podatkov, saj aplikacija Lisjak vsebuje evidence upravljavcev (objekti, škode, kinologija, kategorizacija odvzete divjadi, letni upravljavski načrti lovišč,…), osebne podatke članov lovskih družin, in itd..

Glede na zgoraj navedeno je Pooblaščenec pristojen le na področju dostopa do informacij javnega značaja in področju varstva osebnih podatkov.

2. Informacija javnega značaja
V skladu s 1. alinejo prvega odstavka 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) je Pooblaščenec pristojen za odločanje o pritožbi zoper odločbo, s katero je organ zavrgel ali zavrnil zahtevo ali drugače kršil pravico do dostopa ali ponovne uporabe informacije javnega značaja ter v okviru postopka na drugi stopnji tudi za nadzor nad izvajanjem zakona, ki ureja dostop do informacij javnega značaja, in na njegovi podlagi izdanih predpisov. Ker je Pooblaščenec v postopku po Zakonu o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo in 117/06 – ZDavP-2; v nadaljevanju ZDIJZ) pritožbeni organ, v takšnih primerih ne sme prejudicirati odločitve.

Zakon o divjadi in lovstvu (Uradni list RS, št. 16/2004, 120/2006 Odl.US: U-I-98/04, 17/2008; v nadaljevanju ZDLov-1) v prvem odstavku 18. člena pravi, da predstavljajo javno službo za področje divjadi s tem zakonom določene dejavnosti, ki se v javnem interesu izvajajo zaradi ohranitve in varstva divjadi in njihovega življenjskega okolja ter se zagotavljajo s sonaravnim upravljanjem in usmerjanjem razvoja medsebojnih odnosov populacij divjadi ter njihovega okolja. Tretji odstavek 18. člena nadalje določa, da dejavnosti javne službe iz 19. člena tega zakona opravlja Zavod za gozdove Slovenije, posamezne naloge pa opravljajo lovske organizacije. Med nalogami lovskih organizacij so v 21. členu ločeno naštete tiste, ki jih opravljajo upravljavci lovišč in lovišč s posebnim namenom, Lovska zveza Slovenije ter območna združenja upravljavcev lovišč in lovišč s posebnim namenom. 22. člen ZDLov-1 določa posamezne naloge, ki se opravljajo kot javno pooblastilo. V 24. in 25. členu je obenem določeno, da z divjadjo v loviščih trajnostno gospodarijo lovske družine. Za trajnostno gospodarjenje z divjadjo v posameznem lovišču se podeli koncesija in določi upravljavca na podlagi javnega razpisa. Pri tem kot koncedent nastopa Republika Slovenija, kot koncesionar pa posamezna lovska družina.

Na tej podlagi Pooblaščenec ugotavlja, da je LZS zavezanec po ZDIJZ v  delu dejavnosti, ki se opravlja kot javna služba oziroma v delu izvajanja javnega pooblastila. V kolikor torej LZS prejme zahtevo za dostop do podatkov, ki izvirajo iz dejavnosti javne službe ali javnega pooblastila, jo mora obravnavati kot zahtevo po ZDIJZ. Organ lahko v celoti ali delno zavrne zahtevo, če ugotovi, da zahtevani podatek oziroma dokument predstavlja katerokoli v prvem odstavku 6. člena ZDIJZ določeno izjemo. Ta taksativno določa enajst izjem, ko lahko organ prosilcu zavrne dostop do zahtevane informacije.  

3. Varstvo osebnih podatkov
Po določbi prvega odstavka 8. člena ZVOP-1-UPB1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. V drugem odstavku je nadalje določeno, da mora biti namen obdelave osebnih podatkov določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.

Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju, kamor po določbi 23. točke 6. člena ZVOP-1-UPB1 spada LZS, so podrobneje razdelane v 10. členu ZVOP-1-UPB1. Osebni podatki v zasebnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (prvi odstavek 10. člena ZVOP-1-UPB1).

Obdelava osebnih podatkov po določbi 3. točke 6. člena ZVOP-1-UPB1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje.

Upravljavci osebnih podatkov na področju zasebnega sektorja lahko neposredni elektronski dostop do osebnih podatkov v svojih zbirkah omogočijo le tistim uporabnikom osebnih podatkov, ki so za pridobivanje določenih osebnih podatkov pooblaščeni z zakonom ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Kot uporabnik osebnih podatkov se po določbi 8. točke 6. člena ZVOP-1-UPB1 šteje pravna ali fizična oseba ali druga oseba javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrivajo osebni podatki.

ZVOP-1-UPB1 ne določa iskalnih pogojev za pridobivanje osebnih podatkov iz posameznih zbirk osebnih podatkov ter tako ne omejuje možnosti iskanja osebnih podatkov po različnih kriterijih. Pooblaščenec zato meni, da v primeru, ko kriteriji iskanja v področnem zakonu niso izrecno določeni, upravljavec osebnih podatkov pooblaščenim uporabnikom osebnih podatkov lahko zagotovi možnost iskanja oziroma pridobivanja osebnih podatkov po različnih kriterijih.

Pri določitvi kriterijev iskanja je potrebno uporabniku osebnih podatkov primarno vedno dati možnost iskanja na način, ki ob vnosu določenih podatkov praviloma vrne le osebne podatke ene osebe. Gre za način, ko mora pooblaščeni uporabnik obvezno vnesti npr. ime in priimek ter EMŠO posameznika, katerega osebne podatke želi pridobiti, ime in priimek ter datuma rojstva ali ime in priimek ter naslov prebivališča ali v konkretnem primeru ime in priimek ter lovsko družino.

V primeru pridobivanja osebnih podatkov s strani pooblaščenih uradnih oseb državnih organov Pooblaščenec meni, da je ob upoštevanju njihovih z zakonom določenih pooblastil, dopustno določenim pooblaščenim uradnim osebam (zlasti tistim s preiskovalnimi pooblastili) dodatno omogočiti tudi iskanje na način razširjenega iskanja oziroma iskanja po kriterijih, ko aplikacija izpiše osebne podatke večjega števila oseb, ki ustrezajo določenim kriterijem. O takšnem načinu iskanja govorimo takrat, ko se nam npr. z vnosom imena in priimka prikažejo vse osebe s tem imenom in priimkom, ko se nam z vnosom datuma rojstva prikažejo vse osebe, ki so rojene na ta dan, ko se nam z vnosom naslova prebivališča (ulica, hišna številka in pošta) prikažejo vse osebe, ki imajo na tem naslovu prijavljeno stalno ali začasno prebivališče, ter v konkretnem primeru, ko se z vnosom lovske družine, prikažejo vsi člani te lovske družine ipd..

Pooblaščenec torej meni, da je potrebno kriterije iskanja oziroma pridobivanja osebnih podatkov določiti za vsakega uporabnika posebej, in sicer po skrbni proučitvi zakonsko določenih pooblastil posameznega uporabnika osebnih podatkov ter ob upoštevanju načela sorazmernosti. Skladno z načelom sorazmernosti iz 3. člena ZVOP-1-UPB1 morajo osebni podatki, ki se obdelujejo, biti ustrezni in po obsegu primerni glede na namene, za katere se obdelujejo. Da bi zadostili temu načelu, je potrebno za vsakega uporabnika osebnih podatkov definirati v zakonu določen namen obdelave osebnih podatkov ter njegova z zakonom določena pooblastila, naloge in pristojnosti. V primeru, ko se določenemu uporabniku osebnih podatkov omogoči razširjeno iskanje, mora takšen uporabnik osebnih podatkov predhodno še posebej utemeljiti, zakaj svojih zakonsko določenih nalog, pooblastil in pristojnosti ne bo mogel učinkovito izvajati brez zagotovitve možnosti razširjenega iskanja. Na podlagi definiranega namene obdelave osebnih podatkov, definiranih zakonskih pooblastil, nalog in pristojnosti posameznega uporabnika, ter utemeljenih razlogov za eventualno potrebo po zagotovitvi razširjenega iskanja, se za tem kriterije iskanja za vsakega uporabnika izdela na način, da se mu omogoči učinkovito izvajanje zakonsko določenih nalog, pooblastil in pristojnosti.

Inšpektor ima na podlagi 6. alineje prvega odstavka 19. člena Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 56/2002, 26/2007 in 43/2007 – uradno prečiščeno besedilo) pravico pri opravljanju nalog inšpekcijskega nadzora pri fizični ali pravni osebi, pri kateri opravlja inšpekcijski nadzor, brezplačno pridobiti in uporabljati osebne in druge podatke iz uradnih evidenc in drugih zbirk podatkov, ki se nanašajo na zavezanca in ki so potrebni za izvedbo inšpekcijskega nadzora. Navedeno pooblastilo je vezano na izvedbo konkretnega inšpekcijskega nadzora. V zadevnem primeru se lovskemu inšpektoratu lahko omogoči on-line dostop do osebnih podatkov, vsebovanih v aplikaciji Lisjak, vendar je potrebno uporabniku osebnih podatkov ( lovskemu inšpektoratu) določiti kriterije iskanja oziroma pridobivanja osebnih podatkov po skrbni proučitvi zakonsko določenih pooblastil lovskega inšpektorata ter ob upoštevanju načela sorazmernosti, tako da se za lovski inšpektorat definira v zakonu določen namen obdelave osebnih podatkov ter njegova z zakonom določena pooblastila, naloge in pristojnosti. V primeru, da se lovskemu inšpektoratu omogoči razširjeno iskanje, mora takšen način le-ta predhodno še posebej utemeljiti, zakaj svojih zakonsko določenih nalog, pooblastil in pristojnosti ne bo mogel učinkovito izvajati brez zagotovitve možnosti razširjenega iskanja.

Pri zagotavljanju neposrednega pridobivanja osebnih podatkov s strani pooblaščenih oseb posameznih uporabnikov osebnih podatkov, mora upravljavec zbirke osebnih podatkov upoštevati zlasti določbe 8., 14., 20., 22., 24. in 25. člena ZVOP-1-UPB1.

Ob upoštevanju 8. člena ZVOP-1-UPB1, ki določa splošne pravne podlage za obdelavo osebnih podatkov ter ob upoštevanju določb drugega odstavka 24. člena ZVOP-1-UPB1, ki določa, da v primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov, mora upravljavec osebnih podatkov zagotoviti, da bo dostop do osebnih podatkov v mejah pooblastil posameznega uporabnika.

Po določbah tretjega odstavka 22. člena ZVOP-1-UPB1 mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov.  Na takšen način se zagotavlja t.i. zunanja sledljivost obdelave osebnih podatkov, to je evidentiranje posredovanja ali razkrivanja osebnih podatkov drugim pravnim ali fizičnim osebam.

Poleg zunanje sledljivosti je potrebno zagotoviti tudi t.i. notranjo sledljivost obdelave osebnih podatkov, to je evidentiranje obdelave osebnih podatkov znotraj upravljavca osebnih podatkov in znotraj uporabnika osebnih podatkov. Takšno sledljivost upravljavcem in uporabnikom osebnih podatkov nalaga 5. točka prvega odstavka 24. člena ZVOP-1-UPB1, kjer je določeno, da je potrebno s postopki in ukrepi za zavarovanje osebnih podatkov omogočati poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Da bi zadostili tej določbi, ni dovolj, da se evidentirajo zgolj vnosi in spremembe osebnih podatkov v posamezni zbirki, pač pa je potrebno zagotoviti tudi možnost naknadnega ugotavljanja, katere pooblaščene osebe (zaposleni pri upravljavcu ali uporabniku osebnih podatkov) so v določenem času zgolj vpogledovale oz. pridobivale osebne podatke določenega posameznika. Takšno sledljivost je potrebno v primeru, ko lahko do osebnih podatkov v zbirki osebnih podatkov neposredno dostopajo tudi osebe, ki so zaposlene pri uporabniku osebnih podatkov, zagotoviti bodisi v okviru varnostne sheme upravljavca osebnih podatkov, ali pa v okviru varnostne sheme uporabnika osebnih podatkov.  

Po določbah 3. točke prvega odstavka 24. člena ZVOP-1-UPB1 je potrebno z organizacijskimi, tehničnimi in logično-tehničnimi postopki in ukrepi za zavarovanje osebnih podatkov preprečiti nepooblaščen dostop do osebnih podatkov tudi pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih. V drugem odstavku 14. člena ZVOP-1-UPB1 je v zvezi s prenosom občutljivih osebnih podatkov še določeno, da se pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Pooblaščenec zaradi takšnih določb vztraja na stališču, da morajo biti osebni podatki, ki so uporabnikom dostopni po telekomunikacijskih sredstvih in omrežjih, pri prenosu vedno zavarovani z uporabo kriptografskih metod in metod za avtentikacijo in avtorizacijo uporabnikov tako, da je zagotovljen varen dostop do podatkov in njihova nečitljivost oziroma neprepoznavnost med prenosom.


Lepo vas pozdravljamo,


Informacijski pooblaščenec:
Nataša Pirc Musar, univ. dipl. prav.,
pooblaščenka