Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 15.10.2019
Naslov: Ugotavljanje identitete
Številka: 0712-1/2019/2328
Vsebina: Policijski postopki, Pravne podlage
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje o obdelavi osebnih podatkov s strani policistov v postopku ugotavljanje identitete oseb.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Prav tako se IP izven inšpekcijskega ali drugega upravnega postopka ne more dokončno opredeljevati do posameznih navedb glede generalne ustreznosti varovanja osebnih podatkov v okviru policije, niti ne moremo podajati splošnih ali pavšalnih ocen o stanju varstva osebnih podatkov v policiji, ker takšnih ugotovitev zgolj na podlagi pristojnosti IP niti ni mogoče podajati.

 

IP uvodoma nadalje pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi policija, podana v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.

 

Področna pravna podlaga za vodenje policijskih evidenc je Zakon o nalogah in pooblastilih policije (ZNPPol; Uradni list RS, št. 15/13, 23715 – popr., 10/17, 46/19 – odl. US, 47/19). Ta v 123. členu določa, da policija upravlja in vzdržuje evidence, v katerih zaradi opravljanja policijskih nalog uslužbenci policije zbirajo in obdelujejo osebne in druge podatke. V drugem odstavku istega člena so te evidence tudi naštete, med njimi je tudi evidenca identifikacij. Vsebino evidenc določata 124. in 125. člen ZNPPol.

 

ZNPPol v 4. členu določa, katere so naloge policije, ki izhajajo iz njenih temeljnih dolžnosti, v 33. členu pa pooblastila, ki jih smejo policisti izvajati ob opravljanju policijskih nalog. Eno izmed teh pooblastil je tudi ugotavljanje identitete in izvajanje identifikacijskega postopka. Policisti smejo tako v skladu s 40. členom ZNPPol ugotavljati identiteto določenih oseb, in sicer tistih, ki:

-       jih je treba privesti ali pridržati;

-        vstopajo v območje, kraj, prostor, objekt ali okoliš, na katerem je prepovedano ali omejeno gibanje, ali se tam nahajajo;

-        so na območju, v kraju ali objektu, v katerem se izvajajo ukrepi za iskanje ali izsleditev storilca kaznivega dejanja ali prekrška ali predmetov in sledi, ki so pomembni za kazenski postopek ali postopek o prekršku;

-        z obnašanjem, ravnanjem ali zadrževanjem na določenem kraju ali ob določenem času vzbujajo sum, da bodo storile, izvršujejo ali so storile kaznivo dejanje ali prekršek;

-        so po opisu podobne iskani osebi;

-        z obnašanjem, ravnanjem ali zadrževanjem na določenem kraju ali v določenem času vzbujajo sum, da je otrok ali mladoletnik na begu od doma ali iz vzgojnega zavoda, socialnovarstvenega zavoda, prevzgojnega doma ali zdravstvene ustanove ali se je izgubil;

-        so očitno nebogljene in je ugotavljanje identitete nujno za zagotovitev pomoči;

-        bi lahko dale koristne podatke za opravljanje policijskih nalog.

 

Policisti smejo ugotavljati identiteto osebe in posredovati njene podatke tudi na upravičeno zahtevo uradnih oseb ter nosilcev javnih pooblastil, če je to nujno za izvajanje pooblastil teh uradnih oseb ali za zagotavljanje njihove varnosti. Prav tako smejo policisti ugotavljati identiteto osebe tudi na upravičeno zahtevo druge osebe, ki izkazuje premoženjsko in nepremoženjsko škodo, telesno poškodbo, sum storitve kaznivega dejanja ali prekrška in v podobnih primerih ter tako ugotovljene podatke posredovati upravičencu, ki izkaže pravni interes za uveljavljanje pravic pred sodnimi ali državnimi organi.

 

Policisti primarno ugotavljajo identiteto osebe tako, da osebo na primeren način ustavijo in ji pojasnijo razlog ustavitve ter nato zahtevajo izročitev javne listine z njeno fotografijo, ki jo je izdal državni organ, da listino pogledajo ter primerjajo in preverijo podatke v ustreznih evidencah.

 

ZNPPol nadalje v 112. členu določa, da policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti. Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov.

 

V skladu s 130. členom ZNPPol morajo policisti o vsaki uporabi policijskega pooblastila poročati v poročilu o opravljenem delu, če poročila ne pišejo, pa v pisnem aktu o uporabi policijskega pooblastila ali v uradnem zaznamku. Te akte mora policist izdelati najkasneje v 24 urah od uporabe policijskega pooblastila.

 

Ob tem IP dodatno pojasnjuje, da organizacijo, delovanje in vodenje policije ureja Zakon o organiziranosti in delu v policiji (ZODPol; Uradni list RS, št. 15/13, 11/14, 86/15, 77/16, 77/17, 36/19). Ta v drugem odstavku 17. člena določa, da generalni direktor policije izdaja navodila, pravila in druge interne akte za zagotovitev enotne uporabe predpisov, postopkov in načina izvedbe posameznih nalog ali strokovnih opravil v zvezi z delom policije. Četrti odstavek istega člena določa, da generalni direktor določi tudi medsebojna razmerja, odnose in način dela policijskih enot. Na podlagi omenjenega člena ZODPol je bil sprejet interni akt (Pravila policije), ki določa, da uslužbenci policije, ki so jim naloge odrejene z delovnim nalogom, na delovni nalog pišejo poročilo o opravljenem delu. Poročilo pišejo sproti na terenu ali pa ga napišejo takoj po vrnitvi, in sicer za vse oblike in načine dela. Poročilo mora vsebovati kratek opis opravljenih nalog in dogodkov, za katere so policisti zvedeli pri delu, ter podatke o vseh ukrepih (izrečene globe, uporaba policijskih pooblastil, kazenske ovadbe in drugi pisni izdelki), ki so navedeni po časovnem zaporedju. Poročila o delu pregleduje vodja enote ali tisti, ki je pooblaščen, da preveri, ali so bile vse odrejene naloge opravljene, in po potrebi napiše nanje pripombe, zahteva podrobnejša poročila ali pozove policiste na razgovor.

 

Policija torej, kolikor je znano IP in kot izhaja iz navedenega, tovrstne postopke policistov beleži v poročilu o delu, do katerega dostopa samo vodja enote oziroma za to pooblaščena oseba. Omenjeno policistovo poročilo o opravljenem delu služi izključno internemu poročanju in preverjanju zakonitosti in strokovnosti izvajanja policijskih pooblastil in se ne šteje za evidenco, niti se ne izroči osebi, ki je v policijskem postopku ali se ji omogoči vpogled vanjo na licu mesta, se pa osebni podatki nato, če so zato izpolnjeni pogoji, prenesejo v elektronsko vodene evidence policije. Poročila se nato po določenem času uničijo v skladu s pravili o hrambi dokumentarnega in arhivskega gradiva. 

 

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti.

 

Na podlagi informacij, ki ste jih podali v vašem zaprosilu in zaradi mnoštva postopkov, ki jih lahko Policija vodi, IP ne more zagotovo ugotoviti, ali je v konkretnem primeru bil izveden postopek ugotavljanja identitete v skladu s 40. členom ZNPPol ali ne oziroma na kateri pravni podlagi je policija izvedla legitimacijo in za kakšen namen. Od navedenega je tudi odvisna zakonitost zbiranja in nadaljnje obdelave, rok hrambe podatkov in druge okoliščine varstva osebnih podatkov.

 

Glede dostopa policistov do podatkov iz policijskih evidenc sicer veljajo določbe Pravilnika o zaščiti podatkov policije (Uradni list RS, št. 67/14), ki v 2. členu določa, da obseg dostopa uporabnikov ali skupin uporabnikov do podatkov evidenc in možnosti njihove obdelave določa varnostni profil. Ta se uporabniku dodeli glede na njegove delovne naloge, pri čemer se mu določi dostop do najmanjšega obsega podatkov, ki ga potrebuje za opravljanje svojih delovnih nalog. Posameznemu uporabniku (tudi vodji enote) se torej varnostni profil dodeli glede na njegove delovne naloge, upoštevajoč namene, kot jih določa zakon, pri čemer se mu določi dostop do najmanjšega obsega podatkov, ki ga potrebuje za opravljanje svojih delovnih nalog v okviru zakonsko določenega namena. Za nadzor nad obdelavo podatkov je odgovoren vodja enote, iz katere je posamezen uporabnik informacijsko – telekomunikacijskega sistema policije. V skladu s 15. členom Pravilnika o zaščiti podatkov policije generalni direktor policije izda tudi strokovna navodila za vodenje posamezne evidence.

 

Nadalje je v 31. členu omenjenega pravilnika določeno, da mora biti dostop do varovanih podatkov varovan tako, da preveri identiteto uporabnika in njegova pooblastila za dostop ter dostop evidentira. Vsak uporabnik mora imeti lastni uporabniški račun, ki ga enolično identificira, in ga je dolžan varovati. Kontrola in evidentiranje dostopa do podatkov lahko temelji na metodah, ki omogočajo zanesljiv in nedvoumen postopek identifikacije (pametna kartica ipd.). Ob tem je v Policiji vzpostavljen dnevnik dela (gre za dnevnik, v katerem so evidentirani vsi dostopi do podatkov v informacijsko – telekomunikacijskem sistemu policije in omogoča naknadno ugotavljanje sledljivosti dela uporabnika). V 34. členu omenjenega pravilnika je določeno, da upravljavec dnevnika dela določi podrobnejši način vodenja in vsebino podatkov, ki se vodijo v dnevniku dela, ter način evidentiranja izvedbenih in kontrolnih posegov v informacijsko – telekomunikacijski sistem policije. Tako je v Pravilniku o obdelavi podatkov o elektronskih komunikacijah policije in o dostopu do policijskih zbirk podatkov (Uradni list RS, št. 84/13) določeno, da policija hrani naslednje podatke o dostopu do podatkov, obdelovanih v okviru informacijsko – telekomunikacijskega sistema policije: podatke o uporabniku; podatke o času pristopanja do podatkov; naslov računalniškega terminala oziroma računalniške delovne postaje; uporabljen način dostopa do podatka; vsebina zahtevka za dostop do podatka; opis aktivnosti na podatku, ki je bil uporabniku predstavljen kot odgovor na njegov zahtevek (npr. gledanje, vnašanje, spreminjanje ali brisanje podatka).

 

Če želite izvedeti, katere podatke o vas vodi policija, morate nanje nasloviti zahtevo za seznanitev z lastnimi osebnimi podatki. IP je v svojem mnenju št. 0712-1/2014/2851, z dne 16.09.2014, pojasnil, kakšna je ureditev za seznanitev z lastnimi osebnimi podatki. Mnenje je sicer še izpred veljavnosti nove Splošne uredbe o varstvu podatkov (ki se je pričela uporabljati 25. 5. 2018), vendar pa Splošna uredba o varstvu podatkov ne velja za obdelave osebnih podatkov s strani policije, v zvezi z njenimi postopki. Splošna uredba o varstvu podatkov namreč to področje izrecno izključuje iz uporabe (člen 2 (2d)). Za področje policijskih postopkov je predvidena posebna ureditev v t.i. Policijski direktivi (Direktiva (EU) 2016/680), ki še ni bila prenesena v slovenski pravni red (prenos je načrtovan z Zakonom o varstvu posebnih podatkov – ZVOP-2, ki še ni bil sprejet). Glede policijskih postopkov se torej še vedno uporablja stara ureditev po Zakonu o varstvu osebnih podatkov (ZVOP-1), ki pa po vsebini povsem ustreza napotkom iz navedenega mnenja.

 

IP ob tem pojasnjuje še, da je v skladu s 36. členom ZVOP-1 pravice posameznika iz tretjega in četrtega odstavka 19. člena, 30. in 32. člena tega zakona (torej tudi pravico do seznanitve) mogoče z zakonom izjemoma omejiti iz razlogov varstva suverenosti in obrambe države, varstva nacionalne varnosti in ustavne ureditve države, varnostnih, političnih in gospodarskih interesov države, izvrševanja pristojnosti policije, preprečevanja, razkrivanja, odkrivanja, dokazovanja in pregona kaznivih dejanj in prekrškov, odkrivanja in kaznovanja kršitev etičnih norm za določene poklice, iz monetarnih, proračunskih ali davčnih razlogov, zaradi nadzora nad policijo in varstva posameznika, na katerega se nanašajo osebni podatki, ali pravic in svoboščin drugih.

 

Če na podlagi prejetih podatkov ocenjujete, da so bili vaši osebni podatki obdelani nezakonito oziroma brez ustrezne pravne podlage, lahko podate prijavo IP. To lahko storite tudi preko obrazca, ki je dostopen na spletni strani IP:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vlozitev-prijave

 

Sklepno izpostavljamo, da IP redno vsako leto po uradni dolžnosti v posameznih inšpekcijskih postopkih preverja različne vidike varstva osebnih podatkov v okviru policije, med drugim predvsem zagotavljanje varnosti osebnih podatkov, zakonitosti obdelave in upoštevanja rokov hrambe v evidencah, ki jih policija vodi na podlagi ZNPPol kot tudi v zvezi z obveznostmi policije, ki so povezane z vključenostjo Slovenije v evropske informacijske sisteme (npr. Schengenski informacijski sistem). IP ima tudi trenutno odprtih več postopkov ugotavljanja zakonitosti obdelav osebnih podatkov v policiji. V zvezi s temi postopki, ki so v teku, IP pričakuje, da se bo policija na ugotovitve ustrezno odzvala in sprejela potrebne ukrepe. Sicer IP vsako leto prejme tudi več prijav suma kršitev varstva osebnih podatkov, ki nam jih posreduje policija sama, ko jih zazna v okviru internih nadzorov. IP je v preteklosti v zvezi z delom policije v posameznih inšpekcijskih postopkih ugotovil določene nepravilnosti. V takšnih primerih smo v zvezi s temi postopki uvedli tudi prekrškovne postopke proti odgovornim osebam.

 

 

S spoštovanjem.

 

 

Informacijski pooblaščenec:

Mojca Prelesnik, univ. dipl. prav.,

pooblaščenka