Številka: 0610-239/2021/9
Datum: 11. 1. 2022
Informacijski pooblaščenec (v nadaljevanju IP) izdaja po državnem nadzorniku za varstvo osebnih podatkov Blažu Pavšiču na podlagi 2. in 8. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZustS-A, v nadaljevanju: ZInfP), 37. in 54. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju: ZVOP-1), petega odstavka 29. in prvega odstavka 32. člena Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – UPB1 in 40/14, v nadaljevanju: ZIN), ter členov 57(1) in 58(2) Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju: Splošna uredba), v postopku inšpekcijskega nadzora pri zavezancu Ministrstvu za notranje zadeve, Policiji, Štefanova 2, 1000 Ljubljana (v nadaljevanju: zavezanec), po uradni dolžnosti naslednjo
ODLOČBO
• Zavezanec mora v roku 15 dni od vročitve te odločbe zagotoviti, da bodo do podatkov iz revizijskih sledi oziroma prometnih podatkov o dostopu uslužbencev zavezanca do podatkov, obdelovanih v okviru informacijsko-telekomunikacijskem sistemu policije (ITSP), pri njem lahko neposredno dostopali samo pooblaščeni uslužbenci njegove notranje organizacijske enote, pristojne za zaščito podatkov, vsem drugim uslužbencem zavezanca pa ukiniti neposreden dostop do navedenih podatkov.
• Zavezanec mora o izvršenih ukrepih iz 1. točke izreka te odločbe v roku 5 dni po izvršitvi pisno obvestiti IP in predložiti dokaze o tem.
• V tem postopku posebni stroški niso nastali.
Obrazložitev:
I. Ugotovitve IP ter pojasnila in stališča zavezanca
IP je pri zavezancu začel postopek inšpekcijskega nadzora, ko je prejel prijavo, v kateri je prijavitelj navajal, da mu je policist zavezanca ob vstopu v Slovenijo na enem od mejnih prehodov, po skeniranju osebne izkaznice in po preverjanju njegovih podatkov v računalniku povedal datum, ko je šel nazadnje čez mejo, na njegovo vprašanje od kdaj in na kakšni osnovi zbirajo podatke o prehodu posameznikov čez mejo pa naj ne bi odgovoril.
IP je dne 16. 9. 2021 zavezancu poslal poziv za pojasnilo, ali policist, ki na mejnem prehodu opravlja mejno kontrolo določenega posameznika razpolaga oziroma preko službenega računalnika lahko pride do podatkov o posameznikovih preteklih prehodih državne meje, kje v informacijskem sistemu zavezanca so taki podatki zabeleženi, na kakšen način ter v katerih primerih se ti podatki vnašajo v sistem, v kateri zbirki osebnih podatkov se nahajajo taki podatki in v katerem zakonu so taka zbirka in osebni podatki, ki se v njej obdelujejo, določeni ter kateri uslužbenci zavezanca so pooblaščeni za dostopanje do podatkov prehodih posameznikov čez državno mejo RS. Zavezanec je v svojem odgovoru na poziv IP z dne 22. 9. 2021 navedel, da je na podobno vprašanje že odgovoril z dokumentom številka _________, ki se navezuje na Poziv za podajo pisnega pojasnila, dokument številka 0612-56/2019/12, 17. 11. 2020. Pojasnil je, da so njegovi zaposleni razdeljeni v različne skupine (profile) in da so za vsako skupino posebej določeni dostopi do posameznih aplikacij. Ti dostopi naj bi temeljili na delovnih nalogah posameznika, določenih z Aktom o notranji organizaciji, sistemizaciji, delovnih mestih v nazivih v Policiji. Do aplikacije ______ – sledilni zapis mejne kontrole naj bi imeli dostop:
• ___________________________________
Pri tem naj bi šlo v veliki meri za zaposlene, ki potrebujejo konkretne podatke iz dnevnika obdelav za uspešno reševanje nalog policije, povezanih s preprečevanjem kriminalitete, kjer naj bi bila med drugim podlaga za pridobitev podatkov v Zakonu o kazenskem postopku (Uradni list RS, št. 32/12 – uradno prečiščeno besedilo, 47/13, 87/14, 8/16 – odl. US, 64/16 – odl. US, 65/16 – odl. US, 66/17 – ORZKP153,154, 22/19, 55/20 – odl. US, 89/20 – odl. US, 191/20 – odl. US, 200/20 in 105/21 – odl. US). Na podlagi 14. člena Zakona o začasnih ukrepih za omilitev in odpravo posledic COVID-19 (Uradni list RS, št. 152/20, 175/20 – ZIUOPDVE, 82/21 – ZNB-C in 112/21 – ZNUPZ, v nadaljevanju ZZUOOP) naj bi se podatki v evidenci oseb, ki prestopajo zunanjo mejo, in oseb, ki prestopajo notranjo mejo na kontrolnih točkah, v času njihovega obratovanja hranili 14 dni od vpisa in se po preteku tega roka samodejno izbrisali. V zvezi z nameni, za katere zbira in nadalje obdeluje podatke o prehodih posameznikov čez državno mejo RS, je zavezanec navedel, da podatke zbira na osnovi 14. člena ZZUOOP, ostali podatki pa naj bi bili v sledilnih zapisih oziroma t. i. dnevnikih dela, saj naj zavezanec ne bi imel vzpostavljene evidence mejnih prehodov. Glede beleženja in vsebine revizijske sledi dostopanja do podatkov o prehodih posameznikov čez državno mejo RS je zavezanec navedel, da se vse revizijske sledi oziroma sledilni zapisi dnevnika dela policistov izvajajo na podlagi 11. člena Pravilnika o obdelavi podatkov o elektronskih komunikacijah policije in o dostopu do policijskih zbirk podatkov (Uradni list RS, št. 84/13). Podatki, ki se zapisujejo, naj bi bili enaki kot pri ostalih evidencah policije in naj bi bili IP že večkrat posredovani (______________).
IP je v postopku vpogledal tudi v odgovor zavezanca na poziv, ki ga IP v inšpekcijskem postopku vodi pod opravilno številko 0612-56/2019 in ga je zavezanec podal dne 25. 11. 2020 in ugotovil, da vsebuje vsebinsko enake navedbe kot odgovor na poziv v predmetnem postopku, zato ga ne tem mestu posebej ne povzemamo.
IP je zavezanca dne 16. 12. 2021 pisno seznanil s svojimi ugotovitvami v predmetnem inšpekcijskem postopku in ukrepi, ki jih bo moral glede na te ugotovitve v postopku sprejeti ter mu dal možnost, da se opredeli do vseh ugotovljenih dejstev in okoliščin v postopku. Zavezanec je v svojem odgovoru na seznanitev in poziv navedel svojo ugotovitev, da je IP v inšpekcijskem postopku, ki ga vodi v zvezi z dostopi uslužbencev zavezanca do dnevnikov obdelav osebnih podatkov (v nadaljevanju revizijska sled), v konkretnem primeru do dnevnikov obdelav o dostopu do podatkov, obdelovanih v informacijsko-telekomunikacijskem sistemu policije (v nadaljevanju ITSP), korektno povzel in pojasnil vse relevantne pravne podlage za zakonito obdelavo osebnih podatkov na splošno in konkretno pri zavezancu, kot tudi pojasnil ustrezno pravno podlago, zakonite namene in način za dostop do revizijskih sledi oziroma prometnih podatkov o dostopu do podatkov, obdelovanih v okviru ITSP, kot to določajo ZVOP-1, ZVOPOKD, Uredba SIS II in Pravilnik o obdelavi podatkov o elektronskih komunikacijah policije in o dostopu do policijskih zbirk podatkov (Uradni list RS, št. 84/13, v nadaljevanju Pravilnik). Kot že navedeno naj zavezanec ne bi imel vzpostavljene posebne evidence prehodov oseb, ki so prehajale državno mejo preko mejnih prehodov, ob tem pa naj bi bilo potrebno poudariti, da zavezanec na podlagi 14. člena ZZUOOP vodi evidenco oseb, ki prestopajo zunanjo mejo, in oseb, ki prestopajo notranjo mejo na kontrolnih točkah v času njihovega obratovanja, če je bila oseba pri prestopu notranje meje preverjena v policijskih evidencah. Zavezanec je navedel, da priznava, da je IP v postopku korektno ugotovil in argumentirano pojasnil očitane nepravilnosti zavezanca v konkretnem primeru in sicer, da zavezanec omogoča obdelavo (neposredni dostop) osebnih podatkov iz revizijske sledi oziroma prometnih podatkov o dostopu do podatkov, obdelovanih v okviru ITSP, relativno širokemu krogu zaposlenih (kot je zavezanec tudi sam pojasnil v predhodnem pisanju in da zavezanec s tem ne deluje v skladu s Pravilnikom, ki v 11. členu, ki določa, da je neposredni dostop do podatkov iz revizijskih sledi, na podlagi pisne odredbe generalnega direktorja policije ali osebe, ki jo pooblasti, dovoljen le notranje organizacijski enoti zavezanca, ki je pristojna za zaščito podatkov (tj. ________________ OZP), ki v skladu s Pravilnikom lahko edina izvede izpis podatkov iz revizijske sledi, seveda v skladu z zakonitimi nameni obdelave teh podatkov, ki so določeni v ZVOP-1, ZVOPOKD, Uredbi SIS II in Pravilniku. Zavezanec je navedel, da se zaveda ugotovljene nepravilnosti (omogočen neposredni dostop do podatkov iz revizijske sledi relativno širokemu krogu zaposlenih, pri čemer gre v večji meri za zaposlene, ki potrebujejo konkretne podatke iz revizijskih sledi za uspešno reševanje nalog policije, povezanih s preprečevanjem in preiskovanjem kriminalitete, nadzorom državne meje ter nadzorom nad zakonitostjo in strokovnostjo izvršenih nalog zaposlenih) in da je že aktivno pristopil k urejanju očitane nepravilnosti in bo neposredni dostop do podatkov iz revizijske sledi onemogočil vsem zaposlenim, razen pooblaščenim osebam svoje notranje organizacijske enote, ki je pristojna za zaščito podatkov (OZP). Po navedbah zavezanca naj bi bili vsi njegovi zaposleni predhodno seznanjeni (izjava o varovanju podatkov, opozorilo pred vsakim vstopom v ITSP, usmeritve in navodila zavezanca), da morajo skrbeti za varnost podatkov in da lahko podatke iz evidenc policije, kot tudi morebitnih pridobljenih podatkov iz revizijskih sledi, ki nastanejo pri obdelavi osebnih podatkov v ITSP, obdelujejo le za zakonite namene. V primeru obdelave podatkov iz revizijskih sledi, Uredba SIS II določa, da se lahko podatki iz revizijskih sledi obdelujejo za namen nadzora, spremljanja zakonitosti obdelave podatkov ter notranjega spremljanja dostopa do osebnih podatkov in izmenjava le-teh, ZVOPOKD določa, da se lahko podatki iz revizijskih sledi obdeluje le za namen preverjanja zakonitosti obdelave s strani nadzornega organa ali drugih pristojnih organov, za strokovni in notranji nadzor, za zagotavljanje celovitosti in varnosti osebnih podatkov ter za potrebe predkazenskih in kazenskih postopkov, Pravilnik pa določa, da se lahko podatki iz revizijskih sledi oziroma prometnih podatkov o dostopu do podatkov, obdelovanih v okviru ITSP, uporabljajo za ugotavljanje zakonitosti in strokovnosti izvršenih nalog. Zavezanec je poudaril, da se ne more strinjati z domnevno pavšalnim očitkom IP, da je s tem, ko je (relativno) širokemu krogu svojih uslužbencev omogočil neposredni dostop do podatkov revizijske sledi, vsem tem uslužbencem omogočil tudi obdelovanje teh (osebnih) podatkov v nasprotju z zakonitimi nameni, saj naj v konkretnem inšpekcijskem postopku ni bila ugotovljena ali potrjena morebitna neupravičena in nezakonita obdelava osebnih podatkov iz revizijske sledi oziroma obdelava izven zakonitih namenov s strani uslužbencev zavezanca, ki jim je bil predhodno omogočen neposredni dostop do teh podatkov (tj. za namen nadzora, spremljanja zakonitosti obdelave podatkov s strani nadzornega organa ali drugih pristojnih organov, zagotavljanje celovitosti in varnosti osebnih podatkov, za potrebe predkazenskih in kazenskih postopkov, ter ugotavljanje zakonitosti in strokovnosti izvršenih nalog).
Zavezanec je v svojem odgovoru ponovil, da se zaveda ugotovljenih nepravilnosti v zvezi z zagotavljanjem neposrednega dostopa do podatkov iz revizijskih sledi širokemu krogu zaposlenih pri zavezancu, kar je v nasprotju z 11. členom Pravilnika, zato naj bi že aktivno pristopil k odpravi ugotovljenih nepravilnosti na način, da bi neposredni dostop do podatkov iz revizijske sledi onemogočil vsem zaposlenim, razen pooblaščenim osebam notranje organizacijske enote zavezanca, ki je pristojna za zaščito podatkov, kar naj bi lahko dokončno izvedel do predvidoma 6. 1. 2022. Prav tako naj bi zavezanec zagotovil, da bodo podatke iz revizijskih sledi oziroma podatke o dostopu do podatkov, obdelovanih v okviru ITSP, zaposleni za namene reševanja nalog policije, povezanih s preprečevanjem in preiskovanjem kriminalitete ter nadzorom nad zakonitostjo in strokovnostjo izvršenih nalog zaposlenih, pridobivali le v skladu z zakonitimi nameni in na način, kot to določa 11. člen Pravilnika, se pravi omejeno na enoto OZP in na podlagi pisne odredbe generalnega direktorja policije oziroma osebe, ki jo pooblasti.
II. Navedba določb predpisov, na katere se opira odločba
Ustava Republike Slovenije (Uradni list RS, št. 33/91-I, 42/97 – UZS68, 66/00 – UZ80, 24/03 – UZ3a, 47, 68, 69/04 – UZ14, 69/04 – UZ43, 69/04 – UZ50, 68/06 – UZ121,140,143, 47/13 – UZ148, 47/13 – UZ90,97,99 in 75/16 – UZ70a; Ustava RS) v prvem odstavku 38. členu določa, da je zagotovljeno varstvo osebnih podatkov in da je prepovedana je uporaba osebnih podatkov v nasprotju z namenom njihovega zbiranja. V drugem odstavku istega člena je določeno, da zbiranje, obdelovanje, namen uporabe, nadzor, in varstvo tajnosti osebnih podatkov določa zakon.
V skladu s 1. točko 4. člena Splošne uredbe pomeni osebni podatek katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.
V točki a) prvega odstavka 5. člena Splošne uredbe je določeno, da morajo biti osebni podatki obdelani zakonito, pošteno in na pregleden način („zakonitost, pravičnost in preglednost“), v točki c) prvega odstavka istega člena Splošne uredbe pa je določeno, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“). Drugi odstavek 5. člena Splošne uredbe določa, da je upravljavec odgovoren za skladnost s prvim odstavkom in da mora biti to skladnost tudi zmožen dokazati. Obdelava osebnih podatkov je na podlagi odstavka 1 člena 6 Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od pogojev, ki jih taksativno našteva ta člen.
Pravne podlage za obdelavo osebnih podatkov v javnem sektorju, kamor spada tudi zavezanec (23. točka prvega odstavka 6. člena ZVOP-1), so določene tudi 9. členu ZVOP-1, ki določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Ne glede na navedeno se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Posebne pravne podlage za obdelavo osebnih podatkov so določene tudi v 6. členu ZVOPOKD.
Naloge in pooblastila policije določa Zakon o nalogah in pooblastilih policije (Uradni list RS, št. 15/13, 23/15 – popr. in 10/17), ki v 1. točki 3. člena policijsko nalogo definira kot nalogo, ki je predpisana z ZNPPol ali drugim zakonom in se opravlja z uporabo policijskih pooblastil ali z drugimi uradnimi dejanji. Policijsko pooblastilo je, v skladu z 2. točko 3. člena ZNPPol, z zakonom določen ukrep, ki policistom omogoča opravljanje policijskih nalog in s katerim se praviloma posega v človekove pravice ali temeljne svoboščine ali druge pravice.
V skladu z načelom zakonitosti, ki je določeno v 15. členu ZNPPol, smejo policisti pri opravljanju policijskih nalog uporabiti policijska pooblastila na podlagi in v obsegu, ki ga določa zakon, ter na način, določen z zakonom ali podzakonskim predpisom, izdanim na podlagi in v skladu z zakonom.
1. odst. 33. člena ZNPPol določa, da smejo policisti pri opravljanju policijskih nalog, med drugim tudi zbirati in obdelovati podatke. V skladu s 112. členom ZNPPol pa lahko policisti, zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke. Te podatke lahko zbirajo neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbir podatkov. ZNPPol v svojem 120. členu določa tudi, da se, če ZNPPol ne določa drugače, za zbiranje in obdelovanje podatkov v policijskih evidencah uporabljajo določbe zakona, ki ureja varstvo osebnih podatkov.
1. odst. 123. člena ZNPPol določa, da policija upravlja in vzdržuje evidence (v nadaljnjem besedilu: evidence), v katerih zaradi opravljanja policijskih nalog uslužbenci policije zbirajo in obdelujejo osebne podatke. V nadaljevanju ZNPPol natančno določa evidence, ki jih vodi policija in njihovo vsebino.
Zakon o nadzoru državne meje (Uradni list RS, št. 35/10 – uradno prečiščeno besedilo, 15/13 – ZNPPol, 5/17, 68/17, 47/19, 139/20 in 161/21; v nadaljevanju ZNDM-2) zbiranje osebnih podatkov in evidence ureja v IX. poglavju, kjer v 41. členu določa, da sme policija od oseb, pri katerih se opravlja mejna kontrola, neposredno zbirati osebne podatke, ki se hranijo v evidenci po tem zakonu, pri tem pa lahko za zbiranje osebnih podatkov uporablja tudi ustrezna tehnična sredstva, uporabi pa lahko tudi druge podatke iz že obstoječih evidenc. V skladu z 42. členom ZNDM-2 policija za namene izvajanja izravnalnih ukrepov, vodi evidenco oseb, pri katerih se izvede postopek po 35.a in 35.b členu tega zakona, v prvem odstavku 43. člena pa je določena vsebina take evidence. ZNDM-2 v nadaljnjih členih navedenega poglavja vzpostavlja še evidenco nadomestil in služnosti v javno korist, drugih evidenc pa ne določa.
Zakon o začasnih ukrepih za omilitev in odpravo posledic COVID-19 (Uradni list RS, št. 152/20, 175/20 – ZIUOPDVE, 82/21 – ZNB-C, 112/21 – ZNUPZ in 167/21 – odl. US; v nadaljevanju ZZUOOP) v prvem odstavku 14. člena določa, da policija za izvajanje ukrepov za preprečevanje širjenja COVID-19, ki jih določa Vlada v skladu z ZNB in se nanašajo na prihode oseb iz držav, v katerih obstaja možnost okužbe s COVID-19, vzpostavi evidenco oseb, ki prestopajo zunanjo mejo, in oseb, ki prestopajo notranjo mejo na kontrolnih točkah v času njihovega obratovanja, če je bila oseba pri prestopu notranje meje preverjena v policijskih evidencah. V drugem odstavku 14. člena ZZUOOP so določeni osebni podatki, ki jih evidenca vsebuje, tretji odstavek določa, da se podatki v evidenci hranijo 14 dni od vpisa in se po preteku tega roka avtomatsko izbrišejo, v petem odstavku pa je določeno, da se evidenca vodi do prenehanja razlogov za njeno vodenje, kar ugotovi Vlada s sklepom, ki ga objavi v Uradnem listu RS.
V 24. členu ZVOP-1, ki ureja zavarovanje osebnih podatkov, ki so ga dolžni zagotavljati upravljavci, je določeno, da zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
1. varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
2. varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
3. preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
4. zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
5. omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
V 25. členu ZVOP-1 je določeno, da so upravljavci osebnih podatkov dolžni zagotoviti zavarovanje osebnih podatkov na način iz 24. člena ZVOP-1 in da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.
V skladu z 12. členom Uredbe SIS II države članice, ki ne uporabljajo nacionalnih kopij, zagotovijo, da se zaradi nadzora, ali je iskanje zakonito, spremljanja zakonitosti obdelave podatkov ter notranjega spremljanja vsak dostop do osebnih podatkov in izmenjava le-teh v okviru CS-SIS evidentira v N. SIS II in tako zagotovijo pravilno delovanje N. SIS II, neoporečnost in varstvo podatkov. Zapisi se lahko uporabljajo samo za namen, ki ga določa navedeni člen Uredbe SIS II ter se izbrišejo ne prej kot po enem letu in najpozneje po treh letih od njihovega nastanka. Zapisi, ki vsebujejo zgodovino razpisov ukrepov, se izbrišejo po enem do treh let po izbrisu razpisov ukrepov. V skladu z določbo drugega odstavka 38. člena Uredbe SIS II se osebni podatki, ki jih urad SIRENE hrani v zbirkah na podlagi izmenjave informacij, lahko hranijo le toliko časa, dokler je to potrebno za dosego namenov, zaradi katerih so bili zagotovljeni. V vsakem primeru se izbrišejo najpozneje leto dni po tem, ko se iz SIS II izbriše razpis ukrepa.
47. člen ZVOPOKD določa, da pristojni organi, skupni upravljavci in obdelovalci po tem zakonu vodijo dnevnik obdelave o naslednjih dejanjih obdelave osebnih podatkov v avtomatiziranih sistemih obdelave osebnih podatkov: zbiranje, spreminjanje, vpogled, razkritje, vključno s prenosi, povezovanje, izbris in druga dejanja obdelave, ki jih določa zakon. Navedeni člen določa tudi vsebino dnevnika obdelave in namen uporabe dnevnika obdelave. V petem odstavku tega člena je določeno, da se vsebina dnevnika obdelave hrani dve leti od zaključka koledarskega leta, v katerem so bila v njih zabeležena dejanja obdelave, če drug zakon ne določa drugače. Šesti odstavek 47. člena ZVOPOKD pa določa, da se vsebina dnevnika obdelave, ki ga upravlja Nacionalna enota za informacije o potnikih po zakonu, ki ureja naloge in pooblastila policije, hrani pet let od zaključka koledarskega leta, v katerem so bila v njih zabeležena dejanja obdelave.
Pravilnik o obdelavi podatkov o elektronskih komunikacijah policije in o dostopu do policijskih zbirk podatkov (Uradni list RS, št. 84/13; v nadaljevanju Pravilnik) v 1. točki 2. člena prometne podatke opredeljuje kot podatke o prometu, ki se obdelujejo zaradi prenosa komunikacij v okviru ITSP, in podatke o dostopu do policijskih zbirk podatkov, v 2. točki istega člena pa hrambo prometnih podatkov pa kot hrambo neposredno in avtomatsko zapisanih prometnih podatkov v dnevnike posameznih storitev ITSP. V 5. točki 2. člena Pravilnika je pojem »strokovna služba« opredeljen kot notranja organizacijska enota generalne policijske uprave, pristojna za informatiko in telekomunikacije. V 5. točki prvega odstavka 3. člena Pravilnika so taksativno navedeni prometni podatki, ki jih lahko hrani policija o dostopu do podatkov, obdelovanih v okviru ITSP. Prvi odstavek 11. člena Pravilnika določa, da lahko, kadar je treba zaradi ugotavljanja zakonitosti in strokovnosti izvršenih nalog policije rekonstruirati ali preveriti postopke in ukrepe, ki jih je v okviru posamezne naloge izvedla policija, notranja organizacijska enota policije, pristojna za zaščito podatkov, izpiše shranjene prometne podatke iz 3. člena Pravilnika. Izpis prometnih podatkov pisno odredi generalni direktor policije ali oseba, ki jo pooblasti. Pisna odredba se izda na predlog vodje enote.
III. Razlogi, ki glede na ugotovljeno dejansko stanje narekujejo takšno odločitev
IP je na podlagi odgovorov zavezanca in posredovane dokumentacije ugotovil, da zavezanec nima vzpostavljene posebne evidence mejnih prehodov in da za vzpostavitev take evidence zavezanec tudi nima nobene pravne podlage, saj njene vzpostavitve, vodenja in vsebine ne določa noben zakon, kot bi to v skladu z določbami 6. člena Splošne uredbe, 9. člena ZVOP-1 in 6. člena ZVOPOKD moral določati. Evidence, ki jih vodi in vzdržuje zavezanec, so določene v drugem odstavku 123. člena ZNPPol in v zgoraj navedenih določbah ZNDM-2, lahko pa take evidence določa in ureja tudi drug zakon. IP je v zvezi s tem ugotovil, da ne ZNPPol, ne ZNDM-2, ne kakšen drug zakon med evidencami, ki jih vodi in vzdržuje zavezanec, ne določa evidence prehodov oseb čez državno mejo. Izjema je 14. člen ZZUOOP, ki vzpostavlja evidenco oseb, ki prestopajo zunanjo ali notranjo mejo, vendar pa gre pri vzpostavitvi te evidence za začasen ukrep, ki velja samo do prenehanja razlogov zanj, ki so navedeni v prvem odstavku tega člena in so povezani z boleznijo COVID-19. IP v zvezi s tem poudarja, da vzpostavitev in vodenje evidence iz 14. člena ZZUOOP in v skladu s tem členom ni sporna in da v zvezi s tem IP v inšpekcijskem postopku ni ugotovil nepravilnosti, zato se s predmetno odločbo tudi v ničemer ne posega v to evidenco in njeno vodenje. Prav tako v postopku ni bilo ugotovljeno, da bi zavezanec vzpostavil in vodil posebno samostojno evidenco prehodov oseb čez državno mejo, kot evidenco policije v smislu določb 123. člena ZNPPol, je pa bilo ugotovljeno, da zavezanec podatke iz revizijskih sledi, ki jih vodi v skladu z zgoraj navedenimi določbami ZVOP-1, ZVOPOKD in Uredbe SISII tj. prometne podatke o dostopu do podatkov, obdelovanih v okviru ITSP in osebne podatke, ki jih take revizijske sledi vsebujejo, uporablja na način, kot bi šlo pri teh podatkih za evidenco v smislu 123. člena ZNPPol ali drugo evidenco, v katero bi lahko vpogledoval za namene opravljanja policijskih nalog. V postopku je bilo v zvezi s tem ugotovljeno, da zavezanec s tem svojim ravnanjem osebne podatke, ki so vsebovani v prometnih podatkih o dostopu do podatkov, obdelovanih v okviru ITSP, obdeluje za namene opravljanja različnih policijskih nalog in s tem za namene, ki so povsem različni od namenov, zaradi katerih se osebni podatki v okviru takih revizijskih sledi oziroma prometnih podatkov lahko obdelujejo. Iz zgoraj navedenih določb ZVOP-1, ZVOPOKD in Uredbe SISII je povsem jasno razvidno, da se revizijske sledi (dnevnik obdelav osebnih podatkov) vodijo in hranijo kot ukrep zavarovanja osebnih podatkov, za namene zagotavljanja zakonite obdelave osebnih podatkov s strani pooblaščenih oseb njihovega upravljavca in preprečevanja njihove nezakonite obdelave in v tem okviru omogočajo tudi naknadno preverjanje ali je bila določena obdelava osebnih podatkov zakonita. To jasno izhaja tudi iz 11. člena Pravilnika, ki izpis shranjenih prometnih podatkov iz 3. člena Pravilnika dopušča samo v primeru, če je zaradi ugotavljanja zakonitosti in strokovnosti izvršenih nalog policije potrebno rekonstruirati ali preveriti postopke in ukrepe, ki jih je v okviru posamezne naloge izvedla policija. Navedeni člen tudi jasno določa, kdo pri zavezancu tak izpis lahko opravi (notranja organizacijska enota policije, pristojna za zaščito podatkov) in po kakšnem postopku (na podlagi pisne odredbe generalnega direktorja policije, ki jo ta izda na predlog vodje enote). Iz navedenega jasno izhaja, da je zavezanec s tem, da je dostop do revizijskih sledi oziroma prometnih podatkih o dostopu do podatkov, obdelovanih v okviru ITSP omogočil relativno širokemu krogu svojih zaposlenih, ki do podatkov lahko neposredno dostopajo tudi za namene, ki so povsem različni od namenov, zaradi katerih zavezanec v skladu s predpisi zapisuje revizijske sledi oziroma prometne podatke, pri čemer pa zavezanec vseh takih namenov v svojem odgovoru niti ni jasno opredelil. Zavezanec pri tem obravnavane prometne podatke obdeluje tudi povsem v nasprotju z 11. členom Pravilnika, saj ta dostop do teh podatkov omogoča samo točno določeni organizacijski enoti zavezanca (in ne večjem številu različnih enot in uslužbencev zavezanca) in samo v posamičnih primerih po točno določenem postopku (in ne z neposrednim dostopom, brez kakršnihkoli dodatnih pogojev).
IP poudarja, da mora zavezanec pri obdelavi osebnih podatkov in v zvezi s tem tudi pri vzpostavitvi in vodenju evidenc, spoštovati tudi predpise s področja varstva osebnih podatkov, kar med drugim pomeni, da lahko vzpostavi in vodi samo tiste evidence, ki mu jih določa oziroma dovoljuje zakon in da osebne podatke v teh evidencah obdeluje samo za določene in zakonite namene. Kot zavezanec ne sme samovoljno vzpostavljati evidenc, za katere podlaga v zakonu ne obstaja, tudi ne sme evidence, ki jo vodi za povsem druge namene in ki je v skladu s tem tudi urejena v navedenih predpisih, voditi in uporabljati, kot da bi šlo za katero od evidenc policije iz 123. člena ZNPPol, kot je bilo ugotovljeno v tem primeru.
V obravnavanem primeru je bilo torej ugotovljeno, da zavezanec podatke iz revizijskih sledi oziroma prometne podatke o dostopu do podatkov, obdelovanih v okviru ITSP, ki vsebujejo tudi osebne podatke policistov in oseb, ki so prehajali čez državno mejo, s tem, ko omogoča neposredno dostopanje do teh podatkov relativno širokemu krogu njegovih organizacijskih enot in zaposlenih, čeprav je v skladu s Pravilnikom za dostop do teh podatkov pooblaščena le ena, v tem aktu točno določena organizacijska enota zavezanca in s tem, da tem subjektom takšno dostopanje omogoča za namene, ki so različni od namenov, zaradi katerih se revizijske sledi oziroma prometni podatki o dostopu do podatkov, obdelovanih v okviru ITSP lahko zbirajo in nadalje obdelujejo, ravna v nasprotju z določbami točke a) in točke b) 5. člena in prvega odstavka 6. člena Splošne uredbe, 9. člena ZVOP-1 ter 1. in 2. točke 5. člena in 6. člena ZVOPOKD.
Iz navedb zavezanca v njegovem odgovoru z dne 3. 1. 2022 izhaja, da se strinja z zgoraj navedenimi ugotovitvami in zaključki IP v postopku inšpekcijskega nadzora in da je ugotovljene nepravilnosti tudi pripravljen odpraviti. Zavezanec pa se ni strinjal z ugotovitvijo IP, da je s tem, ko je (relativno) širokemu krogu svojih uslužbencev omogočil neposredni dostop do podatkov revizijske sledi, vsem tem uslužbencem omogočil tudi obdelovanje teh (osebnih) podatkov v nasprotju z zakonitimi nameni, saj naj v konkretnem inšpekcijskem postopku ne bi bila ugotovljena neupravičena in nezakonita obdelava osebnih podatkov iz revizijske sledi s strani uslužbencev zavezanca, ki jim je bil omogočen neposredni dostop do teh podatkov (tj. za namen nadzora, spremljanja zakonitosti obdelave podatkov s strani nadzornega organa ali drugih pristojnih organov, zagotavljanje celovitosti in varnosti osebnih podatkov, za potrebe predkazenskih in kazenskih postopkov, ter ugotavljanje zakonitosti in strokovnosti izvršenih nalog). IP v zvezi s tem poudarja, da ugotovitve, v obliki, kot jo podaja zavezanec, ni zapisal, da pa se je potrebno zavedati, da omogočanje obdelave osebnih podatkov širokemu krogu uslužbencev, v nasprotju z določbami predpisov, ki določajo izrazito omejen krog uslužbencev, ki do podatkov lahko dostopajo, vsekakor lahko pomeni ravnanje zavezanca, ki povečuje nevarnost nepooblaščene obdelave osebnih podatkov. Navedba zavezanca, da v predmetnem inšpekcijskem postopku niso bili ugotovljeni nezakoniti vpogledi posameznih uslužbencev v podatke iz revizijske sledi sicer drži, vendar pa hkrati drži tudi, da namen tega postopka ni ugotavljanje morebitnih posamičnih nezakonitih vpogledov v te podatke in odgovornosti zanje, ampak odprava ugotovljene sistemske nepravilnosti in da zato IP v tem postopku zakonitosti posamičnih vpogledov v podatke iz revizijskih sledi sploh ni preverjal oziroma ugotavljal. Če bi se vzpostavil sum, da je prišlo do takih nezakonitih vpogledov v osebne podatke, ki jih vsebujejo revizijske sledi, bi bilo potrebno take vpoglede in odgovornost zanje ugotavljati v posebnem postopku o prekrških po Zakonu o prekrških (Uradni list RS, št. 29/11 – uradno prečiščeno besedilo, 21/13, 111/13, 74/14 – odl. US, 92/14 – odl. US, 32/16, 15/17 – odl. US, 73/19 – odl. US, 175/20 – ZIUOPDVE in 5/21 – odl. US; v nadaljevanju ZP-1) in ne v postopku inšpekcijskega nadzora, saj bi šlo pri tem za enkratna ravnanja storilcev v preteklosti in ne za nepravilnosti, ki bi jih bilo mogoče odpraviti s postopki in ukrepi, ki jih ima IP na razpolago v inšpekcijskem postopku.
IV. Sklepno
Na podlagi vsega zgoraj navedenega je IP zaključil, da zavezanec s tem, da omogoča neposredno dostopanje do podatkov iz revizijskih sledi oziroma prometnih podatkov o dostopu uslužbencev zavezanca do podatkov, obdelovanih v okviru ITSP, ki vsebujejo tudi osebne podatke uslužbencev in oseb, ki so prehajali čez državno mejo, relativno širokemu krogu njegovih organizacijskih enot in zaposlenih, tj. _______________ tudi ________________, čeprav je v skladu s Pravilnikom za dostop do teh podatkov pooblaščena le ena, v tem aktu točno določena organizacijska enota zavezanca in s tem, da tem subjektom takšno dostopanje omogoča za namene, ki so različni od namenov, zaradi katerih se revizijske sledi oziroma prometni podatki o dostopu do podatkov, obdelovanih v okviru ITSP lahko zbirajo in nadalje obdelujejo, ravna v nasprotju z določbami točke a) in točke b) 5. člena in prvega odstavka 6. člena Splošne uredbe, 9. člena ZVOP-1 ter 1. in 2. točke 5. člena in 6. člena ZVOPOKD. V zvezi s predmetnim ravnanjem zavezanca je bilo ugotovljeno, da gre za nepravilnost, ki v času izdaje odločbe še traja (zavezanec je v postopku sicer izrazil svojo pripravljenost, da ugotovljeno nepravilnost odpravi, vendar pa je do izdaje te odločbe ni odpravil oziroma o tem IP ni obvestil), zaradi česar je moral IP izdati predmetno odločbo.
Zaradi ugotovljene nepravilnosti je bilo treba zavezancu na podlagi 2. in 8. člena ZInfP, 1. točke prvega odstavka 54. člena ZVOP-1, člena 57(1) in točke (d) člena 58(2) Splošne uredbe ter prvega odstavka 32. člena ZIN, odrediti, da pri obdelavi osebnih podatkov postopke in ukrepe, s katerimi zagotavlja njihovo varnost oziroma zavarovanje izvaja ustrezno, odpravo ugotovljene nepravilnosti in uskladitev dejanj obdelave osebnih podatkov z določbami člena 32 Splošne uredbe ter 24. in 25. člena ZVOP-1, in sicer na način, kot je določen v 1. točki izreka te odločbe.
Odredba v 2. točki, da je zavezanec po izvršitvi ukrepov iz 1. točke izreka te odločbe dolžan v roku 5 dni po njihovi izvršitvi pisno obvestiti IP, temelji na določbi petega odstavka 29. člena ZIN, ki določa, da mora zavezanec o odpravljenih nepravilnostih takoj obvestiti inšpektorja.
Na podlagi 118. člena ZUP se v odločbi odloči o stroških postopka; ker v tem postopku niso nastali posebni stroški, je tako odločeno v 3. točki izreka.
Ta odločba je izdana po uradni dolžnosti in je na podlagi 22. člena Zakona o upravnih taksah (Uradni list RS, št. 106/10 – UPB5, 14/15 – ZUUJFO, 84/15 – ZZelP-J in 32/16) takse prosta.
Pouk o pravnem sredstvu: Ta odločba je v upravnem postopku dokončna. Zoper njo v skladu z določbo 55. člena ZVOP-1 ni dovoljena pritožba, mogoč pa je upravni spor z vložitvijo tožbe na Upravno sodišče Republike Slovenije, Fajfarjeva 33, 1000 Ljubljana, v roku 30 dni od prejema te odločbe. Tožbo se vloži pri pristojnem sodišču neposredno pisno ali pa se mu pošlje po pošti. Tožbi v najmanj dveh izvodih je potrebno priložiti to odločbo v izvirniku ali prepisu.
