Številka: 07108-15/2022/20
Datum: 7. 8. 2023
Informacijski pooblaščenec po nadzorni osebi (v nadaljevanju IP), na podlagi 77. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter na podlagi 30 in 34. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2) ter 34. in 37. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20; v nadaljevanju: ZVOPOKD) o pritožbi …, ki ga zastopa odvetnica … (v nadaljevanju: prosilec) z dne 22. 11. 2022 zoper informacijo št. … ter zavrnilno odločbo št. … … (v nadaljevanju: upravljavec), v zadevi dostopa do informacij o obdelavi osebnih podatkov izdaja naslednjo
O D L O Č B O:
1. Ugotovi se, da je upravljavec glede prosilčeve zahteve za dostop do osebnih podatkov z dne 2. 9. 2022 s svojo odločbo št. … kršil 15. člen Splošne uredbe ter 24. člen ZVOPOKD na način, da je brez popolnoma ugotovljenega dejanskega stanja in z neobrazloženo odločitvijo zavrnil zahtevo prosilca z dne 2. 9. 2022 glede izpisov vpogledov v njegove osebne podatke oz. evidence v času od 1. 1. 2018 do 2. 9. 2022.
2. Upravljavcu se odredi, da v roku enega meseca od vročitve te odločbe ponovno odloči o zahtevi prosilca z dne 2. 9. 2022 glede izpisov vpogledov v njegove osebne podatke oz. evidence v času od 1. 1. 2018 do 2. 9. 2022 v skladu s Poglavjem III Splošne uredbe o varstvu podatkov, 2. poglavjem I. dela ZVOP-2 ter II. poglavjem ZVOPOKD, pri čemer mora najprej popolnoma razčistiti vsebino zahteve prosilca in popolnoma ugotoviti dejansko stanje, ter o odločitvi obvesti IP v roku enega meseca od sprejete odločitve.
3. Prosilcu se dovoli pregledati spis upravne zadeve št. 07108-15/2022 z izjemo naslednjih dokumentov:
a. delov odločbe IP št. 0610-129/2021/9 z dne 26. 10. 2021, in sicer od drugega odstavka na 5. strani do poglavja II. na 6. strani odločbe - knjiženo v zadevi IP pod št. 07108-15/2022/19, št. 07108-15/2022/18 in 07108-15/2022/7;
b. delov dokumenta št. …, in sicer od vključno 4. odstavka (prva alineja) na 2. strani do izključno 4. odstavka na 3. strani (ki se začne z "Od tu naprej") - knjiženo v zadevi IP pod št. 07108-15/2022/16;
c. dokumenta št. … - knjiženo v zadevi IP pod št. 07108-15/2022/8;
d. dnevnika obdelav v dokumentu "…" - knjiženo v zadevi IP pod št. 07108-15/2022/7;
e. dnevnika obdelav v dokumentu "…" - knjiženo v zadevi IP pod št. 07108-15/2022/7.
4. Posebni stroški v tem postopku niso nastali. Prosilec in upravljavec sama nosita svoje stroške postopka.
O b r a z l o ž i t e v:
1. Relevantne navedbe
Prosilec je 2. 9. 2022 podal tri zahteve za seznanitev z lastnimi osebnimi podatki:
1. upravljavcu Policiji: zahtevo za seznanitev s podatki v Schengenskem informacijskem;
2. upravljavcu Policiji: zahtevo za seznanitev na podlagi 30. člena ZVOP-1, in sicer je zahteval vse informacije o obdelavi, kot jih je ta podlaga omogočala;
3. upravljavcu MNZ, Direktoratu za upravne notranje zadeve, Sektor za informacijske storitve upravnih notranjih zadev: izpis vpogledov v njegove osebne podatke oz. evidence, s katerimi upravlja ministrstvo za notranje zadeve in ostali upravljavci, torej vse vpoglede v njegove osebne podatke v evidencah, v času od 1. 1. 2018 do 2. 9. 2022.
Upravljavec je izdal informacijo št. … o osebnih podatkih v schengenskem informacijskem sistemu (v nadaljevanju: informacija) ter odločbo št. … (v nadaljevanju: odločba upravljavca), s katero je v 1. točki izreka potrdil, da v svojih evidencah obdeluje osebne podatke prosilca, in sicer v evidenci oseb, ki jim je bila odvzeta prostost, ter evidenci uporabe prisilnih sredstev. V 2. točki izreka odločbe je upravljavec odločil, da se dostop do osebnih podatkov prosilcu omogoči v obliki izpisa. V 3. točki je upravljavec navedel pravno podlago, namen obdelave, vrste osebnih podatkov ter rok hrambe osebnih podatkov, ki se obdelujejo v evidenci oseb, ki jim je bila odvzeta prostost ter v 4. točki iste vrste informacij za evidenco uporabe prisilnih sredstev. V 5. točki izreka odločbe je upravljavec navedel, da se osebni podatki prosilca v zadnjih dveh letih niso posredovali zunanjim uporabnikom. V obrazložitvi odločbe je upravljavec navedel pravne podlage glede pravice do seznanitve z lastnimi osebnimi podatki in obdelave osebnih podatkov. Zapisal je, da je opravil vpogled v evidence, s katerimi upravlja, ter ugotovil, da obdeluje osebne podatke prosilca v evidenci oseb, ki jim je bila odvzeta prostost, ter v evidenci uporabe prisilnih sredstev. Nadalje je upravljavec pojasnil, da na podlagi 47. člena ZVOPOKD ter prvega odstavka 3. člena Pravilnika o obdelavi podatkov o elektronskih komunikacijah policije in dostopu do policijskih zbirk podatkov vodi dnevnik obdelav podatkov, ki zagotavlja notranjo sledljivost (kdo v okviru upravljavca je obdeloval osebne podatke), in sicer za dve leti od zaključka koledarskega dogodka, v katerem je zabeležen dogodek. Upravljavec je pojasnil namen vodenja dnevnika obdelav in pravne podlage, zapisal pa je še, da posameznik ni upravičen do podatkov o notranji sledljivosti ter se pri tem skliceval na objavljena mnenja IP. Nadalje je upravljavec navedel še zakonske podlage za omejitev pravice posameznika do seznanitve z lastnimi osebnimi podatki - 23. člen Splošne uredbe, 25. člen ZVOPOKD ter dodatno tudi 127. člen Zakon o nalogah in pooblastilih policije (ZNPPol).
Prosilec je zoper izdano informacijo in odločbo upravljavca vložil pritožbo z dne 22. 11. 2022, v kateri je navedel, da upravljavec ni ravnal v skladu s 15. členom Splošne uredbe ter določbami ZVOPOKD. Opozoril je, da je v zahtevi z dne 2. 9. 2022 zahteval izpis vpogledov v osebne podatke, odločba pa ne vsebuje podatka o številu vpogledov, nima razlogov in je zato neobrazložena. MNZ ima po vedenju prosilca ustrezen program, ki zagotavlja sledljivost vpogledov, kar pomeni, da ima podatek o tem, kdaj, kdo in s kakšnim namenom je vpogledoval v osebne podatke prosilca. Nadalje je prosilec navedel, da se odločba upravljavca ne opredeljuje do vprašanja, v katero kategorijo oseb je upravljavec umestil prosilca in ali se je takšna kategorija v omenjenem obdobju (1. 1. 2018 do 2. 9. 2022) kaj spremenila. Glede obdelave osebnih podatkov v evidenci oseb, ki jim je bila odvzeta prostost, ter v evidenci uporabe prisilnih sredstev, je prosilec izpostavil, da se je njegova zahteva glasila na obdobje od 1. 1. 2018 do 2. 9. 2022 in ne zgolj za čas dveh let, kot je odločil upravljavec. Za konec je prosilec grajal nerazumljivost odločbe upravljavca, saj iz nje ne izhaja, da je upravljavec dejansko izkoristil možnosti omejitve pravic po 23. členu ZVOPOKD oz. 25. členu ZVOPOKD.
Upravljavec je z dopisom št. … pritožbo prosilca odstopil kot dovoljeno, pravočasno in vloženo po upravičeni osebi. Upravljavec je dodal, da v izreku njegove odločbe res ni konkretno zavrnil pravice do seznanitve z »notranjo sledljivostjo«, vendar pa že sama odločba v obrazložitvi vsebuje v osmem odstavku opredelitev do posredovanja podatkov iz »notranje sledljivosti«. Poleg tega bi se bilo nesmiselno konkretno sklicevati in uporabljati pravico do omejitve do seznanitve z osebnimi podatki, posebej ker gre za delo in samo delovanje varnostnih organov. Upravljavec je podal utemeljitev, zakaj bi konkretna uporaba 23. člena Splošne uredbe in 25. člena ZVOPOKD, negirala njihovo vsebino in smisel.
IP je z dopisom št. 07108-15/2022/2 z dne 7. 12. 2022 upravljavca pozval, da mu dostavi relevantno dokumentacijo zadeve in določena pojasnila.
Upravljavec je na poziv IP odgovoril z dopisom št. …, in sicer je pojasnil, da s podatki dnevnikov obdelav za leto 2018 ne razpolaga, saj so se ti z odredbo Generalne policijske uprave (ki jo je upravljavec priložil) izbrisali, ko je ta z namenom poenotenja rokov hrambe določila drugačno obdobje hrambe. Na podlagi odločbe Informacijskega pooblaščenca št. 0612-129/2021/9 z dne 26. 10. 2021 so bili ponovno uvedeni različni roki hrambe dnevnikov obdelave. Upravljavec je IP priložil tudi dnevnike obdelav za prosilca za obdobje 1.1.2019 do 31.12.2020 ter 1.1.2021 do 2.9.2022. Upravljavec je poudaril, da se je zahteva za izpise vpogledov nanašala na MNZ, Direktorat za upravne notranje zadeve, Sektor za informacijske storitve upravnih notranjih zadev, ker pa sta bili sočasno vloženi še dve vlogi za seznanitev pri njem, se je vloga za izpise vpogledov obravnavala znotraj pristojnosti policije (ne vključuje pristojnosti Ministrstva za notranje zadeve). Glede pritožbenega razloga o manjkajoči kategoriji posameznika je upravljavec zapisal, da ta zahteva ni bila navedena v vlogi. V nadaljevanju je upravljavec podal izčrpno argumentacijo, zakaj po njegovem naziranju informacije iz dnevnikov obdelav ne morejo biti dostopni posamezniku, saj se med drugim zakonitost obdelave preverja in dosega v različnih notranjih in zunanjih postopkih nadzora. Upravljavec meni tudi, da dnevniki obdelav ne morejo biti razumljeni kot zbirka osebnih podatkov.
Upravljavec je dne 18. 1. 2023 posredoval tudi dokument št. … o rezultatih preverjanja zakonitosti obdelav prosilca. Podatke iz tega dokumenta je upravljavec označil kot varovane podatke policije, katerih razkritje nepoklicanim osebam bi povzročilo škodo policiji, poteku uradnih postopkov ali fizičnim ali pravnim osebam.
IP je nato v telefonskem pogovoru z dne 23. 2. 2023 (uradni zaznamek št. 07108-15/2022/9) ter z dopisoma št. 07108-15/2022/10 z dne 14. 3. 2023 in 07108-15/2022/11 z dne 28. 4. 2023 skušal razčistiti obseg pritožbene zadeve, saj je prosilec zahtevek za izpis vpogledov v obdobju od 1. 1. 2018 do 2. 9. 2022 naslovil na MNZ, pritožbo zoper odločbo in informacijo upravljavca pa je vložil zoper Policijo, saj ju je Policija tudi izdala. IP je prosilca pozval, naj se opredeli, ali je upravljavec MNZ (ne upravljavec Policija kot ločen upravljavec) potemtakem v molku.
Prosilec je dne 8. 5. 2023 na poziv IP vložil vlogo, v kateri je navedel, da iz njegove pritožbe z dne 22. 11. 2022 jasno izhaja, da je bila vložena zoper odločbo in informacijo upravljavca. Prosilec v celoti vztraja pri svoji pritožbi, ki jo je vložil pred prejemom dopisa MNZ z dne 17. 11. 2022 Prosilec je IP-ju posredoval tudi odločitev MNZ št. … in spremni dopis. Po mnenju prosilca z dopisom z dne 17. 11. 2022 ni odpravil kršitev, izpostavljenih v pritožbi. Prav tako prosilec ni prejel izpisa iz fonetičnega indeksa oseb. Prosilec je še izpostavil, da iz pregleda t.i. pasivnih dostopov na podlagi EMŠO (ki jih je prejel od MNZ, op. IP) izhaja, da je policija za namen »opravljanja zakonskih nalog« na podlagi ZNPPol v času od 1. 2. 2018 do 1. 1. 2022 opravila skupno kar … vpogledov v osebne podatke prosilca. Prosilec je izpostavil, da ima MNZ ustrezen program, ki zagotavlja sledljivost vpogledov, kar pomeni, da MNZ ima podatek o tem, kdaj in kdo je vpogledal v osebni podatek osebe in s kakšnim namenom oz. v katero evidenco osebe je dotični uslužbenec policije vpogledal. V priloženem izpisu je kot namen vpogleda zapisano samo »opravljanje zakonskih nalog« na podlagi ZNPPol, medtem ko je v 123. členu omenjenega zakona zapisano, da policija za namene opravljanja policijskih nalog vodi in vzdržuje kar 31 različnih evidenc. Policija ni odgovorila na vprašanje, v katere evidence obdolženega je policija v obdobju od leta 2018 do 27. 5. 2022 (op. IP – prosilec predhodno navaja datum 27. 5. 2020) vpogledovala. Prosilec je še navedel, da je s pomočjo števila in časovne komponente vpogledov v njegove osebne podatke mogoče sklepati na izvajanje prekritih preiskovalnih ukrepov brez ustrezne odredbe in v nasprotju z določili 148.a člena ZKP. Pri tem je po njegovem bistveno, da je do opisanega osredotočenega delovanja policije zoper njega prišlo že mesece pred podajo kazenske ovadbe zoper njega v mesecu maju 2020. Prosilec je prek pooblaščenke IP prosil za posredovanje odgovora Policije po pozivu IP št. 07108-15/2022/2 z dne 7. 12. 2022.
IP je prosilcu in upravljavcu vročil zapis bistvenih ugotovitev v postopku št. 07108-15/2022/14 z dne 23. 6. 2023, s katerim ju je tudi pozval, da se v roku 7 dni izjavita o vseh dejstvih in okoliščinah, ki so pomembne za izdajo odločbe, kot to izhaja iz drugega odstavka 32. in drugega odstavka 33. člena ZVOP-2 ter drugega odstavka 35. in drugega odstavka 36. člena ZVOPOKD.
Na poziv IP se je odzval le upravljavec in podal svojo izjasnitev v dopisu št. …. Upravljavec je v bistvenem navedel, da se ne strinja z materialnopravno usmeritvijo, ki jo je IP predstavil v zapisu bistvenih ugotovitev in za to podal vrsto argumentov, ki jih je mogoče zbirno predstaviti na naslednji način:
a. obdelava osebnih podatkov, kot jo usmerja t.i. Policijska direktiva, je regulirana bistveno drugače kot obdelava osebnih podatkov na primer v komercialne namene, ki ga ureja Splošna uredba (omenja sklepanje pogodb in banke), in izključuje načelo transparentnosti, posledično pa omejuje nadzor posameznikov nad njihovo obdelavo osebnih podatkov (na primer posredno prek nadzornega organa);
b. iz Priročnika o evropskem pravu osebnih podatkov agencije Fundamental Rights Agency (v nadaljevanju: FRA) iz leta 2018 izhaja, da naj bi se podatke iz dnevnika obdelav uporabljalo zgolj za namene preverjanja zakonitosti obdelave osebnih podatkov in izvajanja policijskih pristojnosti in se jih ne bi smelo posredovati posamezniku. Posameznik po presoji upravljavca ni tisti, ki bi preverjal zakonitost obdelave;
c. če bi upravljavec v nekaterih primerih policijskega delovanja izrecno in konkretno zavrnil dostop do osebnih podatkov, bi bilo to že samo po sebi indic, ki nakazuje na obstoj aktivnega ravnanja policije in drugih organov pregonov, kar bi lahko ogrozilo uspešno izvedbo predkazenskega postopka. Upravljavec meni, da bi moral imeti možnost ne zavrniti ne odobriti dostopa do določenih podatkov in informacij iz dnevnika obdelav, saj bi le tako zavaroval svoje aktivnosti;
d. posamezniki nimajo ustreznega znanja za interpretacijo samih namenov obdelave izhajajočih iz dnevnikov obdelave, informacije o obdelavi osebnih podatkov pa morajo biti podane v preprostem in razumljivem jeziku, česar pa upravljavec zaradi obsežnosti ne bi mogel zagotoviti v postavljenem roku (lahko bi se sicer poslužil podaljševanja rokov ali zavrnitve zaradi prekomernosti zahteve v primeru zlorab).
Ker je IP ocenil, da je dejansko stanje dovolj razčiščeno, ni izvedel drugih procesnih dejanj.
2. Splošno o pravici posameznika do dostopa do lastnih osebnih podatkov
Pravica posameznika do seznanitve z lastnimi osebnimi podatki je temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj.
Ta pravica posameznika je konkretizirana v prvem odstavku 15. člena Splošne uredbe, ki določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov ter določene konkretne informacije v zvezi z obdelavo osebnih podatkov, med drugim: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom idr. (točke (a) do (h) prvega odstavka 15. člena Splošne uredbe).
Na področju preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij je pravica do dostopa do osebnih podatkov ter informacij o njihovi obdelavi zagotovljena v 24. členu ZVOPOKD. Omejitve te pravice so določene v 25. členu ZVOPOKD.
3. Postopek odločanja v nadzornem postopku
3.1 O postopku
IP je v predmetnem nadzornem postopku postopal po določbah 30. do 35. člena ZVOP-2 (postopek na podlagi vloge prijavitelja s posebnim položajem) ter po določbah 33. do 38. člena ZVOPOKD (položaj prijavitelja s posebnim položajem in nadzorovanega organa).
IP kot nadzorni organ po izvedenem postopku nadzora skladno s prvim odstavkom 34. člena ZVOP-2 ter prvim odstavkom 37. člena ZVOPOKD izda odločbo, ki poleg sestavin, ki jih določa zakon, ki ureja splošni upravni postopek, vsebuje:
1. ugotovitev o obstoju ali neobstoju zatrjevane kršitve obdelave osebnih podatkov prijavitelja s posebnim položajem v trenutku vložitve prijave;
2. ukrepe, odrejene upravljavcu ali obdelovalcu (ZVOP-2) oz. nadzorovanemu organu (ZVOPOKD) glede obdelave osebnih podatkov, ki se nanašajo na prijavitelja s posebnim položajem, in rok za njihovo izvedbo;
3. dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem.
3.2 Obseg nadzora IP
IP ugotavlja, da je prosilec zahteval:
a) pri Policiji: zahtevo za seznanitev s podatki v Schengenskem informacijskem sistemu
b) pri Policiji: dostop do vseh osebnih podatkov in informacij o obdelavi njegovih osebnih podatkov skladno z ZVOP-1;
c) pri MNZ (vloženo tudi pri Policiji): izpis vpogledov v njegove osebne podatke oz. evidence v času od 1. 1. 2018 do 2. 9. 2022.
V pritožbi prosilec sicer navaja, da se pritožuje glede informacije (izdane po zahtevi iz zgornje točke a) ter odločbe (izdane po zahtevi iz zgornjih točk b) in c).
V zvezi z zahtevo pod točko a) IP ugotavlja, da prosilec glede morebitnih kršitev v zvezi s seznanitvijo z informacijami o obdelavi osebnih podatkov v sistemu SIS ne navaja nobenih podrobnosti in v vsebinskem smislu ne podaja nobenih navedb, ki bi usmerjale nadzor v smeri iskanja kršitev. Prosilec se poleg tega v pritožbi na več mestih eksplicitno osredotoča zgolj na dejstvo, da ni prejel izpisa vpogledov v njegove osebne podatke v obdobju od 1. 1. 2018 do 2. 9. 2022, drugih delov odločbe pa v vsebinskem smislu ne graja.
Enako velja za vprašanje zahteve pod točko b) zgoraj, ko je prosilec sicer zahteval dostop do vseh osebnih podatkov in informacij o obdelavi njegovih osebnih podatkov skladno z ZVOP-1, vendar odločbe v tem delu ne graja. Prosilec je sicer v svoji vlogi z dne 8. 5. 2023 navedel, da ni prejel izpisa iz fonetičnega indeksa oseb, vendar je glede teh navedb kasneje kot v pritožbi prekludiran (jih ne more pravno upoštevno navajati). Tudi sicer pa prosilec ni navedel nobene okoliščine, iz katere bi izhajalo, da upravljavcu ni verjeti, da prosilcu ni posredoval izpisa iz fonetičnega indeksa oseb, ki je bila priloga odločbe, ki jo je prosilec nesporno prejel.
Iz vsega navedenega sledi, da se pritožba prosilca nanaša izključno na izpis vpogledov v osebne podatke v obdobju od 1. 1. 2018 do 2. 9. 2022.
Nazadnje pa se IP glede obsega nadzora opredeljuje še do navedbe prosilca, da se odločba upravljavca ne opredeljuje do vprašanja, v katero kategorijo oseb je upravljavec umestil prosilca in ali se je takšna kategorija v omenjenem obdobju kaj spremenila. V zvezi s tem se IP pridružuje navedbi upravljavca v dopisu št. …, da prosilec te zahteve ni navedel v vlogi, kar je razvidno iz same vsebine njegove vloge oziroma njegovih vlog. Tudi v vlogi, ki jo je prosilec vložil na podlagi določb ZVOP-1, ni navedena zahteva po »kategoriji oseb«, v katere je upravljavec umestil prosilca. To tudi ne bi bila pravno zaščitena kategorija informacij, do katerih bi bil prosilec upravičen, razen v kolikor bi bila ta informacija nujna za izvrševanje pravic posameznika iz 15. člena Splošne uredbe. IP torej ugotavlja, da se obseg nadzora zaradi domnevnih kršitev varstva osebnih podatkov v tem postopku ne razteza na informacije o kategoriji oseb, v katere je upravljavec umestil prosilca.
4. Presoja utemeljenosti pritožbe v konkretnem primeru
Predmet konkretnega nadzora zakonitosti obdelave osebnih podatkov oziroma zakonitosti odločanja o pravici do dostopa in informacij o obdelavi osebnih podatkov so torej izpisi vpogledov v prosilčeve osebne podatke v obdobju od 1. 1. 2018 do 2. 9. 2022.
4.1 Upravljavec ni popolno ugotovil dejanskega stanja
IP ugotavlja, da zahteva prosilca po izpisu vpogledov v njegove osebne podatke oz. evidence ni nedvoumna. Dokaz za to je, da je upravljavec zahtevo razumel kot zahtevo po izpisu oseb, ki so znotraj upravljavca vpogledovale v osebne podatke prosilca; prosilec pa v pritožbi navaja, da ima upravljavec gotovo podatek o tem, kdaj, kdo in s kakšnim namenom je vpogledoval v osebne podatke prosilca, navaja pa tudi, da ga zanima število vpogledov. Morda prosilca v zvezi z vpogledi zanima tudi, v katere vrste osebnih podatkov je upravljavec vpogledoval, kar pa je zgolj špekulacija in ne izhaja iz natančno opredeljene zahteve prosilca. Zahteva prosilca (razen kolikor jo je prosilec obrazlagal s pritožbo, kar je prepozno) torej ni razumljiva na način, da bi omogočala zgolj eno interpretacijo.
IP tako meni, da upravljavec ni ravnal skladno z načelom materialne resnice, ki je načelo splošnega upravnega postopka, po katerem mora organ ugotoviti resnično dejansko stanje in v ta namen ugotoviti vsa dejstva, ki so pomembna za zakonito in pravilno odločbo (8. člen ZUP). Upravljavec namreč v prvi vrsti ni ugotovil dejanskega obsega oziroma vsebine zahteve prosilca. IP ne more (niti ne sme) sklepati o dejanski volji prosilca ne na način, da je prosilec zahteval zgolj informacijo o osebah, ki so vpogledovale v njegove osebne podatke (ožja interpretacija), ne na način, da je prosilec zahteval informacijo o osebah, času in namenih obdelave, številu vpogledov, morda celo vrsti osebnih podatkov (širša interpretacija). Tako kot ne sme sklepati IP, pa ne bi smel sklepati niti upravljavec (ki se je brez obrazložitve in neutemeljeno odločil za ožjo interpretacijo zahteve), temveč bi moral resnično voljo prosilca dejansko in brez dvoma ugotoviti. V ta daje namen ZUP na voljo mehanizem poziva za dopolnitev nepopolne vloge, kadar ta ni razumljiva in ne obsega vsega, kar je potrebno za njeno obravnavo. Glede na to, da se postopek vodi na zahtevo stranke, je stranka tista, ki mora dovolj natančno opredeliti vsebino svoje zahtev, upravljavec pa ne sme samovoljno ne ožiti ne širiti interpretacije zahtevka stranke. Na tem mestu velja omeniti tudi določbo 7. člena ZUP, ki v prvem odstavku določa, da morajo organi pri postopanju in odločanju omogočiti strankam, da čim lažje zavarujejo in uveljavijo svoje pravice; pri tem morajo skrbeti za to, da stranke ne uveljavljajo svojih pravic v škodo pravic drugih in ne v nasprotju z javno koristjo, določeno z zakonom ali z drugim predpisom.
Po tem, ko bi upravljavec ugotovil resnično voljo prosilca iz zahteve, pa bi moral še popolno ugotoviti dejansko stanje same zadeve, torej pridobiti dejstva in dokaze glede zahtevanih informacij. Če bi torej prosilec zahteval informacije ne le o notranjih uporabnikih, ampak tudi o času in namenu obdelave, številu vpogledov in vrsti osebnih podatkov, bi moral upravljavec ugotoviti, katere od teh informacij sploh ima oziroma jih lahko prosilcu posreduje. Temu bi morala slediti pravilna uporaba materialnega prava in ugotovitev, do katerih od zahtevanih informacij bi bil prosilec po določbah pozitivne zakonodaje sploh upravičen.
4.2 Odločba upravljavca ni obrazložena
Nadalje IP ugotavlja, da upravljavec zavrnitve pravice do informacij o obdelavi osebnih podatkov v nobenem primeru ni konkretiziral in je zato odločba upravljavca v delu, ki se nanaša na informacije o obdelavi osebnih podatkov ("izpis vpogledov"), neobrazložena. IP poudarja, da standardu obrazloženosti odločbe o zavrnitvi zahteve za dostop do osebnih podatkov in informacij o obdelavi nikakor ne zadošča le prepis zakonskih določb oziroma celo zgolj sklic nanje. V konkretnem primeru je upravljavec zgolj navedel zakonske določbe s sklicem, in sicer na 23. člen Splošne uredbe, 24. člen ZVOPOKD ter 127. člen ZNPPol ter to zgolj z navedbo, da se na podlagi teh členov pravica lahko omeji. Upravljavec je celo navedel, da priloženi izpis osebnih podatkov (FIO) predstavlja lastne osebne podatke, s katerimi je vlagatelj lahko seznanjen. Dodatno je upravljavec v dopisu št. … konkretneje pojasnil, da gre pri informacijah iz dnevnikov obdelave za "varovane podatke, ki imajo po šestnajsti točki 3. člena Zakona o nalogah in pooblastilih policije naravo varovanih podatkov in gre za osebni podatek ali drug obdelovan podatek, ki ni tajen, njegovo razkritje nepoklicanim osebam pa bi povzročilo škodo državnemu organu, poteku uradnih postopkov ali fizičnim ali pravnim osebam, zato morajo njegovo obdelavo spremljati določeni varnostni ukrepi in postopki."
IP v zvezi z vsem tem ugotavlja, da bi lahko upravljavec za konkretno obrazložitev razlogov za omejitev izkoristil tudi možnost iz tretjega do petega odstavka 25. člena ZVOPOKD ter drugega do četrtega odstavka 15. člena Splošne uredbe. Slednje zakonske določbe namreč predvidevajo, da upravljavec pravice posameznika ne zavrne z navedbo konkretnih razlogov, če bi to škodilo določenim, v zakonu predvidenim interesom, konkretne razloge za zavrnitev pa nato navede v prilogi k odločbi, ki se posamezniku oziroma prijavitelju s posebnim položajem ne vroča.
4.3 Materialnopravne usmeritve
Prosilec je v pritožbi opisal, da ga v zvezi z izpisom vpogledov v njegove osebne podatke zanimajo naslednje informacije: kdaj, kdo in s kakšnim namenom je vpogledoval v osebne podatke prosilca ter število teh vpogledov. V nadaljevanju IP navaja nekatere materialnopravne usmeritve glede dostopa do navedenih informacij, ki naj jih upravljavec upošteva po tem, ko bo ustrezno razčistil obseg prosilčeve zahteve in bo ponovno odločil o prosilčevi (razjasnjeni) zahtevi.
a) Splošno glede osebnih podatkov in informacij o obdelavi, ki izvirajo iz dnevnika obdelav
Zaradi vseh prizadevanj upravljavca, da bi dnevnike sledljivosti izključil iz dometa pravice po 15. členu Splošne uredbe in 24. členu ZVOPOKD, se zdi, da bi upravljavec želel obdelovati osebne podatke iz vseh možnih zbirk osebnih podatkov, vendar bi prosilcem razkril le kanček tistega, kar se dogaja v zvezi z obdelavo njihovih osebnih podatkov. Tega pa ne bi utemeljil na zakonsko predvidenih izjemah, ampak bi v celoti skril zapis informacij o obdelavi osebnih podatkov (tj. dnevnik obdelav), kar je po presoji IP izjemno sporno.
Upravljavec je izčrpno pojasnjeval, da naj dnevnik obdelav ne bi bila evidenca osebnih podatkov in da ga zato na splošno ne bi smeli upoštevati pri izvrševanju pravice do dostopa do lastnih osebnih podatkov ter informacij o obdelavi osebnih podatkov. Vendar pa IP ugotavlja, da je Sodišče EU v sodbi C‑579/21 z dne 22. 6. 2023 potrdilo dosedanjo prakso IP, da dnevnika obdelav ne moremo izključiti iz dometa pravice po 15. členu Splošne uredbe (ter analogno po 24. členu ZVOPOKD). V tej zadevi je Sodišče zapisalo, da "v zvezi z dnevniškimi datotekami upravljavca se lahko posredovanje kopije informacij iz teh datotek izkaže za nujno, da bi bila izpolnjena obveznost, da se posamezniku, na katerega se nanašajo osebni podatki, zagotovi dostop do vseh informacij iz člena 15(1) SUVP in da se zagotovi poštena in pregledna obdelava, ki tako temu posamezniku omogoča, da v celoti uveljavlja pravice, ki jih ima na podlagi te uredbe." (sodba SEU št. C-579/21 z dne 22. 6. 2023, odst. 69).
Dnevnik obdelav torej avtomatično ni izključen iz dometa uveljavljanja pravice po 15. členu Splošne uredbe, če se to "izkaže za nujno" za izpolnjevanje obveznosti upravljavca v tem kontekstu, kar velja tako za dostop do podatkov kot za informacije o obdelavi.
Kot utemeljitev SEU navaja, da "take datoteke namreč razkrivajo obstoj obdelave podatkov, kar je informacija, do katere mora imeti posameznik, na katerega se nanašajo osebni podatki, dostop na podlagi člena 15(1) SUVP. Poleg tega je iz njih razvidna pogostost in intenzivnost dejanj vpogleda, ki tako posamezniku, na katerega se nanašajo osebni podatki, omogočajo, da se prepriča, ali je izvedena obdelava dejansko utemeljena z nameni, ki jih je navedel upravljavec." (citirana sodba SEU, odst. 70).
Če je iz dnevnika obdelav možno razbrati obstoj obdelave osebnih podatkov, je to temeljna informacija o obdelavi osebnih podatkov, informacija, ki leži v samem bistvu načela zakonitosti, preglednosti in poštenosti obdelave osebnih podatkov. Česa takšnega brez zelo jasne in na zakon oprte zavrnitve ne bi smeli skrivati pred posamezniki.
Prav tako ni pravilno naziranje upravljavca, da obstajajo druge možnosti preverjanja zakonitosti obdelave osebnih podatkov (torej drugi zunanji in notranji nadzori) in zato posameznik nima posebnih, dodatnih možnosti za preverjanje zakonitosti obdelave (z dostopom do informacij ali osebnih podatkov iz dnevniških datotek). Kot je poudarilo SEU, predhodno pa že IP v svoji praksi, je dostop do informacij ali osebnih podatkov iz dnevniških datotek lahko predmet zahteve po 15. členu Splošne uredbe (analogno tudi 24. člena ZVOPOKD), če je to nujno za izpolnjevanje obveznosti upravljavca po zagotavljanju pravice iz omenjenih členov. Posameznik mora imeti takšen nadzor nad obdelavo svojih osebnih podatkov, da lahko na podlagi informacij o obdelavi tudi sam preverja zakonitost obdelave.
Argumenti upravljavca v smeri, da lahko prosilec dostopa zgolj do podatkov iz (zakonsko določenih) zbirk osebnih podatkov, prav tako ne morejo biti upoštevni. Poudariti je treba, da dostop do osebnih podatkov, še posebej pa do informacij o obdelavi, nikakor ni vezan zgolj na evidenco ali zbirko osebnih podatkov, saj se varstvo osebnih podatkov razteza tudi na obdelave z avtomatiziranimi sredstvi (prvi odstavek 3. člena ZVOP-2 in 3. člen ZVOPOKD).
IP se na tem mestu opredeljuje tudi do argumentov upravljavca, ki jih je podal v svoji izjasnitvi v dokumentu št. …:
a. Glede navedbe, da Policijska direktiva obdelavo osebnih podatkov ureja bistveno drugače, se IP sicer do določene mere strinja, vendar ni res, da gre pri Splošni uredbi za obdelave zgolj v komercialne namene, ko gre za sklenitev pogodb itd., saj Splošna uredba ureja večino obdelave osebnih podatkov tudi v javnem sektorju, kar zajema tako prekrškovno delovanje Policije, kot delovanje sodišč, zdravstvenih ustanov, neodvisnih organov s preiskovalnimi in prekrškovnimi pooblastili itd. Poleg tega ni res, da Policijska direktiva sploh ne vsebuje načela transparentnosti in da zavezanim organom ni treba zagotavljati transparentnosti svoje obdelave tudi v razmerju do posameznikov. Kljub temu, da ni navedeno med temeljnimi načeli, uvodna določba 26 določa, da mora biti obdelava osebnih podatkov »zakonita, poštena in pregledna«, pri čemer navaja, da mora biti pregledna za zadevne posameznike in torej ne pregledna zgolj v razmerju do nadzornega organa. Direktiva še nadaljuje (v podporo stališču IP), da to »samo po sebi organom kazenskega pregona ne preprečuje izvajanja dejavnosti, kot so tajne preiskave ali video nadzor.« Še pomembneje pa – ZVOPOKD izrecno vključuje načelo preglednosti med temeljna načela v prvi točki 5. člena.
b. Na argument upravljavca ob sklicevanju na priročnik FRA, da naj bi se podatke iz dnevnika obdelav uporabljalo »zgolj za namene preverjanja zakonitosti obdelave osebnih podatkov« IP odgovarja, da je navedeno besedilo vključeno tudi v ZVOPOKD (tretji odstavek 47. člena ZVOPOKD), vendar s to določbo ZVOPOKD ne omejuje pravice posameznika, temveč govori o načinu vodenja dnevnika obdelav, naslovniki te določbe pa so pristojni organi. Pristojni organi lahko torej dnevnik obdelav uporabljajo za preverjanje zakonitosti obdelave itd., pri čemer nikjer izražen namen zakonodajalca, da bi z določbo tretjega odstavka 47. člena ZVOPOKD posegal oziroma omejeval pravice posameznika; omejuje pa delovanje oblastnih organov.
c. IP se ne strinja z argumentom upravljavca, da bi moral imeti možnost ne zavrniti ne odobriti dostopa, ker naj bi že samo sklicevanje na morebitne izjeme lahko škodovalo izvedbi njegovih postopkov. Takšna argumentacija uvaja možnost pretirano netransparentnega oziroma skrivnega odločanja (»ne zavrniti ne odobriti«), ki presega namene varovanja policijskih postopkov. Upoštevati je namreč treba, da ima upravljavec možnost sklicevanja na izjeme in tudi možnost ne potrditi ne zanikati obdelav osebnih podatkov, nima pa možnosti »ne zavrniti ne odobriti« pravice posameznika. Upravljavec ima vse zakonske možnosti varovanja svojih postopkov, ne da bi bilo treba dnevnike obdelav (ki dejansko vsebujejo osebne podatke in vsebujejo informacije o obdelavi) izključiti iz obsega pravic po 15. Splošne uredbe in 24. členu ZVOPOKD. Upravljavec mora samo najti ustrezne načine, da to stori, kar pa po presoji IP ne bi smelo biti nemogoče.
d. Z navedbo, da posamezniki nimajo ustreznega znanja za interpretacijo informacij iz dnevnikov obdelav, upravljavec pa jim tega ne more zagotavljati, ker bi ga preveč obremenilo, upravljavec ne navaja ničesar, kar bi bilo možno pravno upoštevati. Upravljavec mora dati posamezniku jasne in pregledne informacije, za to si mora zagotoviti kapacitete (pri čemer si lahko z dobro organiziranostjo olajša izvajanje te obveznosti), to pa ne velja za primere, ko bi tako in tako zavrnil dostop do podatkov in informacij iz dnevnikov obdelav ali bi jih zagotovil iz drugih virov (na primer iz evidenc obdelav).
Nič od navedenega pa ne pomeni, da bodo posamezniku v vsakem primeru in vedno na voljo vsi podatki iz dnevnikov obdelav in tudi ne informacije, ki so v njih vsebovane. Pomeni le, da se podatki in informacije iz dnevnikov obdelav ne izključijo avtomatično iz dometa 15. člena Splošne uredbe, vseeno pa so podvržene presoji izjem in izključitev na podlagi utemeljenih razlogov (med drugim razlogov na strani preprečevanja in preiskovanja kaznivih dejanj in vseh drugih zakonsko utemeljenih razlogov).
V nadaljevanju IP podaja še konkretnejše usmeritve glede posameznih informacij, v kolikor bi se izkazalo, da jih prosilec zahteva (po razčiščenju vsebine njegove zahteve, torej njegove volje ob vložitvi prvotne vloge).
b) Informacija o tem, kdaj so bili opravljeni vpogledi
Pravica do informacij o obdelavi osebnih podatkov ne zajema eksplicitno informacije o času obdelave, vendar jo običajno štejemo kot bistveni element informacij o obdelavi osebnih podatkov, odvisno od okoliščin posameznega primera in če prosilec to informacijo zahteva. IP ugotavlja, da je opredelitev (specifikacija) obdelave osebnih podatkov po datumu obdelave neločljivo povezana s podajanjem ostalih informacij o obdelavi osebnih podatkov, do katerih bi bil posameznik v konkretnem primeru upravičen. V kolikor prosilec ne bi mogel pridobiti informacije o datumu obdelave, ne bi mogel izvrševati svoje pravice do informacij o obdelavi z namenom seznanitve z obdelavo in preverjanjem zakonitosti le-te (uvodna določba 63 Splošne uredbe). Pri tem je treba izhajati še iz naslednjega stavka uvodne določbe 63 Splošne uredbe, in sicer, da bi moral »vsak posameznik, na katerega se nanašajo osebni podatki, imeti pravico do seznanitve s sporočilom in njegove pridobitve, zlasti o namenih obdelave osebnih podatkov, po možnosti o obdobju, za katerega so osebni podatki obdelani (…)«.
Takšno stališče je potrdilo tudi Sodišče EU v sodbi št. C-579/21, v kateri je odločilo, da je treba glede vpogledov v osebne podatke posameznika šteti, da sodijo datumi in nameni vpogledov v osebne podatke med informacije, ki jih ima posameznik pravico prejeti od upravljavca (citirana sodba SEU, odst. 83).
Navedeno pa ne pomeni, da upravljavec ne more zavrniti zahteve za informacije na temelju razlogov iz 23. člena Splošne uredbe oziroma 25. členom ZVOPOKD, vendar mora to obrazložiti in utemeljiti na določbah zakona. Upravljavec bo torej moral v ponovnem odločanju, če bo informacija o datumih obdelav zajeta v prosilčevi zahtevi, odločiti v skladu zgoraj navedenimi materialnopravnimi usmeritvami.
c) Informacija o tem, kdo znotraj upravljavca je opravil vpogled
Informacijski pooblaščenec potrjuje presojo upravljavca, ki izhaja iz prakse IP in je zapisana tudi v javno dostopnih mnenjih IP, namreč da posameznik načeloma ni upravičen do podatka o osebah, zaposlenih pri upravljavcu, ki so obdelovale njegove osebne podatke (gl. mnenje št. 0712-724/2008/2, 0712-1/2014/2773, 0712-1/2014/3051, idr.).
Vendar pa je Sodišče EU v nedavni zadevi št. C-579/21 to stališče relativiziralo in zapisalo, da pravica po prvem odstavku 15. člena Splošne uredbe ne zajema pravice v zvezi z informacijami o identiteti zaposlenih navedenega upravljavca, ki so izvedli ta dejanja pod njegovim vodstvom in v skladu z njegovimi navodili, razen če so te informacije nujne za to, da se posamezniku, na katerega se nanašajo osebni podatki, omogoči učinkovito uveljavljanje pravic, ki so mu podeljene s to uredbo, in se upoštevajo pravice in svoboščine teh zaposlenih.
Generalni pravobranilec Sodišča EU je v svojih sklepnih predlogih z dne 15. 12. 2022 v zadevi C-579/21 tudi poudaril, da je situacija lahko drugačna, kadar "zaposleni ne upošteva postopkov, ki jih je določil upravljavec, in na lastno pobudo nezakonito dostopa do podatkov strank ali drugih zaposlenih. V takem primeru nelojalni zaposleni ne bi deloval za račun in v imenu upravljavca" in bi se sam lahko štel za upravljavca oziroma v tem smislu uporabnika, katerega identiteto bi bilo posledično mogoče / treba razkriti.
Upravljavec bo torej moral v ponovnem odločanju, če bo informacija o identiteti zaposlenih, ki so opravljali vpoglede, zajeta v prosilčevi zahtevi, odločiti v skladu zgoraj navedenimi materialnopravnimi usmeritvami. Pri tem IP poudarja, da se bo moral upravljavec v ponovnem odločanju dodatno opredeliti do zgornjih elementov, ki jih je postavilo Sodišče EU:
- ali so zaposleni znotraj upravljavca obdelovali osebne podatke pod njegovim vodstvom in v skladu z njegovimi navodili;
- ali bi bilo nujno razkriti identiteto zaposlenih znotraj upravljavca, da se omogoči učinkovito uveljavljanje pravic prosilca in se obenem upoštevajo pravice in svoboščine teh zaposlenih.
d) Informacija o tem, s kakšnim namenom je upravljavec vpogledoval v osebne podatke
Na tem mestu IP poudarja, da je upravljavec sicer podal določene informacije o namenih obdelave njegovih osebnih podatkov, vendar zgolj na splošno glede namenov obdelave osebnih podatkov v evidenci oseb, ki jim je bila odvzeta prostost ter evidenci uporabe prisilnih sredstev. Pri tem IP ugotavlja, da upravljavec s tem ni zajel vseh obdelav osebnih podatkov prosilca, kar je razvidno ob primerjavi z dnevnikom obdelav, ki ga je upravljavec posredoval IP-ju. Kot že omenjeno, upravljavec ne more izhajati samo iz obdelav, ki jih opravlja v okviru "formalnih", zakonsko predvidenih evidenc oziroma zbirk osebnih podatkov, temveč iz vseh obdelav osebnih podatkov, ki se odvijajo bodisi z avtomatiziranimi sredstvi ali v povezavi z zbirko osebnih podatkov.
IP poudarja, da je informacija o namenih obdelave ena ključnih informacij za možnost preverjanja zakonitosti obdelave osebnih podatkov, kot to izhaja iz uvodne določbe 63 Splošne uredbe. Zato je še posebej pomembno, da odločanje o pravici posameznika do informacije o namenih obdelave zajame vse obdelave, ki jih vrši upravljavec, nato pa se v tako ugotovljenem obsegu ugotavlja morebitne omejitve pravice posameznika.
Upravljavec bo torej moral v ponovnem odločanju odločiti v skladu zgoraj navedenimi materialnopravnimi usmeritvami. Kot že omenjeno, ima upravljavec na voljo določene izjeme za zavrnitev pravice posameznika, pri čemer mora biti njegova odločitev utemeljena in obrazložena, po potrebi v prilogi k odločbi, ki je namenjena izrecno takšnim situacijam, ko bi razkritje razlogov za zavrnitev pravice že negativno vplivala na cilje upravljavca, denimo v zvezi s preprečevanjem in pregonom kaznivih dejanj.
e) Informacija o številu vpogledov v osebne podatke
Informacija o številu vpogledov ni ne zajeta ne izključena iz dometa pravice po 15. členu Splošne uredbe, zato je to informacijo treba presojati v vsakem primeru posebej, izhajajoč iz temeljnega namena pravice do dostopa, ki je v tem, da se posameznik seznani z obdelavo njegovih osebnih podatkov in preveri njeno zakonitost (uvodna določba (63) Splošne uredbe). Sledeč tej programski določbi je treba storiti vse, kar je zakonsko dopustno, da se uresničijo pravice posameznikov. IP zaradi navedenega ne smatra, da je informacija o številu vpogledov avtomatično izključena iz obsega informacij po 15. členu Splošne uredbe, kljub temu, da ta informacija tam ni izrecno navedena.
Iz sodbe SEU št. C-579/21 z dne 22. 6. 2023 izhaja, da je iz dnevniških datotek "razvidna pogostost in intenzivnost dejanj vpogleda, ki tako posamezniku, na katerega se nanašajo osebni podatki, omogočajo, da se prepriča, ali je izvedena obdelava dejansko utemeljena z nameni, ki jih je navedel upravljavec" (odst. 70). Iz tega sledi, da je skladno z namenom pravice do informacij o obdelavi osebnih podatkov, da je posameznik seznanjen z pogostostjo in intenzivnostjo dejanj vpogleda, saj to omogoča preverjanje zakonitosti obdelav.
Kot navedeno pa to ne pomeni, da mora upravljavec avtomatično posredovati zahtevano število vpogledov, temveč mora odločanje o tej informaciji nasloniti na morebitne izjeme od dostopa ter jih ustrezno utemeljiti.
Upravljavec bo torej moral v ponovnem odločanju, če bo informacija o številu vpogledov zajeta v prosilčevi zahtevi, odločiti v skladu zgoraj navedenimi materialnopravnimi usmeritvami.
f) Zahtevano obdobje obdelav
Posebej je treba poudariti, da je prosilec jasno zapisal obdobje, za katero želi informacije, in sicer od 1. 1. 2018 do 2. 9. 2022, zato bo moral upravljavec vsakršno odstopanje od zahtevanega obdobja (v primeru posredovanja določenih informacij, a ne v celovitem smislu zahtevanega obdobja) ustrezno utemeljiti.
5. Sklepno
V zvezi z navedenim IP ugotavlja naslednje:
1. Ugotovitev kršitve: IP je ugotovil kršitev 15. člena Splošne uredbe ter 24. člen ZVOPOKD na način, da je upravljavec s svojo odločbo št. … brez popolnoma ugotovljenega dejanskega stanja in z neobrazloženo odločitvijo zavrnil zahtevo prosilca z dne 2. 9. 2022 glede izpisov vpogledov v njegove osebne podatke oz. evidence v času od 1. 1. 2018 do 2. 9. 2022.
2. Predvideni ukrepi za odpravo kršitve in rok za izvedbo: za odpravo kršitve bo moral upravljavec najprej popolnoma razčistiti vsebino zahteve prosilca, popolnoma ugotoviti dejansko stanje in po tako izvedenem postopku ob upoštevanju materialnopravnih napotkov IP v tej odločbi v roku enega meseca ponovno odločiti o zahtevi prosilca v skladu z s Poglavjem III Splošne uredbe o varstvu podatkov, 2. poglavjem I. dela ZVOP-2 ter II. poglavjem ZVOPOKD. O tako sprejeti odločitvi bo moral upravljavec v istem roku obvestiti nadzorni organ.
3. Dovoljen obseg pregleda spisa zadeve: Točka 3. prvega odstavka 34. člena ZVOP-2 in 37. člena ZVOPOKD določa, da odločba v postopku nadzora vsebuje tudi dovoljen obseg pregleda spisa zadeve za prijavitelja s posebnim položajem. IP je v izreku te odločbe odločil, da se dovoli pregledati spis upravne zadeve št. 07108-15/2022 z izjemo naslednjih dokumentov:
a. delov odločbe IP št. 0610-129/2021/9 z dne 26. 10. 2021, in sicer od drugega odstavka na 5. strani do poglavja II. na 6. strani odločbe - knjiženo v zadevi IP pod št. 07108-15/2022/19, št. 07108-15/2022/18 in 07108-15/2022/7;
b. delov dokumenta št. …, in sicer od vključno 4. odstavka (prva alineja) na 2. strani do izključno 4. odstavka na 3. strani (ki se začne z "Od tu naprej") - knjiženo v zadevi IP pod št. 07108-15/2022/16;
c. dokumenta št. … - knjiženo v zadevi IP pod št. 07108-15/2022/8;
d. dnevnika obdelav v dokumentu "…" - knjiženo v zadevi IP pod št. 07108-15/2022/7;
e. dnevnika obdelav v dokumentu "…" - knjiženo v zadevi IP pod št. 07108-15/2022/7.
Dokumenti oziroma deli dokumentov iz točke a-c so po zatrjevanju upravljavca varovani podatki policije skladno z Zakonom o nalogah in pooblastilih policije (ZNPPol). Upravljavec je glede teh po presoji IP ustrezno utemeljil, da bi njihovo razkritje nepoklicanim osebam povzročilo škodo policiji, poteku uradnih postopkov ali fizičnim ali pravnim osebam. Deli odločbe IP št. 0610-129/2021/9 z dne 26. 10. 2021 po trditvah upravljavca razkrivajo tudi metodiko in taktiko policijskega delovanja in varnostnih mehanizmov informacijskega sistema policije, glede česar IP pritrjuje presoji upravljavca, saj je razumno pojasnil razloge za omejitev pravice do pregleda spisa zaradi varovanja ustreznih notranjih procesov policije. Razkritje teh podatkov z izvajanjem pregleda spisa bi torej lahko škodovala izvedbi uradnih postopkov ali varstvu ali uresničevanju človekovih pravic in temeljnih svoboščin tretjih oseb, kar je tudi razlog za zavrnitev prisotnosti prosilca pri izvajanju postopkovnih dejanj po prvem odstavku 26. člena ZVOP-2 ter prvem odstavku 29. člena ZVOPOKD, vključno s pregledom spisa zadeve.
Dokumenti iz točke d in e pa predstavljajo predmet odločanja v tej zadevi, o čemer še ni bilo pravnomočno odločeno. Prosilec bi se s pomočjo instituta pregleda spisa, če ta ne bi bil omejen, lahko seznanil z varovanimi informacijami in podatki, še preden bi upravljavec v ponovnem postopku o njih odločil in bi bila njegova odločitev nato morda še drugič predmet nadzornega postopka. Razkritje teh podatkov z izvajanjem pregleda spisa bi torej lahko škodovala izvedbi uradnih postopkov ali varstvu ali uresničevanju človekovih pravic in temeljnih svoboščin tretjih oseb, kar je tudi razlog za zavrnitev prisotnosti prosilca pri izvajanju postopkovnih dejanj po prvem odstavku 26. člena ZVOP-2 ter prvem odstavku 29. člena ZVOPOKD, vključno s pregledom spisa zadeve.
4. Stroški: Posebni stroški v tem nadzornem postopku niso nastali (4. točka izreka odločbe). Prosilec in upravljavec nosita svoje stroške, ki so jima morebiti nastali zaradi postopka (drugi odstavek 30. člena ZVOP-2).
Ta odločba je v skladu z določbami Zakona o upravnih taksah (ZUT) oproščena plačila upravne takse.
Pouk o pravnem sredstvu:
Zoper to odločbo ni dovoljena pritožba, pač pa je dopustna tožba, ki se vloži v 30 dneh po prejemu te odločbe na Upravno sodišče v Ljubljani, Fajfarjeva 33, Ljubljana, pisno neposredno pri navedenem sodišču ali priporočeno po pošti ali ustno na zapisnik. Če je tožba poslana priporočeno po pošti, se šteje, da je prispela pravočasno, če je bila oddana na pošto zadnji dan roka za vložitev tožbe. Tožba z morebitnimi prilogami se vloži najmanj v treh izvodih. Tožbi je treba priložiti tudi to odločbo v izvirniku ali prepisu ter plačati sodno takso.
…
državna nadzornica za varstvo
osebnih podatkov
Vročiti:
- … (osebno po ZUP);
- … (osebno po ZUP).
[1] Direktiva (EU) 2016/680 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov, ki jih pristojni organi obdelujejo za namene preprečevanja, preiskovanja, odkrivanja ali pregona kaznivih dejanj ali izvrševanja kazenskih sankcij, in o prostem pretoku takih podatkov ter o razveljavitvi Okvirnega sklepa Sveta 2008/977/PNZ.
