Informacijska pooblaščenka Mojca Prelesnik je že skoraj od začetka epidemije na bojni nogi z vlado. Marca 2020 je vlada predlagala zakon, ki bi policiji omogočil sledenje mobilnih telefonov in s tem gibanja državljanov ter prepoznavo oseb po fotografijah, hkrati pa tudi razširjene možnosti vstopa v tuje stanovanje. Epidemija ne sme biti razlog za ukinitev ustavnih pravic, je bila že takrat jasna.

Vladi očita predvsem nejasno odrejene ukrepe, ki niso pospremljeni z jasnimi informacijami, kaj konkretno se od zavezancev sploh pričakuje in kakšne so njihove obveznosti.

"Ne gre za en sam problematičen odlok, ampak za pogost pojav, ki smo mu priča vedno znova," opozarja. Prav nasprotno pa menijo predsednik vlade Janez Janša in številni ministri v njegovi vladi. "Škodi, kjer le more," je pred časom zapisal Janša, notranji minister Aleš Hojs pa jo je obtožil, da ji ni mar za življenja.

Že dobro leto in pol se spopadamo z epidemijo covida-19. V tem času je vlada sprejela veliko odlokov, do katerih ste bili kritični. Kateri je bil po vašem mnenju najbolj sporen in zakaj?

Težko je izmed številnih in hitro spreminjajočih se odlokov izpostaviti zgolj enega. Ko gre za varstvo osebnih podatkov, je glavna težava, vedno znova, da se obdelave osebnih podatkov - in to celo v zvezi z zdravjem - odrejajo s podzakonskimi akti, da torej o posegih v zasebnost ne odloča zakonodajalec, kot zahteva naša ustava, ampak izvršilna veja oblasti. To pomeni, da o teh odločitvah ni ustrezne javne in strokovne razprave, da so lahko predmet hipnega političnega odločanja. V slovenski ustavi je že 30 let z razlogom zapisana temeljna zahteva, da mora o posegih v zasebnost presojati zakonodajni organ, torej državni zbor. Zato je Informacijski pooblaščenec (IP) v inšpekcijskem postopku, ki ga vodimo, tudi vložil zahtevo za oceno ustavnosti odlokov in jih v tem delu predal v presojo Ustavnemu sodišču.

Pravnica, ki se je kalila tudi kot generalna sekretarka Državnega zbora, je od leta 2005 do 2008 delovala kot namestnica Informacijske pooblaščenke, leta 2014 pa je bila imenovana kot Informacijska pooblaščenka, kjer deluje že sedmo leto zapored.

Sicer pa pri Informacijskem pooblaščencu opažamo zlasti tri med seboj povezane probleme, ki tako posameznikom, kot tudi podjetjem in drugim organizacijam otežujejo učinkovito delovanje v prizadevanjih za obvladovanje virusa. V prvi vrsti gre za nejasno odrejene ukrepe, ki niso pospremljeni z jasnimi informacijami, kaj konkretno se od zavezancev pričakuje in kaj konkretno so sploh njihove obveznosti. Pri tem ne gre za en sam problematičen odlok, ampak za pogost pojav, ki smo mu priča vedno znova že več kot leto in pol. Drug segment težav so slabo koordinirane in pogosto nasprotujoče si izjave različnih govorcev - predstavnikov oblasti o tem, kaj naj bi posamezni odloki ali drugi predpisi odrejali. Tretji del, ki se prepleta z vsem, pa je hitro spreminjanje predpisov.

Kakšne težave se zato pojavljajo v praksi?

Odloki, ki določajo ključne ukrepe, se spreminjajo tedensko, celo dnevno, a velikokrat ni jasno, kaj točno zahtevajo. Kako naj neko podjetje, obremenjeno z vsemi zahtevami svojih poslovnih partnerjev oziroma strank, poleg vsega še hitro odreagira na vse zahteve tako nejasnih predpisov? Iz istega razloga pa tudi ljudje občutijo nezaupanje, negotovost ter jezo zaradi ukrepov, s katerimi se korenito posega v njihove ustavne pravice. Da gre za utemeljene skrbi, potrjujejo številne vložene zahteve za oceno ustavnosti odlokov kot tudi že sprejete odločitve Ustavnega sodišča, ki je nekatere že prepoznalo kot neustavne. To pa je v tako zahtevnih časih najslabše, kar se družbi lahko zgodi, da torej posamezniki ne zaupajo več v legitimnost, zakonitost in ustreznost odločitev odločevalcev.

Zakaj so spisani akti tolikokrat v nasprotju z zakonodajo?

Foto: Saša Despot Mojca Prelesnik To vprašanje bi moral vsekakor sam sebi zastaviti predlagatelj predpisov, torej vlada. Informacijski pooblaščenec lahko le opozarja na posamezne težave in daje priporočila, saj se slabi predpisi odražajo v življenju vseh. Kot nadzorni organ za varstvo osebnih podatkov in pritožbeni organ za področje dostopa do informacij javnega značaja, lahko tako vodimo inšpekcijske postopke in odločamo o pritožbah na drugi stopnji, nismo pa ne predlagatelj predpisov ne zakonodajalec. V rokah vlade in državnega zbora je glavna odgovornost za snovanje in sprejem ustavno skladnih zakonov za izvajanje ukrepov, ki bodo učinkoviti in bodo dosegli želene cilje. Pri tem pa seveda tudi vlada, glede na načelo delitve oblasti, ne more izvajati pristojnosti državnega zbora, vladni odlok tako ne more nadomestiti zakona.

Zdi se, da vas je vlada določila za "grešnega kozla", predsednik vlade vam je očital, da "škodite, kjer le morete". Kako odgovarjate na očitke?

IP je nadzorni organ na področju varstva osebnih podatkov. Opravljamo svoje delo, tako kot to počnejo vsi drugi nadzorni organi v državah EU in tudi drugod po svetu. Svet Evrope je na primer v svojem poročilu že oktobra 2020, ko so analizirali različne pristope posameznih držav v iskanju digitalnih rešitev uporabe aplikacij za ukrepanje v zvezi z epidemijo, opozoril, kako pomembno je, da so ti ukrepi skladni s standardi varstva temeljnih pravic, z nacionalnimi ustavami in sprejeti z ustreznimi zakonskimi predpisi. Povsem enako ves čas opozarja tudi Evropski odbor za varstvo podatkov. Svet Evrope je priporočil državam, naj pri snovanju tovrstnih ukrepov sodelujejo z nadzornimi organi, se z njimi posvetujejo. Razlika je v tem, da oblasti v številnih drugih državah tovrstnim priporočilom prisluhnejo, pripravijo ustrezne predpise in skušajo ukrepe izvajati na način, ki upošteva pravico do zasebnosti.

Pripisovanje odgovornosti za neuspeh soočanja z epidemijo nadzornemu organu je, enako kot Ustavnemu sodišču, medijem in vsem drugim, razen sami vladi, težko razumljivo in gre le za odvračanje pozornosti od resničnih problemov, s katerimi se Slovenija sooča pri ukrepanju glede epidemije. Nedvomno gre za nedopustne pritiske, na kar smo že junija opozarjali štirje neodvisni državni organi, ti pritiski pa se ob neuspešnem spoprijemanju z epidemijo samo še stopnjujejo.

V veljavo je stopilo tudi razširjeno preverjanje pogoja PCT. Kakšno je stališče IP na tem področju? Kakšne težave nastajajo v praksi?

Delokrog IP so osebni podatki, zato ne moremo in ne smemo komentirati drugih težav, ki nastajajo pri preverjanju PCT pogojev v praksi. Vsekakor pa se je s temi vprašanji treba obračati na ministrstvo za zdravje in zdravstveni inšpektorat, ki izvajanje teh ukrepov nadzira. Vseeno pa lahko rečem, da je problem predvsem v nedorečenosti ukrepov in pomanjkanju navodil, kako jih sploh izvajati in seveda nato tudi nadzirati njihovo uresničevanje.

Ali bi bilo smiselno, da bi se vlada pred sprejemanjem določenih zakonov oziroma odlokov z IP posvetovala o njihovi ustreznosti? So to katere vlade doslej sploh počele?

Vsekakor bi bilo to smiselno, to tudi ves čas ponavljamo. Pa ne le z Informacijskim pooblaščencem, oblasti morajo poskrbeti za ustrezno posvetovanje zlasti s pravno in zdravstveno stroko ter s civilno družbo. Samo tako so zakonski predlogi nasploh lahko optimalni in učinkoviti. Gre za iskanje krhkega ravnovesja pri poseganju v številne temeljne pravice, ne le v pravico do zasebnosti. Zato je tako pomembno, da so taki posegi urejeni z zakoni, sprejetimi v državnem zboru, in ne s podzakonskimi akti, ki jih vlada dnevno spreminja. Ukrepi v zvezi z epidemijo namreč po naravi stvari resno posegajo v naše pravice in jih brez zaupanja, razumevanja in sprejemanja širše javnosti ni mogoče učinkovito izvajati. Prav to namreč izhaja tudi iz številnih zaprosil za mnenje in prijav kršitev, ki jih dnevno prejema Informacijski pooblaščenec.

Foto: Saša Despot Mojca Prelesnik
To bi lahko storil tudi NIJZ, ste zapisali, ob izdelavi aplikacije za preverjanje pogoja PCT. "Celotna EU ima podobno aplikacijo, le v Sloveniji nastajajo težave", je takrat izjavil direktor Nacionalnega inštituta za javno zdravje (NIJZ) Milan Krek. Kaj je razlog – imamo v Sloveniji tako strogo zakonodajo ali smo zgolj neučinkoviti pri izvedbi?

Ne gre za vprašanje same aplikacije in tega, kako deluje ter kateri podatki se obdelujejo, temveč za vprašanje ustrezne pravne podlage, na kateri se taka aplikacija sploh sme vzpostaviti in kdo jo lahko odredi. Aplikacija temelji na uporabi EU COVID potrdila, ki se lahko glede na zakonodajo EU uporablja za en sam namen, to je za svobodno gibanje med državami članicami EU, torej za prehod meje. Uporaba potrdila tudi za druge namene, na primer za dostop do raznih storitev in prostorov, je zato brez predhodno sprejete nacionalne zakonodaje, ki bi tako uporabo potrdila dovolila, nezakonita.

Kako so to uredile druge države?

Države članice EU, ki EU COVID potrdilo uporabljajo tudi za te druge namene, so sprejele ustrezne nacionalne predpise; kakšna je narava teh predpisov, je odvisno od ustavnopravne ureditve v posamezni državi članici. V Sloveniji je glede na 38. člen Ustave vsako obdelavo osebnih podatkov dopustno določati le z zakonom. Vlada pa to ureja z odloki, torej podzakonskimi akti, ki se obenem spreminjajo na tedenski oziroma celo dnevni ravni. Tudi zato ne morejo zagotoviti pravne varnosti in predvidljivosti, ki sta poleg spoštovanja načela sorazmernosti ena od bistvenih elementov zakonitih posegov v človekove pravice. Pri tem želim jasno izpostaviti, da vsekakor razumem epidemiološko situacijo v Sloveniji in nujnost sprejemanja ukrepov za zajezitev širjenja virusa, ampak Ustavo in zakone je še vedno treba spoštovati, sicer bi lahko vlade sveta namesto parlamentov sprejemale zakone, namesto sodišč pa sodile. IP je vprašanje ustreznosti odlokov, ki določajo obdelavo osebnih podatkov pri izkazovanju in preverjanju PCT pogojev, zato prepustil v presojo Ustavnemu sodišču, saj druge zakonite možnosti ni imel.

Skrbi vas tudi predlog širjenja policijskih pooblastil. Zakaj? Kaj se vam zdi najbolj problematično?

Med najbolj zaskrbljujočimi predlogi so izvajanje stalnega video in avdio nadzora nekaterih javnih površin in dodatne širitve obdelave biometričnih podatkov pri ugotavljanju identitete in identifikacije. Zaskrbljujoč je tudi neposreden elektronski dostop policije do širokega in neopredeljenega nabora evidenc in pomanjkljiva ureditev avtomatiziranega preverjanja registrskih tablic v javnem prometu, pa tudi nejasen stalen poimenski nadzor obdelav osebnih podatkov določenih varovanih oseb v zbirkah javnega sektorja in s tem posredno možnost stalnega nadzora policije nad državnimi organi - upravljavci teh zbirk. Do državljanov je izrazito neprijazna in zavajajoča ukinitev obveznosti policista, da posameznike ob zbiranju obvestil poučijo o tem, da policiji informacije dajejo prostovoljno in ne po dolžnosti, neustrezno pa je pa tudi krčenje možnosti anonimnosti pri podaji obvestil. Povsem nesorazmerna je tudi širitev uporabe brezpilotnih letalnikov oziroma dronov za zbiranje osebnih podatkov tudi za preventivne in nadzorne namene, res si kot državljanka ne želim tovrstnega stalnega in množičnega nadzora.

Kako se je končal postopek glede preverjanja postopka sekcijskega merjenja hitrosti, ki je bil uveden pred meseci?

Postopek, ki ga IP vodi zoper Mestno občino Kranj in kjer preverja zakonitost obdelave osebnih podatkov pri izvajanju sekcijskega merjenja hitrosti z ANPR kamerami, še ni zaključen, zato podrobnosti še ne morem komentirati. Sta pa bila v okviru postopka že izvedena dva inšpekcijska ogleda, in sicer na Mestni občini Kranj in na Telekomu, ki zagotavlja informacijsko opremo.

Ali vsebinsko nasprotujete elektronskemu nadzoru na cestah ali imate pomisleke le zaradi izvedbe? Če bi sistematično preverjali vse registrske tablice, bi lahko na primer hitro izločili vse neregistrirane avte, našli avtomobile, ki so iskani, ki imajo ukradene tablice in podobno?

Foto: Saša Despot Mojca Prelesnik Informacijski pooblaščenec ne nasprotuje policiji, niti ne nasprotuje določenim sorazmernim oblikam nadzora. IP ima denimo v primeru avtomatiziranega preverjanja registrskih tablic pomisleke zlasti zaradi pomanjkljivih zakonskih določb, ki tak nadzor omogočajo in ki ne vsebujejo ustreznih varovalk za zagotavljanje sorazmernosti in preprečevanje tveganj zlorab. Vedno se je treba zavedati, da obstajajo apetiti po stalnem nadzoru vseh, s katerim bi polovili vse kršitelje. Treba pa se je vprašati, ali si tega res želimo. Vsak nadzor namreč pomeni tudi nevarnost zlorabe sicer morda dobronamernega ukrepa. Si res želimo živeti v družbi, kjer bi lahko vsak policist, ki izvaja cestno kontrolo, neomejeno izvajal nadzor vseh brez kakršnihkoli omejitev? Si želimo policijo, ki bi brez odločitev parlamenta sama izbirala, katere tehnologije bo izmed vseh, ki so na voljo, uporabljala vsak dan in nad vsemi posamezniki, tudi zgolj za preventivne namene? V vseh poklicih so primeri kršitev in tudi policisti so ljudje. Zato morajo biti policijska pooblastila, tako kot pooblastila vseh državnih organov, ustrezno omejena, jasno določena z zakonom, sicer se zlahka obrnejo proti posamezniku, ki naj bi ga prav policija varovala. V družbi, kjer bi bil posameznik prepuščen zgolj vsakokratni dobri volji in poštenosti posameznega policista brez drugih zakonskih varovalk, bi se kmalu lahko vsakdo znašel v hudih težavah, tudi sami policisti.

"Si res želimo živeti v družbi, kjer bi lahko vsak policist, ki izvaja cestno kontrolo, neomejeno izvajal nadzor vseh brez kakršnihkoli omejitev? Si želimo policijo, ki bi brez odločitev parlamenta sama izbirala, katere tehnologije bo izmed vseh, ki so na voljo, uporabljala vsak dan in nad vsemi posamezniki, tudi zgolj za preventivne namene?"

Svoje osebne podatke v zadnjih letih praktično na pladnju dajemo spletnim velikanom, kot so Facebook, Google, Twitter, Instagram in drugi. Kakšno je vaše mnenje o tem, bi morali bolje ščititi svoje osebne podatke?

Velike tehnološke platforme, globalno najuspešnejše korporacije tega desetletja, so postale zlite z našim vsakdanjim življenjem. Uporabljamo jih v zasebne in službene namene, kar se je še posebej in z vso močjo izkazalo v pandemiji, ko je tako potekalo tudi šolanje, nakupovanje in druženje. Najpogosteje jih uporabljamo brezplačno, saj njihov poslovni model temelji na monetizaciji podatkov uporabnikov preko oglaševalskega sistema. Podatke o tem, kaj objavljamo, kje uporabljamo njihove storitve, kaj iščemo, itd. ta podjetja analizirajo, potem pa nas profilirajo in nam prikazujejo oglase za stvari, ki naj bi nas zanimale. Ali pa te podatke prodajo naprej drugim oglaševalskim podjetjem, da nam ta prikazujejo oglase širom interneta. Rezultat so nam prilagojene vsebine, bolj relevantni zadetki v spletnih trgovinah, lažje povezovanje in iskanje informacij, prihranek časa in denarja, a obenem tudi veliko večje možnosti diskriminacije in družbene segregacije ter zapiranje možnosti, ki so nekomu na voljo izven njegovega zabeleženega in predvidenega profila.

Kaj pa se dogaja z našimi podatki?

Od naših podatkov imajo največ velike tehnološke platforme, to je najbolj rastoča industrija, ki dobičke žal kuje predvsem na nas uporabnikih, ki pa pravzaprav nimamo več izbire – ne moremo se skriti nazaj v analogni svet, saj niti osnovnih opravkov najpogosteje ne moremo več opravljati brez tehnoloških platform. Prav zato je nujno potrebno, da obstajajo jasna pravila, ki tehnološke velikane omejujejo pri tem, kaj lahko počnejo z našimi podatki. V EU zato že imamo Splošno uredbo o varstvu podatkov in nadzorne organe, ki lahko izvajajo nadzor na tem področju. Zato je tudi pomembno, da se vloga državnih nadzornih organov krepi, da oblasti poznajo njihov pomen in vrednost. Prav toliko pa je pomembno tudi ozaveščanje javnosti, da postanemo glede svojih podatkov bolj previdni, da zahtevamo več zasebnosti prijaznih praks. Če bomo uporabniki, tako poslovni kot zasebni, bolj zahtevni in ne bomo želeli uporabljati storitev, ki ne skrbijo ustrezno za naše podatke, bo to dodaten pritisk na tehnološke velikane, da bodo začeli spreminjati svoje poslovne modele.

Kaj pravi zakonodaja, ali te korporacije sodijo že v sivo cono, kar se obdelave podatkov tiče?

V EU obdelavo podatkov uporabnikov ureja zakonodaja o varstvu osebnih podatkov in zasebnosti v elektronskih komunikacijah, ki omejuje, kaj se s podatki uporabnikov sme početi, kdaj so potrebne privolitve in kako morajo podjetja podatke varovati pred zlorabami. Vzpostavljena je mreža nadzornih organov za varstvo osebnih podatkov, katere del je tudi Informacijski pooblaščenec, Splošna uredba pa nam daje možnost formalnega sodelovanja v inšpekcijskih postopkih pri čezmejnih podjetjih. Večina velikih tehnoloških podjetij ima svoje EU sedeže na Irskem, pa tudi na Nizozemskem in v Belgiji, in morajo spoštovati relativno strogo zakonodajo. Trenutno so na primer v teku postopki nadzora zoper praktično vsa velika tehnološka podjetja, tudi glede njihovih praks profiliranja in uporabe podatkov za namene oglaševanja. Veliko je primerov, kjer gre za sume kršitve zakonodaje o varstvu osebnih podatkov, in jih že preiskujejo različni organi v EU. Treba pa je opozoriti, da le akcija na področju varstva osebnih podatkov ne rešuje problematike, saj so tehnološki velikani  problematični tudi z vidika varovanja konkurence, zasedajo praktično monopolne položaje in se jim posamezniki v vsakodnevnem življenju ne moremo izogniti. Tudi na davčnem področju se napovedujejo spremembe glede njihove obdavčitve. Poleg tega pa vemo, da je pravo vedno korak za razvojem tehnologije in potrebni so tudi etični premisleki o tem, kako daleč bomo dovolili družbi komercialnega nadzora.

Od naših podatkov imajo največ velike tehnološke platforme, to je najbolj rastoča industrija, ki dobičke žal kuje predvsem na nas uporabnikih, ki pa pravzaprav nimamo več izbire – ne moremo se skriti nazaj v analogni svet, saj niti osnovnih opravkov najpogosteje ne moremo več opravljati brez tehnoloških platform.

S kakšnimi primeri ste se sicer največ ukvarjali v tekočem letu, kateri so bili najbolj zanimivi?

Prijave, ki jih je IP obravnaval v tekočem letu, so se že tradicionalno najpogosteje nanašale na posredovanje osebnih podatkov neupravičenim osebam, na uporabo osebnih podatkov za namene neposrednega trženja, izvajanje videonadzora, nezakonito ali prekomerno zbiranje osebnih podatkov, nezakonite vpoglede v zbirke osebnih podatkov ter na neustrezno zagotavljanje varnosti osebnih podatkov. V inšpekcijskih postopkih ugotavljamo, da so nepravilnosti ali pomanjkljivosti v veliki meri predvsem posledica nepoznavanja oz. nerazumevanja zakonodaje, ne pa toliko namernih kršitev. Seveda pa so bile prijave v letošnjem letu zaznamovane predvsem s sumi nezakonite obdelave osebnih podatkov, ki jih predvidevajo razni ukrepi v boju zoper širjenje bolezni COVID-19 – npr. v zvezi z aplikacijo #Ostanizdrav, zbiranjem osebnih podatkov na portalu eUprava v zvezi z izražanjem interesa za cepljenje, merjenjem telesne temperature ob vstopih v prostore, in seveda v zvezi s trenutno najbolj aktualno obdelavo osebnih podatkov pri izkazovanju in preverjanju PCT pogojev.

Na področju sodelovanja v čezmejnih primerih zoper velika tehnološka podjetja pa bi morda omenila nedavno odločitev nadzornih organov za varstvo podatkov v EU zoper WhatsApp, kjer je bilo ugotovljeno, da WhatsApp ni ustrezno obveščal svojih uporabnikov o tem, kaj se bo z njihovimi podatki dogajalo, zakaj in kako bodo uporabljani. V postopku čezmejnega sodelovanja je bilo tudi ugotovljeno, da mora globa zaradi ugotovljenih prekrškov po Splošni uredbi ustrezati resnosti prekrška in biti odvračalna in tako je vodilni irski nadzorni oran WhatsApp naložil popravo svojih praks pri obveščanju ter izrekel globo v višini 225 milijonov evrov.

nina.sprohar@styria-media.si