Kljub večkratnim opozorilom pristojnih inštitucij in lastnemu priznanju policije, da je takšno početje neustavno in nezakonito, nekateri policisti do podatkov o bralcih spletnih portalov še kar poskušajo priti mimo odločbe sodišča, je razvidno iz policijskega zaprosila, ki so nam ga posredovali s časnika Finance.

»Na podlagi 148. člena zakona o kazenskem postopku in 115. člena zakona o nalogah in pooblastilih policije vas naprošamo, da nam pošljete vse podatke, s katerimi razpolagate, o uporabniškem imenu [uporabniško ime smo zaradi varovanja zasebnosti komentatorja zabrisali], ki je na forumu Financ komentiral objave od dne 9. 2. 2015 do 11. 2. 2015,« je zahteva policistke Anje Vajda, ki so jo na časniku Finance dobili 2. novembra letos. A takšno zbiranje podatkov na podlagi volje posameznega policista prepoveduje ustava. Ta namreč v 37. členu zagotavlja tajnost pisem in drugih občil, policija pa lahko do podatkov o bralcih portalov po ustavi dostopa le z odločbo sodišča.

S časnika Finance so podcrto.si obvestili, da zahtevanih podatkov policiji niso posredovali.

Dolga zgodovina protiustavnega delovanja

Zaprosilo časniku Finance ni prvi primer neustavnega delovanja policije pri pridobivanju podatkov o bralcih spletnih portalov. Že januarja lani smo v sodelovanju s spletnim medijem Slo-tech razkrili ugotovitve informacijskega pooblaščenca, ki so decembra 2013 pokazale na sistemsko neustavno delovanje policije pri pridobivanju podatkov. Po ugotovitvah informacijskega pooblaščenca je policija le v letu 2012 za podatke o bralcih portalov mimo sodišča zaprosila kar 31-krat. V 23 primerih pa so upravljavci portalov v nasprotju z ustavo in zakonom policiji zahtevane podatke tudi posredovali. Med portali, ki so podatke posredovali, so bili tudi 24ur.com, politikis.si, bolha.com, izklop.com, med.over.net in dnevnik.si.

Policija je kot podlago za svoje zahteve največkrat navajala zakon o kazenskem postopku in zakon o nalogah in pooblastilih policije. Toda, kot je takrat poudaril informacijski pooblaščenec, ta dva zakona pridobivanja podatkov o bralcih ne urejata. Ureja pa ga zakon o elektronskem poslovanju na trgu, ki v osmem členu pravi:

Ponudniki storitev morajo vsem pristojnim organom na njihovo zahtevo najkasneje v roku treh dni od njenega prejema sporočiti podatke, na podlagi katerih je mogoče identificirati prejemnike njihove storitve (ime in priimek, naslov, firma, elektronski naslov). Navedene podatke morajo ponudniki storitev sporočiti zaradi odkrivanja in preprečevanja kaznivih dejanj na podlagi odredbe sodišča, brez odredbe sodišča pa, če tako določa področni zakon.

Drug zakon, ki bi urejal pridobivanje podatkov mimo odredbe sodišča, po mnenju informacijskega pooblaščenca ne obstaja. Razlog za to je 37. člen ustave, ki določa: »Zagotovljena je tajnost pisem in drugih občil. Samo zakon lahko predpiše, da se na podlagi odločbe sodišča za določen čas ne upošteva varstva tajnosti pisem in drugih občil in nedotakljivost človekove zasebnosti, če je to nujno za uvedbo ali potek kazenskega postopka ali za varnost države.« Ker gre pri posredovanju podatkov o bralcih portalov za posredovanje komunikacijskih podatkov, 37. člen ustave izrecno prepoveduje pridobivanje teh podatkov brez sodne odločbe.

Brez posledic za kršitelje

Na podlagi ugotovitev informacijskega pooblaščenca so vodilni v policiji že decembra 2013 vsem policistom podatke o bralcih portalov prepovedali pridobivati brez sodnih odločb. A štiri mesece pozneje, aprila lani, smo na podcrto.si v sodelovanju s Slo-techom razkrili še dva poskusa pridobivanja podatkov mimo sodišč. Policijski postaji Idrija in Velenje sta na ta način želeli pridobiti podatke od portala radia Primorski val in enega izmed velenjskih medijev.

Na podlagi naših razkritij je policija uvedla interni nadzor, ki je potrdil nepravilnosti. Takratni generalni direktor policije Veniger je vodstvoma policijskih postaj Idrija in Velenje še odredil, da »ugotovijo osebno odgovornost posameznikov in ustrezno ukrepajo«.

Policija je nato ugotovila, da gre pri neustavnem delovanju pridobivanja podatkov o bralcih portalov za »lažjo disciplinsko kršitev«. Kazen za odgovorne pa je bil razgovor z nadrejenim.

Stvari policiji ušle iz rok

Zadnje zaprosilo časniku Finance pa kaže, da se v policiji kljub večkratnim ugotovljenim kršitvam in izvedenem notranjim nadzorom prakse neustavnega pridobivanja podatkov še kar ponavljajo. Zato se postavlja vprašanje, ali so stvari policiji na tem področju ušle iz rok.

Z vprašanjem, zakaj so želeli podatke od Financ pridobiti mimo sodišča, smo se obrnili tudi na policijo. Njihov odgovor je dvoumen:

Policisti PP Ljubljana Bežigrad dejansko preiskujejo kaznivo dejanje zlorabe osebnih podatkov po 143. členu Kazenskega zakonika, ki ga je osumljen do sedaj še neznani storilec. Policisti so pri preiskavi kaznivega dejanja s ciljem izsleditve storilca pravno osebo Finance, d. o. o., kot skrbnika foruma, na katerem so se pojavljali komentarji, želeli zaprositi za podatke o uporabniškem imenu, s katerim se je predstavljal domnevni storilec kaznivega dejanja, torej naročniške podatke in ne prometnih podatkov.

Pri navedenem zaprosilu so policisti upoštevali odločbo in mnenje Informacijskega pooblaščenca št. 0712-1/2015/1022 z dne 9. 4. 2015, na podlagi katere sme policija, če gre za kaznivo dejanje, za katerega se storilec preganja po uradni dolžnosti,  zahtevati posredovanje nekaterih podatkov (zlasti naročniških, ne pa tudi prometnih podatkov) že na podlagi svoje pisne zahteve, podane po določbah Zakona o nalogah in pooblastilih policije in Zakona o kazenskem postopku.

Policija se torej izgovarja na dejstvo, da lahko naročniške podatke o bralcih portalov pridobiva le s pisno zahtevo, tako imenovane prometne podatke, ki so vezani na komunikacijo bralcev s portali, pa le z odločbo sodišča. Prometni podatki so v tem primeru predvsem IP-naslov bralca spletnega portala.

A resničnost razlage policije je dvomljiva. Policija namreč v zahtevi časniku Finance (link) ne sprašuje le po naročniških podatkih, temveč  vseh podatkih o uporabniškem imenu, s katerimi Finance razpolagajo. Torej tudi po podatkih o IP-naslovu komentatorja na portalu.

Obenem si lahko policija le z naročniškimi podatki o komentatorju pogosto kaj malo pomaga. Komentator lahko namreč ob registraciji vpiše lažno ime in priimek ter ostale zahtevane podatke. Zato je edini način za identifikacijo komentatorja pridobitev IP-naslova komentatorja, prek katerega lahko nato policija ugotovi lastnika internetnega priključka. IP-naslov pa lahko, kot rečeno, policija pridobi le z odločbo sodišča.

Da je policija ciljala prav na pridobitev IP-naslova, pa daje slutiti tudi drugi del odgovora policije:

Finance, d. o. o.,  so po elektronski pošti 3. 11. 2015 zavrnile zaprosilo PP Ljubljana Bežigrad, zato so policisti 6. 11. 2015 na okrožno državno tožilstvo Ljubljana podali pobudo, da se predlaga preiskovalnemu sodniku OS Ljubljana izdaja odredbe, s katero se bo navedeni pravni osebi odredilo, da pristojnemu organu poleg podatkov o uporabniškem imenu, torej podatkov o naročniku, sporoči še prometne podatke.

Informacijski pooblaščenec: trditve policije so neresnične

Policijsko zaprosilo Financam je nedopustno tudi po mnenju informacijskega pooblaščenca, meni namestnik pooblaščenke Andrej Tomšič:

Informacijski pooblaščenec z zaskrbljenostjo ugotavlja, da se ponavlja praksa policije, da ponovno zahteva podatke o IP-naslovih od ponudnikov spletnih vsebin brez sodnih odredb, čeprav je bila na spornost takšne prakse izrecno opozorjena s poročilom Informacijskega pooblaščenca in je bila takšna praksa tudi predmet notranjega nadzora na policiji.

Takšna praksa nima opore niti v mnenju Informacijskega pooblaščenca, ki ga navaja policija. Prav nasprotno. Navedena praksa je namreč v nasprotju z določbami 4. odstavka 8. člena Zakona o elektronskem poslovanju (ZEPT), ki določa, da morajo ponudniki storitev podatke, na podlagi katerih je mogoče identificirati prejemnike njihove storitve (ime in priimek, naslov, firma, elektronski naslov) sporočiti zaradi odkrivanja in preprečevanja kaznivih dejanj na podlagi odredbe sodišča. Tolmačenje, da gre pri tem za zahtevo po naročniških podatkih in ne za podatke o prometu, je nepravilno – IP-naslov se pri ponudnikih vsebin na spletu zabeleži pri vsaki posamezni komunikaciji kot podatek o prometu in ne gre za naročniške podatke. Zakonitost pridobivanja podatkov v predkazenskem in kazenskem postopku bi morala biti temeljno vodilo policije, zato z zaskrbljenostjo opažamo ponovna odstopanja in izogibanje sodni presoji, ki jo za poseg v komunikacijsko zasebnost zahteva 37. člen Ustave RS.

Zanimivo je tudi, da je policija od Financ podatke o februarskih komentarjih na forumu zahtevala šele ta mesec. Kot so zapisali, si bo policija prizadevala dobiti tudi IP-naslov komentatorja. Pa lahko Finance občutljiv podatek, kot je IP-naslov, sploh hranijo tako dolgo?

Podatkov o IP-naslovih upravljavci spletnih strani sploh niso dolžni hraniti, pojasnjuje Tomšič. »Glede na določbe Zakona o varstvu osebnih podatkov bi upoštevaje načelo sorazmernosti in namenskosti lahko podatke hranili zgolj tako dolgo, kot je to potrebno zaradi doseganja lastnih legitimnih in zakonitih ciljev – ne pa na zalogo in zaradi morebitnih ciljev tretjih oseb, kot so organi pregona ali odvetniki.«

Za mnenje o policijskem zaprosilu smo vprašali tudi ustavnega pravnika Andraža Terška, profesorja Univerze na Primorskem. Kot je zapisal v odgovoru, dejanja policije govorijo sama zase. »Nimam kaj filozofirati. Policija nadaljuje s kršitvami, motivacija za to pa je nekaznovanost za te kršitve. Enkrat se jim bo zgodilo, da bodo protiustavno izsledili nekega težkega kriminalca in bo zadeva zaradi tega padla na sodišču. Takrat bo v njihovih očeh glavni krivec ustava in ne oni sami.«

Nezakonito ali neustavno pridobljenih dokazov, kamor spada tudi pridobitev IP-naslova mimo sodišča, policija namreč ne sme uporabiti v sodnem postopku.

Dokument – policijsko zaprosilo časniku Finance