Ustavno sodišče prepovedalo uporabo lovilcev IMSI

Ustavno sodišče je razveljavilo 150.a člen Zakona o kazenskem postopku, ki je policiji na podlagi sodne odredbe dovoljeval uporabo lovilca IMSI in pregledovanje tako zbranih podatkov. Člen se vse od sprejetja leta 2019 ni uporabljal, ker je ustavno sodišče kmalu po vložitvi zahteve za presojo ustavnosti od SDS in Levice njegovo izvajanje zadržalo. Sedaj je zakonski člen razveljavljen.

Lovilci IMSI so lažne bazne postaje, ki na določeni točki preglasijo signale legitimnih baznih postaj. Telefoni, ki so v bližini, se bodo zato raje povezali na lovilec IMSI. Policija lahko tako ugotovi, kateri telefon in kartico SIM uporabljajo osumljenci. A na isti lovilec IMSI se povežejo tudi telefoni vseh ostalih ljudi v okolici, ki niso osumljeni ničesar. Če bi policija lovilec postavila na več lokacijah, kjer se je gibal osumljenec, bi lahko iz preseka zbranih podatkov ugotovila, kateri telefon je njegov. To se je uporabljalo na primer pri preiskavah organiziranega kriminala, ko so osumljenci pogosto menjali telefonske aparate in uporabljali predplačniške kartice SIM. Z lovilci IMSI so policisti ugotavljali, katere telefone uporabljajo, nato pa so operaterje povprašali, kateri telefonski številki pripada številka IMSI (ali IMEI).

Sodišče je sedaj odločilo, da uporaba lovilcev IMSI posega v ustavno zagotovljeno pravico do varstva osebnih podatkov. Ko je bil zakon leta 2019 sprejet, je Policija že imela dve takšni napravi, ki pa jih legalno ni bila smela uporabljati. Kupili so jih že pred skoraj dvema desetletjema, o čemer smo na Slo-Techu že obširno pisali. Leta 2004 kupljeni lovilec IMSI so tudi uporabljali. Leta 2008 se je začelo na glas govoriti, da policija uporablja tovrstne naprave, po nerodnosti pa so leta 2013 kar sami priznali, da jih uporabljajo nezakonito. Istega leta je bil v osnutku popravka ZKP tudi lovilec IMSI, a je iz končne verzije ZKP-M izpadel. So ga pa uzakonili leta 2019 kot del ZKP-N, a je Ustavno sodišče tedaj izvajanje dotičnega člena zadržalo.

Sedaj je 150.a člen dokončno preteklost. Sodišče je ocenilo, da je prva točka prvega odstavka v neskladju z ustavo, ker presega sorazmernostno ravnovesje med težo posledic posega v zasebnost osebe, zoper katero se ukrep odredi, posledicami za tretje osebe in koristmi. Sodišče je nato razveljavilo še drugi odstavek, četrti, peti, šesti in sedmi odstavek, ker so povezani s prvim odstavkom. Sodišče je zapisalo, da je "bistvena obteževalna lastnost lovilca IMSI širok zajem podatkov, saj zbira podatke o vseh mobilnih napravah, ki so v njegovem delovnem območju. V tej lastnosti se bistveno razlikuje od do zdaj znanih in urejenih prikritih preiskovalnih ukrepov." Glavni problem je pomanjkljiv nadzor nad uporabo ukrepa, ki ga predpisuje zakon.

Čeprav smo prvi lovilec IMSI kupili že leta 2004 (GI2-GSM Identity Interrogator), drugega pa leta 2009 (NetHawk FONE) in zanju do danes odšteli prek 1,3 milijona evrov, je uporaba še vedno v glavnem prepovedana. Sodišče je obdržalo le del člena, ki dovoljuje uporabo v obratni smeri: ugotavljanje lokacije mobilnega telefona, ko Policija že pozna identifikacijsko številko.