Obdelava biometričnih OP

Datum

21.06.2023

Številka

07121-1/2023/838

Kategorije

Biometrija

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave biometričnih osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da v kolikor se obdelava biometričnih podatkov, ki jo izvaja vaša družba in je bila vzpostavljena na podlagi določb ZVISJV-1, ne bo v ničemer spremenila oziroma se bo še naprej izvajala kot doslej, za vašo družbo ne obstaja obveznost posredovanja opisa že obstoječih obdelav IP kot nadzornemu organu, (dodatnega) pisnega obveščanja posameznikov in izvedbe predhodnega posvetovanja z zaposlenimi.

Obrazložitev

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali drugem upravnem postopku. Odgovornost za zakonito in pošteno obdelavo osebnih podatkov je na samem upravljavcu osebnih podatkov.

IP pojasnjuje, da Zakon o varstvu pred ionizirajočimi sevanji in jedrski varnosti (Uradni list RS, št. Uradni list RS, št. 76/17, 26/19, 172/21, 18/23 – ZDU-1O; v nadaljevanju: ZVISJV-1) v petem odstavku 148. člena določa, da mora upravljavec objekta iz prvega odstavka 144. člena tega zakona zaradi zagotavljanja varnosti preprečiti nenadzorovan dostop do objekta in jedrskih ali radioaktivnih snovi. Za nadzor dostopa do objekta in jedrskih ali radioaktivnih snovi lahko upravljavec uporabi tehnična sredstva za registracijo vstopa in tehničnega varovanja in izvaja druge ustrezne ukrepe iz načrta fizičnega varovanja. Če gre za jedrski objekt, upravljavec za nadzor dostopa uporabi sisteme tehničnega varovanja ali tehnična sredstva, kot so sistemi za nadzor vstopa in izstopa, videonadzor, naprave in sredstva za protibombni pregled oseb, prtljage, tovora in prevoznih sredstev, sistemi protivlomnega varovanja, biometrične naprave za vstop in izstop, senzorski sistemi, sistemi fizičnih preprek, sredstva za nadzor pristopnih in komunikacijskih poti, in izvaja druge ustrezne ukrepe fizičnega varovanja. Upravljavec objekta podatke, pridobljene z biometričnim nadzorom, hrani pet let po zadnjem izstopu osebe, potem jih uniči.

ZVISJV-1 torej daje pravno podlago za obdelavo biometričnih osebnih podatkov. IP meni, da v kolikor se obdelava biometričnih podatkov, ki jo izvaja vaša družba in je bila vzpostavljena na podlagi določb ZVISJV-1, ne bo v ničemer spremenila oziroma se bo še naprej izvajala kot doslej, za vašo družbo ne obstaja obveznost posredovanja opisa že obstoječih obdelav IP kot nadzornemu organu, (dodatnega) pisnega obveščanja posameznikov in izvedbe predhodnega posvetovanja z zaposlenimi.

Ob tem IP dodaja, da drugi odstavek 81. člena ZVOP-2 določa, da če drug zakon določa obdelavo biometričnih osebnih podatkov, poleg vsebin iz drugega ali tretjega odstavka 6. člena tega zakona določi tudi pogoje za njeno uporabo, lahko pa uporabo biometričnih osebnih podatkov tudi omeji. Drugi odstavek 6. člena ZVOP-2 določa, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

Lepo vas pozdravljamo,

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka