Videonadzor vhoda v poslovno stavbo

Datum

17.04.2023

Številka

07120-1/2023/223

Kategorije

Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje v zvezi z izvajanjem videonadzora v poslovni stavbi. Pojasnjujete, da v poslovni stavbi, ki ima dva vhoda, delujete tri organizacije (vse iz javnega sektorja). Lastnik stavbe je občina, ostali dve organizaciji imata poslovne prostore v najemu. En vhod uporabljata občina in sodišče, drugega upravna enota. Videonadzor se bo izvajal na obeh vhodih. Oprema za pregledovanje posnetkov in njihovo arhiviranje se nahaja v prostorih občine, lastnika stavbe.

Zanima vas, kaj morate zagotoviti kot uporabniki prostorov, saj se bo videonadzor izvajal tudi na vašem vhodu in kaj je potrebno opredeliti pri urejanju medsebojnih razmerij z lastnikom stavbe (v njenih prostorih bo tudi oprema za pregled posnetkov).

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Predlagamo vam, da upravljavec skladno z namenom, zaradi katerega namerava uvesti videonadzor, presodi, ali so izpolnjeni pogoji za uvedbo videonadzora, npr. videonadzora dostopa v uradne službene oz. poslovne prostore po 77. členu Splošne uredbe, oz. v kolikor se snema tudi okolica (ne zgolj sam vhod v poslovne prostore), videonadzora javnih površin, ki je urejen v 80. členu ZVOP-2.

V primeru, da bo videonadzor izvajal lastnik stavbe na vseh vhodih iz zakonitih namenov in na ustrezni pravni podlagi, je kot upravljavec dolžan zagotoviti skladnost s Splošno uredbo in ZVOP-2. Če bi drugi organi sodelovali kot skupni upravljavci, je treba o tem skleniti dogovor (26. člen Splošne uredbe), v primeru pogodbene obdelave pa skleniti pogodbo o obdelavi osebnih podatkov (28. člen Splošne uredbe).

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru nezavezujočega mnenja vam lahko podamo zgolj splošna pojasnila in priporočila.

Uvodoma vas napotujemo na spletno stran IP, na kateri lahko preberete ključne informacije o izvajanju videonadzora po ZVOP-2: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/. Bistveno je, da upravljavec presodi, ali za izvajanje videonadzora obstaja primerna pravna podlaga skladno z ZVOP-2 oz. Splošno uredbo. ZVOP-2 poleg splošnih določb o videonadzoru (76. člen) ureja tudi videonadzor dostopa v uradne službene oz. poslovne prostore (77. člen), videonadzor znotraj delovnih prostorov (78. člen), videonadzor v prevoznih sredstvih, namenjenih javnemu potniškemu prometu (79. člen) in videonadzor na javnih površinah (80. člen). V vseh drugih primerih mora obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe in sicer:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Poudarjamo, da IP ni pristojen presojati o tem, kdo bi v konkretnem primeru lahko izvajal videonadzor, prav tako pa izvajanje videonadzora ne predstavlja obveznosti, ki bi bila določena v zakonu. Vsak upravljavec glede na dejanske okoliščine presodi sam, ali so izpolnjeni pogoji za uvedbo videonadzora in ali je videonadzor ustrezen ukrep za varovanje njegovih legitimnih interesov. Pojasnjujemo, da predstavlja skladno s 7. točko 4. člena Splošne uredbe »upravljavec« fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave (torej razlog za obdelavo in način obdelave). Predlagamo vam, da glede na dejanske okoliščine presodite, kateri organ nastopa kot upravljavec. Če namene in načine obdelave osebnih podatkov določate skupaj, bi lahko šlo tudi za skupne upravljavce po 26. členu Splošne uredbe. Več o upravljavcih, skupnih upravljavcih ter pogodbeni obdelavi lahko preberete v Smernicah 07/2020 o pojmih upravljavec in obdelovalec iz Splošne uredbe o varstvu podatkov, ki so dostopne na: https://edpb.europa.eu/system/files/2022-02/eppb_guidelines_202007_controllerprocessor_final_sl.pdf, ali pa v mnenjih IP, ki jih lahko poiščete s pomočjo iskalnika na www.ip-rs.si/vop.

Odvisno od konkretnih okoliščin bi lahko v opisanem primeru šlo za videonadzor dostopa v uradne službene oz. poslovne prostore (77. člen ZVOP-2), oz. v kolikor se snema tudi okolica, ne zgolj sam vhod (in gre za javno povrošino) za videonadzor javnih površin (80. členu ZVOP-2). Skladno s 77. členom ZVOP-2 lahko upravljavci videonadzornega sistema v javnem in zasebnem sektorju izvajajo videonadzor dostopa v uradne službene oziroma poslovne prostore, če je to potrebno za varnost ljudi ali premoženja, zaradi zagotavljanja nadzora vstopa v te prostore ali izstopa iz njih ali če zaradi narave dela obstaja možnost ogrožanja zaposlenih. Prepovedano je snemati dele stanovanjskih stavb, ki niso navedeni prostori in vhode v stanovanja. O izvajanju videonadzora in o obvestilu o izvajanju videonadzora (iz četrtega odstavka 76. člena ZVOP-2) morajo biti pisno obveščeni vsi zaposleni, ki opravljajo delo v nadzorovanem prostoru. Videonadzor je dovoljen, če s tem soglašajo lastniki, ki imajo v lasti več kot 70-odstotni delež skupnih delov. Določeno je tudi, katere osebne podatke lahko vsebuje zbirka osebnih podatkov po tem členu.

Videonadzor javnih površin je urejen v 80. členu ZVOP-2 in sicer je videonadzor na javnih površinah, ki so opredeljene v zakonu, ki ureja urejanje prostora, dopusten le v primerih, kadar je to potrebno zaradi obstoja resne in utemeljene nevarnosti za življenje, osebno svobodo, telo ali zdravje ljudi, varnost premoženja upravljavca ali varovanje tajnih podatkov upravljavca ali obdelovalca v prenosu in teh namenov ni mogoče doseči z drugimi sredstvi, ki manj posegajo v pravice iz prvega odstavka 1. člena ZVOP-2. Videonadzor javnih površin je dovoljen tudi za namene varovanja varovanih oseb ter posebnih objektov in okolišev objektov, ki jih varuje policija, Slovenska vojska, pristojni organi za področje varnosti države, pravosodna policija, oziroma varovanja drugih prostorov, zgradb ali območij, ki jih je treba varovati na podlagi zakona, in sicer samo v obsegu in trajanju, potrebnem za doseganje namena.

Pri izvajanju videonadzora pa je treba upoštevati načelo najmanjšega obsega podatkov (točka (c) prvega odstavka 5. člena Splošne uredbe), skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Če bo dejansko videonadzor izvajal lastnik stavbe na vseh vhodih iz zakonitih namenov (npr. navedenih zgoraj), je kot upravljavec dolžan zagotoviti skladnost s Splošno uredbo in ZVOP-2. Upravljavec mora o izvajanju videonadzora pisno obvestiti vse zaposlene, objaviti obvestilo o videonadzoru (tretji in četrti odstavek 76. člena ZVOP-2), posameznikom zagotoviti vse informacije o obdelavi osebnih podatkov, skladno s 13. členom Splošne uredbe, zagotoviti ustrezne ukrepe za zavarovanje osebnih podatkov ter urediti pogodbeno razmerje z morebitnim pogodbenim obdelovalcem. Če bi drugi organi sodelovali kot skupni upravljavci, je treba o tem skleniti dogovor (26. člen Splošne uredbe), v primeru pogodbene obdelave pa skleniti pogodbo o obdelavi osebnih podatkov (28. člen Splošne uredbe). Več o skupnih upravljavcih lahko preberete na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/skupni-upravljavci.

Upravljavec pred obdelavo opravi oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov, kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. V seznamu dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku člena 35 Uredbe (EU) 2016/679, ki je priloga k smernicam Ocene učinkov na varstvo osebnih podatkov in je dostopen na:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf je navedeno, v katerih primerih je izvedba ocene učinka obvezna. IP je tako v zgoraj navedenem seznamu določil, da je obvezna oprava ocene učinka, kadar se izvaja videonadzor javnih površin.

Nekaj informacij o vzpostavitvi videonadzora je dosegljivih tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo