Vodenje dnevnika obdelave

Datum

13.04.2023

Številka

07121-1/2023/495

Kategorije

Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da so v vaših prostorih nameščene kamere in je za vpogled pooblaščenih več oseb, ki vpogledujejo skozi cel dan, kolikor jim dopušča delo. Vpogledovanje je nujno zaradi zagotavljanja varnosti premoženja. Sprašujete, kako naj pooblaščenca oseba vodi dnevnik obdelave videonadzornega sistema, če gre za neposredno spremljanje dogajanja pred kamerami?

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec videonadzora mora voditi dnevnik obdelave skladno z 22. členom Splošne uredbe in dvanajstim odstavkom 76. člena Splošne uredbe (ki ureja sledljivost v zvezi z vpogledom in uporabo posnetkov). Tudi kadar gre za neposredno spremljanje dogajanja pred kamerami, se mora v dnevniku obdelave (ki je voden glede na okoliščine bodisi fizično ali elektronsko), zabeležiti vpogled v posnetke (oz. živo sliko).

Opozarjamo tudi, da je vpogled v posnetke dopusten zgolj v primeru nastanka dogodkov v zvezi z nameni zakonitega izvajanja videonadzora (npr. poškodovanja ali odtujitve njegovega premoženja ali ogrožanja ljudi), ki so zakonito obstajali oz. bili navedeni na obvestilu v času zajema posnetka.

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Skladno s prvim odstavkom 22. člena ZVOP-2 upravljavci vodijo dnevnik obdelave, kadar se v avtomatiziranih sistemih obdelave osebnih podatkov izvajajo obsežne obdelave posebnih vrst osebnih podatkov, ali kadar gre za redno in sistematično spremljanje posameznikov, ali kadar je z oceno učinka ugotovljeno tveganje, ki ga je mogoče učinkovito upravljati z vodenjem dnevnika obdelave, ali če tako določa zakon, o naslednjih dejanjih obdelave osebnih podatkov: zbiranje, spreminjanje, vpogled, razkritje, vključno s prenosi, izbris ter druga dejanja obdelave, ki jih določa zakon. Dnevnik obdelave mora za navedena dejanja obdelave vsebovati: vrsto dejanja obdelave, datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Dodatne vsebine dnevnika obdelave lahko določi upravljavec ob upoštevanju ocene učinka. ZVOP-2 določa tudi uporabo dnevnika obdelave in rok hrambe.

IP pojasnjuje, da določba 22. člena ZVOP-2 dejansko predstavlja beleženje dostopov do osebnih podatkov, oz. sledljivost. ZVOP-2 izrecno predpisuje tudi vodenje dnevnika obdelave glede dostopa in uporabe posnetkov videonadzornega sistema (dvanajsti odstavek 76. člena ZVOP-2). Upravljavec videonadzornega sistema za vsak vpogled ali uporabo posnetkov zagotovi možnost naknadnega ugotavljanja, kateri posnetki so bili obdelani, kdaj in kako so bili uporabljeni ali komu so bili posredovani, kdo je izvedel ta dejanja obdelave, kdaj in s kakšnim namenom ali na kateri pravni podlagi. Te podatke hrani v dnevniku obdelave iz 22. člena tega zakona dve leti po koncu leta, ko so nastali.

Opozarjamo, da mora upravljavec prav tako skladno s šestim odstavkom 41. člena ZVOP-2 za vsako posredovanje osebnih podatkov zagotoviti možnost poznejše ugotovitve, kateri osebni podatki so bili posredovani, komu, kdaj in na kateri pravni podlagi, za kateri namen oziroma iz katerih razlogov oziroma za potrebe katerega postopka, razen če drug zakon za posredovanje posameznih vrst podatkov določa drugače oziroma je to razvidno iz dnevnika obdelave po 22. členu ZVOP-2.

Dodajamo tudi, da je skladno z 120. členom ZVOP-2 treba vodenje dnevnikov obdelav uskladiti z 22. členom ZVOP-2 v dveh letih od uveljavitve tega zakona.

Priporočamo vam, da si med obrazci IP ogledate »Vzorec evidence uporabe videonadzornega sistema po ZVOP-2«. IP je pri pripravi obrazca upošteval določbe ZVOP-2, kar pomeni, da bo upravljavec videonadzornega sistema, ki bo za vodenje dnevnika obdelave videoposnetkov uporabil ta obrazec, praviloma izpolnil zahteve iz dvanajstega odstavka 76. člena ZVOP-2. Kot je IP poudaril v mnenju št. 07120-1/2023/123 z dne 10. 3. 2023, bo IP v določenih primerih zahteval vodenje dnevnika obdelave v elektronski obliki, pri čemer bo upošteval konkretne okoliščine izvajanja videonadzora in tveganja pri obdelavi osebnih podatkov, npr. število kamer oziroma obseg nadzorovanega območja, kje se izvaja videonadzor (delovni prostori, vhodi in izhodi, javne površine), koliko oseb ima dostop do videonadzornega sistema, rok hrambe videoposnetkov. IP dodaja, da večina programskih rešitev oziroma aplikacij za izvajanje videonadzora že avtomatično beleži določene podatke (t. i. dnevniški zapisi, ang. log files), vendar pa ti zapisi ne vključujejo vseh vsebin, ki jih določata 22. in 76. člen ZVOP-2, zaradi česar bodo upravljavci videonadzornih sistemov morali voditi dodatne dnevnike obdelave.

Po mnenju IP gre tudi v primeru, ko gre dejansko za neposredno spremljanje dogajanja pred kamerami, za obdelavo osebnih podatkov (za vpogled) skladno s Splošno uredbo in je zato treba zagotoviti po 22. členu Splošne uredbe podatek o vrsti dejanja obdelave, datumu in času obdelave, identifikaciji osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov. Način dejanske izvedbe vodenja dnevnika obdelave je kot pojasnjeno zgoraj, v rokah upravljavca (če gre recimo za elektronsko vodenje evidence se v zvezi s samim dostopom zaposlenega beleži revizijska sled npr. tako, da se zabeležijo podatki o vrsti dejanja, datumu, času in osebi, ki se je npr. prijavila v sistem videonadzora, z namenom spremljanja neposrednega dogajanja pred kamerami). Ostali zahtevani podatki se morajo beležiti skladno z zgoraj pojasnjenima določbama 22. člena in dvanajstega odstavka 76. člena ZVOP-2.

Nekaj informacij o vzpostavitvi videonadzora je dosegljivih tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo