Sprememba ocene učinka

Datum

28.11.2024

Številka

07121-1/2024/1468

Kategorije

Ocene učinkov v zvezi z varstvom podatkov, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede spremembe ocene učinka.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Izvajanje videonadzora (še posebej javnih površin) je vsekakor kompleksno vprašanje, ki terja obravnavo različnih vidikov obdelave osebnih podatkov ter podrobno in dosledno obravnavo tveganj, ki se lahko ob tem pojavljajo, ter ukrepov za njihovo zamejitev.

Glede konkretne trgovine, ki jo navajate v vašem zaprosilu za mnenje, IP glede na razpoložljive podatke meni, da gre najverjetneje za samostojnega upravljavca z vzpostavljenim lastnim videonadzornim sistemov v notranjosti trgovine.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP splošno pojasnjuje, da kot nadzorni organ v okviru neobvezujočega mnenja ni pristojen podajati zavezujočih usmeritev za to, kdaj je za upravljavca izvedba ocene učinka v konkretnem primeru obvezna. IP je na to temo izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Smernice_o_ocenah_ucinka__DPIA__julij2018.pdf

Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf

IP nadalje splošno pojasnjuje, da je ocena učinkov primarno namenjena upravljanju s tveganji in njihovi minimizaciji. Ob tem prinaša tudi druge pozitivne učinke, predvsem bi jo upravljavci, ki stremijo k odgovornemu ravnanju z osebnimi podatki posameznikov, morali prepoznati kot orodje, ki je primarno v njihovem interesu. Namenjeno je namreč pravočasni identifikaciji tveganj in sprejemu ustreznih ukrepov za obvladovanje tveganj, s čimer lahko posamezni upravljavci preprečijo, da bi prišlo do kršitve zakonodaje.

IP pojasnjuje, da je leta 2022 izdal mnenje na oceno učinka v zvezi z videonadzorom tržnice, ki jo navajate v vašem zaprosilu za mnenje. V sami oceni učinka sicer ni bilo govora o trgovinah, ki delujejo po principu 24/7 brez prisotnega osebja, je pa iz ocene izhajalo, da je temeljni namen izvajanja videonadzora zagotavljanje varovanja premoženja upravljavca tržnice (še zlasti v nočnem času). IP dodaja, da je izvajanje videonadzora (še posebej javnih površin) vsekakor kompleksno vprašanje, ki terja obravnavo različnih vidikov obdelave osebnih podatkov ter podrobno in dosledno obravnavo tveganj, ki se lahko ob tem pojavljajo, ter ukrepov za njihovo zamejitev. K takemu izzivu je torej treba pristopiti celovito in ne zgolj parcialno, kar velja tudi za pripravo ocene učinka na varstvo podatkov v takih primerih.

Glede konkretne trgovine, ki jo navajate v vašem zaprosilu za mnenje, IP glede na razpoložljive podatke meni, da gre najverjetneje za samostojnega upravljavca z vzpostavljenim lastnim videonadzornim sistemov v notranjosti trgovine. V tem primeru zadeva neposredno ne zadeva upravljavca tržnice, saj videonadzorna sistema nista v ničemer povezana in tako v nobenem primeru ne more biti podlaga oziroma povod za spremembo njegove ocene učinka na varstvo podatkov.

IP sklepno ponovno poudarja, da v okviru neobvezujočega mnenja ni pristojen podajati zavezujočih usmeritev za to, kdaj je za upravljavca izvedba ocene učinka v konkretnem primeru obvezna. IP ponavlja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka