Uporaba videonadzornega sistema za avtomatsko štetje obiskovalcev v trgovini

Datum

31.05.2024

Številka

07121-1/2024/627

Kategorije

Trgovinska dejavnost, Vgrajeno in privzeto varstvo podatkov, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da naj bi vaša stranka (trgovina) želela nad vhod trgovine namestiti kamero, preko katere bi bilo predvajano dogajanje v živo, torej prihodi in izhodi obiskovalcev, vse z namenom, da bi program avtomatsko štel, koliko strank je vstopilo v prostor ter koliko jih je iz njega izstopilo. Zanima vas, ali je tovrstna ureditev podvržena istim določbam, ki veljajo za videonadzor ali ne?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Odgovornost za zakonito vzpostavitev in izvajanje videonadzora je vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati.

2.2. Skladno s prakso IP se kot videonadzor v najširšem smislu šteje tudi uporaba video kamer za sistematično snemanje, prenos in shranjevanje žive slike z ene lokacije na drugo, prav tako pa tudi vse rešitve, ki zajemajo zgolj prenos žive slike brez snemanja (t.i. podaljšano oko).

Obrazložitev

IP uvodoma poudarja, da konkretnega odgovora o zakonitosti nameravanega videonadzora v okviru mnenja v nobenem primeru ne more, niti ne sme podati. IP namreč lahko posamezne primere obdelave osebnih podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Odgovornost za zakonito vzpostavitev in izvajanje videonadzora je vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati.

Glede vašega vprašanja uvodoma pojasnjujemo, da skladno s členom 4(2) Splošne uredbe pomeni obdelava osebnih podatkov vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Pojem osebni podatek pa skladno s členom 4(1) Splošne uredbe pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom.

Skladno s prakso IP se kot videonadzor v najširšem smislu šteje tudi uporaba video kamer za sistematično snemanje, prenos in shranjevanje žive slike z ene lokacije na drugo, prav tako pa tudi vse rešitve, ki zajemajo zgolj prenos žive slike brez snemanja (t.i. podaljšano oko). Uporaba videokamer za štetje izstopov in vstopov v poslovno stavbo bi praviloma lahko predstavljala obdelavo osebnih podatkov iz 4. člena Splošne uredbe, a vendar zgolj takrat, ko le ta zajame posameznike in so ti na posnetku določeni ali vsaj določljivi. Če bi bila postavitev kamer, resolucija posnetkov ipd. takšni, da posameznikov ni mogoče določiti, potem ne gre za obdelavo osebnih podatkov in se predpisi s področja varstva osebnih podatkov ne uporabljajo in s tem tudi ni podana pristojnost IP.

Pomembno je tudi upoštevanje načela vgrajenega in privzetega varstva osebnih podatkov (25. člen Splošne uredbe), ki v praksi pomeni, da morate najprej natančno definirati vaše cilje in poskušati te cilje doseči s čim manj obdelave osebnih podatkov in na čim manj invazivne načine, s katerimi še dosežete vaše namene. Pojasnimo na primeru: če je vaš namen zgolj štetje oseb, ki so v danem trenutku v prostoru, so vanj vstopili oz. izstopili, potem se to da doseči tudi brez videonadzornih kamer (npr. s toplotnimi, infrardečimi senzorji/kamerami), oziroma ob uporabi video kamer na način, da se slika ne hrani.

Glede na to, da področja videonadzora Splošna uredba o varstvu podatkov ločeno oz. specialno ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, mora zato upravljavec biti pozoren na vse obveznosti, ki izhajajo iz Splošne uredbe, kot tudi upoštevati vse določbe, ki izhajajo iz nacionalnega zakona (zlasti določbe členov 76.– 80. člena ZVOP-2) – kot npr. spoštovanje vseh načel varstva osebnih podatkov, varnost osebnih podatkov, obveščanje posameznikov o videonadzoru, vodenje evidence dejavnosti obdelave, roki hrambe posnetkov itd.

V zvezi z zahtevami varstva osebnih podatkov pri izvajanju videonadzora vas napotujemo na naša že obstoječa, številna, že objavljena neobvezna mnenja, do katerih lahko dostopate preko našega iskalnika mnenj: https://www.ip-rs.si/mnenja-gdpr, kjer se lahko pri iskanju omejite na točno določeno področje (npr. »video in avdio nadzor«), za natančnejši pregled mnenj glede določenega vprašanja pa lahko dodatno v iskalno polje še vpišete ključno besedo, ki vas na danem področju zanima (npr. »videonadzor poslovnih prostorov«).

Več informacij o videonadzoru najdete tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/ ter v smernicah IP glede izvajanja videonadzora: https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-izvajanja-videonadzora

Dodatno so vam v pomoč lahko tudi smernice Evropskega odbora za varstvo osebnih podatkov glede obdelave osebnih podatkov z video napravami, ki podrobneje opredeljujejo možne pravne podlage ter potrebne varovalke pri izvajanju videonadzora: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka