Snemanje okolice avta

Datum

14.04.2023

Številka

07121-1/2023/506

Kategorije

Moderne tehnologije, Pravne podlage, Video in avdio nadzor

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje in sicer vas zanima mnenje IP v zvezi z uporabo kamer na vozilih, pri čemer te kamere zbrane podatke in slikovno gradivo posredujejo v aplikacijo, ki jo upravlja uporabnik aplikacije.

Kot ste pojasnili želi neimenovani proizvajalec avtomobilov voznikom, preko kamer na vozilu, omogočiti dodatne storitve. Na podlagi dostopa preko nove aplikacije uporabnika vozila, lahko namreč kamere posnamejo posnetke vozila, ko ta miruje in med vožnjo. Kamere na vozilu posnamejo okolico in pridobijo GPS podatke vozila, te podatke pa nato lahko pošljejo tudi v aplikacijo pametnega mobilnega telefona. Aplikacija na telefonu sestavi slike in pripravi t.i. 360 stopinjski panoramski pogled na vozilo. Ta funkcionalnost se lahko vklopi tudi na daljavo, preko pametnega telefona, in omogoča 360-stopinjski pogled okoli vozila. Funkcionalnost mora biti aktivirana s strani uporabnika. Zajeti podatki se prenesejo z vozila preko zalednega dela aplikacije (back-end) nazaj na uporabnikov telefon. Zaledni del aplikacije služi samo za vmesno shranjevanje, pri čemer so posnetki zbrisani takoj in avtomatično po tem, ko so posredovani na telefon uporabnika. Pridobljene posnetke lahko pregleduje le uporabnik aplikacije. Primeri uporabe so npr. naslednji: oddaljen 3D pogled (pogled na okolico vozila na oddaljen način z uporabo opisane aplikacije), snemalec vožnje (t.i.dash cam s hrambo npr. zadnjih 60 sekund vožnje), zajem posnetka okolice vozila v primeru sprožitve alarma (npr. ob kraji ali vlomu v vozilo). Kot ste pojasnili bo glede vseh funkcionalnosti določeno, da lahko ponudnik aplikacije/proizvajalec uporablja podatke v popolnoma anonimizirani obliki za namene nadaljnjega razvoja in zagotovitve kvalitete storite. Noben podatek se ne bo prenesel tretjim osebam.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP pojasnjuje, da je v opisanem primeru po vsej verjetnosti obvezna izvedba predhodne ocene učinka po Splošni uredbi (35. člen), s katero se predhodno analizira vsa tveganja in predvidi ukrepe za njihovo obvladovanje.

Obrazložitev

IP uvodoma pojasnjuje, da da smo nadzorni organi za varstvo podatkov v okviru Evropskega odbora za varstvo podatkov (ang. EDPB) sprejeli smernice v zvezi z obdelavo osebnih podatkov pri povezanih avtomobilih. Smernice se osredotočajo na obdelavo osebnih podatkov v zvezi z nepoklicno uporabo povezanih vozil s strani posameznikov, na katere se nanašajo osebni podatki. V njih je poudarek na pravnem okviru, ki predvideva, da se osebni podatki lahko obdelujejo, če posameznik v to privoli ali za namen opravljanja ali lajšanja prenosa sporočila prek elektronskega komunikacijskega omrežja ali če je to nujno potrebno za zagotovitev storitve informacijske družbe, če je taka obdelava nujno potrebna zaradi izvajanja storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata. Posameznik mora biti glede vseh obdelav osebnih podatkov ustrezno obveščen in mu morajo biti na voljo mehanizmi za izvajanje njegovih pravic po Splošni uredbi o varstvu podatkov. Smernice (Smernice 01/2020 o obdelavi osebnih podatkov v okviru povezanih vozil in aplikacij, povezanih z mobilnostjo) so dostopne na tej povezavi:

https://edpb.europa.eu/system/files/2021-08/edpb_guidelines_202001_connected_vehicles_v2.0_adopted_sl.pdf

Dalje pojasnjujemo, da IP ne more presojati zakonitosti obdelave osebnih podatkov v okviru izdaje nezavezujočega mnenja, temveč se to lahko izvede le v okviru uradnega inšpekcijskega postopka, obenem pa ne more prevzemati svetovalne vloge, kako razviti določeno storitev, da bo skladna za zakonodajo – vsekakor pa vam lahko opozorimo na pomembne vidike in podamo določena opozorila, priporočila in smernice.

Ocenjujemo, da gre predvidoma za takšne vrste projekt, da je zanj po vsej verjetnosti obvezna izvedba predhodne ocene učinka po Splošni uredbi (35. člen), s katero se predhodno analizira vsa tveganja in predvidi ukrepe za njihovo obvladovanje, saj gre predvidoma za obsežno uporabo in sodobne tehnologije. Ocena učinka je tudi sicer najbolj primeren pristop za pravočasno upoštevanje vseh tveganj iz naslova varstva osebnih podatkov. Na izdelano oceno učinka lahko pridobite mnenje IP v postopku predhodnega posvetovanja po 36. členu Splošne uredbe. Vse informacije o ocenah učinka ter smernice za njihovo pripravo najdete na tej povezavi:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/ocena-u%C4%8Dinka-v-zvezi-z-varstvom-podatkov/

Priporočamo vam tudi posebno infografiko s priporočili:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/Infografika%20-%20Ustreznost%20DPIA%20in%20priporo%C4%8Dila.pdf

Na splošno pa vas opozarjamo na naslednje:

·Ponudnik aplikacije bi se, četudi se pri njemu shranjujejo posnetki samo začasno, štel za upravljavca osebnih podatkov in ima vse obveznosti, ki veljajo za upravljavce osebnih podatkov. Glede na naravo stvari bi verjetno šlo za pravno podlago za obdelavo osebnih podatkov v pogodbi s posameznikom (uporabnikom aplikacije), torej na podlagi točke b) prvega odstavka 6. člena Splošne uredbe. Uporabnik bi moral biti celovito seznanjen o obdelavi osebnih podatkov po 13. členu Splošne uredbe. Kot upravljavec mora imeti pravno podlago za vse namene, za katere želi uporabljati osebne podatke, vključno z morebitnimi nameni nadaljnjega razvoja storitve, analiz in podobno. Pogoji uporabe bi morali biti zelo jasni, še posebej glede hrambe podatkov in namenov uporabe na strani upravljavca. V zvezi s tem opozarjamo, da se omenjena pravna podlaga lahko nanaša le na osebne podatke uporabnika aplikacije (torej v okviru pogodbe med uporabnikom in upravljavcem), ne more pa predstavljati pravne podlage za zajem in obdelavo osebnih podatkov tretjih oseb (npr. mimoidočih itd.) – več o tem si lahko preberete v smernicah EDPB.

·Za dejanja, nad katerimi upravljavec nima nadzora (npr. če uporabnik samostojno objavi posnetek okolice), bi moral biti odgovoren uporabnik-posameznik – podobno kot če bi šlo za drug(ačen) način zajema posnetkov, npr. s telefonom, fotoaparatom, videokamero ipd; priporočljivo je, da se posameznike glede (omejitev) odgovornosti zelo jasno opozori v pogojih nudenja storitve.

·IP ocenjuje, da opisanih načinov delovanja ( v primeru »oddaljenega 3D pogleda« in pri »zajemu posnetka okolice vozila v primeru sprožitve alarma«) ne bi uvrstili pod videonadzor, kot ga ureja ZVOP-2, če in ko gre le za posamičen in ne za stalen zajem okolice (npr. ob zajemu posnetka okolice na zahtevo ali samodejno ob vklopu alarma). Ko gre za stalen nadzor, kot je v primeru stalnega snemanja iz vozila (funkcionalnost »dash-cam«), pa je IP že izdajal mnenja, npr.:

ohttps://www.ip-rs.si/mnenja-gdpr/namestitev-kamere-v-kabino-tovornjaka-1658485438

ohttps://www.ip-rs.si/mnenja-gdpr/6048a38d454fd

ohttps://www.ip-rs.si/mnenja-gdpr/6048a64135c6d

ohttps://www.ip-rs.si/mnenja-gdpr/vgradnja-dashboard-kamere

·Upoštevajte tudi, da je EDPB izdal Smernice 3/2019 o obdelavi osebnih podatkov z video napravami (različica 2.0, sprejete 29. januarja 2020, dostopne so na: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf). Na strani 10 zadevnih smernic je navedeno: »Če je nameščena avtokamera (npr. za zbiranje dokazov v primeru nesreče), je treba zagotoviti, da ta kamera ne snema neprekinjeno prometa in oseb v bližini ceste. V nasprotnem primeru interes za video posnetke kot dokaz v razmeroma hipotetičnem primeru prometne nesreče ne more upravičiti tega resnega posega v pravice posameznikov, na katere se nanašajo osebni podatki. Posamezniki namreč utemeljeno pričakujejo, da zgolj zaradi udeležbe na javni cesti ne bodo posneti.« Glede na navedeno in tudi glede na zgoraj navedeno mnenje IP uporaba avtokamer v smislu t.i. dash-camer na splošno ni dovoljena in je pri njihovi uporabi treba upoštevati temeljna načela varstva osebnih podatkov.

S spoštovanjem,

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravil

mag. Andrej Tomšič, namestnik informacijske pooblaščenke