Obdelava OP pri nudenju tehnične podpore za videonadzorni sistem

Datum

13.04.2023

Številka

07121-1/2023/496

Kategorije

Moderne tehnologije, Pogodbena obdelava podatkov, Pravne podlage, Video in avdio nadzor

Pri Informacijskem pooblaščencu (IP) smo 6. 4. 2023 prejeli vaše zaprosilo za mnenje glede obdelave osebnih podatkov s strani vaše stranke, ki se ukvarja s postavitvijo videonadzornih sistemov in za svoje stranke občasno opravi tudi vpogled v videonadzorni sistem, naredi izrez videoposnetka in ga prenese na zunanji disk. Zanima vas, ali se opisano šteje kot obdelava osebnih podatkov in ali je treba v treh primerih skleniti pogodbo o obdelavi osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Kadar obdelavo osebnih podatkov v imenu upravljavca izvaja obdelovalec, mora za to obstajati pisna pogodba (ali drug ustrezen akt). Ta mora vsebovati vse vsebine iz 28. člena Splošne uredbe, zlasti vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca.

Upravljavec je v vsakem primeru dolžan poskrbeti za izvajanje vseh ukrepov varovanja osebnih podatkov s strani oseb, ki v njegovem imenu obdelujejo osebne podatke. Izbor primernega načina je odgovornost upravljavca.

Obrazložitev

IP uvodoma razlaga, da obdelava osebnih podatkov pomeni vsako dejanje, ki se izvaja v zvezi z osebnimi podatki (z avtomatiziranimi sredstvi ali brez njih), kot na primer zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.

Nadalje Splošna uredba o varstvu podatkov določa, da upravljavec pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Tisti, ki pa osebne podatke obdeluje v imenu oziroma po naročilu upravljavca, je po Splošni uredbi definiran kot obdelovalec osebnih podatkov (to je lahko fizična ali pravna oseba, javni organ, agencija ali drugo telo).

Kadar obdelavo osebnih podatkov v imenu upravljavca izvaja obdelovalec, mora za to obstajati pisna pogodba ali drug ustrezen akt. IP poudarja, da so upravljavci odgovorni za skladnost s Splošno uredbo in imenujejo le tiste obdelovalce, ki lahko zagotavljajo »zadostna jamstva«, da se zadosti zahtevam Splošne uredbe in da se ustrezno varujejo tudi pravice posameznikov.

V kolikor boste presodili, da gre za pogodbeno obdelavo osebnih podatkov, morate upoštevati določbo 28. člena Splošne uredbe, ki določa minimalni obseg sestavin, ki jih mora vsebovati pisen dogovor. Splošne uredba predpisuje, da morajo biti določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Nadalje predpisuje, da obdelovalec:

·osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca,

·zagotovi, da so osebe, ki so pooblaščene za obdelavo osebnih podatkov, zavezane k zaupnosti ali jih k zaupnosti zavezuje ustrezen zakon;

·sprejme vse ukrepe, potrebne za varnost osebnih podatkov (ukrepe opiše v internem pravilniku o varnosti osebnih podatkov);

·zaposli drugega obdelovalca le, če je prej pridobil posebno ali splošno pisno dovoljenje upravljavca in da zagotovi, da veljajo med obdelovalcem in pod-obdelovalcem enake obveznosti kot med upravljavcem in obdelovalcem in da je med njima sklenjena pisna pogodba.

·upravljavcu pomaga pri izpolnjevanju njegovih obveznosti, da odgovori na zahteve za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki;

·upravljavcu pomaga pri zagotavljanju varnosti obdelave osebnih podatkov, uradnem obveščanju o kršitvah in oceni učinkov na varstvo osebnih podatkov;

·po zaključku storitve obdelave izbriše ali vrne vse osebne podatke upravljavcu (razen kadar hrambo predpisuje zakon);

·da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz 28. člena Splošne uredbe, ter upravljavcu ali drugemu revizorju, ki ga pooblasti upravljavec, omogoči izvajanje revizij, tudi pregledov, in pri njih sodeluje.

IP poudarja, da je upravljavec v vsakem primeru dolžan poskrbeti za izvajanje vseh ukrepov varovanja osebnih podatkov s strani oseb, ki v njegovem imenu obdelujejo osebne podatke. Izbor primernega načina je odgovornost upravljavca, npr. določba v pogodbi o zaposlitvi ali drugi pogodbi o opravi storitve s strani s.p., dodatni ukrepi predpisani v internih aktih ali izpolnjevanje zahtev iz 28. člena Splošne uredbe v primeru najema pogodbenega obdelovalca.

V upanju, da smo vam pomagali, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka