VN javnih površin

Datum

28.03.2023

Številka

07121-1/2023/413

Kategorije

Definicija OP, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede videonadzora javnih površin.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da je javna parkirišča treba šteti kot javno površino v smislu ZUreP-3.

IP meni, da se prepoved obdelave osebnih podatkov iz desetega odstavka 80. člena ZVOP-2 lahko nanaša na sisteme za avtomatsko prepoznavo registrskih tablic, ki bi jih upravljavci na javnih površinah uporabljali ob izpolnjevanju pogoja iz c) ali e) prvega odstavka 6. člena Splošne uredbe, ne pa tudi na primere, ko bi uporaba teh sistemov na javnih površinah temeljila na kateri drugi od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (po mnenju IP zgolj na točki f).

Registrskih številk vozil se ne obdeluje zaradi številk samih ali zaradi vozil kot takih, temveč primarno zaradi dejanj, ki so jih v povezavi z vozili storile osebe.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP pojasnjuje, da je videonadzor na javnih površinah urejen v 80. členu ZVOP-2. Ta v prvem odstavku določa, da je videonadzor na javnih površinah, kot jih določa zakon, ki ureja urejanje prostora, dovoljen le, kadar je to potrebno zaradi obstoja resne in utemeljene nevarnosti za življenje, osebno svobodo, telo ali zdravje ljudi, varnost premoženja upravljavca ali varovanje tajnih podatkov upravljavca ali obdelovalca v prenosu in teh namenov ni mogoče doseči z drugimi sredstvi, ki manj posegajo v pravice iz prvega odstavka 1. člena ZVOP-2. Natančneje je videonadzor na javnih površinah urejen v nadaljnjih določbah 80. člena ZVOP-2.

Kot navajate tudi v vašem zaprosilu za mnenje, pojem javne površine opredeljuje Zakon o urejanju prostora (Uradni list RS, št. 199/21; v nadaljevanju ZUreP-3) v 17. točki prvega odstavka 3. člena. Med drugim določa tudi, da je javna površina lahko v lasti države, občine ali v zasebni lasti. Nadalje ZUreP-3 v 259. členu določa, da je splošna raba javnih površin raba, ki je namenjena prostemu gibanju oseb, predvsem za prehod in dostop do drugih javnih površin, zelenega sistema, bivališč, poslovnih objektov, gospodarske javne infrastrukture in družbene infrastrukture, ter rekreaciji, igri in drugim prostočasnim dejavnostim na prostem.

IP glede na navedeno v prejšnjem odstavku meni, da je javna parkirišča treba šteti kot javno površino v smislu ZUreP-3, saj je bistveni element opredelitve javne površine, da je namenjena splošni rabi (ne glede na lastništvo).

IP opozarja tudi na osmi odstavek 80. člena ZVOP-2, ki določa, da sme na področju videonadzora cestnega prometa upravljavec izvajati videonadzor le na vnaprej določenih odsekih cest v svojem upravljanju, tako da se ne izvaja sistemsko nadzorovanje gibanja posameznikov ali poseganje v zasebnost posameznikov. Upravljavec mora v skladu z zakonom določiti tiste odseke ceste v svojem upravljanju, kjer z drugimi sredstvi ni mogoče doseči nujnega in učinkovitega varovanja cestnega prometa ali njegovega upravljanja. Upravljavec takšnega videonadzornega sistema mora pred dokončno določitvijo lokacij iz prejšnjega odstavka izdelati oceno učinka, ki vsebuje lokacijo odsekov cest, in jo posredovati v predhodno mnenje IP (skladno s 35. in 36. členom Splošne uredbe in 24. členom ZVOP-2).

ZVOP-2 v desetem odstavku 80. člena določa, da je na javnih površinah prepovedana uporaba sistemov za avtomatsko prepoznavo registrskih tablic in sistemov, s katerimi se obdelujejo biometrični osebni podatki. Glede na določbo prvega odstavka 76. člena ZVOP-2 pa takšno obdelavo lahko določi drug zakon. Tak primer je npr. Zakon o cestninjenju (Uradni list RS, 24/15, 41/17, 158/20, 159/21), ki določa uporabo tehničnih sredstev za samodejno optično prepoznavo registrskih tablic pri opravljanju nadzora nad plačevanjem cestnine.

IP nadalje pojasnjuje, da Splošna uredba državam članicam daje manevrski prostor za podrobnejšo opredelitev njenih pravil. V tem obsegu Splošna uredba ne izključuje prava držav članic, s katerim so opredeljene okoliščine posebnih primerov obdelave, vključno s podrobnejšo določitvijo pogojev, pod katerimi je obdelava osebnih podatkov zakonita.

Obdelava osebnih podatkov je v skladu s prvim odstavkom 6. člena Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki.

Točka (f) se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

V drugem odstavku 6. člena Splošne uredbe je določeno, da države članice lahko ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti z navedenima točkama (c) in (e), tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX.

Splošna uredba v 6. členu določa pogoje za zakonito obdelavo osebnih podatkov, v 9. členu pa posebej še pogoje za zakonito obdelavo posebnih vrst osebnih podatkov, ki naj veljajo in se uporabljajo dosledno in enotno v vseh državah članicah. Če naj se torej v vsej EU zagotovi dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov, kar je eden od poglavitnih namenov Splošne uredbe, je treba v kar največji meri zagotoviti tudi enotne pogoje za zakonito obdelavo osebnih podatkov v vseh državah članicah, zato take pogoje v navedenih dveh členih določa že Splošna uredba. Hkrati z določitvijo takih pogojev oziroma pravnih podlag za obdelavo osebnih podatkov pa Splošna uredba določa tudi primere, v katerih je državam članicam dopuščeno natančnejše urejanje in določanje posebnih zahtev v zvezi z obdelavo osebnih podatkov in s tem delno odstopanje od povsem enotne ureditve, ki jo na ravni EU predpisuje Splošna uredba. A contrario navedeno pomeni tudi, da država članica lahko pravila Splošne uredbe na navedeni način dopolnjuje zgolj v tistih primerih in na tistih področjih, na katerih ji Splošna uredba to izrecno dovoljuje, medtem ko se v ostalem delu v posamezni državi članici uporabljajo neposredno samo pravila Splošne uredbe.

V skladu z navedenim je za pravilno razumevanje določbe desetega odstavka 80. člena ZVOP-2 uporaba zgolj jezikovne razlage, iz katere bi izhajala absolutna prepoved uporabe navedenih dveh sistemov na javnih površinah v vseh primerih, nezadostna, ampak je nujna tudi sistematična razlaga predmetne pravne norme, ki upošteva njeno vključenost in povezanost z drugimi sestavinami celotnega pravnega sistema. V tej zvezi so relevantne predvsem predstavljene določbe Splošne uredbe, ob upoštevanju katerih je potrebno pravila nacionalne zakonodaje (konkretno ZVOP-2) razlagati v skladu z načelom lojalnosti pravu EU in torej tako, da bo ob njihovi uporabi zagotovljen polni učinek pravnih pravil Splošne uredbe.

Iz obravnavane določbe ZVOP-2 je razvidno, da določene obdelave osebnih podatkov, ki bi bile v skladu s Splošno uredbo zakonite, če bi bil zanje izpolnjen kateri od pogojev iz 6. oziroma 9. člena Splošne uredbe, ZVOP-2 v celoti prepoveduje, če se izvajajo na javnih površinah. Za razumevanje dometa predmetne določbe ZVOP-2 oziroma obsega prepovedi, ki jo določa je bistveno upoštevanje določbe drugega odstavka 6. člena in četrtega odstavka 9. člena Splošne uredbe, ki določata okvir dopustnega dodatnega urejanja predmetne materije s strani države članice.

Iz drugega odstavka 6. člena Splošne uredbe je najprej razvidno, da države članice sicer lahko predpišejo podrobnejše določbe in opredelijo posebne zahteve, vendar samo v zvezi s tistimi obdelavami osebnih podatkov, ki se izvajajo na podlagi izpolnjevanja pogoja iz c) ali e) prvega odstavka 6. člena Splošne uredbe in za posebne primere obdelave iz poglavja IX. Glede na navedeno je IP mnenja, da se prepoved obdelave osebnih podatkov iz desetega odstavka 80. člena ZVOP-2 lahko nanaša na sisteme za avtomatsko prepoznavo registrskih tablic (uporaba teh sistemov ne predstavlja katerega od posebnih primerov obdelave iz poglavja IX. Splošne uredbe), ki bi jih upravljavci na javnih površinah uporabljali ob izpolnjevanju pogoja iz c) ali e) prvega odstavka 6. člena Splošne uredbe, ne pa tudi na primere, ko bi uporaba teh sistemov na javnih površinah temeljila na kateri drugi od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe. To pomeni, da so na javnih površinah prepovedani sistemi za avtomatsko prepoznavo registrskih tablic, katerih uporaba bi bila potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti upravljavca (ki bi torej temeljila na določbah c) ali e) prvega odstavka 6. člena Splošne uredbe). Take sisteme pa je na javnih površinah dovoljeno uporabljati, če upravljavec izkaže, da za to obstaja katere od drugih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe. IP je v zvezi s tem mnenja, da bi glede na dejstvo, da gre za uporabo sistemov na javnih površinah in glede na naravo takih površin ter tudi naravo samega sistema avtomatske prepoznave registrskih tablic v praksi kot pravna podlaga, na kateri bi lahko temeljila uporaba takih sistemov, lahko prišla v poštev (zgolj) pravna podlaga iz točke f) prvega odstavka 6. člena Splošne uredbe in bi bila njihova uporaba lahko zakonita pod pogojem, da bi bil upravljavec zmožen dokazati, da je obdelava osebnih podatkov na tak način potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika.

IP posebej poudarja, da mora za zagotovitev omenjene pravne podlage upravljavec utemeljiti, da zakoniti interesi, ki jih z obdelavo (v konkretnem primeru torej z uporabo sistemov za avtomatsko prepoznavo) zasleduje, prevladajo nad pravicami in svoboščinami posameznikov, ki so predmet obdelave. Tehtanje se opravi od primera do primera, pri čemer se upošteva zlasti, da se istega zakonitega interesa ne da doseči z milejšimi sredstvi in da je poseg v pravice in svoboščine posameznikov sorazmeren glede na pomen zakonitega interesa, ki se zasleduje – torej le v posebej utemeljenih primerih.

IP pojasnjuje tudi, da je bistvena razlika med uporabo tovrstnih sistemov na javni in zasebni površini v upravičenem pričakovanju posameznikov. Slednji imajo namreč vsekakor upravičeno pričakovanje, da zgolj zaradi udeležbe v javnem prometu oziroma nahajanja na javni površini ne bodo posneti, prepoznani ali deležni drugega bistvenega posega v svojo zasebnost.

IP splošno pojasnjuje tudi, da je osebni podatek skladno s 1. točko 4. člena Splošne uredbe katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določljiv, če ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. IP poudarja, da je pri definiciji osebnih podatkov treba vedno gledati posamezen primer in kontekst, pri čemer se za presojo upošteva možnost identifikacije posameznika širše in ne zgolj na podlagi informacij, s katerimi razpolaga upravljavec. Samo dejstvo, ali gre za zasebno ali javno površin, pri obravnavani zadevi ni relevantno.

IP je v preteklosti že poudaril, da tehnični podatki o lastnostih vozil sami po sebi niso osebni podatki, ker kažejo na stvar in ne na posameznika. Takšni podatki pa postanejo osebni podatki takrat, kadar jih je mogoče povezati s posameznikom (na primer z lastnikom vozila) oziroma je na njihovi podlagi mogoče identificirati lastnika vozila – fizično osebo. Bistveni pogoj za to, da podatki o vozilu (torej tudi registrska številka) postanejo osebni podatki, je torej ta, da je preko njih mogoče natančno identificirati posameznika. Treba je upoštevati tudi, da se registrskih številk vozil namreč ne obdeluje zaradi številk samih ali zaradi vozil kot takih, temveč primarno zaradi dejanj, ki so jih v povezavi z vozili storile osebe (ukradle so vozilo/registrsko tablico, z določenim vozilom so bile udeležene pri storitvi kaznivih dejanj oziroma prekrškov ipd.). Obdeluje se jih torej zato, da se s pomočjo obdelave tega podatka pride do določene osebe in ukrepanja zoper to osebo v primeru nezakonitih dejanj. Tudi po kriteriju namena gre torej za podatek, ki je namenjen identifikaciji oseb, saj se da s pomočjo obdelave registrske tablice določiti fizično osebo – lastnika vozila, kadar je vozilo registrirano nanj.

IP sklepno ponavlja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je torej primarno na vsakem upravljavcu posebej in je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka