Spremljanje žive slike

Datum

15.10.2024

Številka

07121-1/2024/1241

Kategorije

Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede spremljanja žive slike.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP izven nadzornega ali drugega upravnega postopka ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati tako glede konkretnih lokacij oziroma točk, kjer bi se sistem namestil, niti glede ustreznosti akta, s katerim se uvaja videonadzor.

Za videonadzor v najširšem smislu se šteje uporaba video kamer za sistematično snemanje, prenos in shranjevanje žive slike z ene lokacije na drugo, prav tako pa tudi vse rešitve, ki zajemajo zgolj prenos žive slike brez snemanja.

Videonadzor znotraj delovnih prostorov (za delovne prostore gre šteti vse prostore in površine, kjer zaposleni opravljajo svoje delovne naloge) se lahko izvaja le, kadar je to nujno potrebno za varnost ljudi ali premoženja ali preprečevanja ali odkrivanja kršitev na področju iger na srečo ali za varovanje tajnih podatkov ali za varovanje poslovnih skrivnosti, teh namenov pa ni mogoče doseči z milejšimi sredstvi.

Posameznike je treba obvestiti o izvajanju videonadzora z objavo ustreznega obvestila. Obvestilo mora biti vidno in razločno objavljeno na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Takšno obvestilo mora vsebovati točno določene informacije iz Splošne uredbe in ZVOP-2.

Obrazložitev

IP uvodoma pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov (v konkretnem primeru torej na vaši družbi), ki mora biti to zmožen tudi dokazati. IP izven nadzornega ali drugega upravnega postopka ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati tako glede konkretnih lokacij oziroma točk, kjer bi se sistem namestil. IP tako v okviru neobvezujočega mnenja ne more presojati ustreznosti posameznih konkretnih rešitev, ki jih navajate v vašem zaprosilu za mnenje, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je takšna obdelava osebnih podatkov zakonita.

IP nadalje pojasnjuje, da se za videonadzor v najširšem smislu šteje uporaba video kamer za sistematično snemanje, prenos in shranjevanje žive slike z ene lokacije na drugo, prav tako pa tudi vse rešitve, ki zajemajo zgolj prenos žive slike brez snemanja (t.i. podaljšano oko).

IP nadalje pojasnjuje, da je videonadzor sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil. Splošna uredba področja videonadzora podrobneje ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, zato je za zakonito izvajanje videonadzora potrebno poleg splošnih določb ZVOP-2 in Splošne uredbe upoštevati še določbe 3. poglavja ZVOP-2 (členi 76 - 80), ki določa posebna pravila za izvajanje videonadzora. Ob tem pa IP opozarja na določbo prvega odstavka 76. člena ZVOP-2, ki določa, da se določbe 3. poglavja II. dela ZVOP-2 uporabljajo za izvajanje videonadzora, če drug zakon ne določa drugače.

V določbah ZVOP-2 je, poleg 76. člena, ki vsebuje splošne določbe o videonadzoru in varstvu osebnih podatkov, posebej urejen videonadzor območij, ki predstavljajo:

·dostope v uradne službene oziroma poslovne prostore (77. člen ZVOP-2);

·delovne prostore pri izvajalcu videonadzora (78. člen ZVOP-2);

·prevozna sredstva, namenjena javnemu potniškemu prometu (79. člen ZVOP-2);

·javne površine (80. člen ZVOP-2).

IP posebej opozarja, da v skladu z drugim odstavkom 76. člena ZVOP-2 odločitev o uvedbi videonadzora sprejme predstojnik, direktor ali drug pooblaščen posameznik osebe javnega sektorja ali osebe zasebnega sektorja kot upravljavca. V pisni odločitvi morajo biti obrazloženi razlogi za uvedbo videonadzora.

IP uvodoma pojasnjuje, da je skladno s 1. točko 4. člena Splošne uredbe o varstvu podatkov osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določljiv, če ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

Iz vašega zaprosila za mnenje sicer izhaja, da naj bi kamere zajemale transportna vozila ob njihovem gibanju po transportni poti industrijske cone. IP v zvezi s tem splošno pojasnjuje, da se določbe Splošne uredbe in ZVOP-2 sicer ne uporabljajo, kadar ne gre za obdelavo osebnih podatkov, vendar pa IP ob tem opozarja, da to velja zgolj in izključno, če videonadzorni sistem nikoli in pod nobenim pogojem ne zajame oziroma ne bi zajel določenih ali določljivih posameznikov. Vprašati se je torej treba, ali se bodo na kameri oziroma sistemu pojavili določljivi posamezniki (na primer zaposleni – vozniki transportnih vozil, drugi zaposleni, zunanji izvajalci ali kdorkoli drug, ki predstavlja določljivega posameznika). V kolikor bi temu bilo tako, gre za obdelavo osebnih podatkov, ki mora potekati v skladu s pravili varstva osebnih podatkov.

IP pojasnjuje, da bi glede na navedbe v vašem zaprosilu za mnenje v konkretnem primeru lahko šlo za videonadzor znotraj delovnih prostorov, ki ga ureja 78. člen ZVOP-2. Skladno s tem členom se videonadzor znotraj delovnih prostorov (za delovne prostore gre šteti vse prostore in površine, kjer zaposleni opravljajo svoje delovne naloge) lahko izvaja le, kadar je to nujno potrebno za varnost ljudi ali premoženja ali preprečevanja ali odkrivanja kršitev na področju iger na srečo ali za varovanje tajnih podatkov ali za varovanje poslovnih skrivnosti, teh namenov pa ni mogoče doseči z milejšimi sredstvi. Videonadzor se lahko izvaja le glede tistih delov prostorov in v obsegu, kjer je treba varovati interese iz prejšnjega odstavka (praviloma gre za prostore, kjer se ravna s premoženjem ali informacijami večje vrednosti). Ključno je torej, da se videonadzor izvaja le v tistih delovnih prostorih, kjer je to nujno potrebno za varovanje določene pravne dobrine, in da se izvaja videonadzor delovnih prostorov kot takih, ne pa posameznih zaposlenih, ki v teh delovnih prostorih opravljajo svoje delo. Tretji odstavek 78. člena ZVOP-2 določa, da je prepovedano z videonadzorom snemati delovna mesta, kjer delavec po navadi dela, razen če je to nujno v skladu s prvim odstavkom tega člena. Neposredno spremljanje dogajanja pred kamerami je pod pogoji iz prvega in drugega odstavka 78. člena ZVOP-2 dopustno le, če ga izvaja izrecno pooblaščeno osebje upravljavca. Zaposleni so pred začetkom izvajanja videonadzora po tem členu vnaprej pisno obveščeni o njegovem izvajanju.

Videonadzor znotraj delovnih prostorov se torej lahko vzpostavi tudi, kadar je to nujno potrebno za varnost ljudi ali premoženja. To nujnost mora seveda izkazati delodajalec (v konkretnem primeru vaša družba). Izvajalec videonadzora mora torej v vsakem primeru izrecno ugotoviti, ali obstaja milejši ukrep, ki bi omogočal, da zaposleni ne bi bili podvrženi snemanju, saj gre za invazivni poseg v zasebnost zaposlenega. Odločanje o nujnosti in potrebnosti uvedbe videonadzora mora torej slediti zgoraj navedenim namenom, upravičenost pa se mora vedno presojati od primera do primera, kar pomeni, da mora biti osnovno vodilo pri uvedbi videonadzora načelo, da se ta uvede takrat, kadar ni na razpolago drugega milejšega ukrepa za dosego teh namenov. Videonadzor znotraj delovnih prostorov mora biti omejen zgolj na tiste dele prostora in v obsegu (časovnem, prostorskem itd.), ki so nujno potrebni, da se (še) doseže zasledovanje namenov iz prvega odstavka 78. člena ZVOP-2. Vsekakor splošno in generalno snemanje celotnih delovnih prostorov, še manj pa konkretnih delovnih mest posameznikov, kadar to res ni nujno, ni dovoljeno.

Za zagotovitev zakonitosti izvajanja kakršnegakoli videonadzora znotraj delovnih prostorov morajo biti zaposleni vnaprej pisno obveščeni o njegovem izvajanju, delodajalec pa se mora pred njegovo uvedbo posvetovati z reprezentativnimi sindikati pri delodajalcu in svetom delavcev oziroma delavskim zaupnikom. Posvetovanje se izvede v roku 30 dni ali v drugem daljšem roku, ki ga določi delodajalec. Kadar gre za uvedbo videonadzora nad delovnimi mesti, kjer delavec po navadi dela, pa se posvetovanje izvede v roku 60 dni ali v drugem daljšem roku, ki ga določi delodajalec. V vsakem primeru morajo biti zaposleni še pred začetkom izvajanja videonadzora pisno obveščeni o tem, da se bo začel izvajati videonadzor.

IP nadalje pojasnjuje, da 76. člen ZVOP-2 v 3., 4., 5. in 6. odstavku predpisuje način obveščanja posameznikov o izvajanju videonadzora z objavo ustreznega obvestila. Omenjeno velja za vse posameznike, ki so lahko izpostavljeni videonadzoru (torej poleg zaposlenih tudi za morebitne druge osebe, npr. študente). Obvestilo mora biti vidno in razločno objavljeno na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Takšno obvestilo mora poleg informacij iz prvega (in drugega) odstavka 13. člena Splošne uredbe obvezno vsebovati naslednje informacije:

1.pisno ali nedvoumno grafično opisano dejstvo, da se izvaja videonadzor;

2.namene obdelave, navedbo upravljavca videonadzornega sistema, telefonsko številko ali naslov elektronske pošte ali spletni naslov za potrebe uveljavljanja pravic posameznika s področja varstva osebnih podatkov;

3.informacije o posebnih vplivih obdelave, zlasti nadaljnje obdelave;

4.kontaktne podatke pooblaščene osebe (telefonska številka ali naslov e-pošte);

5.neobičajne nadaljnje obdelave, kot so prenosi subjektom v tretje države, spremljanje dogajanja v živo, možnost zvočne intervencije v primeru spremljanja dogajanja v živo.

Namesto objave v obvestilu se lahko obveščanje posameznika izvede tudi na način, da upravljavec informacije iz prvega (in drugega odstavka) 13. člena Splošne uredbe in informacije iz 3. do 5. točke obvestila objavi na spletnih straneh. V tem primeru mora na obvestilu iz prejšnjega odstavka objaviti spletni naslov, kjer so te informacije dostopne (URL naslov spletne strani, poleg tega pa lahko tudi QR kodo). Šteje se, da je s takšnim obvestilom posameznik obveščen o obdelavi osebnih podatkov.

IP posebej opozarja, da mora upravljavec zagotoviti informacije tako iz prvega kot tudi drugega odstavka 13. člena Splošne uredbe. ZVOP-2 sicer predpisuje, da obvestilo o videonadzoru vsebuje informacije iz prvega odstavka 13. člena Splošne uredbe, vendar obveznost zagotovitve informacij iz drugega odstavka 13. člena izhaja neposredno iz Splošne uredbe, zato je navedene informacije treba zagotoviti, četudi ZVOP-2 tega posebej ne predpisuje.

IP priporoča, da se navedene informacije iz 13. člena Splošne uredbe in informacije iz 3. do 5. točke obvestila iz 76. člena ZVOP-2 o videonadzoru objavijo na spletnih straneh in ne na samem obvestilu. Slednje pa mora vsebovati najmanj pisno ali nedvoumno grafično opisano dejstvo, da se izvaja videonadzor, ter spletni naslov, kjer so dostopne vse ostale informacije (URL naslov spletne strani, poleg tega pa lahko tudi QR kodo). IP priporoča, da obvestilo poleg tega vsebuje tudi namene obdelave, navedbo upravljavca videonadzornega sistema, telefonsko številko ali naslov elektronske pošte ali spletni naslov za potrebe uveljavljanja pravic posameznika s področja varstva osebnih podatkov.

IP sklepno opozarja, da mora upravljavec, v kolikor bi se odločil za izvajanje videonadzora znotraj delovnih prostorov, poleg omenjenih obveznosti izpolniti še vse druge obveznosti, ki jih predpisujeta Splošna uredba in ZVOP-2, zlasti zahteve glede varnosti osebnih podatkov (24. in 32. člen Splošne uredbe); vodenja evidenc dejavnosti obdelave (30. člen Splošne uredbe) in dnevnika obdelave (22. člen ZVOP-2 v povezavi z dvanajstim odstavkom 76. člena ZVOP-2); zagotavljanja ustreznega roka hrambe videoposnetkov (deveti odstavek 76. člena ZVOP-2); ureditve pogodbenega razmerja z morebitnim pogodbenim obdelovalcem (28. člen Splošne uredbe) itd..

Za več informacij v zvezi z videonadzorom vas napotujemo še na smernice IP o videonadzoru:

https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-izvajanja-videonadzora

Če bi v podjetju po opravljeni presoji ugotovili, da so izpolnjeni pogoji za izvajanje želenega videonadzora, je videonadzor treba izvajati v skladu s splošnimi načeli iz 5. člena Splošne uredbe. Zlasti je treba spoštovati načelo najmanjšega obsega podatkov ter poskrbeti, da bi bili osebni podatki, ki bi se pri tem obdelovali, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Pomembno je namreč, da tudi v primerih, ko se ugotovi, da je pred varstvom informacijske zasebnosti posameznika treba dati prednost varstvu drugih pravnih dobrin, ta prednost ni absolutna, ampak se v navedeno pravico poseže le tako in toliko, kolikor je to potrebno za zavarovanje te druge dobrine.

IP ponovno izpostavlja, da zgolj na podlagi razpoložljivih informacij iz vašega dopisa ter v okviru neobvezujočega mnenja ne more oceniti, ali bi bil videonadzor v konkretnem primeru zakonit. Upoštevati je treba namreč namen vzpostavitve videonadzora, njegovo nujnost in potrebnost, lokacije potovanja kamer in njihov doseg ter druge relevantne okoliščine konkretnega primera, ki jih je mogoče v celoti proučiti le v okviru nadzornega postopka. Upravljavec osebnih podatkov pa je tisti, ki mora na podlagi zgoraj opisanih pogojev sprejeti dokončno odločitev, ali bo videonadzor uvedel ali ne. V kolikor bi se odločili, da obstaja pravna podlaga za zakonito uvedbo oziroma razširitev videonadzora, IP pojasnjuje, da bi se ta lahko vzpostavil v okviru že vzpostavljenega sistema, treba pa bi bilo ustrezno dopolniti obstoječi sklep o uvedbi videonadzora (tako z novo obdelavo kot z morebitnimi dodatnimi kamerami) ter seveda upoštevati vse zakonske določbe o videonadzoru ter pojasnila, podana v tem mnenju.

IP vas sklepno obvešča, da je glede videonadzora že izdal številna mnenja, ki so objavljena na spletni strani IP:

https://www.ip-rs.si/mnenja-zvop-2/?id=13176&asId=as0&search=&tag%5B%5D=Video+in+avdio+nadzor&oseba=&pubfromdate=&pubtodate=&sub=Iskanje

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka