Izvajanje videonadzora

Datum

3.12.2024

Številka

07121-1/2024/1494

Kategorije

Pogodbena obdelava podatkov, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede izvajanja videonadzora javnih površin in objekta gasilskega društva.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP izven konkretnega nadzornega ali drugega upravnega postopka ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati glede konkretnih lokacij oziroma točk, kjer bi se sistem namestil.

Posnetki videonadzornega sistema pomenijo varovane osebne podatke po Splošni uredbi le, kadar določajo ali omogočajo določljivost posameznika.

Prvi odstavek 80. člena ZVOP-2 določa jasne pogoje za dopustnost izvajanja videonadzora javnih površin. Dovoljen je le, kadar je to potrebno zaradi obstoja resne in utemeljene nevarnosti za življenje, osebno svobodo, telo ali zdravje ljudi, varnost premoženja upravljavca ali varovanje tajnih podatkov upravljavca ali obdelovalca v prenosu in teh namenov ni mogoče doseči z drugimi sredstvi, ki manj posegajo v pravice iz prvega odstavka 1. člena ZVOP-2. Videonadzor na javnih površinah lahko izvaja oseba javnega ali zasebnega sektorja, ki upravlja z javno površino ali na njej zakonito opravlja dejavnost.

Posegi v človekove pravice ali temeljne svoboščine so po ustaljeni ustavnosodni praksi dopustni le, če so v skladu z načelom sorazmernosti.

Najem storitev drugega subjekta, ki za upravljavca izvaja videonadzor, je navadno eden tipičnih primerov pogodbene obdelave osebnih podatkov.

Obrazložitev

IP uvodoma pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. IP izven konkretnega nadzornega ali drugega upravnega postopka ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati glede konkretnih lokacij oziroma točk, kjer bi se sistem namestil. Iz navedenih razlogov IP v okviru tega mnenja lahko podaja zgolj splošna pojasnila.

IP uvodoma pojasnjuje tudi, da se pravila Splošne uredbe oziroma ZVOP-2 ne uporabljajo za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti. Konkretno to pomeni, da če posameznik videonadzor izvaja izključno za svoje lastne, domače namene, se taka obdelava podatkov praviloma šteje kot obdelava za osebno uporabo in domače potrebe. Videonadzor izključno svoje posesti v vsakem primeru zapade pod domačo uporabo. Skladno z 18. uvodno izjavo k Splošni uredbi pa je uporaba podatkov za lastne, domače namene presežena med drugim tudi, če videonadzor pomeni snemanje javnega prostora.

IP pojasnjuje, da lahko posnetki videonadzornega sistema pomenijo varovane osebne podatke po Splošni uredbi le, kadar določajo ali omogočajo določljivost posameznika, predvsem takrat, ko je posameznik na posnetku jasno in nedvoumno razviden in bi se bi se ga dalo na ta način identificirati, prepoznati in določiti, ali ko se hkrati s posnetki obdelujejo tudi drugi osebni podatki o posamezniku (npr. njegovo ime in priimek, letnica rojstva, naslov in podobno). Torej, če je ločljivost posnetkov dovolj velika in je posameznike na njih mogoče prepoznati, takšno snemanje teoretično lahko predstavlja obdelavo osebnih podatkov. V kolikor posamezniki niso določljivi, najverjetneje ne gre za obdelavo osebnih podatkov, saj se na posnetku ne nahajajo določeni ali določljivi posamezniki.

IP nadalje pojasnjuje, da je videonadzor sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil. Splošna uredba področja videonadzora podrobneje ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, zato je za zakonito izvajanje videonadzora potrebno poleg splošnih določb ZVOP-2 in Splošne uredbe upoštevati še določbe 3. poglavja ZVOP-2 (členi 76 - 80), ki določa posebna pravila za izvajanje videonadzora. Ob tem pa IP opozarja na določbo prvega odstavka 76. člena ZVOP-2, ki določa, da se določbe 3. poglavja II. dela ZVOP-2 uporabljajo za izvajanje videonadzora, če drug zakon ne določa drugače.

IP nadalje splošno pojasnjuje, da je videonadzor na javnih površinah urejen v 80. členu ZVOP-2. Ta v prvem odstavku določa, da je videonadzor na javnih površinah, kot jih določa zakon, ki ureja urejanje prostora, dovoljen le, kadar je to potrebno zaradi obstoja resne in utemeljene nevarnosti za življenje, osebno svobodo, telo ali zdravje ljudi, varnost premoženja upravljavca ali varovanje tajnih podatkov upravljavca ali obdelovalca v prenosu in teh namenov ni mogoče doseči z drugimi sredstvi, ki manj posegajo v pravice iz prvega odstavka 1. člena ZVOP-2. Videonadzor na javnih površinah je dovoljen tudi za namene varovanja varovanih oseb ter posebnih objektov in okolišev objektov, ki jih varuje policija, Slovenska vojska, pristojni organi za področje varnosti države, pravosodna policija, oziroma varovanja drugih prostorov, zgradb ali območij, ki jih je treba varovati na podlagi zakona, in sicer samo v obsegu in trajanju, potrebnem za dosego namena. Vpogled, uporaba ali posredovanje posnetkov so dopustni le za te namene.

Natančneje je videonadzor na javnih površinah urejen v nadaljnjih določbah 80. člena ZVOP-2. Videonadzor se tako lahko izvaja le glede tistih bližnjih ali povezanih delov javne površine in v obsegu, kjer je treba varovati interese iz prejšnjega odstavka. Videonadzor na javnih površinah lahko izvaja oseba javnega ali zasebnega sektorja, ki upravlja z javno površino ali na njej zakonito opravlja dejavnost. Videonadzor sme za zasebni sektor izvajati le pooblaščeno varnostno osebje, ki mora biti izrecno pooblaščeno za izvajanje videonadzora. Videonadzor se lahko izvaja tudi na način, da se ob snemanju izvaja spremljanje dogajanja v živo.

Pojem javne površine opredeljuje Zakon o urejanju prostora (Uradni list RS, št. 199/21; v nadaljevanju: ZUreP-3) v 17. točki prvega odstavka 3. člena, kjer določa, da je javna površina praviloma odprta prostorska ureditev, namenjena splošni rabi, naravna ali ustvarjena z gradbenimi ali drugimi posegi v prostor, kot so cesta, ulica, pasaža, trg, tržnica, atrij, parkirišče, pokopališče, park, zelenica, otroško igrišče, športno igrišče ter druga površina za rekreacijo in prosti čas; javna površina je grajena ali zelena; javna površina je lahko v lasti države, občine ali v zasebni lasti. Nadalje ZUreP-3 v 259. členu določa, da je splošna raba javnih površin raba, ki je namenjena prostemu gibanju oseb, predvsem za prehod in dostop do drugih javnih površin, zelenega sistema, bivališč, poslovnih objektov, gospodarske javne infrastrukture in družbene infrastrukture, ter rekreaciji, igri in drugim prostočasnim dejavnostim na prostem. IP glede na navedeno meni, da gre parkirišče šteti kot javno površino v smislu ZUreP-3, saj je bistveni element opredelitve javne površine, da je namenjena splošni rabi (ne glede na lastništvo).

Prvi odstavek 80. člena ZVOP-2 torej določa jasne pogoje za dopustnost izvajanja videonadzora javnih površin. Po mnenju IP bi bil v konkretnem primeru videonadzor javne površine pred gasilskim domom eventualno lahko dopusten le izjemoma, in sicer v primeru, ko bi bilo to potrebno zaradi zagotovitve varnosti premoženja upravljavca osebnih podatkov (izvajalca videonadzora). Videonadzor bi se lahko uvedel oziroma izvajal le, če ne obstaja milejši ukrep, ki manj posega v pravice posameznika do varstva osebnih podatkov oziroma zasebnosti. IP poudarja, da je pri uvedbi videonadzora javnih površin vselej treba pretehtati, ali je uvedba videonadzora res potrebna za dosego namenov iz prvega odstavka 80. člena ZVOP-2 in ali teh namenov ni mogoče doseči z milejšimi sredstvi. Oceniti je torej treba oceniti stopnjo nevarnosti za premoženje upravljavca ter verjetnost (glede na pretekle izkušnje), da bo prišlo do poškodovanja ali odtujitve tega premoženja. IP poudarja tudi, da so posegi v človekove pravice ali temeljne svoboščine po ustaljeni ustavnosodni praksi dopustni le, če so v skladu z načelom sorazmernosti. Načelo sorazmernosti pomeni, da mora omejitev ustavnih pravic oziroma poseg vanje izpolnjevati tri pogoje:

1.poseg mora biti nujen,

2.poseg mora biti primeren (in s tem učinkovit) za dosego zaželenega, ustavno dopustnega cilja in

3.upoštevati je treba tudi t. i. sorazmernost v ožjem smislu, ki je v tem, da je pri ocenjevanju nujnosti posega treba tehtati tudi pomembnost s posegom prizadete pravice v primerjavi s pravico, ki se s tem posegom želi zavarovati, in odmeriti nujnost posega sorazmerno s težo prizadetih posledic.

Bistveno je torej vprašanje, ali je v konkretnem primeru tak poseg tudi potreben oziroma ali je vzpostavitev videonadzora nujno potrebna in upravičena za dosego namenov iz prvega odstavka 80. člena ZVOP-2. IP ob tem ponovno poudarja, da izpolnjevanja navedenih pogojev za uporabo videonadzora v posameznem konkretnem primeru ne more presojati v okviru neobvezujočega mnenja, ampak to lahko presoja le v okviru nadzornega postopka.

Upravljavec mora pri izvajanju videonadzora (poleg zagotovitve ustrezne pravne podlage) upoštevati tudi druge obveznosti iz Splošne uredbe in ZVOP-2, npr. objaviti obvestilo o videonadzoru (četrti odstavek 76. člena ZVOP-2), posameznikom zagotoviti vse informacije o obdelavi osebnih podatkov (13. člen Splošne uredbe), zagotoviti ustrezne ukrepe za zavarovanje osebnih podatkov, itd. IP posebej opozarja, da v skladu z drugim odstavkom 76. člena ZVOP-2 odločitev o uvedbi videonadzora sprejme predstojnik, direktor ali drug pooblaščen posameznik osebe javnega sektorja ali osebe zasebnega sektorja kot upravljavca. V pisni odločitvi morajo biti obrazloženi razlogi za uvedbo videonadzora. Tretji odstavek istega člena nadalje določa, da upravljavec, ki izvaja videonadzor, o odločitvi iz prejšnjega odstavka objavi obvestilo. Obvestilo se vidno in razločno objavi na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Nadalje 76. člen ZVOP-2 v 4., 5. in 6. odstavku predpisuje način obveščanja posameznikov o izvajanju videonadzora z objavo ustreznega obvestila. Omenjeno velja za vse posameznike, ki so lahko izpostavljeni videonadzoru (torej v konkretnem primeru vsi mimoidoči).

IP pojasnjuje tudi, da upravljavec pred obdelavo opravi oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov, kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. Ocena učinka je lahko obvezna glede določenih obdelav osebnih podatkov. Katere so te obdelave, lahko preverite na Seznamu dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe, ki je priloga k smernicam Ocene učinkov na varstvo osebnih podatkov in je dostopen na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf.

Kot izhaja iz točke (c) tretjega odstavka 35. člena Splošne uredbe, se ocena učinkov v zvezi z varstvom (osebnih) podatkov zlasti zahteva med drugim tudi v primeru obsežnega sistematičnega spremljanja javno dostopnega območja. IP je tako v zgoraj navedenem seznamu v 3. točki med primeri sistematičnega nadzora nad posameznikom brez njegovega zavedanja, za katere bo izvedba ocene učinkov obvezna, določil tudi videonadzor javnih površin. Več o tem lahko preberete tudi v mnenju IP (št. 07121-1/2021/1133, z dne 21. 6. 2021). Glede na zgoraj navedeni seznam bi morali upravljavci za videonadzor javnih površin namreč že po Splošni uredbi pred začetkom takega videonadzora izvesti oceno učinka - le izjemoma je ne bi bilo treba izvesti (ko gre npr. za zelo majhno javno površino, kjer praviloma sploh ni ljudi in gre za neobsežno obdelavo osebnih podatkov).

Več informacij o oceni učinka je dostopnih na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/ocena-učinka-v-zvezi-z-varstvom-podatkov/#a3. Prav tako je na spletni strani IP dostopnih več informacij o vzpostavitvi videonadzora: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/.

IP ponovno opominja, da (seveda ob izpolnjevanju zgoraj navedenih pogojev za zakonito izvajanje videonadzora) videonadzor na javnih površinah lahko izvaja oseba javnega ali zasebnega sektorja, ki upravlja z javno površino ali na njej zakonito opravlja dejavnost. Ob tem IP pojasnjuje, da je najem storitev drugega subjekta (npr. podjetja), ki za upravljavca izvaja videonadzor, navadno eden tipičnih primerov pogodbene obdelave osebnih podatkov. IP pojasnjuje, da v skladu s 4. členom Splošne uredbe pojem "upravljavec" pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem "obdelovalec" pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Pogodbeni obdelovalci so tako tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. IP poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. V vlogi obdelovalca bo tako nastopala tista pravna oziroma fizična oseba, ki bo obdelavo osebnih podatkov izvrševala izključno v imenu in za račun upravljavca osebnih podatkov, bo pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter bo v zvezi s samimi dejanji obdelave vezana na navodila upravljavca.

IP nadalje pojasnjuje, da IP razmerje med upravljavcem in obdelovalcem ureja 28. člen Splošne uredbe, kjer je določeno, da obdelavo s strani obdelovalca ureja pogodba ali drug pravni akt v skladu s pravom Unije ali pravom države članice, ki določa obveznosti obdelovalca do upravljavca, v katerem so določeni vsebina in trajanje obdelave, narava in namen obdelave, vrsta osebnih podatkov, kategorije posameznikov, na katere se nanašajo osebni podatki, ter obveznosti in pravice upravljavca. Ta pogodba ali drug pravni akt zlasti določa, da obdelovalec:

(a)osebne podatke obdeluje samo po dokumentiranih navodilih upravljavca, vključno glede prenosov osebnih podatkov v tretjo državo ali mednarodno organizacijo, razen če to od njega zahteva pravo Unije ali pravo države članice, ki velja za obdelovalca; v slednjem primeru obdelovalec o tej pravni zahtevi pred obdelavo podatkov obvesti upravljavca, razen če zadevno pravo prepoveduje takšno obvestilo na podlagi pomembnih razlogov v javnem interesu;

(b)zagotovi, da so osebe, ki so pooblaščene za obdelavo osebnih podatkov, zavezane k zaupnosti ali jih k zaupnosti zavezuje ustrezen zakon;

(c)sprejme vse ukrepe, potrebne v skladu s členom 32;

(d)spoštuje pogoje iz odstavkov 2 in 4 za zaposlitev drugega obdelovalca;

(e)ob upoštevanju narave obdelave pomaga upravljavcu z ustreznimi tehničnimi in organizacijskimi ukrepi, kolikor je to mogoče, pri izpolnjevanju njegovih obveznosti, da odgovori na zahteve za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki, iz poglavja III;

(f)upravljavcu pomaga pri izpolnjevanju obveznosti iz členov 32 do 36 ob upoštevanju narave obdelave in informacij, ki so dostopne obdelovalcu;

(g)v skladu z odločitvijo upravljavca izbriše ali vrne vse osebne podatke upravljavcu po zaključku storitev v zvezi z obdelavo ter uniči obstoječe kopije, razen če pravo Unije ali pravo države članice predpisuje shranjevanje osebnih podatkov;

(h)da upravljavcu na voljo vse informacije, potrebne za dokazovanje izpolnjevanja obveznosti iz tega člena, ter upravljavcu ali drugemu revizorju, ki ga pooblasti upravljavec, omogoči izvajanje revizij, tudi pregledov, in pri njih sodeluje.

IP pojasnjuje, da navedeno velja za vse oblike izvajanja videonadzora s strani obdelovalca. Več informacij o pogodbeni obdelavi je na voljo v smernicah IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf

IP sklepno ponovno poudarja, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov.

IP vas obvešča tudi, da je glede videonadzora že izdal številna mnenja, ki so objavljena na spletni strani IP (rubrika »Video in avdio nadzor«): https://www.ip-rs.si/vop/.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, Informacijska pooblaščenka