Sistemi za avtomatsko prepoznavo registrskih tablic in izvajanje biometrijskih ukrepov na javnih površinah

Datum

23.02.2023

Številka

07121-1/2023/256

Kategorije

Video in avdio nadzor, Pravne podlage

Pri Informacijskem pooblaščencu (IP) smo dne 12. 1. 2023 prejeli vaše zaprosilo za mnenje, v katerem ste nas prosili za pojasnilo, ali bo IP za »javne površine« iz 80. člena ZVOP-2 štel tudi površine v zasebni lasti, ki so sicer namenjene javnosti, hkrati pa lastnik na njih lahko določa na kakšen način se bodo uporabljale. Navedli ste, da gre v vašem primeru za trgovski center (dostopen javnosti) ter pripadajoče zemljišče, na katerem je urejeno nadzorovano parkirišče z omejitvijo dostopa z zapornicami ter plačilom parkirnine. Na parkirišče lahko dostopajo registrirani uporabniki ter druge osebe, ki so plačniki parkirnine. Zanimalo vas je ali za navedene površine veljajo omejitve za izvajanje videonadzora iz 80. člena ZVOP-2 ter prepoved uporabe sistemov za avtomatsko prepoznavo registrskih tablic na parkirišču iz 10. odstavka 80. člena ZVOP-2. Menite, da v tem primeru ne gre za javno površino v ožjem pomenu, temveč za javno površino v zasebni lasti, katere splošna raba se izvaja v skladu s pravili, ki jih določi njihov lastnik (v smislu 3. odstavka 259. člena Zakona o urejanju prostora).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

•• Pripadajoče zemljišče javno dostopnega trgovskega centra, na katerem je urejeno nadzorovano parkirišče z omejitvijo dostopa z zapornicami ter plačilom parkirnine je po mnenju IP potrebno šteti kot javno površino v smislu določb Zakona o urejanju prostora.

•• IP meni, da se prepoved obdelave osebnih podatkov iz desetega odstavka 80. člena ZVOP-2 lahko nanaša na sisteme za avtomatsko prepoznavo registrskih tablic, ki bi jih upravljavci na javnih površinah uporabljali ob izpolnjevanju pogoja iz c) ali e) prvega odstavka 6. člena Splošne uredbe, ne pa tudi na primere, ko bi uporaba teh sistemov na javnih površinah temeljila na kateri drugi od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe.

•• IP meni, da je določbo desetega člena 80. člena ZVOP-2, v delu, ki se nanaša na prepoved sistemov, s katerimi se obdelujejo biometrični osebni podatki na javnih površinah potrebno razumeti kot absolutno prepoved uporabe takih sistemov na javnih površinah, ne glede na morebiten obstoj pogojev za obdelavo biometričnih osebnih podatkov iz drugega odstavka 9. člena Splošne uredbe.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

Videonadzor na javnih površinah je urejen v 80. členu Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2). Ta v prvem odstavku določa, da je videonadzor na javnih površinah, kot jih določa zakon, ki ureja urejanje prostora, dovoljen le, kadar je to potrebno zaradi obstoja resne in utemeljene nevarnosti za življenje, osebno svobodo, telo ali zdravje ljudi, varnost premoženja upravljavca ali varovanje tajnih podatkov upravljavca ali obdelovalca v prenosu in teh namenov ni mogoče doseči z drugimi sredstvi, ki manj posegajo v pravice iz prvega odstavka 1. člena ZVOP-2. Natančneje je videonadzor na javnih površinah urejen v nadaljnjih določbah 80. člena ZVOP-2, v desetem odstavku tega člena pa je določeno, da je na javnih površinah prepovedana uporaba sistemov za avtomatsko prepoznavo registrskih tablic in sistemov, s katerimi se obdelujejo biometrični osebni podatki.

Zakon o urejanju prostora (Uradni list RS, št. 199/21; v nadaljevanju ZUreP-3), na katerega glede opredelitve javne površine napotuje ZVOP-2, pomen tega pojma definira v 17. točki prvega odstavka 3. člena, ki določa, da je javna površina praviloma odprta prostorska ureditev, namenjena splošni rabi, naravna ali ustvarjena z gradbenimi ali drugimi posegi v prostor, kot so cesta, ulica, pasaža, trg, tržnica, atrij, parkirišče, pokopališče, park, zelenica, otroško igrišče, športno igrišče ter druga površina za rekreacijo in prosti čas; javna površina je grajena ali zelena; javna površina je lahko v lasti države, občine ali v zasebni lasti; 259. člen ZUreP-3, ki ureja splošno in posebno rabo javnih površin v prvem odstavku določa, da je splošna raba takih površin raba, ki je namenjena prostemu gibanju oseb, predvsem za prehod in dostop do drugih javnih površin, zelenega sistema, bivališč, poslovnih objektov, gospodarske javne infrastrukture in družbene infrastrukture, ter rekreaciji, igri in drugim prostočasnim dejavnostim na prostem. Splošna raba javnih površin v zasebni lasti se izvaja v skladu s pravili, ki jih določi njihov lastnik, ali o katerih se občina ali država z lastnikom dogovori v skladu s pravili civilnega prava. Če se v skladu s tem zakonom na javni površini v zasebni lasti vzpostavi grajeno javno dobro, se splošna raba takih javnih površin izvaja v skladu s pravili iz akta iz šestega odstavka 260. člena tega zakona (tretji odstavek 259. člena ZUreP-3).

Ali pripadajoče zemljišče javno dostopnega trgovskega centra, na katerem je urejeno nadzorovano parkirišče z omejitvijo dostopa z zapornicami ter plačilom parkirnine potrebno šteti kot javno površino, na katero se nanašajo določbe 80. člena ZVOP-2?

IP meni, da takšno parkirišče ustreza definiciji javne površine iz ZUreP-3 in da določbe 80. člena ZVOP-2 veljajo tudi za takšna parkirišča. Kot izhaja iz zgoraj navedene določbe ZUrepP-3 je bistveni element opredelitve javne površine, da je namenjena splošni rabi, medtem ko samo lastništvo take površine za samo opredelitev ni relevantno. Javna površina je nadalje lahko tako naravna površina, kakor tudi površina, ki je ustvarjena s posegi v prostor (grajena ali zelena) in je praviloma (ne pa nujno) odprta prostorska ureditev. Iz vaših navedb je razbrati, da tudi parkirišča, ki ste ga navedli v vašem vprašanju predstavlja odprto prostorsko ureditev, namenjeno splošni rabi v smislu prostega gibanja oseb za prehod in dostop do poslovnih objektov tj. trgovskega centra. Do takšnega parkirišča lahko pod enakimi pogoji dostopa vsak in sicer praviloma za namene dostopanja do prostorov trgovskega centra, kar pomeni, da je raba tega parkirišča pod enakimi pogoji namenjena vsem. Parkirišče, kot ste ga omenjali v vašem vprašanju torej ni v rabi določenega, zaprtega kroga subjektov oziroma uporabnikov, ampak ga je njegov lastnik ponudil v javno rabo, za namene lažjega dostopanja do trgovskega centra. Pri tem, po mnenju IP, dejstvo, da se na parkirišču obračunava parkirnina za samo opredelitev javne površine ni relevantno, saj ZUreP-3 neodplačnosti ne določa kot pogoj oziroma element, da se lahko določena površina šteje kot javna, hkrati pa je plačilo parkirnine pogoj za rabo površine, ki je enak za vse.

V zvezi z vašo navedbo, da v navedenem primeru ne ne gre za javno površino v ožjem pomenu, temveč za javno površino v zasebni lasti, katere splošna raba se (v skladu s tretjim odstavkom 259. člena ZUreP-3) izvaja v skladu s pravili, ki jih določi njihov lastnik IP meni, da distinkcija, ki jo izpostavljate na veljavnost določb 80. člena ZVOP-2 nima vpliva, saj se ta nanaša na vse javne površine, ne glede na njihovo lastništvo in ne glede na to, na kakšen način se na njih izvaja splošna raba. Tudi, če gre v predstavljenem primeru za primer javne površine v zasebni lasti, katere splošna raba se izvaja v skladu s pravili, ki jih določi lastnik je tako površino še vedno potrebno šteti za javno površino, saj kljub navedenemu dejstvu še vedno vsebuje vse elemente javne površine iz zgoraj navedene določbe ZUreP-3, na katero se nanašajo določbe 80. člena ZVOP-2.

Da je parkirišče, za kakršno gre v vašem primeru potrebno razumeti kot javno površino, na katero se nanašajo določbe 80. člena ZVOP-2 in kot jo opredeljuje ZUreP-3 izhaja tudi iz določbe 26. točke prvega odstavka 3. člena Gradbenega zakona (Uradni list RS, št. 199/21 in 105/22 – ZZNŠPP; v nadaljevanju GZ-1), ki opredeljuje pojem objekt v javni rabi in sicer kot objekt ali del objekta, katerega raba je pod enakimi pogoji namenjena vsem, in sicer so to naslednji objekti v skladu s predpisom, ki ureja klasifikacijo vrst objektov CC-SI: nestanovanjska stavba, kot so gostinska stavba (skupina 121 po CC-SI), poslovna in upravna stavba (skupina 122 po CC-SI), trgovska stavba in stavba za storitvene dejavnosti (skupina 123 po CC-SI), stavba za promet in stavba za izvajanje komunikacij (skupina 124 po CC-SI), stavba splošnega družbenega pomena (skupina 126 CC-SI), obredna stavba (razred 1272 po CC-SI) in druga nestanovanjska stavba, če je namenjena javni rabi (skupina 113 po CC-SI) in javna površina, kot so javna cesta, ulica, trg, tržnica, igrišče, parkirišče, pokopališče, park, zelenica, rekreacijska površina. Tudi pri navedenih objektih je namreč bistvena javna raba določenega objekta in ne njihovo lastništvo, saj GZ-1 kot objekte v javni rabi šteje tudi v celoti zasebne objekte (gostilne, poslovne in upravne stavbe, trgovske stavbe...), katerih raba se prav tako lahko izvaja v skladu s pravili, ki jih določi njihov lastnik, kar pa ne spreminja njihovega statusa objekta v javni rabi.

Ali prepoved uporabe sistemov za avtomatsko prepoznavo registrskih tablic in sistemov, s katerimi se obdelujejo biometrični osebni podatki v celoti velja tudi za vaše parkirišče?

Uvodni recital 10 Splošne uredbe določa, da bi za zagotovitev dosledne in visoke ravni varstva posameznikov ter odstranitev ovir za prenos osebnih podatkov v Uniji, morala biti raven varstva pravic in svoboščin posameznikov pri obdelavi osebnih podatkov enaka v vseh državah članicah. V vsej Uniji bi bilo treba zagotoviti dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov. Kar zadeva obdelavo osebnih podatkov z namenom izpolnjevanja pravne obveznosti, za opravljanje naloge, ki se izvaja v javnem interesu, ali pri izvajanju javne oblasti, dodeljene upravljavcu, bi moralo biti državam članicam dovoljeno ohraniti ali uvesti nacionalne določbe za podrobnejšo opredelitev uporabe pravil iz Splošne uredbe. Države članice so v povezavi s splošnim in horizontalnim pravom o varstvu podatkov, s katerim se izvaja Direktiva 95/46/ES, sprejele več področnih zakonov na področjih, kjer so potrebne podrobnejše določbe. Tudi Splošna uredba državam članicam daje manevrski prostor za podrobnejšo opredelitev njenih pravil, tudi glede obdelave posebnih vrst osebnih podatkov („občutljivi podatki“). V tem obsegu Splošna uredba ne izključuje prava držav članic, s katerim so opredeljene okoliščine posebnih primerov obdelave, vključno s podrobnejšo določitvijo pogojev, pod katerimi je obdelava osebnih podatkov zakonita.

Obdelava osebnih podatkov je, v skladu s prvim odstavkom 6. člena Splošne uredbe, zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

•posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

•obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

•obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

•obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

•obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

•obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki.

Točka (f) se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

V drugem odstavku 6. člena Splošne uredbe je določeno, da države članice lahko ohranijo ali uvedejo podrobnejše določbe, da bi prilagodile uporabo pravil te uredbe v zvezi z obdelavo osebnih podatkov za zagotovitev skladnosti z navedenima točkama (c) in (e), tako da podrobneje opredelijo posebne zahteve v zvezi z obdelavo ter druge ukrepe za zagotovitev zakonite in poštene obdelave, tudi za druge posebne primere obdelave iz poglavja IX.

9. člen Splošne uredbe, ki ureja obdelavo posebnih vrst osebnih podatkov pa v četrtem odstavku določa, da države članice lahko ohranijo ali uvedejo dodatne pogoje, tudi omejitve, glede obdelave genetskih, biometričnih ali podatkov v zvezi z zdravjem.

Iz navedenega je razvidno, da Splošna uredba v 6. členu določa pogoje za zakonito obdelavo osebnih podatkov, v 9. členu pa posebej še pogoje za zakonito obdelavo posebnih vrst osebnih podatkov, ki naj veljajo in se uporabljajo dosledno in enotno v vseh državah članicah. Če naj se v vsej Uniji zagotovi dosledno in enotno uporabo pravil za varstvo temeljnih pravic in svoboščin posameznikov pri obdelavi osebnih podatkov, kar je eden od poglavitnih namenov Splošne uredbe je potrebno v kar največji meri zagotoviti tudi enotne pogoje za zakonito obdelavo osebnih podatkov v vseh državah članicah, zato take pogoje v navedenih dveh členih določa že Splošna uredba. Hkrati z določitvijo takih pogojev oziroma pravnih podlag za obdelavo osebnih podatkov pa Splošna uredba določa tudi primere, v katerih je državam članicam dopuščeno natančnejše urejanje in določanje posebnih zahtev v zvezi z obdelavo osebnih podatkov in s tem delno odstopanje od povsem enotne ureditve, ki jo na ravni Unije predpisuje Splošna uredba. A contrario pa navedeno pomeni tudi, da država članica lahko pravila Splošne uredbe na navedeni način dopolnjuje zgolj v tistih primerih in na tistih področjih, na katerih ji Splošna uredba to izrecno dovoljuje, medtem ko se v ostalem delu v posamezni državi članici uporabljajo neposredno samo pravila Splošne uredbe.

V skladu z navedenim je za pravilno razumevanje določbe desetega odstavka 80. člena ZVOP-2 uporaba zgolj jezikovne razlage, iz katere bi izhajala absolutna prepoved uporabe navedenih dveh sistemov na javnih površinah v vseh primerih, nezadostna, ampak je nujna tudi sistematična razlaga predmetne pravne norme, ki upošteva njeno vključenost in povezanost z drugimi sestavinami celotnega pravnega sistema. V tej zvezi so relevantne predvsem predstavljene določbe Splošne uredbe, ob upoštevanju katerih je potrebno pravila nacionalne zakonodaje (konkretno ZVOP-2) razlagati v skladu z načelom lojalnosti pravu Unije in torej tako, da bo ob njihovi uporabi zagotovljen polni učinek pravnih pravil Splošne uredbe.

Iz obravnavane določbe ZVOP-2 je razvidno, da določene obdelave osebnih podatkov, ki bi bile v skladu s Splošno uredbo zakonite, če bi bil zanje izpolnjen kateri od pogojev iz 6. oziroma 9. člena Splošne uredbe, ZVOP-2 v celoti prepoveduje, če se izvajajo na javnih površinah. Za razumevanje dometa predmetne določbe ZVOP-2 oziroma obsega prepovedi, ki jo določa je bistveno upoštevanje določbe drugega odstavka 6. člena in četrtega odstavka 9. člena Splošne uredbe, ki določata okvir dopustnega dodatnega urejanja predmetne materije s strani države članice.

Iz drugega odstavka 6. člena Splošne uredbe je najprej razvidno, da države članice sicer lahko predpišejo podrobnejše določbe in opredelijo posebne zahteve, vendar samo v zvezi s tistimi obdelavami osebnih podatkov, ki se izvajajo na podlagi izpolnjevanja pogoja iz c) ali e) prvega odstavka 6. člena Splošne uredbe in za posebne primere obdelave iz poglavja IX. Glede na navedeno je IP mnenja, da se prepoved obdelave osebnih podatkov iz desetega odstavka 80. člena ZVOP-2 lahko nanaša na sisteme za avtomatsko prepoznavo registrskih tablic (uporaba teh sistemov ne predstavlja katerega od posebnih primerov obdelave iz poglavja IX. Splošne uredbe), ki bi jih upravljavci na javnih površinah uporabljali ob izpolnjevanju pogoja iz c) ali e) prvega odstavka 6. člena Splošne uredbe, ne pa tudi na primere, ko bi uporaba teh sistemov na javnih površinah temeljila na kateri drugi od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe. To pomeni, da so na javnih površinah prepovedani sistemi za avtomatsko prepoznavo registrskih tablic, katerih uporaba bi bila potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti upravljavca (tj. bi temeljila na določbah c) ali e) prvega odstavka 6. člena Splošne uredbe) je pa take sisteme na javnih površinah dovoljeno uporabljati, če upravljavec izkaže, da za to obstaja katere od drugih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe tj. je za njeno uporabo izpolnjen pogoj iz a), b), d) ali f) točke tega člena. IP je v zvezi s tem mnenja, da bi glede dejstvo, da gre za uporabo sistemov na javnih površinah in glede na naravo takih površin ter naravo samega sistema avtomatske prepoznave registrskih tablic v praksi kot pravna podlaga, na kateri bi lahko temeljila uporaba takih sistemov, lahko prišla v poštev (zgolj) pravna podlaga iz točke f) prvega odstavka 6. člena Splošne uredbe in bi bila njihova uporaba zakonita, pod pogojem, da bi bil upravljavec zmožen dokazati, da je obdelava osebnih podatkov na tak način potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika.

Glede prepovedi uporabe sistemov, s katerimi se obdelujejo biometrični osebni podatki na javnih površinah iz desetega odstavka 80. člena ZVOP-2 pa je IP mnenja, da je takšno prepoved potrebno razumeti kot določitev omejitve, glede obdelave biometričnih podatkov, kot jo Splošna uredba v četrtem odstavku 9. člena državam članicam izrecno dovoljuje. Določba, za razliko od zgoraj navedene določbe 6. člena Splošne uredbe, daje državam članicam širši manevrski prostor pri omejevanju obdelave osebnih podatkov, saj zgolj na splošno določa, da lahko obdelavo osebnih podatkov tudi omejijo in jim glede določanja teh omejitev ne postavlja dodatnih zahtev. ZVOP-2 tako omejitev določa v navedenem odstavku 80. člena, ko prepoveduje obdelavo biometričnih osebnih podatkov na določenem območju (javnih površinah), z določenimi sistemi. Sledeč navedenemu je IP mnenja, da določba desetega člena 80. člena ZVOP-2, v delu, ki se nanaša na prepoved sistemov, s katerimi se obdelujejo biometrični osebni podatki na javnih površinah predstavlja omejitev obdelave osebnih podatkov, ki jo Splošna uredba izrecno dopušča in da jo je zato potrebno razumeti kot absolutno prepoved uporabe takih sistemov na javnih površinah ter da z njimi na teh površinah biometričnih podatkov ni dovoljeno obdelovati, ne glede na morebiten obstoj pogojev iz drugega odstavka 9. člena Splošne uredbe.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravil

Blaž Pavšič, univ. dipl. prav., državni nadzornik za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka