Preverjanje identitete obiskovalcev v zasebni hiši

Datum

23.06.2023

Številka

07121-1/2023/852

Kategorije

Informiranje posameznika, Pravne podlage, Stanovanjsko in nepremičninsko pravo, Zbirke osebnih podatkov

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da varnostna služba v večstanovanjski hiši v zasebni lastnini izvaja ugotavljanje identitete obiskovalcev in sprašuje po namenu obiska. Vse te informacije se vnašajo v zvezek v recepciji, s čimer nastaja tudi zbirka podatkov. Navodilo, ki ga je zaposlenim v recepciji dal delodajalec, ki izvaja nadzor, se glasi: »Vsi obiskovalci in vzdrževalci ter druge osebe, ki vstopajo skozi vhod na …, so se dolžni zglasiti pri službujočem varnostniku in opraviti postopek ugotavljanja identitete, ter navesti razlog obiska.« Zanima vas, ali se lahko izvaja tak nadzor v stavbi v zasebni hiši (v kateri se ne izvajajo javne naloge) ter možne ukrepe s strani IP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Evidentiranje posameznikov, ki nameravajo vstopiti ali izstopiti iz prostorov upravljavca, je na podlagi 85. člena ZVOP-2 dopustno le, če gre za službene prostore. Pri presoji zakonitosti obdelave osebnih podatkov na tej pravni podlagi ni relevantno, kdo ima prostore v lasti ali uporabi oziroma ali se v teh prostorih izvajajo javne naloge.

Če za evidentiranje niso izpolnjeni vsi pogoji po 85. členu ZVOP-2, bi moral imeti upravljavec za takšno ravnanje eno izmed drugih pravnih podlag iz 6. člena Splošne uredbe v zvezi s 6. členom ZVOP-2. V primeru večstanovanjskih stavb, v katerih ni službenih prostorov oziroma so v njih tako službeni prostori kot tudi prostori, namenjeni izvajanju zgolj osebne ali domače dejavnosti, bi v poštev lahko prišla pravna podlaga po določbi točke f) prvega odstavka 6. člena Splošne uredbe, torej na podlagi zakonitih interesov. V takem primeru mora upravljavec še pred začetkom obdelave izvesti tehtanje interesov, pri čemer mora med drugim opraviti oceno tveganja vdora v pravice posameznikov ter upoštevati, da so pri tovrstnem evidentiranju v primeru »neslužbenih« prostorov po naravi stvari standardi zasebnosti višji.

Upravljavec bi moral posameznike, ki jih identificira ali evidentira, ustrezno obvestiti v skladu s 13. členom Splošne uredbe, med drugim tudi o namenih in pravni podlagi za obdelavo.

Pri presoji zakonitosti identificiranja in/ali evidentiranja obiskovalcev je treba upoštevati tudi pravila stanovanjskega prava, za interpretacijo katerih pa IP ni pristojen.

Obrazložitev

IP uvodoma opozarja, da izven nadzornega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da vam v okviru mnenja ne more dokončno odgovoriti na vprašanje, ali je preverjanje identitete obiskovalcev, ki ga opisujete, v konkretnem primeru zakonito. Zato vam v nadaljevanju podaja splošna pojasnila ter pravna izhodišča in pogoje za zakonito obdelavo osebnih podatkov z vidika predpisov s tega področja.

Vsak upravljavec mora imeti za obdelavo osebnih podatkov, denimo za njihovo pridobivanje, hrambo ali drugačno uporabo, zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se lahko osebni podatki obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe (privolitev, pogodba, zakonska obveznost, zakoniti interesi itn.).

Evidentiranje vstopov in izstopov iz službenih prostorov je izrecno urejeno v 5. poglavju ZVOP-2. 85. člen ZVOP-2 (evidentiranje vstopov in izstopov iz službenih prostorov) določa:

(1)Oseba javnega ali zasebnega sektorja lahko za zagotavljanje varnosti ljudi in premoženja, varovanja tajnih podatkov ter reda v njenih prostorih ali prostorih, ki jih ima v uporabi (v nadaljnjem besedilu: službeni prostori), od posameznika, ki namerava vstopiti ali izstopiti iz tega prostora, zahteva navedbo vseh ali nekaterih osebnih podatkov iz drugega odstavka tega člena in razlog vstopa ali izstopa. Po potrebi lahko osebne podatke preveri tudi z vpogledom v uradni identifikacijski dokument.

(2)V zbirki o vstopih in izstopih iz službenih prostorov se lahko o posamezniku obdelujejo samo naslednji osebni podatki, kadar je to potrebno: osebno ime, številka in vrsta uradnega identifikacijskega dokumenta, naslov prebivališča, zaposlitev, vrsta in registrska številka vozila ter datum, ura in razlog vstopa ali izstopa v prostore ali izstopa iz njih.

(3)Osebni podatki iz prejšnjega odstavka se lahko hranijo največ dve leti od konca koledarskega leta po vnosu osebnih podatkov v zbirko, nato se izbrišejo ali na drug način uničijo, če drug zakon ne določa drugače.

V praksi se evidenca vstopov in izstopov pogosto imenuje evidenca obiskovalcev ali evidenca prisotnosti. Iz prvega odstavka 85. člena ZVOP-2 med drugim izhaja, da je evidentiranje posameznikov, ki nameravajo vstopiti ali izstopiti iz prostorov upravljavca, dopustno le, če gre za službene prostore. To so prostori, ki jih ima oseba javnega ali zasebnega sektorja v lasti ali uporabi. Pojem »službeni prostori« je naveden že v samem naslovu člena, vendar pa zakonodajalec tega pojma ni natančneje opredelil. Običajno za službene prostore štejemo uradne prostore organov, gospodarskih družb, prireditvenih prostorov in podobno, torej prostore, ki jih ločimo od »neslužbenih prostorov«, ki se uporabljajo za zasebne ali družinske namene.

Pri presoji zakonitosti obdelave osebnih podatkov na podlagi 85. člena ZVOP-2 tako ni relevantno, kdo ima prostore v lasti ali uporabi oziroma ali se v teh prostorih izvajajo javne naloge, saj prvi odstavek tega člena izrecno določa, da gre lahko za osebo javnega ali zasebnega sektorja. Bistveno pa je, da gre za službene prostore. Ali gre v primeru evidentiranja obiskovalcev, ki vstopajo čez konkretni vhod v stavbo, za tovrstne prostore, IP v okviru mnenja ne more presojati. Izpostavlja pa, da v primeru prostorov, ki so namenjeni zasebni rabi, torej opravljanju osebne ali domače dejavnosti, evidentiranje obiskovalcev na tej pravni podlagi ni dopustno.

Prav tako IP opozarja, da mora biti vodenje evidence po 85. členu ZVOP-2 potrebno zaradi zagotavljanja varnosti ljudi in premoženja, varovanja tajnih podatkov ali reda v prostorih, kar mora biti skladno z načelom odgovornosti (drugi odstavek 5. člena Splošne uredbe) sposoben dokazati upravljavec. Skladno z načelom najmanjšega obsega podatkov (točka (c) prvega odstavka 5. člena Splošne uredbe) pa lahko upravljavec obdeluje nekatere ali vse osebne podatke, ki so navedeni v drugem odstavku 85. člena ZVOP-2, odvisno od konkretne situacije, prav tako pa lahko zahteva navedbo razloga vstopa ali izstopa ter po potrebi osebne podatke tudi preveri z vpogledom v uradni identifikacijski dokument (načelo točnosti po točki (d) prvega odstavka 5. člena Splošne uredbe).

Če za opisano obdelavo osebnih podatkov niso izpolnjeni vsi pogoji po 85. členu ZVOP-2, bi moral imeti upravljavec za takšno ravnanje eno izmed drugih pravnih podlag iz 6. člena Splošne uredbe v zvezi s 6. členom ZVOP-2. V primeru večstanovanjskih stavb, v katerih ni službenih prostorov oziroma so v njih tako službeni prostori kot tudi prostori, namenjeni izvajanju zgolj osebne ali domače dejavnosti, bi v poštev lahko prišla pravna podlaga po določbi točke f) prvega odstavka 6. člena Splošne uredbe, skladno s katero je obdelava zakonita, če je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Da je obdelava na tej pravni podlagi zakonita, morajo biti torej kumulativno izpolnjeni trije pogoji:

1.obstoj zakonitega interesa, ki ga zasleduje upravljavec ali tretja oseba;

2.obdelava osebnih podatkov mora biti potrebna za namene zasledovanega zakonitega interesa in

3.interesi ali temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, ki jih zadeva obdelava podatkov, ne smejo prevladati nad zakonitimi interesi, za katere si prizadeva upravljavec podatkov ali tretja oseba.

Skladno z načelom odgovornosti mora biti upravljavec sposoben dokazati, da so izpolnjeni vsi našteti pogoji. V zvezi s 3. pogojem mora upravljavec še pred začetkom obdelave izvesti »tehtanje« interesov, ki ga mora tudi dokumentirati. Ob tehtanju interesov mora upravljavec med drugim opraviti oceno tveganja vdora v pravice posameznikov (verjetnost nastanka in resnost posledic oziroma intenzivnost posega v pravice in svoboščine, na primer glede na vrste osebnih podatkov, obseg obdelave, število posameznikov, okoliščine obdelave, dejanska pričakovanja posameznikov, obstoj alternativnih ukrepov za dosego namena ter tudi razumna pričakovanja posameznikov). Upoštevati je treba tudi načelo preglednosti, torej ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave.

IP ob tem poudarja, da mora biti zakoniti interes dejanski in prisoten v času obdelave (torej ne hipotetičen) ter jasno in natančno opredeljen. Obdelava mora biti nujna za doseganje zakonitega interesa, za katerega si prizadeva upravljavec ali tretja oseba. Vsekakor pa mora upravljavec pri določanju obsega obdelave osebnih podatkov (npr. nabora osebnih podatkov, ki jih bo uporabil v ta namen) upoštevati tudi načelo najmanjšega obsega podatkov.

Upoštevaje izrecno zakonsko urejenost evidentiranja vstopov in izstopov iz službenih prostorov IP poudarja, da so pri tovrstnem evidentiranju v primeru »neslužbenih« prostorov po naravi stvari standardi zasebnosti višji, kar mora upravljavec spoštovati tudi pri opisanem tehtanju interesov. Prav tako bi moral upravljavec oceniti, katere osebne podatke je nujno obdelovati, kakšen je najprimernejši način obdelave (na primer ali zadostuje zgolj navedba osebnega imena ali tudi vpogled v identifikacijski dokument ter ali je nujno potrebno tudi ustvarjanje seznama), kakšen je ustrezen rok hrambe in podobno, skratka dosledno upoštevati vsa načela iz 5. člena Splošne uredbe.

IP ob tem dodaja, da bi moral upravljavec obiskovalce ustrezno obvestiti v skladu s 13. členom Splošne uredbe, med drugim tudi o namenih, za katere se osebni podatki obdelujejo, ter pravno podlago za njihovo obdelavo. Navedene informacije morajo biti čim bolj jasne, pregledne in posameznikom razumljive ter lahko dostopne. Več o tej obveznosti upravljavcev si lahko preberete na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov.

Prav tako IP opozarja, da je to mnenje podano zgolj z vidika varstva osebnih podatkov in ne upošteva pravil stanovanjskega prava, ki jih je nedvomno treba upoštevati pri presoji zakonitosti identificiranja in/ali evidentiranja obiskovalcev večstanovanjskih stavb (pravila bivanja v določeni večstanovanjski stavbi, postopki odločanja stanovalcev, potrebna soglasja in podobno).

Če menite, da je prišlo do kršitve varstva osebnih podatkov, lahko pri IP na neobvezujočem obrazcu »Enotna vloga zaradi kršitve varstva osebnih podatkov (Obrazec VOP prijava)«, ki je dostopen na spletni strani https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/, prijavite morebiten sum sistematičnega kršenja osebnih podatkov ali prijavo zaradi kršitve obdelave vaših osebnih podatkov.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka