Posredovanje fotografij tatov iz videonadzornega sistema različnim poslovalnicam

Datum

24.02.2023

Številka

07121-1/2023/265

Kategorije

Pravne podlage, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da v svojih poslovalnicah izvajate videonadzor z namenom zavarovanja ljudi in premoženja. Pri tatvinah se pogosto zgodi, da določeni storilci sistematično izvajajo kazniva dejanja v več poslovalnicah zapored. Zanima vas, ali bi bilo v primerih, v katerih ocenjujete ponovitveno nevarnost v večjih trgovinah, dopustno posredovati fotografije tatov poslovalnicam, da lahko preprečijo ali hitreje odkrijejo tovrstne tatvine.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Glede presoje, ali smete posredovati osebne podatke iz videonadzornega sistema poslovalnicam (torej gre za obdelavo znotraj upravljavca) morate biti pozorni na tri ključne elemente:

1.sama vzpostavitev in izvajanje videonadzora mora biti zakonita;

2.zaradi zagotavljanja varnosti obdelave morate v notranjih aktih določiti osebo, ki je odgovorna za dejanja obdelave znotraj videonadzornega sistema, ter osebe, ki lahko zaradi narave njihovega dela obdelujejo podatke iz videonadzornega sistema (ki torej lahko prejmejo osebne podatke iz videonadzornega sistema – izključno za varovanje dobrin, zaradi katerih je bil zakonito vzpostavljen videonadzor);

3.voditi morate dnevnik obdelav, ki zagotavlja sledljivost vsakršne obdelave osebnih podatkov znotraj videonadzornega sistema.

Pri nastanku nove zbirke osebnih podatkov morate biti pozorni na pravno podlago za vzpostavitev in vodenje takšne nove zbirke podatkov, kar je treba razčistiti v najzgodnejši fazi, vsekakor pred začetkom morebitne obdelave osebnih podatkov.

Obrazložitev

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je takšna obdelava osebnih podatkov zakonita.

IP uvodoma pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. Videonadzor je sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil.

Pri videonadzoru mora biti (tako kot za vsako drugo obdelavo osebnih podatkov) podana ustrezna pravna podlaga za vzpostavitev in izvajanje takšnega videonadzora v skladu s Splošno uredbo (6. člen), ZVOP-2 pa podrobneje ureja posamezna vprašanja v zvezi z vzpostavitvijo in izvajanjem videonadzora.

ZVOP-2 videonadzor ureja v 3. poglavju II. dela (76.-80. člen), in sicer so za vaš primer relevantne določbe:

·76. člena - splošne določbe o videonadzoru in varstvu osebnih podatkov;

·77. člena - videonadzor dostopa v uradne službene oziroma poslovne prostore;

·78. člena – videonadzor znotraj delovnih prostorov.

Izvajanje videonadzora na javnih površinah je prav tako posebej urejeno (80. člen ZVOP-2), za morebitno izvajanje videonadzora izven okvirov, ki jih predvideva ZVOP-2, pa se uporabljajo določbe Splošne uredbe (gl. prvi odstavek 6. člena Splošne uredbe). Več o sami vzpostavitvi in izvajanju videonadzora si lahko preberete tukaj: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora.

Glede na to, da se vaše vprašanje nanaša zgolj na uporabo in deljenje posnetkov (oziroma fotografij), pridobljenih iz videonadzornega sistema, se v tem mnenju ne bomo podrobneje spuščali v vprašanje same zakonitosti vzpostavitve in izvajanja videonadzora, seveda pa je zakonitost obvezna predpostavka.

Glede vpogleda, uporabe ali posredovanja posnetkov videonadzornega sistema uvodoma poudarjamo, da je slednje dopustno samo za namene, ki so zakonito obstajali ali bili navedeni na obvestilu v času zajema posnetka.

Nadalje je treba poudariti, da mora upravljavec v skladu z načelom celovitosti in zaupnosti (točka (f) prvega odstavka 5. člena Splošne uredbe) ter skladno z določbo 32. člena Splošne uredbe o varnosti obdelave v notranjih aktih določiti tudi osebo, ki je odgovorna za dejanja obdelave znotraj videonadzornega sistema, ter osebe, ki lahko zaradi narave njihovega dela obdelujejo podatke iz videonadzornega sistema. Navedeno pomeni, da lahko v posnetke videonadzornega sistema oziroma v osebne podatke, ki iz takšnega sistema izhajajo, vpogledajo le za to pooblaščene osebe in v primerih varovanja dobrin (npr. varnost ljudi ali premoženja), zaradi česar je prišlo do (zakonite) vzpostavitve videonadzora.

Po določbah 76. člena ZVOP-2 mora upravljavec videonadzornega sistema nadalje zagotoviti t.i. sledljivost obdelave - možnost naknadnega ugotavljanja, kateri posnetki so bili obdelani, kdaj in kako so bili uporabljeni ali komu so bili posredovani, kdo je izvedel ta dejanja obdelave, kdaj in s kakšnim namenom ali na kateri pravni podlagi. Te podatke hrani v dnevniku obdelave iz 22. člena ZVOP-2 dve leti po koncu leta, ko so nastali.

Glede na to, da v vašem zaprosilu za mnenje ne omenjate, da bi osebne podatke, pridobljene iz videonadzornega sistema, posredovali tretjim osebam, temveč bi jih obdelovali znotraj upravljavca. Vendar se je treba pri tem zavedati, da je glede na vaš opis situacije mogoče sklepati, da bi s predlagano obdelavo osebnih podatkov (fotografij tatov) potencialno nastala nova zbirka osebnih podatkov, torej ločena od same zbirke, ki nastane v okviru videonadzora. Za takšno novo zbirko osebnih podatkov pa prav tako potrebujete ustrezno pravno podlago, kot to določa prvi odstavek 6. člena Splošne uredbe. Svetujemo vam, da omenjene pravne podlage natančno preučite in pred morebitno vzpostavitvijo take nove zbirke ugotovite, ali in katera pravna podlaga bi bila zakonita za takšno obdelavo osebnih podatkov.

Nenazadnje pa se je treba na tem mestu tudi vprašati o pristojnosti za pregon kaznivih dejanj, ki je v principu v domeni policije in državnega tožilstva, deloma pa tudi na predlog oškodovanca. IP za presojo o tem sicer ni pristojen, velja pa pri tem omeniti uvodno določbo 50 Splošne uredbe, ki določa: »Za opozorila s strani upravljavca na morebitna kazniva dejanja ali grožnje javni varnosti in posredovanje zadevnih osebnih podatkov v posameznih primerih ali v več primerih, ki se nanašajo na isto kaznivo dejanje ali grožnje javni varnosti, pristojnemu organu bi moralo veljati, da so v zakonitem interesu, za katerega si prizadeva upravljavec. Takšno posredovanje v zakonitem interesu upravljavca ali nadaljnja obdelava osebnih podatkov pa bi morala biti prepovedana, če obdelava ni združljiva z obveznostjo varovanja pravne ali poklicne skrivnosti ali drugo zavezujočo obveznostjo varovanja skrivnosti.«

Na kakšen način boste to zagotovili, morate presoditi sami ob upoštevanju zgoraj navedenih usmeritev in obveznih določb Splošne uredbe.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov