Upravljanje in dostop do video-nadzornega sistema

Datum

15.02.2023

Številka

07121-1/2023/181

Kategorije

Pogodbena obdelava podatkov, Skupni upravljavci, Stanovanjsko in nepremičninsko pravo, Video in avdio nadzor

Pri Informacijskem pooblaščencu (IP) smo dne 30. 1. 2023 prejeli vaše zaprosilo za mnenje glede tega, ali ste v imenu nadzornega odbora večstanovanjskega bloka, dolžni sami upravljati z video-nadzornim sistemom, ki ste ga v bloku uvedli ter ali morate do njega imeti možen dostop oz. ali vam mora z video-nadzornim sistemom upravljati izvajalec ter biti za svoje delo plačan.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

1.Najprej morate temeljito razjasniti, kakšne so vloge in dolžnosti vas kot nadzornega odbora večstanovanske stavbe ter izvajalca videonadzora v povezavi z določitvijo vloge upravljavca in/ali obdelovalca osebnih podatkov.

2.V zvezi s tem pa ni nujno, da ima upravljavec dejansko dostop do podatkov, ki se obdelujejo. Za opredelitev vloge upravljavca je pomembno, da odloča o posameznih ključnih vidikih obdelave (ima odločilni vpliv na namen in (bistvena) sredstva obdelave).

3.Upravljavec osebnih podatkov je odgovoren za skladnost obdelave OP z načeli in pravili, ki jih urejajo predpisi na tem področju ter ima dolžnost, da poskrbi za izvajanje videonadzora na tak način, ki bo skladen.

Obrazložitev

IP v zvezi z vašim vprašanjem pojasnjuje, da je potrebno najprej razjasniti, kdo je glede zadevne obdelave OP (izvajanje videonadzora) upravljavec OP in kdo (če sploh) obdelovalec OP.

Relevantni definiciji upravljavca in obdelovalca, sta sicer določeni v sedmem in osmem odstavku 4. člena Splošne uredbe in sicer:

-„upravljavec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice;

-„obdelovalec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca;

Razmejitev pojmov upravljavec in obdelovalec je včasih v praksi težavno. V pomoč so nam poleg definicij iz Splošne uredbe tudi Smernice Informacijskega pooblaščenca o pogodbeni obdelavi in Smernice Evropskega odbora o varstvu podatkov (EDPB).

Iz Smernic EDPB izhaja, da je upravljavec tisti subjekt, ki odloča o posameznih ključnih vidikih obdelave. Upravljanje se lahko opredeli z zakonom ali pa lahko izhaja iz analize dejanskih elementov ali okoliščin primera. Smernice v 45. odstavku celo navajajo, da ni nujno, da ima upravljavec dejansko dostop do podatkov, ki se obdelujejo. Nekdo, ki dejavnost obdelave odda zunanjemu izvajalcu in ima pri tem odločilni vpliv na namen in (bistvena) sredstva obdelave (na primer tako, da vpliva na to, čigavi osebni podatki se bodo obdelali), se šteje za upravljavca, tudi če nikoli ne bo imel dejanskega dostopa do podatkov.

Šele potem, ko boste opredelili, ali pri izvajanju video-nadzornega sistema nastopate kot upravljavec osebnih podatkov ali ne ter kakšna je vloga podjetja, ki izvaja videonadzor (ali je samostojni upravljavec ali ne; ali samo oz. skupaj z vami določa namene in sredstva obdelave), boste lahko presodili, kakšne so vaše in njihove obveznosti pri zagotavljanju skladnosti takega videonadzora s predpisi na področju varstva osebnih podatkov. Iz razpoložljivih informacij bi bilo sicer možno sklepati, da ste v povezavi z izvajanjem videonadzora v večnamenski stavbi, upravljavci osebnih podatkov, ki se v povezavi z izvajanjem videonadzora obdelujejo.

Vsekakor je upravljavec osebnih podatkov odgovoren za skladnost obdelave OP z načeli in pravili, ki jih urejajo predpisi na področju varstva osebnih podatkov ter ima dolžnost, da poskrbi za izvajanje videonadzora na tak način, ki bo skladen (sklepanje ustreznih pogodbenih določil z izvajalci, zagotavljanje zahtev po varnosti OP ipd.), v zvezi s čimer, bi bil dostop do video-nadzornega sistema vsekakor smiseln. Skladnost obdelave OP mora namreč upravljavec biti zmožen dokazati in zanj tudi odgovarja.

Skladno z 28. členom Splošne uredbe morata tudi upravljavec in obdelovalec skleniti pogodbo o obdelavi osebnih podatkov, ki mora vsebovati nekatere obvezne sestavine. Več o tem si lahko preberete tudi v že izdanih mnenjih IP, ki so dosegljiva na www.ip-rs.si/vop, npr. v mnenju št. 07121-1/2021/640 z dne 2. 4. 2021., in jih IP v tem mnenju podrobneje ne pojasnuje.

Nekaj informacij o pogodbeni obdelavi najdete tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/pogodbena-obdelava, kjer je na voljo tudi vzorec, ki ga lahko uporabite (standardna pogodbena določila).

Vsekakor vam najprej svetujemo, da razjasnite vašo vlogo pri izvajanju videonadzora in vlogo izvajalca, ter določite vaše in njihove obveznosti, pri zagotavljanju skladnega izvajanja videonadzora. V kolikor skladne obdelave OP ne uspete zagotoviti, takega videonadzora in obdelave ne smete izvajati.

V zvezi z vašimi ostalimi vprašanji pa še pojasnjujemo, da IP nima nikakršne pristojnosti podajati mnenj ali navodil, kako naj posamezni upravljavci poslujejo, kadar ne gre za vprašanja s področja varstva osebnih podatkov. V zvezi s tem, IP ne more presojati, ali vam mora upravnik stanovanjske stavbe omogočiti vstop v toplotno postajo ali ne ter ali mora biti izvajalec video-nadzornega sistema za svoje delo plačan ali ne.

V upanju, da smo vam vseeno bili v pomoč, vas lepo pozdravljamo,

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka