ANPR na javnih površinah

Datum

19.07.2023

Številka

07120-1/2023/348

Kategorije

Moderne tehnologije, Občine, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede uporabe sistemov za avtomatsko prepoznavo registrskih tablic. Navedli ste, da Zakon o celostnem prometnem načrtovanju (ZCPN) za občine predvideva izdelavo celostne prometne strategije, načrt upravljanja mestne logistike, načrt izvajanja parkirne politike in izvajanja drugih aktivnosti za zagotavljanje učinkovite mobilnosti. Pri tem ste navajali določbe 25. člena ZCPN, ki ureja uporabo naprav za samodejno prepoznavanje vozil pri nadzoru pravilnega parkiranja vozil in upravičenega dostopa do območij z omejenim prometom in nas v zvezi s tem spraševali, ali navedeni člen predstavlja ustrezno pravno podlago za uporabo sistema ANPR za dostop do parkirišč (javna parkirišča in garaže, s katerimi upravlja javno podjetje), za dostop do območja za pešce in za preverjanje ustreznosti vozil, ki vstopajo v območje za pešce.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da 25. člen ZCPN zaradi svoje nejasnosti (nejasne določenosti obdelav osebnih podatkov) ne more predstavljati zakonske podlage za obdelavo osebnih podatkov v smislu drugega odstavka 6. člena ZVOP-2, ne samo s sistemi za avtomatsko prepoznavanje registrskih tablic, ampak tudi z drugimi napravami, ki jih omenja 25. člen ZCPN.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP pojasnjuje, da je videonadzor na javnih površinah urejen v 80. členu ZVOP-2, ki določa tudi, da je pri opredelitvi javne površine kot relevanten potrebno upoštevati zakon, ki ureja urejanje prostora. Pojem javne površine opredeljuje Zakon o urejanju prostora (Uradni list RS, št. 199/21; v nadaljevanju ZUreP-3) v 17. točki prvega odstavka 3. člena. Med drugim določa tudi, da je javna površina lahko v lasti države, občine ali v zasebni lasti. Nadalje ZUreP-3 v 259. členu določa, da je splošna raba javnih površin raba, ki je namenjena prostemu gibanju oseb, predvsem za prehod in dostop do drugih javnih površin, zelenega sistema, bivališč, poslovnih objektov, gospodarske javne infrastrukture in družbene infrastrukture, ter rekreaciji, igri in drugim prostočasnim dejavnostim na prostem.

IP glede na navedeno v prejšnjem odstavku meni, da je javna parkirišča in cone omejenega prometa (tj. tudi območja za pešce, ki jih omenjate v vašem zaprosilu) treba šteti kot javno površino v smislu ZUreP-3, saj je bistveni element opredelitve javne površine, da je namenjena splošni rabi (ne glede na lastništvo).

ZVOP-2 v desetem odstavku 80. člena določa, da je na javnih površinah prepovedana uporaba sistemov za avtomatsko prepoznavo registrskih tablic in sistemov, s katerimi se obdelujejo biometrični osebni podatki. Glede na določbo prvega odstavka 76. člena ZVOP-2 pa takšno obdelavo lahko določi drug zakon. Tak primer je npr. Zakon o cestninjenju (Uradni list RS, 24/15, 41/17, 158/20, 159/21), ki določa uporabo tehničnih sredstev za samodejno optično prepoznavo registrskih tablic pri opravljanju nadzora nad plačevanjem cestnine.

IP je glede razumevanja določbe desetega odstavka 80. člena ZVOP-2 izdal splošno pravno mnenje št. 07121-1/2023/256, z dne 23. 2. 2023, ki ste ga navajali tudi v svojem zaprosilu. Poleg tega je IP izdal tudi pravno mnenje glede št. 07121-1/2023/652 z dne 16. 5. 2023, ki se nanaša na uporabo sistemov za avtomatsko prepoznavo registrskih tablic na javnih parkiriščih in na območjih con omejenega prometa, s katerimi upravlja samoupravna lokalna skupnost oziroma z njene strani ustanovljeno javno podjetje. Ker slednje mnenje vsebuje odgovore glede uporabe obravnavanega sistema v enakih okoliščinah, kot izhajajo iz vašega zaprosila, vas glede odgovorov napotujemo na našo spletno stran https://www.ip-rs.si/mnenja-zvop-2/uporaba-sistemov-za-avtomatsko-prepoznavo-registrskih-tablic-na-javnih-povr%C5%A1inah-s-strani-javnih-podjetij-1684486222 , kjer je to mnenje objavljeno in se v nadaljevanju osredotočamo zgolj na odgovor na vaše vprašanje glede uporabe oziroma razumevanja določb 25. člena ZCPN.

V prvem odstavku 25. člena je določeno, da lahko občina z namenom učinkovitega nadzora nad upravičenim dostopom v območja omejitev in nad pravilnim parkiranjem vozil na javnih parkirnih mestih izvaja nadzor z napravami za samodejno pridobivanje podatkov o vozilih, nameščenimi ali vgrajenimi na, ob ali v vozišče ceste oziroma cestno telo, ali z napravami, nameščenimi na ali v vozila pristojnih služb. S temi napravami se lahko zbirajo samo osebni podatki, ki jih ta člen taksativno našteva in sicer osebno ime lastnika vozila, naslov stalnega ali začasnega prebivališča, EMŠO in zaposlitev odgovorne osebe in slikovne posnetke vozila v delu, ki omogoča prepoznavo registrske označbe vozila in samega vozila. Navedeni člen določa tudi, da je upravljavec zbirke podatkov o dostopu in parkiranju vozil pristojni prekrškovni organ občine in da navedene osebne podatke z navedenimi napravami pridobiva, zbira, obdeluje in upravlja za namene opravljanja nadzora nad dostopom ali parkiranjem in za izvedbo postopka o prekršku. Pri pridobivanju, zbiranju, obdelovanju in vodenju osebnih podatkov pristojni nadzorni organ ravna v skladu z določbami zakona, ki ureja varstvo osebnih podatkov.

V vašem zaprosilu zastavljate vprašanje, ali določbe 25. člena ZCPN vaši občini oziroma njenemu pristojnemu prekrškovnemu organu dajejo pravno podlago za uporabo sistemov za avtomatsko prepoznavo registrskih tablic za dostop do javnih parkirišč, s katerimi upravljate oziroma do območij za pešce, ali je torej določbe navedenega člena ZCPN potrebno razumeti kot določbe drugega zakona v smislu prvega odstavka 76. člena ZVOP-2. Zakon, ki določa pravno podlago za obdelavo osebnih podatkov v javnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka in drugega odstavka 6. člena Splošne uredbe, za kar gre tudi v obravnavanem primeru, mora izpolnjevati kriterije iz drugega odstavka 6. člena ZVOP-2. Ta določa, da je obdelava osebnih podatkov v takem primeru zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon.

Glede razumevanja določb 25. člena ZCPN IP poudarja, da ZCPN za razliko od ZVOP-2, ne uporablja pojma »sistemi za avtomatsko prepoznavo registrskih tablic«, ampak splošnejši pojem »naprave za samodejno prepoznavanje vozil« (v naslovu člena) oziroma »naprave za samodejno pridobivanje podatkov o vozilih« (v besedilu člena), pri čemer ZCPN nobenega od navedenih pojmov natančneje ne opredeljuje. Zakonodajalec torej v naslovu člena in v besedilu člena uporablja dva različna pojma, ki se vsebinsko nikakor ne pokrivata (naprav za samodejno prepoznavanje vozil ni mogoče enačiti z napravami za samodejno pridobivanje podatkov o vozilih). Nejasnost še povečuje dejstvo, da ZCPN nobenega od navedenih pojmov, ne v 3. členu, kjer določa pomen izrazov, ne kje drugje, natančneje ne opredeljuje. Ker navedeni člen ZCPN ne uporablja pojma sistemov za avtomatsko prepoznavo registrskih tablic, ampak dva druga, relativno nejasna, vsebinsko odprta in med seboj različna pojma naprav, s katerimi naj bi se obdelovali osebni podatki in ker tega ni mogoče razbrati niti iz drugih določb tega člena ZCPN, je IP mnenja, da iz 25. člena ZCPN ne izhaja dovolj jasno in nedvoumno, da je kot »naprave« iz tega člena potrebno razumeti tudi sisteme ANPR.

IP ob tem izrecno opozarja tudi na že omenjeno določbo drugega odstavka 6. člena ZVOP-2, ki kot pogoj za zakonitost obdelave osebnih podatkov postavlja tudi določenost obdelav, ki naj se z osebnimi podatki izvajajo, v samem zakonu. Po mnenju IP določba 25. člena ZCPN takega pogoja ne izpolnjuje. Zahtevo 6. člena ZVOP-2 je namreč potrebno razumeti kot zahtevo po jasni in konkretni določitvi, kakšne obdelave osebnih podatkov posameznikov upravljavec na podlagi zakona lahko izvaja, česar pa obravnavani člen ZCPN ne vsebuje. Posameznik iz njegovega besedila namreč ne more jasno razbrati na kakšen način lahko občina oziroma njen prekrškovni organ pridobiva in nadalje obdeluje njegove osebne podatke, ali jih lahko samodejno pridobiva ali tudi samodejno primerja ter za kakšno samodejno pridobivanje in primerjavo pri tem sploh gre, iz katerih virov lahko pridobiva osebne podatke posameznika (na kakšen način in od kje lahko z napravami npr. samodejno pridobiva ime, priimek, naslov in EMŠO posameznikov), itd. Pomenska odprtost opredelitve naprav, s katerimi naj bi občina oziroma njen represivni organ posegala v informacijsko zasebnost posameznikov in posledična nedoločenost obdelav osebnih podatkov, ki se s temi napravami lahko izvajajo, po mnenju IP ne ustrezajo kriteriju iz drugega odstavka 6. člena ZVOP-2, ki zahteva določenost obdelav v zakonu. Namen slednje določbe je prav jasnost, določenost in predvidljivost posegov v ustavno pravico posameznika, ki pa v primeru obravnavane odločbe ni izpolnjen, saj so obdelave osebnih podatkov določene tako nejasno in široko, da upravljavcu omogočajo arbitrarno poseganje v pravico posameznikov do varstva njihovih osebnih podatkov. V skladu z navedenim IP torej meni, da 25. člen ZCPN zaradi svoje nejasnosti (nejasne določenosti obdelav osebnih podatkov) ne more predstavljati zakonske podlage za obdelavo osebnih podatkov v smislu drugega odstavka 6. člena ZVOP-2, ne samo s sistemi za avtomatsko prepoznavanje registrskih tablic, ampak tudi z drugimi napravami, ki jih omenja 25. člen ZCPN.

IP na koncu še dodaja, da bi moral prekrškovni organ občine (če bi zakon določal ustrezno zakonsko podlago za uporabo obravnavanih naprav) kot upravljavec zbirke osebnih podatkov, ki bi nastajala z uporabo naprave za samodejno prepoznavanje vozil oziroma za samodejno pridobivanje podatkov o vozilih, pred začetkom uporabe takšne naprave izdelati oceno učinka, kot mu to nalaga 35. člen Splošne uredbe.

Lepo vas pozdravljamo.

Pripravil

Blaž Pavšič, državni nadzornik za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka