Obdelava osebnih podatkov zaradi najema parkirnega mesta

Datum

05.07.2024

Številka

07121-1/2023/1642

Kategorije

Informiranje posameznika, Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da ste prejeli obrazec o zbiranju podatkov o avtomobilih, ki so parkirani v garaži (in ga prilagate zaprosilu). Glede na to, da upravnik razpolaga z osebnimi podatki plačnikov, se sprašujete o namenu zbiranja dodatnih podatkov o avtomobilu. Menite, da bi na podlagi podatkov lahko prišli tudi do št. šasije avtomobila. Menite, da gre za nepotrebno zbiranje podatkov, ki bi lahko vodilo tudi do zlorab.

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov mora upravljavec izkazati ustrezno pravno podlago po prvem odstavku 6. člena Splošne uredbe (npr. izvajanje pogodbe). Upravljavec mora upoštevati tudi t.i. načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. IP tako z nezavezujočim mnenjem ne more vnaprej odgovoriti na vprašanje, kateri osebni podatki so za namen izvajanja pogodbe o najemu parkirnega mesta nujno potrebni. O konkretni obdelavi bi lahko odločal zgolj v konkretnem inšpekcijskem postopku.

Posameznikom morajo biti pred posredovanjem osebnih podatkov zagotovljene informacije o obdelavi osebnih podatkov skladno s 13. členom Splošne uredbe (npr. nameni ter pravna podlaga za obdelavo osebnih podatkov, uporabniki osebnih podatkov, obdobje hrambe, itd.). Predlagamo vam, da se pred posredovanjem svojih osebnih podatkov vedno prepričate, v katere namene jih želi upravljavec prejeti.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. Zakonitost zbiranja konkretnih osebnih podatkov, ki so na priloženem obrazcu, bi lahko zato IP presojal le v okviru konkretnega inšpekcijskega postopka.

Iz priloženega dokumenta izhaja, da gre za »sklep o najemu parkirnega mesta«, katerega podpisnik sta najemnik ter garažni odbor, kar pomeni, da je upravljavec osebnih podatkov v tem primeru garažni odbor in ne upravnik. Zbirali bi se naj podatki o vozilu in sicer znamka avtomobila, registrska številka in številka prometnega dovoljenja najemnika in tudi družinskega člana (če ta izjemoma uporablja parkirno mesto).

IP je v svojih mnenjih že večkrat poudaril, da tehnični podatki o lastnostih vozil sami po sebi niso osebni podatki, ker kažejo na stvar in ne na posameznika. Podatki o avtomobilu, npr. identifikacijski številki motornega vozila, vrsti, tipu ter barvi vozila ipd. pa postanejo osebni podatki takrat, kadar jih je mogoče povezati s posameznikom, na primer s prejšnjim ali sedanjim lastnikom vozila, oziroma je na njihovi podlagi mogoče identificirati lastnika vozila – fizično osebo, kot bi naj bilo tudi v konkretnem primeru.

Nadalje pojasnjujemo, da mora za zakonito obdelavo osebnih podatkov obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe, npr.:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Ob tem opozarjamo, da se točka (f) ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Garažni odbor kot upravljavec osebnih podatkov mora zagotoviti ustrezno pravno podlago za obdelavo osebnih podatkov. Iz opisanega IP sklepa, da se navedeni osebni podatki verjetno obdelujejo zaradi izvajanja pogodbe o najemu parkirnega mesta, zato bi lahko bila pravna podlaga za obdelavo vaših osebnih podatkov s strani garažnega odbora zgoraj citirana točka (b) prvega odstavka 6. člena Splošne uredbe. Nadalje pojasnjujemo, da je zakonitost obdelave osebnih podatkov na podlagi pogodbe odvisna od konkretnih okoliščin, npr. od pogodbenih določil oz. kot je navedeno v konkretnem dokumentu, od določil Garažnega reda. Ob tem opozarjamo, da se lahko zaradi sklenitve pogodbe obdelujejo zgolj tisti osebni podatki, ki so za izvajanje te pogodbe nujno potrebni. Upravljavec mora namreč spoštovati tudi t.i. načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. IP tako vnaprej ne more odgovoriti na vprašanje, kateri osebni podatki so za namen sklenitve iz izvajanja pogodbe o najemu parkirnega mesta nujno potrebni (in ne npr. na zalogo), to presojo mora v konkretnem primeru glede na okoliščine opraviti upravljavec sam, ki je tudi odgovoren za zakonitost obdelave osebnih podatkov.

Poudarjamo pa, da preden posamezniki upravljavcu posredujejo svoje osebne podatke, morajo biti tudi podrobno informirani o obdelavi osebnih podatkov, kot to določa 13. člen Splošne uredbe. Tako morajo npr. prejeti informacije o namenih ter pravni podlagi za obdelavo osebnih podatkov; uporabnikih osebnih podatkov; obdobju hrambe osebnih podatkov; pravicah posameznika, itd. Predlagamo vam, da vedno zahtevate navedene informacije od upravljavca, preden mu posredujete svoje osebne podatke in preverite, v katere namene jih želi prejeti oz. nadalje obdelovati. Več informacij glede obveščanja posameznikov je dostopnih na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/obveščanje-posameznikov-o-obdelavi-osebnih-podatkov.

Če ste osebne podatke že posredovali, lahko skladno s Splošno uredbo uveljavljate tudi pravico dostopa skladno s 15. členom Splošne uredbe. Posameznik ima namreč od upravljavca pravico pridobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in v teh primerih tudi dostop do osebnih podatkov ter nekatere informacije, kot so npr. nameni obdelave. Več o tem lahko preberete na https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki.

V upanju, da ste prejeli odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

Pripravil:

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo