Jedro

Da so podatki z registrskih tablic že sami po sebi osebni podatki v smislu 1. točke 4. člena Splošne uredbe, ne izhaja niti iz delne odločbe Ustavnega sodišča U-I-152/17 z dne 4. 7. 2019. Posledično ni mogoče zaključiti, da je toženka pravilno uporabila določbe ZVOP-2, vključno z določbo desetega odstavka 80. člena tega zakona.

Izrek

I.Tožbi se ugodi, odločba Informacijskega pooblaščenca, št. 06100-140/2023/8 z dne 25. 3. 2024, se odpravi in se zadeva vrne istemu organu v ponoven postopek.

II.Predlog tožeče stranke za odložitev izvršitve odločbe Informacijskega pooblaščenca, št. 06100-140/2023/8 z dne 25. 3. 2024, se zavrže.

III.Tožena stranka je dolžna tožeči stranki povrniti stroške tega postopka v znesku 285,00 EUR, v roku 15 dni od vročitve te sodbe, v primeru zamude skupaj z zakonskimi zamudnimi obrestmi, ki tečejo od izteka izpolnitvenega roka do plačila.

Obrazložitev

Izpodbijana odločba

1.Informacijski pooblaščenec (v nadaljevanju: toženka) je z odločbo, št. 06100-140/2023/8 z dne 25. 3. 2024 (v nadaljevanju: izpodbijana odločba), tožniku naložil, da mora do dne 1. 10. 2024 prenehati uporabljati sistem za avtomatsko prepoznavo registrskih tablic, ki ga uporablja na območju vstopne točke v mesto Piran, na območju vstopne točke na parkirišče Fornače in na vstopni točki v garažno hišo Arze (1. točka izreka); da mora do dne 1. 10. 2024 izbrisati osebne podatke, ki jih bo do tega dne zbral z uporabo sistema iz 1. točke te odločbe, in sicer registrsko številko vozila in datum ter uro prihoda vozila, in ki jih bo v času izvršitve 1. točke izreka te odločbe še hranil (2. točka izreka) ter da mora o izvršenih ukrepih iz 1. in 2. točke izreka odločbe v roku 5 dni po izvršitvi toženko pisno obvestiti in predložiti dokaze o tem (3. točka izreka). Odločeno je bilo še, da organu posebni stroški niso nastali, tožnik pa sam trpi svoje stroške postopka (4. točka izreka).

2.V obrazložitvi izpodbijane odločbe je toženka uvodoma povzela navedbe, ki jih je tožnik podal v postopku izdaje te odločbe. Tako je med drugim predstavila njegove navedbe o tem, da obravnavani sistem deluje s pomočjo kamer za avtomatsko prepoznavo registrskih številk vozil, ki ob uspešni prepoznavi posredujejo registrsko številko vozila v interni sistem za vodenje parkirišč oziroma interno SQL bazo. Po pojasnilih tožnika lahko v mesto brezplačno vstopajo vsi obiskovalci, če mesto zapustijo v roku 15 minut. Ob vstopu v mesto obiskovalci pritisnejo gumb, ob čemer se jim avtomatsko natisne parkirni listek, na katerem so navedeni datum in čas prihoda ter registrska številka vozila. Če obiskovalec mesto zapusti v roku 15 minut, mu interni sistem za vodenje parkirišč avtomatsko dvigne zapornico, v nasprotnem pa mora strošek vstopa poravnati ob izhodni točki iz mesta. V Piran lahko vstopajo tudi abonenti oziroma uporabniki, ki imajo s tožnikom sklenjeno pogodbeno razmerje. V teh primerih interni sistem za vodenje parkirišč deluje avtomatsko in uporabniška interakcija ni potrebna, kar pozitivno vpliva na pretočnost prometa. Uporabnik ne prejme parkirnega listka, ampak se datum in ura prihoda ter registrska številka vozila zabeleži v interni sistem tožnika za vodenje parkirišč oziroma interno SQL bazo. Pri obiskovalcih, s katerimi nimajo sklenjenega pogodbenega razmerja, interni sistem za vodenje parkirišč zbira le datum in uro prihoda ter registrsko številko vozila. Tudi pri abonentih oziroma uporabnikih, ki imajo sklenjeno pogodbeno razmerje, ta sistem zbira le navedene podatke, vendar pa je te podatke mogoče povezati s podatki, ki so vneseni v sistem tožnika na podlagi pogodbenega razmerja. Navedene podatke tožnik zbira v sklopu njegovega internega sistema za vodenje parkirišč in povezane avtomatizacije procesov. Po tožnikovih navedbah ni nadaljnje obdelave osebnih podatkov, vsaj ne v smislu obdelave, ki ni zajeta v samem procesu njegovega internega sistema za vodenje parkirišč. Tožnik obravnavano obdelavo osebnih podatkov v celoti izvaja sam in je ni v nobenem delu prenesel na morebitnega zunanjega izvajalca oziroma obdelovalca osebnih podatkov, prav tako obdelave ne izvaja z nobenim drugim subjektom kot skupnim upravljavcem. Tako pridobljenih registrskih številk tožnik ne posreduje drugim subjektom. Ob zaznani nepravilnosti (npr. ko obiskovalec ne želi poravnati stroškov parkirnine) pooblaščena oseba na vstopni točki ročno izpolni poseben občinski obrazec, v katerem navede datum in uro prihoda, registrsko številko vozila, barvo in tip vozila ter opis nepravilnosti. Na podlagi tega obrazca nato pooblaščena oseba za videonadzor vpogleda v ločen videonadzorni sistem (drugi tip kamer), pri katerem izpolni "Obrazec za vpogled v videonadzorni sistem" in v katerem navede datum in uro vpogleda, ime in priimek osebe, ki je opravila vpogled, identifikacijsko oznako kamere in namen vpogleda. Če je vozilo na posnetku jasno razvidno, se fotografija vozila priloži kot dodatno dokazno gradivo obrazcu, izpolnjenemu na vstopni točki, in posreduje tožniku v nadaljnjo obdelavo. Podatki o datumu in uri prihoda ter registrski številki vozila se v primeru abonentov hranijo sedem dni, v primeru obiskovalcev (tj. uporabnikov, ki ob vstopu prejmejo parkirni listek) pa se taki podatki v internem sistemu tožnika za vodenje parkirišč hranijo začasno: od trenutka, ko obiskovalec pritisne gumb na vstopni zapornici, pa do trenutka, ko lokacijo z vozilom zapusti.

3.Med pravno podlago za izdajo izpodbijane odločbe je toženka povzela 38. člen Ustave Republike Slovenije (v nadaljevanju: Ustava), določbe 1. točke 4. člena, 5. člena ter 6. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. 4. 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju: Splošna uredba) ter določbe 80. člena Zakona o varstvu osebnih podatkov (v nadaljevanju: ZVOP-2) in 17. točke prvega odstavka 3. člena in 259. člena Zakona o urejanju prostora (ZUreP-3).

4.Toženka ugotavlja, da tožnik uporablja sistem za avtomatsko prepoznavo registrskih tablic na treh območjih, in sicer na območju vstopne točke v mesto Piran, na območju vstopne točke na parkirišče Fornače in na vstopni točki v garažno hišo Arze. Po njenih zaključkih uporaba tega sistema na navedenih območjih predstavlja uporabo sistema za avtomatsko prepoznavo registrskih tablic na javnih površinah, ki je v desetem odstavku 80. člena ZVOP-2 izrecno prepovedana.

5.V zvezi z navedbami tožnika, da ima za uporabo tega sistema ustrezno pravno podlago, toženka navaja, da je tožnik kot upravljavec v skladu z drugim odstavkom 5. člena Splošne uredbe med drugim odgovoren tudi, da osebne podatke obdeluje v skladu z načelom zakonitosti iz prvega odstavka 5. člena Splošne uredbe in da je to skladnost tudi zmožen dokazati. Tožnik pa v postopku pravne podlage za obravnavano obdelavo osebnih podatkov ni izkazal. Določbe občinskih odlokov in pogodbe, ki jih navaja tožnik, ne morejo predstavljati pravne podlage za uporabo sistema za avtomatsko prepoznavo registrskih tablic, saj ne ustrezajo nobenemu od pogojev za zakonito obdelavo osebnih podatkov iz prvega odstavka 6. člena Splošne uredbe ali 6. člena ZVOP-2. Že iz drugega odstavka 38. člena Ustave izhaja, da obdelavo in namene obdelave osebnih podatkov lahko določa samo zakon, ne pa tudi drugi, hierarhično nižji pravni akti (npr. odlok). Določbe pravnih aktov, na katere se je skliceval tožnik, tudi nikjer ne omenjajo uporabe sistemov za avtomatsko prepoznavo registrskih tablic ali obdelave osebnih podatkov s temi sistemi.

6.Glede tožnikovega sklicevanja na določbe 25. člena Zakona o celostnem prometnem načrtovanju (v nadaljevanju: ZCPN) toženka navaja, da ta zakon, za razliko od ZVOP-2, ne uporablja pojma "sistem za avtomatsko prepoznavo registrskih tablic", ampak splošnejši pojem "naprave za samodejno prepoznavanje vozil" (v naslovu člena) oziroma "naprave za samodejno pridobivanje podatkov o vozilih" (v besedilu člena), pri čemer ZCPN nobenega od navedenih pojmov natančneje ne opredeljuje. ZCPN torej uporablja dva različna pojma, ki se vsebinsko ne pokrivata. Poleg tega sta po mnenju toženke tako nejasna, vsebinsko odprta in med seboj različna, da kot "naprave" iz tega člena po njenem mnenju ni mogoče razumeti tudi sistemov za avtomatsko prepoznavo registrskih tablic.

7.Toženka dalje pojasnjuje, da je potrebno upoštevati tudi določbo drugega odstavka 6. člena ZVOP-2, ki kot pogoj za zakonitost obdelave osebnih podatkov postavlja tudi določenost obdelav, ki naj se z osebnimi podatki izvajajo, v samem zakonu. Določba 25. člena ZCPN takega pogoja ne izpolnjuje, saj ne določa jasno in konkretno, kakšne obdelave osebnih podatkov posameznikov lahko upravljavec na podlagi zakona izvaja. Določba desetega odstavka 80. člena ZVOP-2 pa na drugi strani uporabo sistemov za avtomatsko prepoznavo registrskih tablic povsem jasno in nedvoumno prepoveduje.

8.Kot poudarja toženka, četudi bi držale navedbe tožnika ter bi se sistemi za obdelavo osebnih podatkov iz 25. člena ZCPN in 80. člena ZVOP-2 vsebinsko prekrivali, to na odločitev ne bi vplivalo. Šlo bi za situacijo, ko bi isto dejansko stanje urejala dva zakona, vendar pa bi bilo v tem primeru ob uporabi pravila lex posterior derogat legi priori (mlajši zakon derogira starejšega), kakor tudi pravila lex specialis derogat legi generali (specialnejši zakon derogira splošnejšega) potrebno dati prednost uporabi določbe 80. člena ZVOP-2. Toženka izpostavlja tudi navedbe tožnika, da je sistem avtomatske prepoznave registrskih tablic uvedel v letu 2019, ZCPN pa je pričel veljati 26. 10. 2022, kar pomeni, da se tožnik ob uvedbi tega sistema ni mogel zanašati oziroma svojega ravnanja opreti na določbe zakona, ki takrat sploh še ni veljal.

9.Toženka še poudarja, da tudi če bi 25. člen ZCPN dajal pravno podlago za uporabo obravnavanega sistema avtomatske prepoznave registrskih tablic, tega že po sami določbi 25. člena ZCPN ne bi mogel uporabljati oziroma izvajati tožnik, pač pa prekrškovni organ Občine Piran.

10.V zvezi s tožnikovim sklicevanjem na točko e) prvega odstavka 6. člena Splošne uredbe toženka pojasnjuje, da slednja še ne daje neposredne pravne podlage za obdelavo osebnih podatkov, ampak terja njeno vzpostavitev v nacionalnem zakonu, kar izhaja iz odločbe Ustavnega sodišča U-I-180/21 z dne 14. 4. 2022 ter drugega odstavka 6. člena ZVOP-2. V obravnavanem primeru pa ne samo, da zakonodajalec uporabe sistemov za avtomatsko prepoznavo registrskih tablic zaradi javnega interesa ali izvajanja javne oblasti ni dovolil v nobenem zakonu, ampak je uporabo takih sistemov na javnih površinah v desetem odstavku 80. člena ZVOP-2 izrecno in brezpogojno prepovedal. Po mnenju toženke pa tožnik v postopku izdaje izpodbijane odločbe ni navajal, zakaj meni, da prepoved iz 80. člena ZVOP-2 zanj ne velja.

11.Toženka je zavrnila tudi navedbe tožnika, da bi morala ob nejasnosti 25. člena ZCPN uporabiti pravno pravilo, da se odloči v njegovo korist, in pojasnila, da vse primere, s katerimi je seznanjena, obravnava enako. Kot utemeljene pa je sprejela tožnikove navedbe glede določitve daljšega roka za odpravo ugotovljenih nepravilnosti in kot rok za to določila 1. 10. 2024.

Tožbene navedbe

12.Tožnik je zoper izpodbijano odločbo vložil tožbo v upravnem sporu zaradi zmotne uporabe prava (1. točka prvega odstavka 27. člena Zakona o upravnem sporu, v nadaljevanju: ZUS-1). Sodišču predlaga, da izpodbijano odločbo odpravi in zadevo vrne toženki v ponovni postopek. Zahteva tudi povrnitev stroškov tega postopka z zamudnimi obrestmi.

13.V tožbi ugovarja, da je toženka nepravilno uporabila oziroma razlagala določbo 25. člena ZCPN in 80. člena ZVOP-2, saj je sam pravna oseba zasebnega prava, ki ima pravico uporabljati sistem za avtomatsko prepoznavo registrskih tablic na podlagi točke f) prvega odstavka 6. člena Splošne uredbe. Napravo za avtomatsko prepoznavo registrskih tablic za potrebe delovanja zapornic, ki omejujejo dostop v mesto Piran, na parkirišče Fornače in v garažno hišo Arze uporablja v skladu z določbo prvega odstavka 25. člena ZCPN. Sporna naprava pa ne predstavlja videonadzora na javnih površinah zaradi obstoja resne in utemeljene nevarnosti za življenje, osebno svobodo, telo ali zdravje ljudi, varnosti premoženja upravljavca ali varovanja tajnih podatkov upravljavca ali obdelovalca v smislu 80. člena ZVOP-2. Zato uporaba te določbe v obravnavani zadevi ne pride v poštev.

14.Po njegovem mnenju v obravnavani zadevi ne gre za kolizijo ZCPN in ZVOP-2. Prav tako ni bistveno razlikovanje med pojmi "sistemi za avtomatsko prepoznavo registrskih tablic", "naprave za samodejno prepoznavanje vozil" in "naprave za samodejno pridobivanje podatkov o vozilih" ter med njimi tudi ni nobene vsebinske razlike. Na podlagi primerjave teh pojmov ni mogoče trditi, da je ZVOP-2 specialnejši zakon v primerjavi z ZCPN, ker naj bi bila naprava v ZVOP-2 ožje opredeljena kot v ZCPN. Tudi sicer je to nepomembno, tako kot je nepomembno, da je ZVOP-2 dva meseca mlajši zakon od ZCPN. Odločilen je namen, zaradi katerega tožnik uporablja sistem za avtomatsko prepoznavo registrskih tablic. Ta je namenjen odčitavanju oziroma optičnemu prepoznavanju registrskih tablic za potrebe delovanja zapornic, ki omejujejo dostop do območij z omejenim prometom in parkirišč.

15.Tožnik meni, da je glede na okoliščine primera potrebno za presojo ustreznosti njegovega ravnanja uporabiti določbo prvega odstavka 25. člena ZCPN in ne določbo desetega odstavka 80. člena ZVOP-2. Razlaga toženke, da sistemi za avtomatsko prepoznavo registrskih tablic ne spadajo med naprave za samodejno prepoznavanje vozil oziroma samodejno pridobivanje podatkov o vozilih, je po njegovem mnenju zgrešena. Ker uporablja napravo za avtomatsko prepoznavo registrskih tablic v skladu z določbo 25. člena ZCPN, je njegovo ravnanje v skladu z zakonom. Toženka pa te določbe materialnega prava ni uporabila, ampak je namesto nje nepravilno uporabila določbo 80. člena ZVOP-2, zato je pri izdaji izpodbijane odločbe prišlo do zmotne uporabe prava.

16.Tožnik poudarja, da se v skladu s prvim odstavkom 6. člena ZVOP-2 osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Prepoved obdelave osebnih podatkov iz desetega odstavka 80. člena ZVOP-2 se lahko nanaša na sisteme za avtomatsko prepoznavo registrskih tablic, ki bi jih upravljavci na javnih površinah uporabljali ob izpolnjevanju pogoja iz točk c) in e) prvega odstavka 6. člena Splošne uredbe, ne pa tudi na primere, ko bi uporaba teh sistemov na javnih površinah temeljila na kateri drugi pravni podlagi iz prvega odstavka 6. člena Splošne uredbe. To pomeni, da so na javnih površinah prepovedani sistemi za avtomatsko prepoznavo registrskih tablic, katerih uporaba bi bila potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti upravljavca - ki bi torej temeljila na določbah c) ali e) prvega odstavka 6. člena Splošne uredbe. Take sisteme pa je na javnih površinah dovoljeno uporabljati, če upravljavec izkaže, da za to obstaja katera od drugih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe. Tako izhaja iz mnenja toženke št. 07121-1/2023/556 z dne 25. 4. 2023.

17.Kot pojasnjuje tožnik, je sam javno podjetje in izvajalec gospodarske javne službe "dejavnosti urejanja javnih parkirnih površin in garažnih hiš" glede na določbo 14. točke prvega odstavka 7. člena Odloka o gospodarskih javnih službah v Občini Piran. Po 4. točki drugega odstavka 5. člena ZVOP-2 spada med pravne osebe zasebnega sektorja, zato se zanj uporablja pravna podlaga iz točke f) prvega odstavka 6. člena Splošne uredbe. Ta določa, da je obdelava osebnih podatkov zakonita, če je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Tako ima tožnik pravico obdelovati osebne podatke s sistemi za avtomatsko prepoznavo registrskih tablic zaradi zakonitih interesov, za katere si prizadeva, saj ti interesi prevladajo nad interesi ali temeljnimi pravicami in svoboščinami posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov. Z odčitavanjem registrske tablice vozila po njegovem mnenju ne more priti do posega v posameznikove interese, pravice in svoboščine in to ni v nikakršni zvezi s posameznikovo zasebnostjo in dostojanstvom. Ni mogoče govoriti o posegu v zasebnost oziroma v osebnostno sfero, saj posameznik ni objekt nadzora. Uporaba sistema za avtomatsko prepoznavo registrskih tablic je namenjena delovanju zapornic, ki omejujejo dostop v mesto Piran, na parkirišče Fornače in v garažno hišo Arze. S tem ni kršena nobena ustavna pravica posameznika. Toženka ni uporabila določbe točke f) prvega odstavka 6. člena Splošne uredbe, zato je pri izdaji izpodbijane odločbe prišlo do zmotne uporabe prava.

Nadaljnji potek upravnega spora

18.Toženka je sodišču predložila upravne spise zadeve ter podala odgovor na tožbo, v katerem predlaga, da sodišče tožbo zavrne. Meni, da je že izpodbijana odločba obsežno obrazložena, zato se v odgovoru osredotoča zgolj na nekatere, zanjo najbolj napačne tožbene navedbe in zaključke, v ostalem pa se sklicuje na obrazložitev izpodbijane odločbe.

19.Dodatno navaja, da je tožnik po lastnem zatrjevanju pravna oseba zasebnega prava in ne prekrškovni organ občine, zato je njegovo sklicevanje na 25. člen ZCPN neutemeljeno. Po njenem mnenju 80. člena ZVOP-2 na eni strani določa pogoje za izvajanje videonadzora na javnih površinah, na drugi strani pa določene vrste videonadzora - sisteme za avtomatsko prepoznavo registrskih tablic - na takih površinah izrecno prepoveduje. Po stališču toženke se prepoved iz desetega odstavka 80. člena ZVOP-2 ne nanaša zgolj na namene iz prvega odstavka tega člena ZVOP-2, ampak gre za splošno prepoved uporabe teh sistemov, ne glede na namen, za katerega bi se uporabljali.

20.Toženka poudarja, da se tožnik v tožbi prvič in na novo sklicuje na točko f) prvega odstavka 6. člena Splošne uredbe. V postopku izdaje izpodbijane odločbe se je skliceval na podlago iz točke e) prvega odstavka 6. člena Splošne uredbe, tj. da je obdelava potrebna za opravljanje naloge v javnem interesu. Upravljavec je tisti, ki je v skladu z drugim odstavkom 5. člena Splošne uredbe odgovoren za skladnost z načelom zakonitosti in mora biti to skladnost tudi zmožen dokazati. Dokazno breme glede izpolnjevanja pogojev za zakonito obdelavo osebnih podatkov iz 6. člena Splošne uredbe je torej v celoti na strani tožnika kot upravljavca osebnih podatkov. Tožnik pa ne samo, da skladnosti z načelom zakonitosti v postopku izdaje izpodbijane odločbe ni dokazal, pač pa je skladnost utemeljeval na povsem drugi pravni podlagi.

21.Toženka še dodaja, da mora upravljavec poznati in zagotoviti pravno podlago za obdelavo osebnih podatkov, še preden obdelavo začne izvajati in z njo posegati v ustavno pravico posameznikov do varstva njihove informacijske zasebnosti, zato je v nasprotju z načelom poštenosti in preglednosti, če upravljavec sploh ne pozna pravne podlage za obdelavo osebnih podatkov, ki jo izvaja in se sklicuje vsakič na drugo pravno podlago. Poleg tega je potrebno pogoje iz prvega odstavka 6. člena Splošne uredbe razumeti vsebinsko in ne zgolj formalistično. Iz okoliščin, ki jih je v postopku izdaje izpodbijane odločbe navajal tožnik, je jasno, da je šlo v obravnavanem primeru po vsebini za obdelavo, ki naj bi jo tožnik izvajal zaradi opravljanja nalog v javnem interesu, zato je ni možno le formalistično spreminjati v obdelavo, ki naj bi se izvajala zaradi zakonitih interesov upravljavca, da bi slednji s tem izpolnjeval pogoj iz točke f) prvega odstavka 6. člena Splošne uredbe.

22.Toženka opozarja, da se tožnik tudi v tožbi zgolj sklicuje na izpolnjevanje pogoja iz točke f) prvega odstavka 6. člena Splošne uredbe, nikjer pa ne navede in še manj utemelji, za izpolnitev katerega zakonitega interesa si prizadeva, zakaj gre za nujen zakoniti interes, ki prevlada nad interesi, pravicami in svoboščinami posameznika, zakaj zakonitega interesa ne more razumno doseči z drugimi sredstvi, ki manj posegajo v temeljne pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, in kako je svoj zakoniti interes uskladil z interesi posameznikov, katerih osebne podatke obdeluje. Po mnenju toženke iz tožnikovih navedb izhaja, da posega v posameznikove interese, pravice in svoboščine, do katerega prihaja pri obdelavi osebnih podatkov, ki jo izvaja, sploh ne priznava in posledično tudi ne upošteva, kar je v nasprotju z ustaljeno ustavnosodno prakso, skladno s katero pomeni vsako obdelovanje osebnih podatkov poseg v ustavno pravico do varstva osebnih podatkov iz 38. člena Ustave. Ob tem se toženka sklicuje na odločbo Ustavnega sodišča št. U-I-152/17.

23.Tožnik je v vlogi z dne 26. 8. 2024 ponovno poudaril pomen vpeljave sistema avtomatske prepoznave registrskih tablic in s tem dosežene učinke. Hkrati je predlagal, da sodišče odloži izvršitev izpodbijane odločbe do izdaje pravnomočne odločbe v obravnavni zadevi, saj bi z izvršitvijo izpodbijane odločbe tako njemu kot mestu Piran nastala težko popravljiva škoda. Sistem avtomatske prepoznave registrskih tablic je ključen za zagotavljanje mobilnosti in pretočnosti prometa v mestu, kar ima številne učinke na javno in zakonito korist. Prenehanje uporabe tega sistema bi bistveno zmanjšalo prometno pretočnost v mestu in bi povzročalo ponovne zastoje na kritičnih prometnih točkah ter tudi zmedo med sedanjimi uporabniki, zlasti prebivalci. Prometni zastoji, ki bi po 1. 10. 2024 nastajali brez obstoječega sistema avtomatske prepoznave registrskih tablic, so za življenje prebivalcev Pirana in nasploh za turistično destinacijo Piran absolutno nesprejemljivi. Tako nastala težko popravljiva škoda je nedvomno hujša posledica od tega, da bi toženka morala z izvršitvijo izpodbijane odločbe počakati do pravnomočne odločitve sodišča v tej zadevi.

24.Navedeno vlogo z dne 26. 8. 2024, s katero je tožnik podal predlog za izdajo začasne odredbe do pravnomočne odločitve o tožbi v tem upravnem sporu, je sodišče vročilo toženki, ki nanjo v danem roku ni odgovorila.

25.Sodišče je v tem upravnem sporu odločilo brez glavne obravnave, ker je v zadevi primarno sporna uporaba materialnega prava; že na podlagi tožbe, izpodbijanega akta in upravnih spisov pa je bilo očitno treba tožbi ugoditi in upravni akt odpraviti na podlagi prvega odstavka 64. člena ZUS-1, pri čemer v tem sodnem postopku ne sodeluje stranski udeleženec z nasprotnim interesom (prva alineja drugega odstavka 59. člena ZUS-1).

Odločitev sodišča

K I. točki izreka

26.Tožba je utemeljena.

27.Predmet presoje v tem upravnem sporu je zakonitost izpodbijane odločbe, s katero je toženka tožniku naložila, da do 1. 10. 2024 preneha uporabljati sistem za avtomatsko prepoznavo registrskih tablic, ki ga uporablja na območju vstopne točke v mesto Piran, na območju vstopne točke na parkirišče Fornače in na vstopni točki v garažno hišo Arze, ter da mora do 1. 10. 2024 izbrisati tako zbrane osebne podatke.

28.Tožnik toženki očita zmotno uporabo desetega odstavka 8o. člena ZVOP-2, ki določa, da je na javnih površinah prepovedana uporaba sistemov za avtomatsko prepoznavo registrskih tablic. Iz prvega odstavka 3. člena ZVOP-2 izhaja, da določbe tega zakona veljajo za obdelave osebnih podatkov, in tudi iz prvega odstavka 2. člena Splošne uredbe izhaja, da se njene določbe uporabijo v primeru obdelave osebnih podatkov. Za uporabo določb ZVOP-2 in v tem okviru njegovega 80. člena, prav tako pa za uporabo določb Splošne uredbe, je torej najprej treba ugotoviti, ali podatki na registrskih tablicah vozil predstavljajo osebne podatke.

29.Čeprav toženka tega v izpodbijani odločbi ni izrecno zapisala, je - glede na to, da je svojo odločitev oprla na določbe desetega odstavka 80. člena ZVOP-2 - očitno štela, da podatki na registrskih tablicah vozil, ki jih prepoznava tožnikov sistem na omenjenih lokacijah, že sami po sebi predstavljajo osebne podatke. Tudi iz siceršnje obrazložitve izpodbijane odločbe izhaja, da po mnenju toženke tožnikovo ravnanje pomeni poseg v pravico do varstva osebnih podatkov in s tem v zasebnost posameznika.1 Za tožnika pa to stališče toženke ni nesporno, saj je v tožbi in v vlogi z dne 26. 8. 2024 med drugim navedel, da z odčitavanjem registrske tablice vozila ne more priti do posega v posameznikove interese, pravice in svoboščine, da to ni v zvezi z njegovo zasebnostjo in dostojanstvom, saj objekt nadzora ni posameznik. Uporaba sistema za avtomatsko prepoznavo registrskih tablic je po navedbah tožnika namenjena delovanju zapornic na omenjenih lokacijah in s tem po njegovem mnenju ni kršena nobena ustavna pravica posameznika.

30.Glede na opisano tožnikovo stališče je za presojo pravilnosti uporabe desetega odstavka 80. člena ZVOP-2 prvenstveno pomembno, ali avtomatska prepoznava registrskih tablic, kakršno izvaja tožnik na omenjenih treh lokacijah, pomeni obdelavo osebnih podatkov. Skladno s prvim odstavkom 5. člena ZVOP-2 je treba izraz "osebni podatek" razumeti, kot ga opredeljuje Splošna uredba. Ta v 1. točki 4. člena določa, da osebni podatek pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik pa je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Po 2. točki 4. člena Splošne uredbe obdelava pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje.

31.Podatki na registrskih tablicah vozil sami po sebi niso podatki, ki bi neposredno razkrivali določenega posameznika. Ni pa izključeno, da je v posameznih situacijah na njihovi podlagi posameznika vsaj posredno mogoče določiti.

32.Sodišče Evropske unije (v nadaljevanju: SEU) je večkrat pojasnilo (najprej še na podlagi enake opredelitve pojma osebnega podatka v Direktivi 95/46/ES), da se opredelitev osebnega podatka nanaša na situacije, ko so zadevne informacije povezane z določeno fizično osebo zaradi svoje vsebine, namena in učinka. V sodbi C-582/14 z dne 19. 10. 2016 (v tej zadevi je obravnavalo vprašanje, ali je dinamični naslov internetnega protokola, tj. IP‑naslov, osebni podatek v razmerju do ponudnika storitev spletnih medijev, ki ga je shranil) je SEU navedlo, da je za ugotovitev, ali je posameznik neposredno ali posredno določljiv, treba upoštevati vsa sredstva, za katera se lahko razumno pričakuje, da jih bosta bodisi upravljavec bodisi tretja oseba uporabila za določitev posameznika, ne da bi se zahtevalo, da z vsemi informacijami, ki omogočajo določitev navedenega posameznika, razpolaga ena sama oseba. Vendar je ob tem tudi poudarilo, da je treba ugotoviti, ali se razumno pričakuje, da se bo podatek uporabil za identifikacijo posameznika na katerega se nanašajo osebni podatki. SEU je pritrdilo mnenju generalnega pravobranilca, da do tega ne bi prišlo v primeru, če bi bila identifikacija posameznika, na katerega se nanašajo osebni podatki, prepovedana z zakonom ali praktično neizvedljiva, npr. zaradi pretiranega truda z vidika časa ter človeških in finančnih virov, tako da bi se tveganje identifikacije dejansko zdelo nepomembno. Po stališču SEU je treba preveriti, ali za to obstajajo zakonite poti.

33.V sodbi v zadevi C-319/22 z dne 9. 11. 2023 je SEU glede identifikacijske številke VIN2 vozil (tj. alfanumerične oznake, ki jo vozilu dodeli proizvajalec, da se zagotovi pravilna identifikacija vsakega vozila) navedlo, da podatek, kot je VIN, kot tak ni "oseben podatek", pridobi pa status osebnega podatka za kogar koli, ki ima razumno na voljo sredstva, ki omogočajo povezavo z določeno osebo. Kadar lahko neodvisni izvajalci razumno razpolagajo s sredstvi, ki jim omogočajo povezati VIN z določenim ali določljivim posameznikom, ta VIN zanje pomeni osebni podatek v smislu 1. točke 4. člena Splošne uredbe. Posredno pomeni VIN osebni podatek za proizvajalce avtomobilov, ki ga dajejo na voljo, čeprav VIN za te proizvajalce sam po sebi ni osebni podatek in zlasti ni osebni podatek, kadar vozilo, ki mu je bil ta VIN dodeljen, ni v lasti fizične osebe. SEU je v omenjeni zadevi, upoštevaje okoliščine te zadeve, zaključilo, da VIN pomeni osebni podatek, ker sta morala biti v potrdilu o registraciji vozila navedena tudi ime in naslov imetnika tega potrdila, poleg tega je lahko fizična oseba v tem potrdilu navedena kot lastnik vozila ali kot oseba, ki lahko uporablja vozilo na podlagi druge zakonske pravice.

34.V sodbi v zadevi T-557/290 z dne 26. 4. 2023 (sodba še ni pravnomočna, zoper njo je vložena pritožba) je Splošno sodišče (ob upoštevanju enake opredelitve osebnega podatka v 1. točki 3. člena Uredbe 2018/1725) v zvezi s svojim stališčem, da pojem osebnih podatkov vključuje raznovrstne informacije, tako objektivne kot subjektivne v obliki mnenj ali presoj, če se te "nanašajo" na zadevno osebo, razsodilo, da je slednji pogoj izpolnjen, če je informacija zaradi svoje vsebine, namena ali učinka povezana z določeno osebo. Ugotovilo pa je, da Evropski nadzornik za varstvo podatkov (v nadaljevanju: ENVP) v tam izpodbijanem sklepu ni preučil ne vsebine, ne namena, ne učinka informacij, posredovanih družbi A. s strani Enotnega odbora za reševanje bank v težavah (v nadaljevanju: EOR). Tej družbi je bila posredovana alfanumerična koda, ki sama po sebi ni omogočala identifikacije avtorjev pripomb, ta družba pa tudi ni imela dostopa do podatkov, na podlagi katerih bi bilo mogoče udeležence zaradi alfanumerične kode povezati z njihovimi pripombami. Trditev ENVP - da ni bilo treba raziskati, ali je omenjea družba avtorje informacij, ki so ji bile posredovane, lahko ponovno identificirala oziroma ali je bila ta ponovna identifikacija razumno mogoča - je bila po presoji Splošnega sodišča napačna. ENVP je namreč menil, da dejstvo, da je imel EOR dodatne informacije, na podlagi katerih je bilo mogoče ponovno identificirati avtorje pripomb, zadostuje za ugotovitev, da so bile informacije, ki so bile posredovane družbi A., osebni podatki. Po presoji Splošnega sodišča pa bi moral ENVP ugotoviti, ali gre v primeru možnosti povezave informacij, ki so bile posredovane družbi A., z dodatnimi informacijami, ki jih ima na voljo EOR, za sredstvo, ki ga ta družba lahko razumno uporabi za identifikacijo avtorjev pripomb. Ker ENVP ni preveril, ali ima družba A. v praksi na voljo zakonita in izvedljiva sredstva, ki bi ji omogočala dostop do dodatnih informacij, potrebnih za ponovno identifikacijo avtorjev pripomb, ENVP po presoji Splošnega sodišča ni mogel ugotoviti, da gre v primeru informacij, posredovanih družbi A., za informacije, ki se nanašajo na "določljivega posameznika."

35.Da so podatki z registrskih tablic že sami po sebi osebni podatki v smislu 1. točke 4. člena Splošne uredbe, ne izhaja niti iz delne odločbe Ustavnega sodišča U-I-152/17 z dne 4. 7. 2019. V njej je Ustavno sodišče presojalo zakonitost policijskega ukrepa uporabe tehničnih sredstev za optično prepoznavo registrskih tablic s samodejnim dostopom do podatkov oziroma primerjanjem podatkov. Ob upoštevanju enake opredelitve pojma osebni podatek, kot jo določa 1. točka 4. člena Splošne uredbe, je Ustavno sodišče sicer navedlo, da je podatek o registrski tablici (skupaj s podatkom o datumu, kraju in času nastanka posnetka) osebni podatek, vendar je ob tem pojasnilo, da zato, ker se nanaša na informacije v zvezi z vozilom določenega oziroma določljivega posameznika. V obravnavani zadevi je Ustavno sodišče namreč upoštevalo zlasti, da je bil namen spornega policijskega ukrepa iskanje oseb in izločanje iz prometa oseb, ki ne izpolnjujejo pogojev za udeležbo v prometu, ter da je zato očitno, da je podatek o registrski tablici namenjen prav identifikaciji posameznika. Ustavno sodišče je tudi poudarilo, da je ključni element izpodbijanega ukrepa samodejno (avtomatizirano) primerjanje zbranih podatkov o registrski tablici z drugimi evidencami osebnih podatkov, saj šele na tej podlagi lahko policija oceni, ali je treba vozilo oziroma voznika dodatno preveriti. Brez te možnosti je golo zbiranje podatkov o registrskih tablicah brez pomena. Tudi iz obrazložitve te odločbe Ustavnega sodišča tako izhaja, da je Ustavno sodišče podatek o registrski tablici štelo za osebni podatek zlasti zaradi namena njegove uporabe, ki je bil v določitvi posamezne fizične osebe. Predvsem pa je v navedeni zadevi policija sama imela na voljo (tehnična) sredstva, s katerimi je mogla podatke z registrskih tablic vozil takoj povezati z evidenco lastnikov vozil.

36.Povzeta stališča ne potrjujejo stališča, da podatki z registrskih tablic vozil sami po sebi in v vsakem primeru pomenijo osebne podatke v smislu 1. točke 4. člena Splošne uredbe. Posledično ni mogoče zaključiti, da je toženka pravilno uporabila določbe ZVOP-2, vključno z določbo desetega odstavka 80. člena tega zakona. Ker je bilo torej v izpodbijani odločbi zmotno uporabljeno materialno pravo, je sodišče na podlagi 4. točke prvega odstavka 64. člena ZUS-1 tožbi ugodilo, izpodbijano odločbo odpravilo ter zadevo vrnilo toženki v ponovni postopek.

37.V ponovljenem postopku bo morala toženka zaradi pravilne uporabe 80. člena ZVOP-2 ponovno presoditi, ali gre pri prepoznavi registrskih tablic, kot jo izvaja tožnik, za obdelavo osebnih podatkov v smislu 1. točke 4. člena Splošne uredbe, v tem okviru pa ugotoviti in pojasniti zlasti, ali, kako oziroma v katerih primerih je mogoče s strani tožnika zbranimi podatki o registrskih tablicah vozil identificirati fizične osebe. Pri tem bo morala upoštevati povzeta stališča SEU, da morajo biti zadevne informacije povezane z določeno osebo zaradi svoje vsebine, namena in učinka, da je za ugotovitev neposredne ali posredne določljivosti posameznika treba upoštevati vsa sredstva, za katera se lahko razumno pričakuje, da jih bo zlasti tožnik uporabil za določitev posameznika, ter da je pomembno tudi, ali ima za to na voljo zakonita in izvedljiva sredstva (tako npr. ni nepomembno, da tožnik ne spada med subjekte, ki lahko po prvem odstavku 64. člena Zakona o motornih vozilih dostopajo do evidence registriranih vozil, drugače kot to velja za policijo, na katero se nanaša prej omenjena odločba Ustavnega sodišča). Toženka se bo ob tem morala opredeliti do že v postopku izdaje izpodbijane odločbe podanih navedb tožnika o namenu, načinih in podlagah (nepogodbenih in pogodbenih) izvajanja avtomatske prepoznave registrskih tablic na omenjenih treh lokacijah.

K II. točki izreka

ZUS-1 v drugem odstavku 32. člena določa, da sodišče na tožnikov predlog odloži izvršitev izpodbijanega akta do izdaje pravnomočne odločbe, če bi se z izvršitvijo akta prizadela tožniku težko popravljiva škoda; pri odločanju mora sodišče skladno z načelom sorazmernosti upoštevati tudi prizadetost javne koristi ter koristi nasprotnih strank. Iz citirane določbe torej izhaja, da lahko sodišče na tožnikov predlog odloži izvršitev izpodbijanega akta le do izdaje pravnomočne sodne odločbe o tožbi. Ker je sodišče s sodbo iz I. točke izreka (zoper katero po prvem odstavku 73. člena ZUS-1 pritožba ni dovoljena in ki je pravnomočna z dnem izdaje sodbe) pravnomočno odločilo o tožbi, predlagane začasne odredbe ne more več izdati. Že zaradi odprave izpodbijane odločbe ta ni več izvršljiva. Posledično tožnik za izdajo predlagane začasne odredbe nima več pravnega interesa. Njegov predlog za odložitev izvršitve izpodbijane odločbe je zato sodišče zavrglo ob uporabi določb drugega odstavka 32. člena in 6. točke prvega odstavka 36. člena ZUS-1.

K III. točki izreka

38.Ker je s tožbo uspel, je tožnik na podlagi tretjega odstavka 25. člena ZUS-1 upravičen, da mu toženka povrne stroške tega sodnega postopka, ki jih je sodišče odmerilo na temelju določb Pravilnika o povrnitvi stroškov postopka tožniku v upravnem sporu. Na tej podlagi je tožnik, ob upoštevanju, da je bila zadeva rešena brez glavne obravnave in da ga je v postopku kot pooblaščenka zastopala odvetniška družba, v skladu z drugim odstavkom 3. člena Pravilnika upravičen do pavšalnega zneska povračila stroškov v višini 285,00 EUR. S Pravilnikom določeni pavšalni znesek zajema vse stroške pravnega zastopanja v upravnem sporu na prvi stopnji, vključno z materialnimi, razen DDV (ki ga ni uveljavljal) in sodnih taks. Toženka mora tako tožniku povrniti stroške upravnega spora v višini 285,00 EUR, v roku 15 dni od vročitve te sodbe (313. člen Zakona o pravdnem postopku, ZPP, v zvezi s prvim odstavkom 22. člena ZUS-1), v primeru zamude skupaj z zakonskimi zamudnimi obrestmi, ki tečejo od izteka izpolnitvenega roka do plačila.

39.Za tožbo plačano sodno takso bo tožniku vrnilo sodišče po uradni dolžnosti, upoštevajoč določbe 36. in 37. člena Zakona o sodnih taksah (ZST-1) ter opombe 6.1.c taksne tarife tega zakona. Glede na uspeh s tožbo, omenjene določbe ZST-1 in v tej zvezi ustaljeno sodno prakso, sodišče od tožnika plačila sodne takse za postopek z začasno odredbo ne bo zahtevalo.

-------------------------------

1Ta pravica je kot eden od vidikov posameznikove zasebnosti (t.i. informacijske zasebnosti) zagotovljena v 38. členu Ustave. S tem, ko Ustava to pravico ureja posebej, ji daje posebno mesto in pomen v siceršnjem varstvu zasebnosti posameznika (odločbi Ustavnega sodišče U-I-180/21 z dne 14. 4. 2022, 39. točka, in U-I-152/17 z dne 4. 7. 2019, 19. točka).

2S to oznako se je SEU ukvarjalo tudi v sodbi v zadevi C-175/20 z dne 24. 2. 2022, a je v njej izhajalo iz okoliščine, da v sporu o glavni stvari ni bilo sporno, da so informacije (vključno z VIN številkami vozil), katerih posredovanje je zahtevala latvijska davčna uprava, osebni podatki v smislu 1. točke 4. člena Splošne Uredbe.

Zveza

RS - Ustava, Zakoni, Sporazumi, Pogodbe Zakon o varstvu osebnih podatkov (2022) - ZVOP-2 - člen 3, 3/1, 80, 80/10

Pridruženi dokumenti*

Zadeve, v katerih je sodišče sprejelo vsebinsko enako stališče o procesnih oz. materialnopravnih vprašanjih.