Vzpostavitev sistema avtomatskega prepoznavanja registrskih označb

Datum

12.06.2026

Številka

07121-1/2025/1601

Kategorije

Moderne tehnologije, Razno

Informacijski pooblaščenec (v nadaljevanju: IP) je po elektronski pošti prejel vaše zaprosilo za mnenje. V njem navedete, da želijo etažni lastniki vzpostaviti sistem avtomatskega prepoznavanja registrskih označb pri vstopu in izstopu v garažni del objekta. Zanima vas, ali je vzpostavitev takega sistema skladna z zakonodajo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uporaba sistema za avtomatsko prepoznavo registrskih označb (ANPR) pomeni obdelavo osebnih podatkov, zato mora zanjo obstajati pravna podlaga iz 6. člena Splošne uredbe.

V praksi bi kot pravna podlaga, na kateri bi lahko temeljila uporaba ANPR sistema, najpogosteje morebiti prišla v poštev točka (f) prvega odstavka 6. člena Splošne uredbe, ni pa izključena tudi uporaba drugih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe, na primer točke (b), kadar so za to izpolnjeni pogoji.

Upravljavec mora v primeru uporabe točke (f) prvega odstavka 6. člena Splošne uredbe sam izvesti tehtanje interesov in izkazati zakoniti interes, ter zagotoviti, da obdelava ne posega nesorazmerno v pravice posameznikov. Dodatno je potrebno pri uporabi ANPR presoditi, ali je uporaba ANPR nujna oziroma bi bilo mogoče isti namen doseči z milejšimi sredstvi.

Obrazložitev

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. IP tako ne more presojati zakonitosti obdelave osebnih podatkov, ki jo navajate v vašem zaprosilu za mnenje, niti njihove skladnosti s temeljnimi načeli varstva osebnih podatkov, lahko pa podaja neobvezujoča mnenja in pojasnila.

Glede vprašanj, ki jih zastavljate, uvodoma pojasnjujemo, da registrska oznaka predstavlja osebni podatek, če je povezana z določenim ali določljivim posameznikom. Posledično bi uporaba sistema za avtomatsko prepoznavo registrskih označb (ANPR sistema) pomenila obdelavo osebnih podatkov, ki vključuje izvajanje videonadzora in avtomatizirano obdelavo osebnih podatkov. Zato mora, da bi bila taka obdelava osebnih podatkov zakonita, obstajati pravna podlaga iz 6. člena Splošne uredbe.

Ustrezno pravno podlago za uporabo takih sistemov je treba presojati glede na konkreten namen in okoliščine obdelave. IP meni, da bi v praksi kot pravna podlaga, na kateri bi lahko temeljila uporaba takih sistemov, najpogosteje prišla v poštev točka (f) prvega odstavka 6. člena Splošne uredbe, tj. da je obdelava potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba. Ni pa izključena tudi uporaba drugih pravnih podlag iz prvega odstavka 6. člena Splošne uredbe, kot je na primer točka (b), tj. kadar je obdelava potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, oziroma za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe.

Če upravljavec uporabo ANPR sistema utemeljuje na točki (f) prvega odstavka 6. člena Splošne uredbe, bi bila obdelava osebnih podatkov torej zakonita pod pogojem, da bi bil upravljavec zmožen dokazati, da je obdelava osebnih podatkov na tak način potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika.

Upravljavec mora v primeru sklicevanja na to pravno podlago izvesti tehtanje interesov in izkazati zakoniti interes ter zagotoviti, da obdelava ne posega nesorazmerno v pravice posameznikov. Nadalje mora biti jasno določen tudi namen (npr. nadzor dostopa, upravljanje garažne hiše). Dodatno pa je treba še presoditi, ali je uporaba ANPR nujna, oziroma ali bi bilo mogoče isti namen doseči z milejšimi sredstvi (npr. za dostop do parkirišča bi se lahko uporabljal daljinec), torej da je ukrep nujen in sorazmeren.

Izbor ustrezne pravne podlage za posamezno obdelavo je stvar ocene konkretnih okoliščin, odgovornost za izbiro pa nosi upravljavec. Prav tako mora upravljavec poskrbeti za ustrezno zavarovanje osebnih podatkov v skladu s 24. in 32. členom Splošne uredbe in jih obdelovati v skladu s temeljnimi načeli varstva osebnih podatkov.

V zvezi z vašim vprašanjem, katere organizacijske in tehnične ukrepe morate sprejeti, pa IP opozarja na zahtevo po vgrajenem in privzetem varstvu osebnih podatkov iz 25. člena Splošne uredbe. Ta zahteva terja, da se tako v sami zasnovi sistema (vgrajeno) kot tudi pri njegovi uporabi (privzeto) spoštuje načela varstva osebnih podatkov iz 5. člena Splošne uredbe (npr. načelo najmanjšega obsega podatkov, načelo omejitve shranjevanja itd.). Prav tako IP posebej opozarja, da pomemben in pogosto zapostavljen vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, so na splošno urejene v členih 13 in 14 Splošne uredbe.

IP vsem subjektom, ki razmišljajo o uvedbi podobnih rešitev, kot jo navajate v vašem zaprosilu za mnenje, priporoča, da v skladu s 35. členom Splošne uredbe izvedejo oceno učinka v zvezi z varstvom osebnih podatkov. IP je na temo ocene učinkov izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na naši spletni strani, in sicer na povezavi: https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf.

Glede na navedbe v vašem zaprosilu za mnenje je po mnenju IP zelo verjetno, da je v konkretnem primeru izdelava ocene učinka obvezna, saj predvidena obdelava izpolnjuje (vsaj) kriterij iz točke 3, tj. sistematičen nadzor nad posameznikom, ki se ga posameznik ne zaveda ali se mu ne more izogniti. IP ob tem priporoča, da se v okviru ocene učinka še posebej skrbno premotri pravna podlaga in namen obdelave, ter obravnavajo tveganja in ukrepi za njihovo zamejitev. Posebno pozornost je treba nameniti tudi spoštovanju načela najmanjšega obsega podatkov ter sorazmernosti – torej ali res ni mogoče namenov, ki naj bi se jih zasledovalo, doseči z milejšimi ukrepi, ki bi manj posegali v zasebnost posameznika. Kvalitetno izdelana ocena učinka bo podala odgovore na številna vprašanja v zvezi z uvedbo sistema avtomatske prepoznave registrskih številk in omogočila odločitev o (ne)dopustnosti uvedbe tega ukrepa oziroma morebitnih potrebnih prilagoditvah pred njegovo uvedbo.

IP sklepno ponavlja, da v okviru mnenja ne more (vnaprej) presojati ustreznosti posameznih rešitev, ampak to lahko presoja le v okviru konkretnega inšpekcijskega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je torej primarno na vsakem upravljavcu posebej.

Predlagamo, da si preberete tudi mnenja IP, ki so dostopna na spletni strani: https://www.ip-rs.si/mnenja-zvop-2/, predvsem mnenje št. 07121-1/2026/366 z dne 20. 4. 2026, št. 07121-1/2023/778 z dne 13. 6. 2023 in št. 07121-1/2023/1482 z dne 28. 11. 2023.

Lepo vas pozdravljamo.

Pripravil:

David Bertalanič, mag. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka