Obdelava videoposnetkov

Datum

25.09.2023

Številka

07121-1/2023/1205

Kategorije

Definicija OP

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dopustnosti obdelave videoposnetkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Za obdelavo osebnih podatkov v smislu Splošne uredbe gre le takrat, kadar so osebni podatki del zbirke ali so namenjeni oblikovanju dela zbirke. IP konkretno presojo, ali gre v primeru, ki ga opisujete v vašem zaprosilu za mnenje, za obdelavo osebnih podatkov v smislu Splošne uredbe, lahko opravi le v inšpekcijskem postopku.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku.

IP uvodoma opozarja, da je pristojen le za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov in ga ureja 38. člen Ustave Republike Slovenije (Uradni list RS, št. 33/91 s spremembami in dopolnitvami; v nadaljevanju: Ustava RS). Objava osebnih podatkov (v konkretnem primeru videoposnetka) posameznika na svetovnem spletu pa ne predstavlja nujno kršitve predpisov s področja varstva osebnih podatkov. V primeru javne objave posnetka, na katerem je upodobljen posameznik, gre lahko za poseg v pravico do zasebnosti v širšem smislu iz 35. člena Ustave RS, ki sodi v pristojnost sodišč in je varovana z instituti civilnega in kazenskopravnega varstva, za posledico pa ima lahko tudi kazensko in odškodninsko odgovornost.

IP zato v nadaljevanju pojasnjuje nekaj splošnih pojmov, ki so relevantni v konkretnem primeru. Osebni podatki predstavljajo skladno s prvo točko 4. člena Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. IP nadalje pojasnjuje, da vsi osebni podatki sami po sebi ne uživajo zaščite v skladu s Splošno uredbo in ZVOP-2, temveč so te zaščite deležni le v primeru, če gre za obdelavo osebnih podatkov v celoti ali delno z avtomatiziranimi sredstvi in za drugačno obdelavo kakor z avtomatiziranimi sredstvi za osebne podatke, ki so del zbirke ali so namenjeni oblikovanju dela zbirke, kot to določa prvi odstavek 2. člena Splošne uredbe.

V skladu s šesto točko 4. člena Splošne uredbe pomeni zbirka vsak strukturiran niz osebnih podatkov, ki so dostopni v skladu s posebnimi merili, niz pa je lahko centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi. Za obdelavo osebnih podatkov v smislu Splošne uredbe gre torej le takrat, kadar so osebni podatki del zbirke ali so namenjeni oblikovanju dela zbirke. IP ob tem ponavlja, da konkretno presojo, ali gre v primeru, ki ga opisujete v vašem zaprosilu za mnenje, za obdelavo osebnih podatkov v smislu Splošne uredbe, lahko opravi le v inšpekcijskem postopku.

Glede na navedeno lahko videoposnetki pomenijo varovane osebne podatke po Splošni uredbi le, kadar določajo ali omogočajo določljivost posameznika, predvsem takrat, ko je posameznik na videoposnetku jasno in nedvoumno razviden in bi se bi se ga dalo na ta način identificirati, prepoznati in določiti ali, ko se hkrati s posnetki obdelujejo tudi drugi osebni podatki o posamezniku kot na primer njegovo ime in priimek, njegova letnica rojstva in podobno. Torej, če je ločljivost shranjenih posnetkov dovolj velika in je posameznike na njih mogoče prepoznati, takšno snemanje lahko predstavlja obdelavo osebnih podatkov. V tem primeru je za njihovo obdelavo treba imeti ustrezno pravno podlago. Možne pravne podlage Splošna uredba določa v prvem odstavku 6. člena. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Vsaka obdelava osebnih podatkov mora tako temeljiti na eni izmed navedenih pravnih podlag ter biti skladna s temeljnimi načeli varstva osebnih podatkov, še posebej načela najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru. Ob tem je treba poskrbeti tudi za ustrezno zavarovanje zbirke osebnih podatkov v skladu z določbami 24. in 32. člena Splošne uredbe.

IP sklepno pojasnjuje, da je izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca. Glede na navedeno v vašem zaprosilu za mnenje bi v konkretnem primeru najverjetneje v poštev prišla privolitev posameznika v smislu točke (a) prvega odstavka 6. člena Splošne uredbe. Več informacij o privolitvi je dostopnih na spletni strani IP:

https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/privolitev

S spoštovanjem.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka