Obdelava posnetkov VN sistema

Datum

22.12.2023

Številka

07121-1/2023/1612

Kategorije

Informiranje posameznika, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obdelave posnetkov videonadzornega sistema.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito

Upravljavec zbirke posnetkov, ki nastaja ob izvajanju videonadzora, lahko videoposnetke pregleduje le v skladu z osnovnimi nameni njihovega zbiranja (npr. zaradi varnosti ljudi ali premoženja) ali če za to obstaja druga ustrezna pravna podlaga.

Uporabnikom je treba zagotoviti informacije o obdelavi osebnih podatkov.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti posameznih obdelav osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega nadzornega ali upravnega postopka. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za obdelavo konkretnih osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je takšna obdelava osebnih podatkov zakonita.

IP pojasnjuje, da je videonadzor sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil. V Sloveniji to ureja ZVOP-2. Videonadzora zasebnih površin (tudi parkirišč) ZVOP-2 posebej ne ureja, zato je videonadzor, ki ga opisujete v vašem zaprosilu, dopusten pod pogojem, če za izvajanje takšnega videonadzora obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe. Ta določa, da je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

V konkretnem primeru bi se morda kot pravna podlaga za izvajanje videonadzora lahko uporabila točka (b) ali (f) prvega odstavka 6. člena Splošne uredbe. Za uporabo slednje bi morali kot izvajalec videonadzora pred pričetkom njegovega izvajanja izkazati zakonite interese, zaradi katerih je potrebno izvajati videonadzor, poleg tega pa morate predhodno pretehtati in obrazložiti ter dokumentirati, ali nad temi interesi ne prevladajo interesi ali temeljne svoboščine posameznikov, nad katerimi se izvaja videonadzor. V primeru, da interesi in temeljne svoboščine posameznika prevladajo nad zakonitimi interesi, ki bi jih z videonadzorom zasledovali, taka obdelava ne bi bila dopustna.

Izvajanje takšnega videonadzora je v primeru, da je uporaba pravne podlage zakonitih interesov utemeljena, lahko dopustno v primeru, če so kamere postavljene in uporabljene za njihov običajen namen in če se z videonadzorom nesorazmerno ne posega v posameznikovo pravico do zasebnosti. Upravljavec pa mora ob tem poskrbeti tudi za druge vidike kot npr. ustrezna opredelitev rokov hrambe posnetkov, zagotavljanja določenih standardov varovanja, omejitev in sledljivost dostopa do posnetkov ipd. Prav tako mora biti videonadzor usmerjen na točno določen in omejen prostor (zgolj na parkirišče, kot navajate v vašem zaprosilu za mnenje in ne npr. na pločnik, cesto ali kako drugo površino, kjer ni premoženja, ki se varuje z videonadzorom), da tako najmanj poseže v zasebnost posameznika.

Osebne podatke je skladno s Splošno uredbo dovoljeno zbirati le za določene in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (gre za t.i. načelo omejitve namena, ki je določeno v (b) točki prvega odstavka 5. člena Splošne uredbe). Upravljavec zbirke posnetkov, ki nastaja ob izvajanju videonadzora, lahko videoposnetke pregleduje le v skladu z osnovnimi nameni njihovega zbiranja (npr. zaradi varnosti ljudi ali premoženja). V kolikor ste kot upravljavec videonadzor uvedli (tudi) za namen sankcioniranja napačnega parkiranja, potem je dopustno, da lahko posnetke pregledujete oziroma uporabite v ta namen.

IP pojasnjuje, da splošno velja, da lahko upravnik osebne podatke etažnih lastnikov obdeluje le, če razpolaga z ustrezno pravno podlago. V primeru obdelave osebnih podatkov s strani upravnikov je treba upoštevati tudi določbe Stanovanjskega zakona (Uradni list RS, št. 69/03, 18/04 – ZVKSES, 47/06 –ZEN, 45/08 –ZVEtL, 57/08, 62/10 –ZUPJS, 56/11– odl. US, 87/11, 40/12 –ZUJF, 14/17 – odl. US, 27/17, 59/19, 189/20 - ZFRO, 90/21, 18/23 – ZDU-1O, 77/23 – odl. US; v nadaljevanju: SZ-1), Stvarnopravnega zakonika (SPZ; Uradni list RS, št. 87/02, 91/13, 23/20) in Pravilnika o upravljanju večstanovanjskih stavb (Uradni list RS, št. 60/09, 87/11, 85/13, 52/22). SZ-1 v prvem odstavku 53. člena določa, da se razmerja med etažnimi lastniki in upravnikom uredijo s pogodbo o opravljanju upravniških storitev, ki lahko, poleg pooblastil iz 50. člena tega zakona, določi za upravnika še druge pravice in obveznosti. Upravnik lahko posreduje osebne podatke etažnih lastnikov le takrat, kadar je to potrebno za namen izpolnjevanja pogodbe o upravljanju večstanovanjske stavbe, ki so jo etažni lastniki sklenili z upravnikom oziroma za izvrševanje pooblastil, ki jih ima upravnik po 50. členu SZ-1. Ta v 32. členu določa, da morajo etažni lastniki skleniti pogodbo o medsebojnih razmerjih, s katero uredijo način upravljanja in rabe večstanovanjske stavbe, peta alineja 33. člena SZ-1 pa določa, da vsebuje pogodba o medsebojnih razmerjih poleg sestavin, ki jih mora imeti po SPZ, zlasti še določbo o načinu obveščanja etažnih lastnikov o zadevah upravljanja. Razmerje med etažnimi lastniki in upravnikom ima naravo civilnopravnega (pogodbenega) razmerja, pri čemer gre za razmerje med upravnikom in prav vsakim stanovalcem večstanovanjske zgradbe.

Vsi etažni lastniki so torej v pogodbenem razmerju in bi morali spoštovati pravila, ki jih sprejme skupnost etažnih lastnikov. Ta pravila jih zavezujejo, torej to velja tudi za pravila za uporabo parkirišč. Če so parkirišča namenjena samo etažnim lastnikom oziroma najemnikom parkirišč, potem je nadzor nad uporabo parkirišč mogoče izvajati le tako, da se omeji dostop do parkirišča zgolj na upravičence (npr. s karticami). Če je daljinec vezan na etažnega lastnika/najemnika in pripadajoči avtomobil, potem je logično, da se za dodelitev daljinca in nadzora nad njegovo pravilno uporabo pridobi ime in priimek najemnika parkirnega prostora ter registrska oznaka avtomobila, ki ga lahko parkira. Pravno podlago za takšno obdelavo osebnih podatkov predstavlja točka (b) prvega odstavka 6. člena Splošne uredbe, torej dogovor med lastniki, od katerega pa lahko ti tudi odstopijo.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

IP dodaja, da je treba etažne lastnike/najemnike (lahko tudi v internem aktu), ki bodo uporabljali kartice, seznaniti s tem, katere osebne podatke se bo zbiralo in za kakšen namen. Ob tem je treba poskrbeti tudi za tehnični vidik zavarovanja zbirke osebnih podatkov, ki nastane na podlagi uporabe kartic. Tako pravno kot tehnično pa je treba urediti tudi druga vprašanja v zvezi z varstvom osebnih podatkov, npr. kdo ima dostop do tako zbranih osebnih podatkov, v katerih primerih in na kakšen način ter koliko časa se podatki shranjujejo ter zagotoviti ostale informacije o obdelavi osebnih podatkov, ki so navedene v naslednjih odstavkih tega mnenja.

IP opominja tudi, da mora v skladu s 76. členom ZVOP-2 upravljavec, ki izvaja videonadzor, o tem objaviti obvestilo. Obvestilo se vidno in razločno objavi na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Omenjeno velja za vse posameznike, ki so lahko izpostavljeni videonadzoru (torej poleg lastnikom in najemnikom tudi morebitnim drugim osebam, npr. obiskovalcem).

Obvestilo iz prejšnjega odstavka poleg informacij iz prvega odstavka 13. člena Splošne uredbe vsebuje naslednje informacije:

1.pisno ali nedvoumno grafično opisano dejstvo, da se izvaja videonadzor;

2.namene obdelave, navedbo upravljavca videonadzornega sistema, telefonsko številko ali naslov elektronske pošte ali spletni naslov za potrebe uveljavljanja pravic posameznika s področja varstva osebnih podatkov;

3.informacije o posebnih vplivih obdelave, zlasti nadaljnje obdelave;

4.kontaktne podatke pooblaščene osebe (telefonska številka ali naslov e-pošte);

5.neobičajne nadaljnje obdelave, kot so prenosi subjektom v tretje države, spremljanje dogajanja v živo, možnost zvočne intervencije v primeru spremljanja dogajanja v živo.

Namesto objave v obvestilu se lahko obveščanje posameznika izvede tudi na način, da upravljavec informacije iz prvega odstavka 13. člena Splošne uredbe in informacije iz 3. do 5. točke prejšnjega odstavka objavi na spletnih straneh. V tem primeru mora na obvestilu objaviti spletni naslov, kjer so te informacije dostopne (URL naslov spletne strani, poleg tega pa lahko tudi QR kodo). Šteje se, da je s takšnim obvestilom posameznik obveščen o obdelavi osebnih podatkov.

IP posebej opozarja, da mora upravljavec zagotoviti informacije tako iz prvega kot tudi drugega odstavka 13. člena Splošne uredbe. ZVOP-2 sicer predpisuje, da obvestilo o videonadzoru vsebuje informacije iz prvega odstavka 13. člena Splošne uredbe, vendar obveznost zagotovitve informacij iz drugega odstavka 13. člena izhaja neposredno iz Splošne uredbe, zato je navedene informacije treba zagotoviti, četudi ZVOP-2 tega posebej ne predpisuje.

IP priporoča, da se navedene informacije iz 13. člena Splošne uredbe in informacije iz 3. do 5. točke obvestila iz 76. člena ZVOP-2 o videonadzoru objavijo na spletnih straneh in ne na samem obvestilu. Slednje pa mora vsebovati najmanj pisno ali nedvoumno grafično opisano dejstvo, da se izvaja videonadzor, ter spletni naslov, kjer so dostopne vse ostale informacije (URL naslov spletne strani, poleg tega pa lahko tudi QR kodo). IP priporoča, da obvestilo poleg tega vsebuje tudi namene obdelave, navedbo upravljavca videonadzornega sistema, telefonsko številko ali naslov elektronske pošte ali spletni naslov za potrebe uveljavljanja pravic posameznika s področja varstva osebnih podatkov.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka