Vodenje dnevnikov obdelave

Datum

25.02.2025

Številka

07121-1/2025/252

Kategorije

Evidence dejavnosti obdelave, Video in avdio nadzor

Pri Informacijskem pooblaščencu (IP) smo dne 10. 2. 2025 prejeli vaše zaprosilo za mnenje glede vodenja dnevnika obdelave. Priložili ste vzorec Evidence uporabe videonadzornega sistema po ZVOP-2, ki jo je IP objavil na svoji spletni strani. Pojasnjujete, da so v njej vsi potrebni podatki, ki se beležijo glede videonadzora. Zanima vas, ali navedena evidenca zadostuje kot dnevnik obdelav.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec videonadzornega sistema, ki bo za vodenje dnevnika obdelave videoposnetkov uporabil obrazec Evidenca uporabe videonadzornega sistema po ZVOP-2, bo praviloma izpolnil zahteve iz 12. odstavka 76. člena ZVOP-2. Čeprav ZVOP-2 ne predpisuje, na kakšen način mora upravljavec videonadzornega sistema voditi dnevnik obdelave videoposnetkov (v elektronski ali fizični obliki), bo IP v določenih primerih zahteval vodenje dnevnika obdelave v elektronski obliki, pri čemer bo upošteval konkretne okoliščine izvajanja videonadzora in tveganja pri obdelavi osebnih podatkov.

Obrazložitev

Uvodoma moramo izpostaviti, da IP v okviru nezavezujočih mnenj ne more in ne sme presojati ustreznosti določene rešitve z vidika skladnosti z zakonodajo o varstvu osebnih podatkov oziroma ali v konkretnem primeru upravljavec ali obdelovalec izpolnjuje kriterije glede določenih zakonskih obveznosti. Na upravljavcu ali obdelovalcu je dolžnost, da samostojno oceni, ali je zavezan k vodenju dnevnikov obdelave na podlagi kriterijev, ki jih določa zakon in v kakšni obliki bo dnevnik obdelave vodil, da bo zagotovljena revizijska sled.

ZVOP-2 v 22. členu določa obveznost vodenja dnevnika obdelave, njegovo vsebino, namen njegove uporabe in rok hrambe. Dnevniki obdelave so namenjeni zagotavljanju t.i. sledljivosti (revizijski sledi) dejanj obdelave osebnih podatkov v realnem času, ki omogočajo kasnejšo analizo v primeru ugotavljanja zakonitosti obdelave, zagotavljanje celovitosti in varnosti podatkov ter za odpravljanje napak v delovanju informacijskega sistema. Zagotavljati pa morajo (najmanj) vrsto dejanja obdelave (zbiranje, spreminjanje, vpogled, razkritje, vključno s prenosi, izbris, druga dejanja obdelave, ki jih določa zakon), datum in čas obdelave, identifikacijo osebe, ki je izvedla dejanje obdelave, ter identifikacijo uporabnikov osebnih podatkov, da je mogoče naknadno ugotoviti točno identiteto teh oseb. Vsak posamezni upravljavec pa lahko ob upoštevanju ocene učinka določi dodatne vsebine dnevnika obdelave.

ZVOP-2 ureja izvajanje videonadzora v 3. poglavju. V 12. odstavku 76. člena ZVOP-2 je določena vsebina dnevnika obdelave videonadzornih posnetkov, in sicer upravljavec videonadzornega sistema za vsak vpogled ali uporabo posnetkov zagotovi možnost naknadnega ugotavljanja, kateri posnetki so bili obdelani, kdaj in kako so bili uporabljeni ali komu so bili posredovani, kdo je izvedel ta dejanja obdelave, kdaj in s kakšnim namenom ali na kateri pravni podlagi. Te podatke hrani v dnevniku obdelave iz 22. člena tega zakona dve leti po koncu leta, ko so nastali.

Priložili ste izpis obrazca Evidenca uporabe videonadzornega sistema po ZVOP-2, ki ga je v pomoč izvajalcem videonadzora pripravil IP, objavljen pa je na spletni strani https://www.ip-rs.si/obrazci/. IP je pri pripravi obrazca upošteval določbe ZVOP-2, kar pomeni, da bo upravljavec videonadzornega sistema, ki bo za vodenje dnevnika obdelave videoposnetkov uporabil ta obrazec, praviloma izpolnil zahteve iz 12. odstavka 76. člena ZVOP-2.

Čeprav ZVOP-2 ne predpisuje, na kakšen način mora upravljavec videonadzornega sistema voditi dnevnik obdelave videoposnetkov (v elektronski ali fizični obliki), bo IP v določenih primerih zahteval vodenje dnevnika obdelave v elektronski obliki, pri čemer bo upošteval konkretne okoliščine izvajanja videonadzora in tveganja pri obdelavi osebnih podatkov, npr. število kamer oziroma obseg nadzorovanega območja, kje se izvaja videonadzor (delovni prostori, vhodi in izhodi, javne površine), koliko oseb ima dostop do videonadzornega sistema, rok hrambe videoposnetkov. Upoštevati je potrebno tudi, da se upoštevajoč oceno učinka lahko določi tudi dodatne vsebine dnevnika obdelave. IP dodaja, da večina programskih rešitev oziroma aplikacij za izvajanje videonadzora že avtomatično beleži določene podatke (t. i. dnevniški zapisi, ang. log files), vendar pa ti zapisi ne vključujejo vseh vsebin, ki jih določata 22. in 76. člen ZVOP-2, zaradi česar bodo upravljavci videonadzornih sistemov morali voditi dodatne dnevnike obdelave.

Upravljavec videonadzornega sistema, ki bo za vodenje dnevnika obdelave videoposnetkov uporabil obrazec Evidenca uporabe videonadzornega sistema po ZVOP-2, bo torej praviloma izpolnil zahteve iz 12. odstavka 76. člena ZVOP-2. Čeprav ZVOP-2 ne predpisuje, na kakšen način mora upravljavec videonadzornega sistema voditi dnevnik obdelave videoposnetkov (v elektronski ali fizični obliki), bo IP v določenih primerih zahteval vodenje dnevnika obdelave v elektronski obliki, pri čemer bo upošteval konkretne okoliščine izvajanja videonadzora in tveganja pri obdelavi osebnih podatkov.

Priporočamo vam tudi ogled naslednjih že izdanih mnenje IP:

•Vsebina dnevnika obdelave videonadzornih posnetkov (10. 3. 2023, št.: 07120-1/2023/123): Videonadzor, dnevnik obdelave - IPRS.

•Vsebina dnevnikov obdelave (5. 6 .2023, št.: 07121-1/2023/751): https://www.ip-rs.si/mnenja-zvop-2/vsebina-dnevnikov-obdelave-1685961118.

•Roki hrambe dnevnikov obdelave oz. revizijskih sledi obdelave osebnih podatkov v banki (22. 8. 2023, št.:07120-1/2023/1072): https://www.ip-rs.si/mnenja-zvop-2/roki-hrambe-dnevnikov-obdelave-oz-revizijskih-sledi-obdelave-osebnih-podatkov-v-banki-1695105677.

•Vodenje dnevnikov obdelav (12. 6. 2023, št.: 07120-1/2023/323): https://www.ip-rs.si/mnenja-zvop-2/vodenje-dnevnikov-obdelav-1687330221.

Lepo vas pozdravljamo.

dr. Jelena Virant Burnik,

informacijska pooblaščenka