Videonadzor vhoda v poslovno stavbo

Datum

09.01.2024

Številka

07120-1/2024/6

Kategorije

Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ustreznosti uvedbe videonadzora z vidika varstva osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Odločitev o uvedbi videonadzora sprejme predstojnik, direktor ali drug pooblaščen posameznik osebe javnega sektorja ali osebe zasebnega sektorja kot upravljavca. V pisni odločitvi morajo biti obrazloženi razlogi za uvedbo videonadzora.

Posameznike je treba obvestiti o izvajanju videonadzora z objavo ustreznega obvestila. Obvestilo mora biti vidno in razločno objavljeno na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Takšno obvestilo mora vsebovati točno določene informacije.

Upravljavci videonadzornega sistema v javnem in zasebnem sektorju izvajajo videonadzor dostopa v uradne službene oziroma poslovne prostore, če je to potrebno za varnost ljudi ali premoženja, zaradi zagotavljanja nadzora vstopa v te prostore ali izstopa iz njih ali če zaradi narave dela obstaja možnost ogrožanja zaposlenih. O izvajanju videonadzora in o obvestilu o izvajanju videonadzora iz četrtega odstavka 76. člena ZVOP-2 morajo biti pisno obveščeni vsi zaposleni, ki opravljajo delo v nadzorovanem prostoru.

Obrazložitev

IP uvodoma pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov (v konkretnem primeru torej na občini), ki mora biti to zmožen tudi dokazati. IP izven postopka inšpekcijskega nadzora ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati tako glede konkretnih lokacij oziroma točk, kjer bi se sistem namestil. Iz navedenih razlogov IP v okviru tega mnenja lahko podaja zgolj splošna pojasnila.

IP nadalje pojasnjuje, da je videonadzor sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil. Splošna uredba področja videonadzora podrobneje ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, zato je za zakonito izvajanje videonadzora potrebno poleg splošnih določb ZVOP-2 in Splošne uredbe upoštevati še določbe 3. poglavja ZVOP-2 (členi 76 - 80), ki določa posebna pravila za izvajanje videonadzora. Ob tem pa IP opozarja na določbo prvega odstavka 76. člena ZVOP-2, ki določa, da se določbe 3. poglavja II. dela ZVOP-2 uporabljajo za izvajanje videonadzora, če drug zakon ne določa drugače.

V določbah ZVOP-2 je, poleg 76. člena, ki vsebuje splošne določbe o videonadzoru in varstvu osebnih podatkov, posebej urejen videonadzor območij, ki predstavljajo:

· dostope v uradne službene oziroma poslovne prostore (77. člen ZVOP-2);

· delovne prostore pri izvajalcu videonadzora (78. člen ZVOP-2);

· prevozna sredstva, namenjena javnemu potniškemu prometu (79. člen ZVOP-2);

· javne površine (80. člen ZVOP-2).

IP posebej opozarja, da v skladu z drugim odstavkom 76. člena ZVOP-2 odločitev o uvedbi videonadzora sprejme predstojnik, direktor ali drug pooblaščen posameznik osebe javnega sektorja ali osebe zasebnega sektorja kot upravljavca. V pisni odločitvi morajo biti obrazloženi razlogi za uvedbo videonadzora.

Tretji odstavek istega člena nadalje določa, da upravljavec, ki izvaja videonadzor, o odločitvi iz prejšnjega odstavka objavi obvestilo. Obvestilo se vidno in razločno objavi na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove.

Nadalje 76. člen ZVOP-2 v 4., 5. in 6. odstavku predpisuje način obveščanja posameznikov o izvajanju videonadzora z objavo ustreznega obvestila. Omenjeno velja za vse posameznike, ki so lahko izpostavljeni videonadzoru (torej poleg zaposlenim v stavbi doma tudi morebitnim drugim osebam, npr. obiskovalcem).

Takšno obvestilo mora poleg informacij iz prvega (in drugega) odstavka 13. člena Splošne uredbe obvezno vsebovati naslednje informacije:

1. pisno ali nedvoumno grafično opisano dejstvo, da se izvaja videonadzor;

2. namene obdelave, navedbo upravljavca videonadzornega sistema, telefonsko številko ali naslov elektronske pošte ali spletni naslov za potrebe uveljavljanja pravic posameznika s področja varstva osebnih podatkov;

3. informacije o posebnih vplivih obdelave, zlasti nadaljnje obdelave;

4. kontaktne podatke pooblaščene osebe (telefonska številka ali naslov e-pošte);

5. neobičajne nadaljnje obdelave, kot so prenosi subjektom v tretje države, spremljanje dogajanja v živo, možnost zvočne intervencije v primeru spremljanja dogajanja v živo.

Namesto objave v obvestilu se lahko obveščanje posameznika izvede tudi na način, da upravljavec informacije iz prvega (in drugega odstavka) 13. člena Splošne uredbe in informacije iz 3. do 5. točke obvestila objavi na spletnih straneh. V tem primeru mora na obvestilu iz prejšnjega odstavka objaviti spletni naslov, kjer so te informacije dostopne (URL naslov spletne strani, poleg tega pa lahko tudi QR kodo). Šteje se, da je s takšnim obvestilom posameznik obveščen o obdelavi osebnih podatkov.

IP posebej opozarja, da mora upravljavec zagotoviti informacije tako iz prvega kot tudi drugega odstavka 13. člena Splošne uredbe. ZVOP-2 sicer predpisuje, da obvestilo o videonadzoru vsebuje informacije iz prvega odstavka 13. člena Splošne uredbe, vendar obveznost zagotovitve informacij iz drugega odstavka 13. člena izhaja neposredno iz Splošne uredbe, zato je navedene informacije treba zagotoviti, četudi ZVOP-2 tega posebej ne predpisuje.

IP priporoča, da se navedene informacije iz 13. člena Splošne uredbe in informacije iz 3. do 5. točke obvestila iz 76. člena ZVOP-2 o videonadzoru objavijo na spletnih straneh in ne na samem obvestilu. Slednje pa mora vsebovati najmanj pisno ali nedvoumno grafično opisano dejstvo, da se izvaja videonadzor, ter spletni naslov, kjer so dostopne vse ostale informacije (URL naslov spletne strani, poleg tega pa lahko tudi QR kodo). IP priporoča, da obvestilo poleg tega vsebuje tudi namene obdelave, navedbo upravljavca videonadzornega sistema, telefonsko številko ali naslov elektronske pošte ali spletni naslov za potrebe uveljavljanja pravic posameznika s področja varstva osebnih podatkov.

IP pojasnjuje tudi, da se šteje, da je s takšnim obvestilom posameznik obveščen o obdelavi osebnih podatkov. Ni torej treba še dodatno pridobiti posebne izjave posameznikov ali kakega drugega podobnega dokumenta, niti ne obstaja posebna obveznost, da kot najemnik poslovnega prostora sprejmete poseben interni akt. Bistveno pa je, da so tudi vsi vaši zaposleni ustrezno obveščeni o izvajanju videonadzora v skladu z zgoraj navedenimi pojasnili. Ne zadostuje torej, da so vaši zaposleni zgolj obveščeni o izvajanju videonadzora, ampak jim morajo biti zagotovljene tudi vse zgoraj predstavljene informacije iz 13. člena Splošne uredbe in 76. člena ZVOP-2.

IP opozarja tudi, da mora vsekakor upravljavec upoštevati tudi druge določbe ZVOP-2 in Splošne uredbe, npr. zagotoviti ustrezne ukrepe za zavarovanje osebnih podatkov (24. in 32. člen Splošne uredbe), voditi dnevnik evidence dejavnosti obdelave (30. člen Splošne uredbe), urediti pogodbeno razmerje z morebitnim pogodbenim obdelovalcem (28. člen Splošne uredbe), itd.

IP pojasnjuje, da bi glede na navedbe v vašem zaprosilu za mnenje v konkretnem primeru lahko šlo za videonadzor dostopa v uradne službene oziroma poslovne prostore, ki ga posebej ureja 77. člen ZVOP-2. Skladno z navedenim členom lahko upravljavci videonadzornega sistema v javnem in zasebnem sektorju izvajajo videonadzor dostopa v uradne službene oziroma poslovne prostore, če je to potrebno za varnost ljudi ali premoženja, zaradi zagotavljanja nadzora vstopa v te prostore ali izstopa iz njih ali če zaradi narave dela obstaja možnost ogrožanja zaposlenih. O izvajanju videonadzora in o obvestilu o izvajanju videonadzora iz četrtega odstavka 76. člena ZVOP-2 morajo biti pisno obveščeni vsi zaposleni, ki opravljajo delo v nadzorovanem prostoru. Videonadzor je dovoljen, če s tem soglašajo lastniki, ki imajo v lasti več kot 70-odstotni delež skupnih delov. Določeno je tudi, katere osebne podatke lahko vsebuje zbirka osebnih podatkov po tem členu.

Za več informacij v zvezi z videonadzorom vas napotujemo še na smernice IP o videonadzoru:

https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-izvajanja-videonadzora

IP vas obvešča tudi, da je glede videonadzora že izdal številna mnenja, ki so objavljena na spletni strani IP (rubrika »Video in avdio nadzor«):

https://www.ip-rs.si/vop/

IP sklepno dodaja še, da so podrobnejše informacije o obveznostih upravljavcev v zvezi z vzpostavitvijo videonadzora dosegljive tudi na spletni strani IP:

https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka