Videonadzor krovne družbe

Datum

17.01.2024

Številka

07121-1/2024/41

Kategorije

Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede ustreznosti uvedbe videonadzora s strani krovne družbe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Odgovornost za zakonito vzpostavitev in izvajanje videonadzora je vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. IP izven postopka nadzornega ali drugega upravnega postopka ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora.

Za zakonito izvajanje videonadzora je treba poleg splošnih določb Splošne uredbe in ZVOP-2 upoštevati še določbe 3. poglavja II. dela ZVOP-2 (členi 76 - 80), ki določa posebna pravila za izvajanje videonadzora.

IP splošno šteje, da v zasebnem sektorju kot pravni podlagi za zakonito izvajanje videonadzora lahko prideta v poštev točki (c) in (f) prvega odstavka 6. člena Splošne uredbe.

Odločitev o uvedbi videonadzora sprejme predstojnik, direktor ali drug pooblaščen posameznik osebe javnega sektorja ali osebe zasebnega sektorja kot upravljavca. V pisni odločitvi morajo biti obrazloženi razlogi za uvedbo videonadzora.

Posameznike je treba obvestiti o izvajanju videonadzora z objavo ustreznega obvestila. Obvestilo mora biti vidno in razločno objavljeno na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Takšno obvestilo mora vsebovati točno določene informacije.

Obrazložitev

IP uvodoma pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov (v konkretnem primeru torej na krovni družbi), ki mora biti to zmožen tudi dokazati. IP izven postopka nadzornega ali drugega upravnega postopka ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati glede konkretnih lokacij oziroma točk, kjer bi se sistem namestil. Iz navedenih razlogov IP v okviru tega mnenja lahko podaja zgolj splošna pojasnila.

IP nadalje pojasnjuje, da je videonadzor sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil. Splošna uredba področja videonadzora podrobneje ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, zato je za zakonito izvajanje videonadzora treba poleg splošnih določb Splošne uredbe in ZVOP-2 upoštevati še določbe 3. poglavja II. dela ZVOP-2 (členi 76 - 80), ki določa posebna pravila za izvajanje videonadzora. V določbah ZVOP-2 je, poleg 76. člena, ki vsebuje splošne določbe o videonadzoru in varstvu osebnih podatkov, tako posebej urejen videonadzor območij, ki predstavljajo:

·dostope v uradne službene oziroma poslovne prostore (77. člen ZVOP-2);

·delovne prostore pri izvajalcu videonadzora (78. člen ZVOP-2);

·prevozna sredstva, namenjena javnemu potniškemu prometu (79. člen ZVOP-2);

·javne površine (80. člen ZVOP-2).

Pri presoji zakonitosti izvajanja videonadzora vseh drugih območij je treba presoditi, ali zanj obstaja katera od splošnih pravnih podlag za obdelavo osebnih podatkov, navedenih v 6. členu Splošne uredbe. V tem členu so v prvem odstavku navedene različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP splošno šteje, da v zasebnem sektorju (njegova opredelitev je podana v 4. točki drugega odstavka 5. člena ZVOP-2) kot pravni podlagi za zakonito izvajanje videonadzora lahko prideta v poštev točki (c) in (f) prvega odstavka 6. člena Splošne uredbe. Pri točki (c) gre za izpolnitev zakonske obveznosti upravljavca (torej gre za primere, ko je pravna podlaga zagotovljena s posebnim zakonom – v konkretnem primeru ta pogoj najverjetneje ni izpolnjen), pri točki (f) pa gre za zakonite interese, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Pogoj za uporabo te pravne podlage je izvedba dokumentirane utemeljitve prevladujočega interesa (test tehtanja, v katerem upravljavci izkažejo, da njihov zakoniti interes prevlada nad upravičenim pričakovanjem zasebnosti posameznikov na posnetkih). Tak test tehtanja bi morali upravljavci izvesti pred začetkom izvajanja videonadzora na tej pravni podlagi. Ob tem IP opozarja, da mora biti v primeru uvedbe videonadzora na podlagi točke (f) prvega odstavka 6. člena Splošne uredbe utemeljitev prevladujočega zakonitega interesa (povzetek testa tehtanja) podana tudi v obvestilu posamezniku po točki (d) prvega odstavka 13. člena Splošne uredbe.

Ob tem IP dodaja, da uvodna določba št. 48 Splošne uredbe določa, da upravljavci, ki so del povezane družbe ali institucij, povezanih z osrednjim telesom, lahko imajo zakoniti interes za posredovanje osebnih podatkov znotraj povezane družbe v notranje upravne namene, vključno z obdelavo osebnih podatkov strank ali zaposlenih.

IP pojasnjuje, da v skladu z drugim odstavkom 76. člena ZVOP-2 odločitev o uvedbi videonadzora sprejme predstojnik, direktor ali drug pooblaščen posameznik osebe javnega sektorja ali osebe zasebnega sektorja kot upravljavca. V pisni odločitvi morajo biti obrazloženi razlogi za uvedbo videonadzora.

Tretji odstavek istega člena nadalje določa, da upravljavec, ki izvaja videonadzor, o odločitvi iz prejšnjega odstavka objavi obvestilo. Obvestilo se vidno in razločno objavi na način, ki omogoča posamezniku, da se seznani z izvajanjem videonadzora in da se lahko vstopu v nadzorovano območje odpove. Nadalje 76. člen ZVOP-2 v 4., 5. in 6. odstavku predpisuje način obveščanja posameznikov o izvajanju videonadzora z objavo ustreznega obvestila. Omenjeno velja za vse posameznike, ki so lahko izpostavljeni videonadzoru (torej poleg zaposlenim tudi morebitnim drugim osebam, npr. obiskovalcem).

IP opozarja tudi, da mora vsekakor upravljavec (ob obstoju ustrezne pravne podlage) upoštevati tudi druge določbe ZVOP-2 in Splošne uredbe, npr. zagotoviti ustrezne ukrepe za zavarovanje osebnih podatkov (24. in 32. člen Splošne uredbe), voditi dnevnik evidence dejavnosti obdelave (30. člen Splošne uredbe), urediti pogodbeno razmerje z morebitnim pogodbenim obdelovalcem (28. člen Splošne uredbe), itd.

IP pojasnjuje, da bi glede na navedbe v vašem zaprosilu za mnenje v konkretnem primeru (vsaj v določenem delu) lahko šlo za videonadzor dostopa v uradne službene oziroma poslovne prostore, ki ga posebej ureja 77. člen ZVOP-2. Skladno z navedenim členom lahko upravljavci videonadzornega sistema v javnem in zasebnem sektorju izvajajo videonadzor dostopa v uradne službene oziroma poslovne prostore, če je to potrebno za varnost ljudi ali premoženja, zaradi zagotavljanja nadzora vstopa v te prostore ali izstopa iz njih ali če zaradi narave dela obstaja možnost ogrožanja zaposlenih. O izvajanju videonadzora in o obvestilu o izvajanju videonadzora iz četrtega odstavka 76. člena ZVOP-2 morajo biti pisno obveščeni vsi zaposleni, ki opravljajo delo v nadzorovanem prostoru. Videonadzor je dovoljen, če s tem soglašajo lastniki, ki imajo v lasti več kot 70-odstotni delež skupnih delov. Določeno je tudi, katere osebne podatke lahko vsebuje zbirka osebnih podatkov po tem členu.

Za več informacij v zvezi z videonadzorom vas napotujemo še na smernice IP o videonadzoru:

https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-izvajanja-videonadzora

IP vas obvešča tudi, da je glede videonadzora že izdal številna mnenja, ki so objavljena na spletni strani IP (rubrika »Video in avdio nadzor«):

https://www.ip-rs.si/vop/

IP sklepno dodaja še, da so podrobnejše informacije o obveznostih upravljavcev v zvezi z vzpostavitvijo videonadzora dosegljive tudi na spletni strani IP:

https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka