GPS sledenje koles

Datum

14.07.2023

Številka

07120-1/2023/344

Kategorije

Moderne tehnologije, Občine, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje, v katerem ste navajali, da je vaša občina uvedla avtomatiziran sistem za izposojo mestnega kolesa, ki omogoča javen dostop do koles po načelu samopostrežbe. Ker naj bi se v praksi s kolesi dogajalo marsikaj, od tega, da se niso vračala na postajo in ste jih iskali po celotni koroški regiji, do tega, da so bila ukradena, vas je zanimalo, ali lahko občina na kolesa namesti GPS sledilne naprave, tako da je seznanjena z lokacijo koles. Če je to dovoljeno in dopustno so vas zanimale tudi osnovne informacije, na kakšen način morate to urediti, da bo skladno z veljavno zakonodajo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati skladnosti konkretnega ravnanja iz vašega zaprosila za mnenje s pravili varstva osebnih podatkov in podajati konkretne odgovore na vaša posamezna vprašanja. Tako v tem okviru tudi ne more dokončno presojati o dopustnosti uvedbe GPS sledenja koles, kot ste ga omenjali v vašem zaprosilu, ampak v nadaljevanju podaja splošna pojasnila.

IP uvodoma v zvezi z vprašanjem iz vašega zaprosila za mnenje pojasnjuje, da vgradnja in uporaba sledilne opreme v kolesa, ki jih ponujate v okviru javnega dostopa do mestnih koles, nedvomno predstavlja obdelavo osebnih podatkov posameznikov, ki bi kolesa, v okviru take javne mreže, uporabljali. Osebni podatki predstavljajo, skladno s prvo točko 4. člena Splošne uredbe katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Osebni podatki so torej vsi podatki, ki posredno ali neposredno kažejo na posameznike. Skladno z navedeno definicijo je pravni objekt varstva osebnih podatkov lahko le posameznik (v konkretnem primeru uporabnik kolesa), torej fizična oseba.

Za vsako obdelavo osebnih podatkov je treba najprej zagotoviti ustrezno pravno podlago. V skladu s 6. členom Splošne uredbe o varstvu podatkov je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki.

Točka (f) prvega pododstavka se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Tudi v skladu z določbo prvega odstavka 6. člena ZVOP-1 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu z zgoraj navedenimi pravnimi podlagami.

Obdelava osebnih podatkov v javnem sektorju, kamor spada tudi vaša občina je zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Ne glede na navedeno se za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

V javnem sektorju se lahko v skladu s prvim odstavkom 6. člena ZVOP-2 obdelujejo osebni podatki posameznika, ki je dal privolitev za obdelavo svojih osebnih podatkov za enega ali več določenih namenov, če tako možnost določa zakon, sicer pa na podlagi privolitve, če ne gre za izvrševanje zakonskih pristojnosti, nalog ali oblastnih obveznosti javnega sektorja.

Obveznost upravljavca osebnih podatkov je, da glede na vse okoliščine konkretnega primera in namene obdelave osebnih podatkov ugotovi, ali za obdelavo, ki bi jo želel izvajati obstaja katera od v poštev prihajajočih pravnih podlag. Ob tem IP pojasnjuje, da poseben zakon, ki bi urejal področje uporabe GPS naprav, v Sloveniji ne obstaja. Glede na navedbe v vašem zaprosilu za mnenje IP opozarja, da pravna podlaga iz točke (f) prvega odstavka 6. člena Splošne uredbe, v vašem primeru ne more priti v poštev, saj obdelava osebnih podatkov, ki bi jo želeli izvajati predstavlja obdelavo s strani javnega organa (občine) pri opravljanju njenih nalog, ki jo Splošna uredba izrecno izključuje. Tudi privolitev posameznika iz točke (a) prvega odstavka 6. člena Splošne uredbe, se zlasti glede na določbo tretjega odstavka 6. člena ZVOP-2 ne zdi pravna podlaga, na katero bi občina lahko oprla izvajanje GPS sledenja koles, kot ste ga predstavili v vašem zaprosilu. V primeru obravnavane izposoje koles med občino in uporabnikom nastane posebno pogodbeno razmerje, zato bi za navedeno obdelavo lahko bila podana tudi pravna podlaga iz točke (b) prvega odstavka 6. člena Splošne uredbe, vendar bi morala občina pri tem izkazati, da je GPS sledenje koles resnično potrebno za izvajanje take pogodbe tj. da pogodbe brez GPS sledenja ne bi bilo mogoče izvajati. Po mnenju IP bi bilo, glede na predstavljene okoliščine, izpolnjevanje slednjega pogoja težko izkazati. Glede pravne podlage iz četrtega odstavka 6. člena ZVOP-2 pa IP opozarja, da iz vaših navedb ni razvidno, zakaj naj bi bilo GPS sledenje koles nujno potrebno za izvrševanje zakonitih pristojnosti in nalog, ki jih navaja ta zakonska določba tj. zakaj zagotavljanja storitve javne izposoje koles brez njihovega GPS sledenja ni mogoče izvajati. GPS sledenje koles morda res lahko pripomore k iskanju izgubljenih ali ukradenih koles, vendar pa nikakor ni edini način, na katerega lahko občina zaščiti svoje premoženje (kolesa). Sistemi izposoje, kot ste ga predstavili v vašem zaprosilu običajno delujejo tako, da je posameznik, ki si kolo izposodi v času izposoje odgovoren zanj, za njegovo ustrezno vrnitev po koncu uporabe in škodo, ki jo med njegovo uporabo povzroči, zato ni mogoče trditi, da je edina možnost za izvajanje javne izposoje koles in v tem okviru za varovanje občinskih koles, njihovo GPS sledenje. Poleg tega bi občina, po mnenju IP težko izkazala tudi obstoj nadaljnjega pogoja za zakonito obdelavo osebnih podatkov iz četrtega odstavka 6. člena ZVOP-2 tj. da občina z avtomatiziranim in kontinuiranim zbiranjem podatkov o vseh poteh, ki jih posamezni uporabnik opravi z izposojenim občinskim kolesom, ne posega v upravičen interes takega posameznika.

Glede na informacije, ki ste nam jih posredovali v vašem zaprosilu IP torej ne razbere obstoja pravne podlage za GPS sledenje koles, ki jih kot občina v okviru javne storitve nudite uporabnikom. Dokončni odgovor pa bi, kot rečeno, lahko IP podal samo v postopku inšpekcijskega nadzora po predhodni ugotovitvi vsej relevantnih dejstev in okoliščin konkretnega primera.

IP dodatno pojasnjuje tudi, da je več informacij o varstvu osebnih podatkov pri uporabi GPS naprav na voljo tudi v smernicah, ki jih je pripravil IP in so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/GPS_smernice_net_.pdf

Lepo vas pozdravljamo.

Pripravil:

Blaž Pavšič, državni nadzornik za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka