Izvajanje videonadzora s strani več podjetij

Datum

24.09.2024

Številka

07121-1/2024/1108

Kategorije

Skupni upravljavci, Video in avdio nadzor, Varnost osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je po e-pošti prejel vaše zaprosilo za mnenje. Opisujete, da za različne partnerje skladiščite blago. V svojih skladiščih ste skladno z ZVOP-2 namestili videonadzor. Vaš partner, za katerega skladiščite blago, želi zaradi varovanja oseb in premoženja v vaših skladiščih vzpostaviti sistem videonadzora. Dela zanj opravlja tretja zunanja oseba, ki prav tako želi uvesti lasten videonadzor ali se vključiti v že obstoječega. Prosite nas za mnenje, ali je tak način izvajanja videonadzora sploh dopusten ter ga lahko pravne osebe izvajajo z vašim soglasjem in obvestilom ter ostalimi ukrepi, ki izhajajo iz ZVOP-2.

* * *

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da se dve ali več podjetij, ki se dogovorijo o skupnem izvajanju videonadzoru določenih skupnih poslovnih prostorov, praviloma štejejo kot skupni upravljavci, ki skupaj določijo namene in načine obdelave osebnih podatkov. Skupni upravljavci morajo skladno s 26. členom Splošne uredbe na pregleden način z medsebojnim dogovorom določiti dolžnosti vsakega od njih z namenom izpolnjevanja vseh obveznosti, ki jih upravljavcem nalaga Splošna uredba.

Poudarjamo, da mora vsak skupni upravljavec za zagotavljanje videonadzora zagotoviti ustrezno pravno podlago. V mnenju izpostavljamo videonadzor delovnih prostorov, ki je urejen v 78. členu ZVOP-2. Pri izvajanju videonadzora je treba upoštevati tudi splošna načela, npr. načelo najmanjšega obsega podatkov, skladno s katerim naj upravljavci obdelujejo zgolj tiste osebne podatke, ki so za dosego cilja nujno potrebni. Izpostavljamo tudi, da lahko v posnetke vpogledajo zgolj pooblaščene osebe v povezavi z nameni, zaradi katerih je bil videonadzor uveden (npr. ko bi prišlo do poškodovanja ali odtujitve konkretnega premoženja).

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

ZVOP-2 poleg splošnih določb o videonadzoru (76. člen) ureja tudi videonadzor dostopa v uradne službene oz. poslovne prostore (77. člen), videonadzor znotraj delovnih prostorov (78. člen), videonadzor v prevoznih sredstvih, namenjenih javnemu potniškemu prometu (79. člen) in videonadzor na javnih površinah (80. člen). V vseh drugih primerih mora obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe.

Glede na vaše vprašanje (videonadzor v skladišču) izpostavljamo videonadzor znotraj delovnih prostorov, ki se lahko skladno s prvim odstavkom 78. členom ZVOP-2 izvaja le, kadar je to nujno potrebno za varnost ljudi ali premoženja ali preprečevanje ali odkrivanje kršitev na področju iger na srečo ali za varovanje tajnih podatkov ali poslovnih skrivnosti, teh namenov pa ni mogoče doseči z milejšimi sredstvi (prvi odstavek). Delodajalec mora torej presoditi, ali je izvajanje videonadzora nujno potrebno za navedene (dopustne) namene in ali za dosego cilja obstajajo milejši ukrepi (kot je npr. nadzor s strani zaposlenih). Nadalje se lahko skladno z drugim odstavkom 78. člena ZVOP-2 videonadzor izvaja le glede tistih delov prostorov in v obsegu, kjer je treba varovati navedene interese (npr. le nad blagajno). Z videonadzorom je nadalje prepovedano snemati delovna mesta, kjer delavec po navadi dela, razen če je to nujno v skladu s prvim odstavkom tega člena (glej zgoraj). Več o videonadzoru v delovnih prostorih lahko preberete v Smernicah glede izvajanja videonadzora, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-izvajanja-videonadzora.

Upravljavec je skladno s 7. točko 4. člena Splošne uredbe opredeljen kot fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave. Obdelava lahko v določenih primerih poteka tako, da je udeleženih več upravljavcev, ki skupaj določijo namen in način obdelave osebnih podatkov. Takšen primer je lahko tudi skupno izvajanje videonadzora.

Glede izvajanja videonadzora s strani več podjetij, vas napotujemo na že izdano mnenje št. 07121-1/2024/487 z dne 24. 4. 2024, v katerem smo podrobneje pojasnili, da pri izvajanju videonadzora skupnih prostorov, za kar se uporablja skupna infrastruktura in nastaja skupna zbirka osebnih podatkov, praviloma prihaja do skupnega upravljanja, ugotavljanje, ali gre v določenem primeru za skupno upravljanje ali ne pa je odvisno od presoje, ali je pri določeni obdelavi osebnih podatkov (videonadzor predstavlja posebno obliko obdelave osebnih podatkov) udeleženih več upravljavcev, ki skupaj določijo namen in način obdelave osebnih podatkov. Pri tem velja izpostaviti, da skupni upravljavci nimajo nujno vedno enakih vlog ali enakovredno porazdeljenih odgovornosti. Tako so lahko skupni upravljavci vključeni v določene stopnje obdelave osebnih podatkov in v različnem obsegu. Tudi nameni in sredstva niso vedno nujno enaki, morajo pa biti skupno določeni.

Delitev odgovornosti morajo skupni upravljavci določiti z dogovorom (26. člen Splošne uredbe), ki mora jasno odražati vloge in odgovornosti vsakega skupnega upravljavca, še posebej glede vprašanja izvrševanja pravic posameznikov in obveščanja posameznikov o obdelavi osebnih podatkov. V dogovoru morajo tudi opredeliti pravice, dolžnosti in odgovornosti glede zahtev iz ZVOP-2 oz. Splošne uredbe, npr. o izvajanju videonadzora morajo objaviti obvestilo, sprejeti ustrezne ukrepe za zavarovanje osebnih podatkov, voditi dnevnik obdelave ter dnevnik dejavnosti obdelave in po potrebi urediti razmerje s pogodbenim obdelovalcem (če obstaja). Za več informacij o skupnem upravljanju vam predlagamo, da preberete zgoraj citirano mnenje.

Glede vašega vprašanja dodatno izpostavljamo, da je pomembno, da imajo vsi upravljavci za obdelavo osebnih podatkov ustrezno pravno podlago, kot smo pojasnili zgoraj, pri čemer je treba upoštevati tudi t.i. načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Prav tako vam predlagamo, da v okviru ukrepov za zavarovanje osebnih podatkov določite, kdo so pooblaščene osebe za vpogled v posnetke. Kot je IP že večkrat poudaril v svojih mnenjih, bi lahko bil zakonit namen, iz katerega bi se pregledovali posnetki, ki bi nastali z izvajanjem videonadzora, npr. zagotavljanje varnosti ljudi in premoženja. Izvajalec videonadzora bi lahko torej posnetke pregledoval v primeru, ko bi prišlo do poškodovanja ali odtujitve njegovega premoženja oziroma zgolj ob nekem deviantnem dogodku, ko bi bil videoposnetek le dodaten dokaz v prekrškovnem ali kazenskem postopku.

IP vam z nezavezujočim mnenjem podaja le splošne usmeritve in pojasnila, upravljavec pa mora v konkretnem primeru sam presoditi, ali so izpolnjeni pogoji za izvajanje videonadzora. Več usmeritev glede izvajanja videonadzora lahko preberete v zgoraj citiranih smernicah, nekaj informacij o vzpostavitvi videonadzora lahko preberete tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/ ter v že izdanih nezavezujočih mnenjih IP, ki so dostopna z iskalniki na www.ip-rs.si/vop.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo