Zbiranje dodatnih osebnih podatkov o posamezniku pri izvajanju videonadzora

Datum

26.06.2024

Številka

07121-1/2024/732

Kategorije

Video in avdio nadzor, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaše vprašanje, če delodajalec lahko pri izvajanju videonadzora službenih prostorov oz. vstopov in izstopov v službene prostore, naknadno te posnetke povezuje tudi z drugimi osebnimi podatki (kot npr. z vašim stalnim ali začasnim naslovom prebivališča; številko oz. vrsto vašega osebnega dokumenta).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Za zakonito izvajanje videonadzora mora upravljavec zagotoviti ustrezno pravno podlago skladno z ZVOP-2 oz. Splošno uredbo. Videonadzor znotraj službenih prostorov ter vstopa in izstopa iz službenih prostorov se lahko izvaja le za namene in pod pogoji, ki so opredeljeni v 76., 77. in 78. členu ZVOP-2, med drugim zaradi varnosti ljudi ali premoženja. O zakonitosti izvajanja konkretnega videonadzora (oz. zakonitost naknadne obdelave OP) bi lahko IP presojal zgolj v inšpekcijskem postopku, zato vam z mnenjem podajamo splošna pojasnila.

2.2. Obdelava osebnih podatkov je vedno vezana na posamezen in konkreten namen za katerega se osebni podatki obdelujejo.

3.3. Kljub temu, da upravljavec zagotovi ustrezno pravno podlago za obdelavo osebnih podatkov za en namen (npr. za izvajanje videonadzora) mora za drug namen obdelave osebnih podatkov (npr. za beleženje in povezovanje osebnih podatkov med seboj) upravljavec, zagotoviti ločeno (lahko sicer enako, če je tako ustrezno) pravno podlago.

Obrazložitev

IP uvodoma poudarja, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora kot nasploh za zakonito obdelavo osebnih podatkov vedno na upravljavcu osebnih podatkov (v konkretnem primeru na vašem delodajalcu), ki mora biti to zmožen tudi dokazati. IP izven nadzornega ali drugega upravnega postopka ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati do zakonitosti obdelave konkretnih osebnih podatkov, ki jih upravljavec obdeluje. Iz navedenih razlogov IP v okviru tega mnenja lahko podaja zgolj splošna stališča.

IP najprej pojasnjuje, da je glede vzpostavitve in zakonitega izvajanja videonadzora znotraj službenih prostorov kot tudi dostopa in izstopa iz službenih prostorov izdal že kar nekaj neobvezujočih mnenj, ki si jih lahko preberete na spodnjih povezavah:

·mnenje IP št. 07121-1/2024/409 z dne 9. 4. 2024;

·mnenje IP št. 07121-1/2024/308 z dne 18. 3. 2024;

·mnenje IP št. 07120-1/2024/6 z dne 9. 1. 2024;

·mnenje IP št. 07121-1/2023/631 z dne 12. 5. 2023.

Poleg navedenih mnenj vam predlagamo, da si preberete tudi smernice IP glede izvajanja videonadzora, ki so dostopne na naslednji povezavi: https://www.ip-rs.si/publikacije/priročniki-in-smernice/smernice-po-splošni-uredbi-o-varstvu-podatkov-gdpr/smernice-glede-izvajanja-videonadzora ter informacije iz naše spletne strani: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/

V zvezi z vprašanjem dopustnosti povezovanja določenih osebnih podatkov (npr. podatka o stalnem prebivališču delavca; številki in vrsti osebnega dokumenta itd.) z ustvarjenimi videoposnetki pa IP pojasnjuje, da mora za vsako posamezno obdelavo osebnih podatkov obstajati ustrezna in zakonita pravna podlaga glede na 6. oz. 9. člen Splošne uredbe. Obdelava osebnih podatkov je namreč vedno vezana na posamezen in konkreten namen za katerega se osebni podatki obdelujejo. Z drugimi besedami to pomeni, da morajo osebni podatki biti vedno zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (t. i. načelo omejitve namena). Kljub temu, da upravljavec zagotovi ustrezno pravno podlago za obdelavo osebnih podatkov za en namen (npr. za izvajanje videonadzora službenih prostorov) mora za drug (ločen) namen obdelave osebnih podatkov (npr. za beleženje in povezovanje osebnih podatkov med seboj) upravljavec, zagotoviti ločeno (lahko sicer enako, če je tako ustrezno) pravno podlago (ob izkazanih pogojih bi to potencialno lahko bil tudi 48. člen ZDR-1).

IP ob tem še opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da se ne sme pridobivati in obdelovati podatkov, ki niso potrebni za namene, za katere se ti zakonito obdelujejo.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka