Mnenje glede naprave za merjenje telesne temperature posameznikov
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 30.06.2020Številka: 07121-1/2020/1170
Kategorije: Biometrija, Certifikacija, Ocene učinkov v zvezi z varstvom podatkov, Zdravstveni osebni podatki
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše vprašanje in sicer nas prosite za posredovanje mnenja glede termo kamer za preverjanje telesne temperature zaposlenih oz. obiskovalcev, ki jih ponujate na trgu. Kot ste pojasnili imate opravljena različna testiranja in pridobljen znak CE. Zanima vas naše mnenje glede stališč o varstvu osebnih podatkov, ki vam jih je podal odvetnik.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
IP uvodoma pojasnjuje, da so stališča odvetnika, ki ste nam jih predložili, v pretežnem delu pravilna in natančna. Ne strinjamo pa se z navedbami odvetnika, da fotografija posameznika (privzeto) sodi med biometrične podatke. To določa tudi Splošna uredba v uvodni določbi št 51, ki med drugim določa:
»Obdelava fotografij se ne bi smela sistematično šteti za obdelavo posebnih vrst osebnih podatkov, saj spadajo v opredelitev biometričnih podatkov le, kadar so obdelane s posebnimi tehničnimi sredstvi, ki omogočajo edinstveno identifikacijo ali avtentikacijo posameznika.«
Kolikor bi zadevna tehnologija delovala na način, ki ga štejemo za izvajanje biometrijskih ukrepov, potem veljajo pogoji za uvedbo biometrijskih ukrepov po določbah ZVOP-1 (členi 78 do 80). Smernice o biometrijskih ukrepih so dostopne na:
https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Biometrija_-_smernice.pdf
Glede na vaš opis delovanja naprave sicer ne gre za enolično razločevanje ali identifikacijo posameznika, vseeno pa opozarjamo na ureditev biometrijskih ukrepov, kolikor bi sistem deloval tako.
Glede navedb vašega sodelavca pa moramo opozoriti, da so pristojnosti Informacijskega pooblaščenca točno določene z zakonodajo (https://www.ip-rs.si/o-pooblascencu/pristojnosti/) in IP drugih nalog ne sme opravljati ali izvajati. Med takšne bi npr. sodilo zadolžitev izvajalcev, da uporabljajo točno določeno opremo ali izdaja zavezujočih mnenj, saj bi bili takšni akti IP nezakoniti.
Glede samega merjenja temperature v smislu preprečevanja okužb z virusom COVID-19 smo že izdali sporočilo za javnost, ki je dostopno na:
Smiselno podobno velja tudi za druge okoliščine, pri čemer priporočamo tudi naslednja že izdana mnenja:
https://www.ip-rs.si/vop/?tx_jzgdprdecisions_pi1%5BshowUid%5D=1636
https://www.ip-rs.si/vop/?tx_jzgdprdecisions_pi1%5BshowUid%5D=1633
Ključno je, da ni mogoče za posamezno tehnologijo vnaprej trditi, da bo njena uporaba skladna z zakonodajo o varstvu osebnih podatkov, temveč se to lahko ugotavlja le v posameznem konkretnem primeru uporabe, saj so lahko okoliščine in kontekst delovanja zelo različne. Za lažje razumevanje – tudi za sistem za pošiljanje elektronskih novičk, sistem za upravljanje baze podatkov, videonadzorni sistem ali drugo tehnologijo ni mogoče na splošno reči, da je sam po sebi zakonit ali ne, temveč se ugotavlja dejansko stanje v konkretnem primeru uporabe, konkretne okoliščine in kontekst. Prav tako določene tehnologije kot take oziroma naprave ni mogoče prepovedati ali dovoljevati na splošno, temveč se z vidika varstva osebnih podatkov vedno presojajo posamezne konkretne okoliščine uporabe. IP zakonitosti ne more presojati v okviru nezavezujočih mnenj, temveč lahko zakonitost ugotavlja le v okviru uvedenega inšpekcijskega nadzora oziroma postopka.
Za posamezen primer uporabe priporočamo, da bodoči upravljavec sistema upošteva naša že izdana mnenja in izvede predhodno izvedbo ocene učinka v zvezi z varstvom osebnih podatkov. Ocena učinka je vezana na konkretno situacijo oziroma kontekst in okoliščin ter ne more biti narejena na splošno za tehnologijo kot tako, upravljavcu pa omogoča, da pravočasno ugotovi, kaj je potrebno za zakonitost delovanja.
Vse informacije o ocenah učinka so na voljo na:
S spoštovanjem,
Mojca Prelesnik, univ. dipl. prav.,
Informacijska pooblaščenka
Pripravil:
mag. Andrej Tomšič,
namestnik informacijske pooblaščenke