Pametna vozila kot terminalna oprema v smislu določb ZEKom-1

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer ste pojasnili, da se v praksi pojavljajo vprašanja, vezana na zbiranje informacij v napravah t.i. pametne infrastrukture. Glede na to, da je Informacijski pooblaščenec zadolžen za inšpekcijski nadzor nad izvajanjem 157. člena ZEKom-1, se na nas obračate z nekaj vprašanji o dometu tega člena. Zanima vas, ali po naši interpretaciji pod izraz “terminalska oprema” spada tudi pametno vozilo, opremljeno s SIM kartico, kjer proizvajalec originalne opreme lahko dostopa do podatkov, shranjenih v vozilu oziroma sam shranjuje informacije v vozilo preko interneta. Če je naš odgovor pritrdilen, ali bi se za zgoraj opisan dostop oziroma shranjevanje informacij zahtevala privolitev prizadete osebe? Če da, ali so kakšne izjeme (kjer posebna privolitev ni potrebna), npr. za izpolnitev pravne obveznosti, za izvedbo pogodbe, za raziskave in razvoj ipd. Če se nam ne zdi, da je situacija pokrita z obstoječo zakonodajo – ali se morda obetajo spremembe z novelo ZEKom-2?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da je Evropski odbor za varstvo podatkov (EDPB), katerega član je tudi IP, na temo povezanih vozil in obdelave osebnih podatkov pri tem izdal Smernice 1/2020 o obdelavi osebnih podatkov v kontekstu povezanih vozil in aplikacij, povezanih z mobilnostjo (dostopno na: https://edpb.europa.eu/our-work-tools/documents/public-consultations/2020/guidelines-12020-processing-personal-data_en).

EDPB v smernicah pojasni, da je pomembno v obzir vzeti Direktivo o obdelavi osebnih podatkov in varstvu zasebnosti na področju elektronskih komunikacij (ePrivacy direktiva (2002/58/EC s spremembami in dopolnitvami)), katere člen 5(3) določa, da je uporaba elektronskih komunikacijskih omrežij z namenom shranjevanja podatkov ali pridobitve dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljena samo pod pogojem, da sta naročnik ali uporabnik jasno in izčrpno obveščena (med drugim) o namenih obdelave in da mu upravljavec podatkov zagotovi pravico do zavrnitve take obdelave. Pri tem je terminalna oprema takšna oprema, ki je neposredno ali posredno priključena na mrežni vmesnik javnega telekomunikacijskega omrežja za pošiljanje, obdelovanje ali sprejemanje informacij; v obeh primerih (neposredna ali posredna) se lahko priključitev izvede z žico, optičnim kablom ali elektromagnetno; priključitev je posredna, če je oprema nameščena med terminalom in javnim mrežnim vmesnikom. EDPB posledično zastopa stališče, da se povezano vozilo in vsaka z njim povezana naprava smatra za terminalsko opremo. Člen 5(3) je bil v slovenski pravni red prenesen s 157. členom Zakona o elektronskih komunikacijah (ZEKom-1).

Pomembno je tudi stališče EDPB glede razmerja med ePrivacy direktivo in Splošno uredbo v tem kontekstu. EDBP je v Mnenju št. 5/2019 o medsebojnem vplivu Direktive o zasebnosti in elektronskih komunikacijah ter Splošne uredbe o varstvu podatkov, zlasti v zvezi s pristojnostmi, nalogami in pooblastili organov za varstvo podatkov (dostopno na: https://edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-52019-interplay-between-eprivacy_sl) pojasnil, da člen 5(3) ePrivacy direktive, ki zahteva predhodno privolitev za hrambo ali pridobitev dostopa do hranjenih podatkov v terminalski opremi naročnika ali uporabnika, prevlada nad členom 6 Splošne uredbe glede dejavnosti shranjevanja ali dostopa do teh podatkov ter da mora privolitev po ePrivacy direktivi  vsebovati vse elemente privolitve po GDPR. Izjeme, kjer se privolitev ne zahteva, pa so:

• hramba ali dostop do hranjenih podatkov izključno za namen opravljanja ali lajšanja prenosa sporočila prek elektronskega komunikacijskega omrežja;
• hramba ali dostop do hranjenih podatkov nujno potrebna za zagotovitev storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata.

V teh primerih je lahko pravna podlaga za obdelavo osebnih podatkov člen 6 Splošne uredbe.

Priporočamo vam, da se podrobno seznanite z navedenima mnenjema EDPB, saj so v njih natančno razdelane tudi ostale dileme glede obdelave osebnih podatkov v kontekstu povezanih vozil.

S spoštovanjem,

Mojca Prelesnik, univ.dipl.prav.,                                                                                                  

informacijska pooblaščenka

Pripravil:                                                                                                                                 

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke