Varstvo osebnih podatkov pri povezanih vozilih
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 14.02.2022Številka: 07121-1/2022/167
Kategorije: Informiranje posameznika, Moderne tehnologije, Pravne podlage, Privolitev
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas prosite za naša stališča glede varstva osebnih podatkov, ki se zbirajo v pametnih in povezanih vozilih ter glede regulacije tega področja. Kot navajate predvidena regulacija s strani Evropske komisije na naslavlja ustrezno te problematike, študije pa ugotavljajo, da kar 91 odstotkov potrošnikov v Evropi sicer meni, da so oni lastniki podatkov, ki jih beležijo njihova vozila, hkrati pa jih 85 odstotkov priznava, da nad temi podatki nimajo nadzora.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Informacijski pooblaščenec (v nadaljevanju IP) se vam uvodoma zahvaljuje za vaše sporočilo in posredovane informacije, saj se nanaša na področje, ki ga tudi sami spremljajo in že predstavlja, še bolj pa bo, pomembno področje, na katerem je treba zagotoviti ustrezno varstvo temeljnih pravic in svoboščin posameznik. Glede na naše pristojnosti vam v nadaljevanju podajamo naslednje informacije.
IP poudarja, da je za obdelavo osebnih podatkov posameznikov potrebno imeti ustrezno pravno podlago, skladno z določbami člena 6 Splošne uredbe. V konkretnem primeru, ko govorimo o povezanih vozilih, se kot najprimernejši pravni podlagi zdita bodisi privolitev posameznika po točki 6(1)a ali potrebnost obdelave za izvajanje pogodbe s posameznikom po točki 6(1)b, ni pa mogoče vnaprej izključiti tudi drugih možnih pravnih podlag po členu 6 Splošne uredbe (npr. izrecna ureditev v zakonu).
V vsakem primeru (ne glede na vrsto pravne podlage za obdelavo osebnih podatkov) mora biti posameznik ustrezno obveščen o obdelavi osebnih podatkov in sicer mu morajo biti podane vse informacije, kot jih zahteva člen 13 Splošne uredbe (v informacijo podajamo povezavo na neobvezni obrazec, ki je na voljo na:
Posebej poudarjamo, da je Splošna uredba zavezujoč predpis za vse države člani in velja za vsa področja zbiranja osebnih podatkov, pri čemer je definicija osebnih podatkov zelo široka, in tudi morebitni drugi predpisi ne morejo izničiti določb glede pravnih podlag za obdelavo osebnih podatkov. Obenem dodajamo, da je IP član Evropskega odbora za varstvo osebnih podatkov (EDPB; spletna stran: https://edpb.europa.eu/edpb_en), v okviru katerega podajamo mnenja na predpise EU, ki zadevajo oz. posegajo v področje osebnih podatkov. EDPB je na to temo že sprejel smernice o povezanih vozilih (Guidelines 01/2020 on processing personal data in the context of connected vehicles and mobility related applications). Smernice so lahko v pomoč pri lažjem razumevanju in spoštovanju določb Splošne uredbe, kakor tudi ob morebitni specifični regulaciji tega področja. Na voljo so na:
Obenem opozarjamo tudi na določbe Zakona o elektronskih komunikacijah (ZEKom-1) in sicer člena 157. Ta določa, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov. Ne glede na to je dovoljeno tehnično shranjevanje podatkov ali dostop do njih izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, ali če je to nujno potrebno za zagotovitev storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata.
Zaključno poudarjamo, da je tematika povezanih vozil na dnevnem redu varuhov zasebnosti tudi na mednarodni ravni. Mednarodna delovna skupina za varstvo podatkov in tehnologijo (IWGDPT; spletna stran. https://www.datenschutz-berlin.de/infothek-und-service/veroeffentlichungen/working-paper), katere član je tudi IP, je tako sprejela delovni dokument z naslovom »Working Paper: Connected Vehicles (Budapest (Hungary) 9./10. April 2018)”, ki je dostopen na:
V njem so opisana tveganja za varovanje temeljnih načel varstva osebnih podatkov ter podana priporočila zadevnim deležnikom - proizvajalcem vozil in opreme, ponudnikom storitev in aplikacij, standardizacijskim telesom, voznikom, javnim ustanovam ter regulatorjem.
Tematiko varstva osebnih podatkov pri povezanih vozilih bomo na nacionalni ravni kot na evropski ravni v okviru EDPB tudi v bodoče tesno spremljali in se vam vnaprej zahvaljujemo za morebitne informacije, ki bi bile pomembne za izvajanje naših pristojnosti in oblikovanje stališč.
S spoštovanjem,
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka
Pripravil:
mag. Andrej Tomšič,
namestnik informacijske pooblaščenke