Brezstično odpiranje vhodnih vrat v večstanovanjski objekt

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede sistema brezstičnega odpiranja vhodnih vrat v večstanovanjski objekt.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Vsak upravljavec mora v primeru uporabe točke (f) prvega odstavka 6. člena Splošne uredbe sam izvesti tehtanje interesov in izkazati zakoniti interes, ter zagotoviti, da obdelava ne posega nesorazmerno v pravice posameznikov.

Posameznike je treba seznaniti z informacijami o obdelavi osebnih podatkov.

Dostop do podatkov mora biti omejen na pooblaščene osebe, izvaja pa se lahko le za zakonite namene.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da v okviru neobvezujočega mnenja ne more presojati ustreznosti določene rešitve, niti ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Presojo o ustreznosti lahko izvede le v okviru konkretnega nadzornega ali drugega upravnega postopka. V nadaljevanju IP zato podaja splošna pojasnila, na podlagi katerih lahko tisti, ki podatke obdeluje, ugotavlja skladnost svojega ravnanja s predpisi s področja varstva osebnih podatkov.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku  6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Vsak upravljavec mora v primeru uporabe točke (f) prvega odstavka 6. člena Splošne uredbe sam izvesti tehtanje interesov in izkazati zakoniti interes, ter zagotoviti, da obdelava ne posega nesorazmerno v pravice posameznikov. Jasno mora biti določen tudi namen (npr. nadzor dostopa, varovanje večstanovanjske stavbe).

IP posebej opozarja, da pomemben in pogosto zapostavljen vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Skladno z določbo 13. člena Splošne uredbe je namreč dolžan upravljavec v primeru, kadar so bili osebni podatki  pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije:

1. identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;
2. kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;
3. namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
4. kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;
5. uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;
6. kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo;
7. tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena.

Dodatno drugi odstavek 13. člena Splošne uredbe zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Informacije se posamezniku dajo na način, določen v 12. členu Splošne uredbe, kar pomeni, da jih je treba zagotoviti  v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku. Informacije se posredujejo v pisni obliki ali z drugimi sredstvi, vključno, kjer je ustrezno, z elektronskimi sredstvi. Sam način obveščanja je torej izbira upravljavca (lahko je tako tudi npr. v obliki posebnega sklepa ali drugega akta), ki mora ob tem upoštevati konkretne okoliščine obdelave. Konkretni uporabniki (stanovalci) morajo biti pred namestitvijo oziroma uporabo sistema seznanjeni z navedenimi informacijami.

IP opozarja tudi na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov uporabnikov (stanovalcev), kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru. Osebni podatki se lahko hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.

Ob tem mora upravljavec poskrbeti tudi za zavarovanje zbirke osebnih podatkov, ki nastane na podlagi uporabe sistema. Gre za organizacijske in tehnične ukrepe, ki jih določa Splošna uredba v 24. in 32. členu. IP opozarja tudi na zahtevo po vgrajenem in privzetem varstvu osebnih podatkov (25. člen Splošne uredbe). Ta terja, da se tako v sami zasnovi sistema (vgrajeno), kot tudi pri njegovi uporabi (privzeto), spoštuje temeljna načela varstva osebnih podatkov iz 5. člena Splošne uredbe (poleg zgoraj omenjenih načel najmanjšega obsega podatkov in omejitve shranjevanja tudi druga načela iz 5. člena Splošne uredbe).

Če je za izvajanje sistema podana ustrezna pravna podlaga in je odločitev o tem sprejeta z ustrezno večino, ga lahko izvajajo bodisi zunanji izvajalec bodisi stanovalci sami tako, da v ta namen pooblastijo določeno osebo (posameznega etažnega lastnika, upravnika ipd.). Nujno je treba tudi določiti pooblaščene osebe, ki lahko dostopajo do podatkov o uporabi sistema. Opozarjamo, da se dostop lahko izvaja le za zakonite namene, (npr. zaradi nadzora dostopa), treba pa ga je omejiti le na osebe, ki se morajo s podatki seznaniti oziroma jih obdelovati zaradi izpolnjevanja svojih delovnih ali drugih obveznosti.

IP meni, da bi namestitev sistema brezstičnega odpiranja vhodnih vrat v večstanovanjski stavbi lahko bila posel rednega upravljanja po 67. členu Stvarnopravnega zakonika (SPZ; Uradni list RS, št. 87/02, 91/13, 23/20), kar pomeni, da je posel potreben za ohranjevanje in vzdrževanje stvari za doseganje njenega namena. Posledično je za uvedbo tovrstnega sistema načeloma potrebno soglasje solastnikov, ki imajo skupaj več kot polovico idealnih deležev.

IP pojasnjuje tudi, da bi bil sklep o brezstičnem odpiranju vhodnih vrat v primeru, da bi bil veljavno sprejet z zahtevano večino, zavezujoč tudi za tiste etažne lastnike, ki niso glasovali za njegov sprejem. Posamezni etažni lastnik namreč praviloma ne more sam preprečiti izvedbe sklepa zgolj zato, ker se z njim ne strinja. V kolikor obstaja alternativna rešitev, ki bi bila v korist vseh vpletenih, se takšna rešitev lahko obravnava, ampak to presega pristojnosti IP, zato o tem ne more podajati nasvetov oziroma mnenj.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more presojati primernosti namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Prav tako IP v okviru neobvezujočega mnenja ne more presojati, ali je uporaba konkretne rešitve skladna s predpisi s področja varstva osebnih podatkov, ampak to lahko presoja le v okviru konkretnega nadzornega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je primarno vedno na upravljavcu osebnih podatkov. Upravljavec je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,
Informacijska pooblaščenka