Snemanje zaposlenih v rdeči coni

Informacijski pooblaščenec (v nadaljnjem besedilu IP) je prejel vaše zaprosilo za mnenje glede snemanja zaposlenih v rdeči coni, ki ste jo v vašem socialno varstvenem zavodu, oblikovali v sklopu ukrepov zaradi vdora okužbe COVID – 19 v vaš zavod. Navajate, da bi v zavodu izključno zaradi osveščanja javnosti, želeli posneti dogajanje (delo zaposlenih v popolni zaščitni opremi) v rdeči coni, ki ste jo morali vzpostaviti in vanjo preseliti okužene stanovalce. Posnetek bi bil narejen brez prepoznavnosti kogarkoli in seveda s soglasjem vseh zaposlenih, ki delajo v redeči coni v zaščitni opremi (npr. skafander). Obrazov stanovalcev ne bi snemali oz. izpostavljali. Zanima vas, če to lahko naredite oz. ali je to dovoljeno v skladu s smernicami IP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da v okviru nezavezujočega mnenja ne more presojati ustreznosti določene rešitve, niti ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka. V nadaljevanju IP zato podaja splošna pojasnila, na podlagi katerih lahko tisti, ki podatke obdeluje, ugotavlja skladnost svojega ravnanja s predpisi s področja varstva osebnih podatkov.

Glede na vaše navedbe je torej prvo vprašanje ali bi bili posamezniki (zaposleni, stanovalci in morebitni drugi posamezniki, ki bi bili na posnetku) na podlagi posnetkov določljivi in ali bi torej šlo v primeru opisanega snemanja za obdelavo osebnih podatkov. Osebni podatek pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom. Določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika (1. točka 4. člena Splošne uredbe o varstvu podatkov). Obdelava osebnih podatkov pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje (2. točka 4. člena Splošne uredbe o varstvu podatkov).

Glede na navedeno posnetki predstavljajo varovane podatke po Splošni uredbi o varstvu podatkov le takrat, ko so posamezniki na njih določeni ali določljivi oziroma ko se jih da prepoznati, zlasti če se hkrati s posnetki posameznika obdelujejo tudi drugi njegovi podatki, npr. ime in priimek, delovno mesto, ... Objava takšnih posnetkov bi lahko pomenila obdelavo osebnih podatkov, ki so del zbirk osebnih podatkov, katerih upravljavec je vaš zavod.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno pravno podlago. Splošna uredba o varstvu podatkov določa pravne podlage v prvem odstavku 6. člena: »Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«

Pravno podlago za obdelavo osebnih podatkov v javnem sektorju, kamor se uvrščajo tudi javni zavodi, ureja še veljavni 9. člen ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Skladno s še veljavnim drugim odstavkom istega člena lahko nosilci javnih pooblastil obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil. Če gre za snemanje zaposlenih na podlagi privolitve, morajo torej ti imeti možnost, da takšno privolitev povsem brez posledic za delovno razmerje zavrnejo (sicer bi lahko šlo za prisilitev in privolitev ne bi bila veljavna). V primeru obdelave posebnih vrst osebnih podatkov (sem sodijo tudi podatki v zvezi z zdravjem) se zahteva izrecna privolitev.

Iz privolitve mora biti razvidno, za kakšne posnetke gre, na kakšen način oziroma za kakšne namene se bodo le-ti uporabljali in koliko časa se bodo shranjevali. Predpogoj za pridobitev veljavne privolitve je konkreten, ekspliciten in legitimen namen, ki mora biti tudi izražen na privolitvi. IP je pripravil podrobno razlago, v katerih primerih je privolitev veljavna in kateri so dodatni pogoji za pridobitev veljavne privolitve, s čimer se lahko seznanite na spletni strani IP v zavihku »Splošna uredba o varstvu podatkov - Ključna področja – Privolitev« oz. na povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/privolitev/ in na Smernice o privolitvi (dostopne so v angleškem jeziku), ki so jih pripravili evropski nadzorni organi za varstvo osebnih podatkov: https://www.ip-rs.si/fileadmin/user_upload/Pdf/mnenja/Mednarodna_mnenja/mnenja_na_eu_ravni/20180416_WP259rev01_Article29WPGuidelinesonConsent.pdf.

Upravljavec osebnih podatkov je dolžan pri obravnavani obdelavi osebnih podatkov upoštevati člen 13 Splošne uredbe o varstvu podatkov, ki določa, katere informacije je potrebno zagotoviti posamezniku, kadar se osebni podatki pridobijo neposredno od posameznika.

Nadaljnja uporaba posnetkov (npr. predvajanje posnetka na Youtube-u) na način, ki omogoča enostavno prepoznavo upodobljenega posameznika, je skladna z določbami Splošne uredbe o varstvu podatkov le, če se za takšno obdelavo osebnih podatkov vnaprej pridobi osebno privolitev upodobljenega posameznika.

IP še pojasnjuje, da lahko zakonitost posamezne obdelave osebnih podatkov oceni izključno v konkretnem inšpekcijskem postopku. IP prav tako v nobenem primeru ni pristojen presojati drugih vidikov, ki bi lahko bili pomembni pri izvedbi posnetka, ki ga opisujete (npr. vprašanja pravic s področja delovnega prava in drugih vidikov posegov v zasebnost posameznikov ipd.).

Prav tako so vsa ključna področja, ki jih ureja Splošna uredba o varstvu podatkov, predstavljena na https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/. Tu lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

V upanju, da vam bodo naši napotki v pomoč, vas lepo pozdravljamo.

                                                                                   Mojca Prelesnik

                                                                                   informacijska pooblaščenka

Maja Wondra Horvat, univ. dipl. prav.,

svetovalka IP   

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.