Dostop do posnetkov videonadzora

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše vprašanje. Zanima vas, kdo lahko naredi posnetek nadzornih kamer, ki so npr. postavljene v trgovinah. Navajate, da podjetje nima varnostne službe, ampak se v primeru kraj posnetki pregledajo s strani vodstvenega kadra, saj je sistem v lasti podjetja in je za dokazovanje krivde treba predložiti dokaze.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Pooblaščena oseba upravljavca oz. izvajalca videonadzora bi lahko posnetke pregledovala zgolj v primeru, ko bi prišlo do poškodovanja ali odtujitve njegovega premoženja ali ogrožanja ljudi oziroma ob nekem deviantnem dogodku, ko bi bil videoposnetek le dodaten dokaz v prekrškovnem ali kazenskem postopku. Posameznik, ki je bil posnet z videonadzornim sistemom pa lahko skladno s Splošno uredbo prejme potrditev, ali se v zvezi z njim obdelujejo osebni podatki, zahteva dostop do svojih osebnih podatkov (npr. do konkretnega posnetka) in prejme nekatere informacije o obdelavi osebnih podatkov.

O b r a z l o ž i t e v:

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Izvajanje videonadzora v trgovini (praviloma) predstavlja obdelavo osebnih podatkov – obdelujejo se s strani t.i. »upravljavca osebnih podatkov«, ki je v konkretnem primeru izvajalec videonadzora (če podjetje izvaja videonadzor samo) in je lahko npr. podjetje, ki upravlja s trgovino, trgovski center, itd. Upravljavec mora pri tem spoštovati določbe Splošne uredbe in ZVOP-1, pri čemer mora poskrbeti npr., da obstaja primerna pravna podlaga za obdelavo osebnih podatkov; da so posamezniki obveščeni o obdelavi osebni podatkov, tako z objavo obvestila o izvajanju videonadzora, kakor tudi z informacijami, kot so: kdo obdeluje osebne podatke, zakaj jih obdeluje, komu osebne podatke posreduje, koliko časa se bodo osebni podatki hranili, itd. ter npr. za ustrezno zavarovanje osebnih podatkov (npr. preprečiti mora nepooblaščen dostop do posnetkov, določiti mora osebe, ki lahko zaradi narave svojega dela obdelujejo podatke v evidenci videonadzora, itd.). Pomembno je, da do posnetkov dostopajo pri upravljavcu samo pooblaščene osebe, ki opravljajo naloge povezane s samim namenom izvajanja videonadzora in da se v posnetke ne vpogleduje in se jih ne obdeluje za druge namene. Če je konkreten videonadzor uveden zaradi varovanja ljudi oz. premoženja, bi lahko upravljavec oz. izvajalec videonadzora posnetke pregledoval zgolj v primeru, ko bi prišlo do poškodovanja ali odtujitve njegovega premoženja ali ogrožanja ljudi oziroma ob nekem deviantnem dogodku, ko bi bil videoposnetek le dodaten dokaz v prekrškovnem ali kazenskem postopku.

Ob tem pojasnjujemo, da lahko posameznik zahteva kopijo videoposnetka, na katerem je posnet in sicer gre za pravico do seznanitve z lastnimi osebnimi podatki, ki je opredeljena v 15. členu Splošne uredbe.

Prvi odstavek 15. člena Splošne uredbe tako določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in informacije, kot so nameni obdelave, predvideno obdobje hrambe, uporabniki osebnih podatkov, itd. Skladno s tretjim odstavkom 15. člena Splošne uredbe mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotoviti kopijo osebnih podatkov, ki jih obdeluje. Če se zahtevo za dostop do osebnih podatkov predloži z elektronskimi sredstvi in če posameznik ne zahteva drugače, mu mora upravljavec informacije zagotoviti v elektronski obliki, ki je splošno uporabljana. Pri tem izpostavljamo, da mora upravljavec dele posnetkov, na katerih se nahajajo druge osebe, zamegliti, saj lahko v okviru pravice dostopa prejmete zgolj svoje osebne podatke.

Upravljavec se mora na podano zahtevo odzvati brez nepotrebnega odlašanja in mora v vsakem primeru posredovati informacije oziroma zavrnilni odgovor v enem mesecu po prejemu zahteve. Ta rok se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev (tretji odstavek 12. člena Splošne uredbe).

Dodatno poudarjamo, da je obrazec (Zahteva za seznanitev z lastnimi osebnimi podatki - obrazec SLOP), s katerim si lahko pomagate pri uveljavljanju pravice dostopa dosegljiv na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Če vam upravljavec v zakonskem roku ne odgovori, lahko pri IP vložite pritožbo zaradi molka. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v roku 15 dneh od prejema zavrnilnega odgovora upravljavca.

Več informacij o pravici do seznanitve z lastnimi osebnimi podatki in glede njenega uveljavljanja je dostopnih tudi na naši spletni strani: https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/, več informacij o izvajanju videonadzora pa lahko preberete na:  https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                               

informacijska pooblaščenka      

Pripravila:                                                                                                                                

Barbara Pirš, univ.dipl.prav.,

svetovalka pooblaščenca za preventivo