Namestitev kamere v kabino tovornjaka
+ -Številka: 07121-1/2022/806
Kategorije: Delovna razmerja, Video in avdio nadzor
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje namestitve kamer v tovorno vozilo.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Uporaba dashboard kamer in podobnih naprav za snemanje prometa praviloma splošno ni dovoljena. Za zagotovitev zakonitosti tovrstne obdelave bi moral upravljavec (v konkretnem primeru delodajalec) utemeljiti, da zakoniti interesi, ki jih z obdelavo (v konkretnem primeru torej s snemanjem iz avtomobila) zasleduje, prevladajo nad pravicami in svoboščinami posameznikov, ki so predmet obdelave (v konkretnem primeru torej vsi udeleženci v prometu).
Delodajalec osebne podatke delavca lahko obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem.
ZVOP-1 v 77. členu določa zelo stroga pravila glede vzpostavitve in izvajanja videonadzora delovnih prostorov (za delovne prostore gre šteti vse prostore in površine, kjer zaposleni opravljajo svoje delovne naloge), ki se tako lahko izvaja le v izjemnih primerih, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi.
O b r a z l o ž i t e v:
IP uvodoma pojasnjuje, da v okviru nezavezujočega mnenja ne more presojati ustreznosti določene rešitve, niti ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka. V nadaljevanju IP zato podaja splošna pojasnila.
Glede vidika snemanja vožnje oziroma prometa IP pojasnjuje, da je izdal že nekaj mnenj v zvezi z uporabo t.i. »dashboard kamer«. Četudi morda v vašem primeru sicer ne bi šlo za uporabo teh kamer, IP pojasnjuje, da se z vidika obdelave osebnih podatkov snemanje z drugimi kamerami, telefonom ali drugimi podobnimi napravami ne razlikuje od omenjenih kamer. V teh mnenjih IP so podrobno opisani vsi vidiki obdelave osebnih podatkov na ta način. IP vam priporoča, da se seznanite z vsebino teh mnenj, ki so dostopna na spletni strani IP:
https://www.ip-rs.si/mnenja-gdpr/6048a38d454fd
https://www.ip-rs.si/mnenja-gdpr/6048a64135c6d
https://www.ip-rs.si/mnenja-gdpr/vgradnja-dashboard-kamere
Iz navedenih in tudi drugih mnenj IP izhaja, da uporaba tovrstnih kamer po mnenju IP praviloma splošno ni dovoljena, saj za njihovo uporabo ni zagotovljena nobena izmed pravnih podlag iz prvega odstavka 6. člena Splošne uredbe o varstvu podatkov. Izjemoma bi morda lahko (za zasebni sektor) v poštev prišla točka (f) omenjenega člena, v skladu s katerim je obdelava osebnih podatkov zakonita, kadar je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. IP posebej poudarja, da mora za zagotovitev omenjene pravne podlage mora upravljavec (v konkretnem primeru delodajalec) utemeljiti, da zakoniti interesi, ki jih z obdelavo (v konkretnem primeru torej s snemanjem iz avtomobila) zasleduje, prevladajo nad pravicami in svoboščinami posameznikov, ki so predmet obdelave (v konkretnem primeru torej vsi udeleženci v prometu). Tehtanje se opravi od primera do primera, pri čemer se upošteva zlasti, da se istega zakonitega interesa ne da doseči z milejšimi sredstvi in da je poseg v pravice in svoboščine posameznikov sorazmeren glede na pomen zakonitega interesa, ki se zasleduje – torej le v posebej utemeljenih primerih.
Pri presoji v konkretnem primeru je torej treba presoditi, ali je v konkretnem primeru snemanje potrebno zaradi uresničevanja zakonitih interesov uporabnika kamere in ali bi ti interesi očitno prevladali nad interesi, pravicami in svoboščinami drugih udeležencev prometa, ki bi bili pri tem posneti. IP ob tem pojasnjuje tudi, da je Evropski odbor za varstvo podatkov (EDPB) izdal Smernice 3/2019 o obdelavi osebnih podatkov z video napravami (različica 2.0, sprejete 29. januarja 20209, ki so dostopne na:
https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf
Navedene smernice med drugim določajo (stran 11): »Če je nameščena avtokamera (npr. za zbiranje dokazov v primeru nesreče), je treba zagotoviti, da ta kamera ne snema neprekinjeno prometa in oseb v bližini ceste. V nasprotnem primeru interes za video posnetke kot dokaz v razmeroma hipotetičnem primeru prometne nesreče ne more upravičiti tega resnega posega v pravice posameznikov, na katere se nanašajo osebni podatki.« Posamezniki (drugi udeleženci v prometu) namreč utemeljeno pričakujejo, da zgolj zaradi udeležbe v prometu na javni cesti ne bodo posneti.
IP nadalje poudarja, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe o varstvu podatkov. Upravljavec je tako dolžan posamezniku, na čigar se nanašajo osebni podatki, zagotoviti vse informacije o obdelavi osebnih podatkov, ki so določeni v 13. členu Splošne uredbe o varstvu podatkov. Skladno z omenjeno določbo je dolžan upravljavec v primeru, kadar so bili osebni podatki pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije:
- identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;
- kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;
- namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
- kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;
- uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;
- kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo;
- tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena.
Dodatno drugi odstavek 13. člena Splošne uredbe o varstvu podatkov zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Informacije se posamezniku dajo na način, določen v 12. členu Splošne uredbe o varstvu podatkov. Opisana obveznost informiranja posameznika odpade le izjemoma, in sicer takrat, kadar posameznik, na katerega se nanašajo osebni podatki, že ima informacije.
Iz navedenega izhaja, da je posamezniku torej treba ob pridobitvi njegovih osebnih podatkov zagotoviti navedene informacije o obdelavi osebnih podatkov. V konkretnem primeru bi torej morali vsem udeležencem v prometu (ob obstoju ustrezne pravne podlage za njihovo snemanje, katere obstoj je na podlagi informacij iz vašega zaprosila za mnenje ter zgoraj navedenih pojasnil le malo verjeten) zagotoviti navedene informacije v zvezi z obdelavo njihovih osebnih podatkov.
IP ob tem opozarja, da neupravičeno slikovno snemanje lahko v določenih primerih pomeni tudi kršitev določb druge področne zakonodaje, npr. določbe 138. člena Kazenskega zakonika (KZ-1; Uradni list RS, št. 55/08, 66/08 – popr., 39/09, 55/09 – odl. US, 91/11, 54/15, 38/16, 27/17, 23/20, 91/20, 95/21, 186/21), če bi se s snemanjem ali uporabo posnetkov občutno poseglo v zasebnost posameznika. Posameznik, ki meni, da se z uporabo fotografij posega v njegove osebnostne pravice, lahko uporabi institute civilnega ali kazenskopravnega varstva, ki mu jih daje zakonodaja in sodijo v pristojnost sodišč.
Glede vidika snemanja voznika (zaposlenega) s strani delodajalca IP splošno pojasnjuje, da za obdelavo osebnih podatkov delavcev veljajo načeloma enaka pravila za delodajalce v zasebnem in javnem sektorju, pri čemer so za ugotavljanje zakonitosti konkretne obdelave pomembni posamezni področni predpisi. Zakon o delovnih razmerjih (ZDR-1; Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmlS-A, 20271 – odl. US, 15/22, 54/22 – ZUPS-1) v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.
Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Ob tem IP poudarja, da mu ni znan zakon, ki bi delodajalcu dajal splošno pravno podlago za snemanje dela zaposlenih za namen nadzora vožnje, zato bi se na opisani način osebne podatke delavce lahko obdelovalo le, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Pri tem so mišljene pravic in obveznosti obeh, tako delavca kot delodajalca. Delodajalec mora natančno izkazati, zakaj je potrebna takšne obdelava osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Za v vašem zaprosilu za mnenje opisano obdelavo osebnih podatkov zaposlenih bi bilo po mnenju IP verjetno težko izkazati, da je potrebna in primerna za izvrševanje pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, saj bi moralo opisano snemanje zaposlenih prispevati k večji varnosti premoženja, zaposlenih ali drugemu zakonitemu interesu delodajalca.
IP dodaja, da bi šlo pri nameravanem snemanju verjetno lahko tudi za stalno snemanje zaposlenih in najverjetneje tudi snemanje javno dostopnih območij. Zato IP izpostavlja, da Splošna uredba o varstvu podatkov v 3. odstavku 35. člena (obsežno sistematično spremljanje javno dostopnega območja) za takšne primere zahteva predhodno izvedbo ocene učinkov takšne obdelave v zvezi z varstvom podatkov. IP je na temo ocene učinkov izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani:
https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf
Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe o varstvu podatkov in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:
IP pojasnjuje še, da nameravano snemanje, ki ga opisujete v vašem zaprosilu za mnenje, najverjetneje ne bi bilo dopustno niti, če bi se štelo za izvajanje videonadzora. Videonadzora v delovnih prostorih ZVOP-1 sicer ne prepoveduje, določa pa v 77. členu zelo stroga pravila glede njegove vzpostavitve in izvajanja. Izvajanje videonadzora znotraj delovnih prostorov (za delovne prostore gre šteti vse prostore in površine, kjer zaposleni opravljajo svoje delovne naloge – v konkretnem primeru torej tudi kabino tovornjaka) se tako lahko izvaja le v izjemnih primerih, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. To pomeni, da mora izvajalec videonadzora v vsakem primeru izrecno ugotoviti, ali obstaja milejši ukrep, ki bi omogočal, da zaposleni ne bi bili podvrženi snemanju, saj gre za invazivni poseg v zasebnost zaposlenega. Odločanje o nujnosti in potrebnosti uvedbe videonadzora mora torej slediti zgoraj navedenim namenom, upravičenost pa se mora vedno presojati od primera do primera, kar pomeni, da mora biti osnovno vodilo pri uvedbi videonadzora načelo, da se ta uvede takrat, kadar ni na razpolago drugega milejšega ukrepa za dosego teh namenov. V primeru, ki ste ga opisali, bi se snemanje izvajalo za namen nadzora vožnje, zaradi česar IP meni, da izvedba videonadzora v ta namen najverjetneje ne bi bila dopustna.
IP sklepno ponavlja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je torej primarno na vsakem upravljavcu posebej. Upravljavec (v konkretnem primeru torej delodajalec) je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.
S spoštovanjem.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca
za varstvo osebnih podatkov
Mojca Prelesnik, univ. dipl. prav.,
Informacijska pooblaščenka