Obdelava in uporaba registrskih številk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vprašanje in sicer ste pojasnili, da je vaša stranka ponudnik storitev vzdrževanja osebnih avtomobilov ter nakupa in menjave pnevmatik. Stranka želi vzpostaviti spletno aplikacijo, kjer bi bodoči kupci samo na podlagi registrske številke avtomobila pridobili podatke o pnevmatikah, ki jih potrebujejo za svoj avtomobil – na podlagi tehničnih lastnosti vozila bi se jim izpisala ustrezna vrsta in velikost pnevmatik. Smiselno podobno aplikacijo naj bi že ponujala ena od zavarovalnic, ki naj bi nudila možnost pridobitve informativne cene zavarovanja zgolj na podlagi vnesene registrske številke.

Navajate, da baza podatkov o vozilih na portalu OPSI ne vsebuje podatkov o konkretni registrski označbi, zato je vaša stranka preverjala pri Ministrstvu za infrastrukturi, slednje je odgovorilo, da je vpogled in obdelava osebnih podatkov iz evidence registriranih vozil dopustna, če obdelavo določa zakon ali če je za obdelavo osebnih podatkov podana osebna privolitev posameznika.

Sprašujete nas:

• ali je mogoče registrsko številko, na podlagi katere bi uporabnik v aplikaciji vaše stranke pridobil zgolj podatke o tehničnih lastnostnih avtomobila sploh kvalificirati kot osebni podatek;
• če gre za osebne podatke, ali je ustrezna pravna podlaga za delovanje aplikacije določba 1(f) člena 6 Splošne uredbe, pri čemer navajate, da je podlaga za obdelavo registrske številke sklepanje in izvajanje pogodbe na zahtevo stranke pred njeno sklenitvijo, obenem pa tudi njena (informirana) privolitev.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Upravljavec zbirke podatkov o motornih vozilih, to je v konkretnem primeru Ministrstvo za infrastrukturo in ne vaša stranka, mora razpolagati s pravno podlago za posredovanje osebnih podatkov iz zbirke podatkov o registriranih vozilih, v konkretnem primeru vaši stranki, ki bi podatke nato prikazala  v spletni aplikaciji bodočemu kupcu.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da glede vprašanja, ali se šteje registrsko številko osebnega vozila za osebni podatke, ne bi smelo biti dvoma, saj gre za podatke, ki so v zvezi z določenim ali določljivim posameznikom; po določbi 1. točke člena 4 Splošne uredbe je določljiv posameznik tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

Registrsko številko osebnega vozila je možno povezati z določljivim posameznikom, t.j. vsaj s tistim, na katerega je registrirano vozilo. Takšno stališče je IP zavzel večkrat, tako smo npr. v mnenju št. 07121-1/2021/2169 z dne 4.11.2021 (dostopno na: https://www.ip-rs.si/mnenja-gdpr/objava-registrskih-%C5%A1tevilk-vozil-1636445001) pojasnili, da Splošna uredba o varstvu podatkov  v odnosu na ZVOP-1 bistveno ne spreminja definicije osebnega podatka in ključni test še vedno ostaja določljivost posameznika. Na določljivost posameznika pa se gleda široko, torej ne samo skozi lastne zmožnosti, namene in interese ali skozi zmožnosti enega subjekta, podjetja ali organizacije, temveč se upošteva tudi podatke, zmožnosti, sredstva in informacije, s katerimi razpolagajo drugi. Treba je upoštevati vsa sredstva, informacije in znanja, ki jih imajo na voljo tudi drugi subjekti, ki bi lahko določili, za katerega posameznika gre.  Pri definiciji osebnih podatkov je tako treba vedno gledati posamezen primer in kontekst, pri čemer se za presojo upošteva možnost identifikacije širše in ne zgolj na podlagi informacij, s katerimi razpolaga upravljavec.

IP je v preteklosti že poudaril, da tehnični podatki o lastnostih vozil sami po sebi niso osebni podatki, ker kažejo na stvar in ne na posameznika. Takšni podatki pa postanejo osebni podatki takrat, kadar jih je mogoče povezati s posameznikom (na primer z lastnikom vozila) oziroma je na njihovi podlagi mogoče identificirati lastnika vozila – fizično osebo. Bistveni pogoj za to, da se podatki o vozilu (tudi registrska številka) štejejo za osebne podatke, je torej ta, da je preko njih mogoče določiti posameznika oz. da so v zvezi z določenim ali določljivim posameznikom.

IP na splošno meni, da je treba registrske številke avtomobilov (kadar je vozilo registrirano na fizično osebo) že po njihovi naravi, namenu in možni določljivosti posameznika, obravnavati kot osebne podatke. Zbirke podatkov, ki vsebujejo registrske številke avtomobilov, je tako treba šteti za zbirke osebnih podatkov, tudi če ne vsebujejo drugih osebnih podatkov o posameznikih, ampak npr. samo podatke o vozilih.

Pri njihovi obdelavi je treba spoštovati določbe Splošne uredbe o varstvu podatkov. Njihova obdelava je tako v skladu s členom 6(1) Splošne uredbe o varstvu podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)  obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)  obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)  obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)  obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Točka (f) se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

Glede vašega drugega vprašanja tako pojasnjujemo, da mora upravljavec zbirke, to je v tem primeru Ministrstvo za infrastrukturo in ne vaša stranka, razpolagati s pravno podlago za posredovanje osebnih podatkov iz zbirke podatkov o registriranih vozilih, v konkretnem primeru vaši stranki, ki bi podatke nato prikazala v spletni aplikaciji bodočemu kupcu. Ker bodoči kupec ne bo sklepal pogodbe z ministrstvom, bi tako bila možna pravna podlaga bodisi v zakonu (točka (1(c) člena 6 Splošne uredbe) ali v privolitvi posameznika (točka 1(a) člena 6 Splošne uredbe), s katero bi posameznik, na katerega se nanašajo osebni podatki ministrstvu »dovolil« opisano posredovanje podatkov. Glede na to, da podlage v zakonu  za to ni videti, bi bila zadeva izvedljiva, če bi ministrstvo pridobilo informirano privolitev posameznika – pogoji za veljavnost privolitve so določeni v členu 7 Splošne uredbe – ali če bi implementiralo pravico posameznika do seznanitve z lastnimi osebnimi podatki, posameznik pa bi anto svoje lastne osebne podatke zaupal vaši stranki z namen prikaza ustrezne ponudbe. Posameznik ima namreč pravico do pridobitve lastnih osebnih podatkov pod pogoji iz člena 15 Splošne uredbe. V vsakem primeru bi moral upravljavec posameznika pred tem natančno identificirati, saj ne sme osebnih podatkov posameznika posredovati drugim osebam, kar zgolj z vnosom registrske številke ne bo mogoče.

Ob upoštevanju namena vaše stranke ter načel minimizacije, namenskosti ter vgrajenega in privzetega varstva osebnih podatkov se kot alternativna metoda kaže opcija, kjer bi stranka vnesla tehnične podatke o svojem vozilu, ki so ji načeloma poznane oz. dostopne (prometno dovoljenje), na podlagi katerih bi se ji nato prikazali podatki o primernih pnevmatikah. Na ta način ne bi bilo potrebno pridobivanja pravne podlage za obdelav osebnih podatkov na strani upravljavca (t.j. ministrstva).

Zaključno pojasnjujemo še, da tudi spletna aplikacija ene od zavarovalnic, ki je primeroma navajate, ne omogoča informativnega izračuna zavarovanja zgolj na podlagi registrske številke (vpis registrske celo ni obvezen, kar nakazuje, da ni povezave z registrom motornih vozil), temveč mora bodoča stranka vnesti še veliko drugih podatkov (npr. o modelu, tipu in letniku vozila, letu prve registracije, podatke o zavarovancu itd.), na podlagi katerih se ji poda informativna cena zavarovanja.

S spoštovanjem.

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka

Pripravil:

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke