Objava video posnetkov, posnetih z brezpilotnikom
+ -Številka: 07121-1/2021/1431
Kategorije: Definicija OP, Fotografije kot OP, Informiranje posameznika, Moderne tehnologije, Ocene učinkov v zvezi z varstvom podatkov
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer vas zanima, ali ali bi bilo lahko sporno, če bi uporabili posnetek iz zraka v komercialne namene, pri čemer bi posnetek prikazoval realno urbano okolje (ceste, hiše tudi zasebne, poslovni objekti, otroška in športna igrišča), pri tem pa bi z ustrezno tehniko poskrbeli, da posamezniki na posnetku ne bi bili določljivi.
Ali bi lahko bilo sporno, če bi bile na posnetku prepoznane konkretne nepremičnine, bodisi zasebne, torej v lasti fizičnih oseb, ali pa poslovni objekti. Ali bi v tem primeru, ko bi bila prikazana posamezna zasebna nepremičnina šlo za poseg v zasebnost posameznika, bilo to lahko sporno z vidika GDPR, ZVOP-1.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da morate biti pri uporabi brezpilotnikov v prvi vrsti pozorni na pravila glede samega letenja, ki jih določa zakonodaja o letalstvu, v primeru zajema posnetkov ali fotografij, na katerih se nahajajo določljivi posamezniki pa tudi na zakonodajo o varstvu osebnih podatkov.
Glede uporabe brezpilotnikov z vidika zakonodaje o letalstvu pojasnjujemo, da je z začetkom leta 2021 v veljavo stopila Izvedbena uredba Komisije (EU) 2019/947 z dne 24. maja 2019 o pravilih in postopkih za upravljanje brezpilotnih zrakoplovov (C/2019/3824). Izvedbena uredba Komisije (EU) 2019/947 določa pravila in postopke za upravljanje brezpilotnih zrakoplovov in se neposredno uporablja v vseh državah članicah EU. Poleg omenjene uredbe se za brezpilotne zrakoplove (drone) uporabljata tudi slovenska Uredba o izvajanju izvedbene uredbe Komisije (EU) o pravilih in postopkih za upravljanje brezpilotnih zrakoplovov (Ur. l. RS št. 195/20) ter Delegirana uredba Komisije (EU) 2019/945 z dne 12. marca 2019 o sistemih brezpilotnega zrakoplova in operatorjih sistemov brezpilotnega zrakoplova iz tretjih držav (C/2019/1821), ki velja za proizvajalce, uvoznike, distributerje in podobne subjekte. V Sloveniji bo prehodno obdobje trajalo eno leto, ko bodo do izteka veljavnosti obstoječih veljala še stara potrdila ali dovoljenja za izvajanje letalske dejavnosti.
Evropska uredba deli brezpilotne zrakoplove na tri kategorije: odprto, posebno in certificirano. Pomembna novost z vidika varovanja osebnih podatkov je, da jih je treba registrirati, če imajo senzorje, ki lahko zajamejo osebne podatke, kot so npr. kamere. Države članice morajo vzpostaviti register brezpilotnih certificiranih zrakoplovov in register operaterjev. Register mora biti digitalen in interoperabilen, pristojni organi držav članic so dolžni drug drugemu omogočiti dostop do registra. Evropska uredba prav tako določa pravila glede dovoljenih področjih letenja in oddaljenosti ob objektov ter ljudi.
Uredba o izvajanju izvedbene uredbe pa določa, da lahko državni organi, organi samoupravnih lokalnih skupnosti in nosilci javnih pooblastil zaradi varnosti, varovanja, zasebnosti ali varstva okolja zahtevajo določitev prepovedanih ali omejenih geografskih območij v skladu z veljavno zakonodajo. Določitev geografskega območja mora temeljiti na zakonu ali odloku samoupravne lokalne skupnosti ali na predpisu, izdanem na njuni podlagi.
Podrobna pravila o uporabi brezpilotnih zrakoplovov so na voljo na spletni strani Javne agencije za civilno letalstvo Republike Slovenije:
https://www.caa.si/brezpilotni-zrakoplovi.html
Kolikor je pri uporabi brezpilotnikov verjetno pričakovati, da se bodo na videoposnetkih ali fotografijah znašli tudi določljivi posamezniki, morate upoštevati zakonodajo o varstvu osebnih podatkov, začenši s tem, da imate ustrezno pravno podlago za obdelavo osebnih podatkov.
IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:
- posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
- obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
- obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
- obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
- obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
- obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.
Ob tem je treba upoštevati, da se zadnja alinea ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog. V kolikor torej obstaja ena izmed zgoraj naštetih podlag za obdelavo osebnih podatkov, je takšna obdelava skladna z zakonodajo.
Privolitev posameznika je ena od možnih pravnih podlag za zakonito obdelavo osebnih podatkov. Ob tem IP izpostavlja, da je treba, kadar je posameznik privolil v obdelavo njegovih osebnih podatkov v enega ali več namenov (točka (a) člena 6(1) Splošne uredbe o varstvu podatkov), upoštevati podrobnejša določila glede pogojev, po katerih se šteje, da je privolitev veljavna, ki so določeni v 7. členu Splošne uredbe o varstvu podatkov. Privolitev posameznika mora biti prostovoljno podana, konkretna, razumljiva izjava ali drugo nedvoumno pritrdilno dejanje in dokazljiva. Molk, vnaprej označena okenca ali kakršnakoli nedejavnost tako ne pomenijo privolitve. Prostovoljno je privolitev dana, kadar ima posameznik resnično izbiro in nadzor nad svojimi osebnimi podatki. Posameznik ne sme čutiti prisile ali negativnih posledic, če privolitve ne poda. Prav tako ne sme biti postavljen v situacijo, ko privolitve ne more zavrniti ali preklicati brez morebitnih sankcij oz. škodnih posledic. IP poudarja, da mora biti privolitev v primerih, ko obdelava podatkov vključuje več različnih namenov, podana za vsak namen posebej. Upravljavec mora pridobiti več ločenih privolitev za vsako obdelavo posebej (granularnost oziroma razčlenjenost privolitev). Namen mora biti jasno in nedvoumno opredeljen, saj je konkreten, ekspliciten in legitimen namen obdelave predpogoj za pridobitev veljavne privolitve. Upravljavec mora biti zmožen dokazati, da je posameznik privolil v obdelavo svojih osebnih podatkov. Posameznik ima tudi pravico, da svojo privolitev kadarkoli prekliče.
Predhodna informiranost posameznika o obdelavi njegovih podatkov je torej ključen element zakonite obdelave osebnih podatkov, saj se lahko le na podlagi ustreznih informacij o tem, komu lahko zaupa določene svoje podatke in za kakšen namen, posameznik svobodno odloči, ali bo to storil ali ne. Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:
IP pojasnjuje tudi, da izredno pomemben in žal pogosto zapostavljen vidik vsake obdelave osebnih podatkov predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Že uvodna določba št. 39 Splošne uredbe o varstvu podatkov med drugim določa, da načelo preglednosti zahteva, da so vse informacije in sporočila, ki se nanašajo na obdelavo osebnih podatkov, lahko dostopni in razumljivi ter izraženi v jasnem in preprostem jeziku. To načelo pa zadeva zlasti informacije za posameznike, na katere se nanašajo osebni podatki, o identiteti upravljavca in namenih obdelave ter dodatne informacije za zagotovitev poštene in pregledne obdelave glede zadevnih posameznikov in njihove pravice do pridobitve potrditve in sporočila o obdelavi osebnih podatkov v zvezi z njimi.
IP pojasnjuje, da so informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, z vidika varstva osebnih podatkov na splošno urejene v členih 13 in 14 Splošne uredbe o varstvu podatkov. Skladno z določbo 13. člena Splošne uredbe o varstvu podatkov je dolžan upravljavec v primeru, kadar so bili osebni podatki pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije:
- identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;
- kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;
- namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
- kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;
- uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;
- kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo;
- tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena.
Dodatno drugi odstavek 13. člena Splošne uredbe o varstvu podatkov zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu.
Informacije se v vsakem primeru posamezniku dajo na način, določen v 12. členu Splošne uredbe o varstvu podatkov. Informacije morajo biti torej podane na lahko dostopen način in predstavljene v jasnem in razumljivem jeziku, ki je prilagojen glede na tipičnega kupca oziroma uporabnika storitev konkretnega upravljavca (navadno se to zagotavlja v okviru splošnih pogojev poslovanja oziroma politike zasebnosti). Opisana obveznost informiranja posameznika odpade le izjemoma, in sicer takrat, kadar posameznik, na katerega se nanašajo osebni podatki, že ima informacije.
IP je za pomoč upravljavcem pri seznanjanju svojih uporabnikov/strank glede obdelave osebnih podatkov pripravil tudi vzorec obvestila, ki je dostopen na spletni strani IP:
IP zaključno posebej opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga (katerakoli), osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov uporabnikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru..
V primeru uporabe brezpilotnikov načelo najmanjšega obsega podatkov v praksi pomeni, da se poskusite izogniti zajemu videoposnetkov ali fotografij, na katerih bi se nahajali določljivi posamezniki, npr. z izbiro takšnih kotov oziroma področij snemanja, terminov, ko se na lokaciji ne nahajajo posamezniki in drugimi podobnimi ukrepi. Z ustrezno kombinacijo ukrepov se je morda v konkretnem primeru mogoče povsem izogniti zajemu osebnih podatkov in s tem upoštevanju pravil o varstvu osebnih podatkov (še vedno pa morate biti pozorni na spoštovanje pravil oziroma zakonodaje o letenju z brezpilotniki – še posebej, ko gre za komercialno rabo brezpilotnikov).
Če torej posamezniki na posnetkih ne bodo določljivi, potem ne gre za obdelavo osebnih podatkov.
Glede vašega vprašanja, ki se nanaša na potencialno prepoznane konkretne nepremičnine, bodisi zasebne, torej v lasti fizičnih oseb, ali pa poslovne objekte, pojasnjujemo, da glede poslovnih objektov praviloma ne govorimo o obdelavi osebnih podatkov, kolikor seveda na posnetkih ni določljivih posameznikov. Kar se pa tiče nepremičnin v zasebni lasti, pa lahko pride do posega v širšo pravico do zasebnosti, kar pa ne sodi v našo pristojnost – posameznik, ki bi zaradi tega čutil poseg v pravico do zasebnosti bi lahko svoje pravice uveljavljal pred sodišči - zato bi veljalo v posameznem primeru snemanja ali posnetka presoditi, ali se da zasebnim objektom – glede na sam namen posnetka – vendarle izogniti tako pri samem snemanju kot pri samem prikazovanju.
S spoštovanjem,
Mojca Prelesnik, univ.dipl.prav.,
informacijska pooblaščenka
Pripravil:
mag. Andrej Tomšič,
namestnik informacijske pooblaščenke