Pravna podlaga za videonadzor in hrambo posnetkov v podjetju

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem nas prosite za mnenje glede namena izvajanja videonadzora dostopa v poslovne prostore in znotraj delovnih prostorov ter rokov hrambe delov posnetkov, ki se izdelajo in uporabljajo za namene uveljavljanja, izvajanja in obrambe pravnih zahtevkov oziroma hrambe delov posnetkov, ki se posredujejo uporabnikom na podlagi njihove vloge in ob ustrezni pravni podlagi za posredovanje (npr. posredovanje kopija video posnetka policiji v primeru prometne nesreče).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Ad 1)

Zanima vas, ali je dopustno izvajanje videonadzora dostopa v poslovne prostore zaradi zagotavljanja korporativne varnosti in integritete? Pojasnjujete, da kot nepravilnosti s področja korporativne integritete štejejo dejanja ali opustitev dejanj, ki niso v skladu z zakonodajo ali drugimi predpisi, veljavnimi priporočili, dobrimi poslovnimi običaji ali etičnimi pravili ter internimi akti upravljavca.

Prvi odstavek 75. člena ZVOP-1 določa, da lahko javni in zasebni sektor izvajata videonadzor dostopa v njihove uradne službene oziroma poslovne prostore, če je to potrebno za varnost ljudi ali premoženja, zaradi zagotavljanja nadzora vstopa ali izstopa v ali iz službenih oziroma poslovnih prostorov ali če zaradi narave dela obstaja možnost ogrožanja zaposlenih.

Prvi odstavek 77. člena ZVOP-1 pa določa, da se lahko izvajanje videonadzora znotraj delovnih prostorov izvaja le v izjemnih primerih, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. V drugem odstavku je določeno, da se lahko videonadzor izvaja le glede tistih delov prostorov, kjer je potrebno varovati interese iz prejšnjega odstavka.

IP meni, da morate vprašanje, ali sodi zagotavljanje korporativne varnosti in integritete med namene, zaradi katerih je po prvem odstavku 75. člena ZVOP-1 (videonadzor dostopa v službene prostore) ali prvem odstavku 77. člena (videonadzor delovnih prostorov) dopusten videonadzor, kot upravljavec osebnih podatkov razrešiti sami, saj morate presoditi, ali je takšen videonadzor potreben za zagotavljanje varovanih dobrin, ki jih omenja ZVOP-1 v prvem odstavku 75. oziroma 77. člena. Opozarjamo, da je treba dopustnost izvajanja videonadzora presojati izključno skozi namene, ki jih opredeljuje ZVOP-1 in namenov ni dopustno širiti. Prav tako je treba upoštevati ustrezne postopke, ki jih opredeljuje 75. oziroma  77. člen ZVOP-1.

Ad 2)

Zanima vas, ali je dopusten namen pregledovanja posnetkov video nadzora dostopa v poslovne prostore in znotraj delovnih prostorov na primer, če pride do poškodovanja ljudi, poškodovanja ali odtujitve premoženja, odtujitve dokumentacije s tajnimi podatki ali poslovno skrivnostjo?  

Na to vprašanje odgovarjamo, da če ne bi bilo dopustno pregledovanje v primeru kršitve varovanih interesov, ki jih opredeljuje ZVOP-1, izvajanje videonadzora ne bi imelo nikakršnega smisla (še namen odvračanja ne bi bil dosežen, če pregledovanje in kasneje obramba interesov v pravnih postopkih ne bi bila možna). Pri tem pa je treba nujno zasledovati naslednji temeljni načeli iz 5. člena Splošne uredbe:

• načelo omejitve namena: osebni podatki morajo biti zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni;
• načelo najmanjšega obsega podatkov: podatki morajo biti ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

V zvezi s tem vam svetujemo, da si preberete katero izmed naših mnogih mnenj na temo izvajanja videonadzora, hrambe posnetkov in nadaljnje uporabe posnetkov. Vsa mnenja IP so objavljena na spletni strani https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-mnenjih, kot kategorijo pa izberete »Video in avdio nadzor«. 

Ad 3)

Zanima vas, ali ima upravljavec pravno podlago za hrambo videoposnetka, ki ga je posredoval uporabniku (npr. posredovanje kopije video posnetka  prometne nesreče policiji) do zaključka postopka, zaradi katerega je uporabnik posredovanje posnetka zahteval  (četudi upravljavec v tem postopku ni nujno udeležen) oziroma najdlje 6 let.

Hrambo posnetkov mora upravljavec osebnih podatkov obvezno opredeliti še pred vzpostavitvijo videonadzora, rok hrambe pa bo v vsakem primeru odvisen od namena izvajanja videonadzora. Poudarjamo, da ZVOP-1 v primeru videonadzora na delovnem mestu ne določa roka hrambe posnetkov in ga morate določiti sami. Pri tem pa je treba upoštevati načelo omejitve hrambe (točka (e) prvega odstavka 5. člena Splošne uredbe), ki določa, da se osebni podatki hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Navedeno z drugimi besedami pomeni, da kadar videoposnetki zaradi razloga, s katerim ste uvedli videonadzor (npr. varovanje premoženja) niso več potrebni, jih morate (varno) izbrisati.

Ali bodo posnetki potrebni v primeru nadaljnjih postopkov, morate oceniti sami. Če v takšnem postopku ne boste udeleženi, se postavlja vprašanje, zakaj bi v takšnem primeru še potrebovali posnetke? Na to vprašanje si lahko in morate odgovoriti le sami, IP namreč ne pozna množice možnih razlogov, namenov hrambe in podrobnosti morebitnih postopkov v konkretnih primerih, saj nima niti dovolj informacij in relevantnih dokumentov niti česa takšnega ne more ocenjevati v neobveznem in splošnem pravnem mnenju.

Lepo vas pozdravljamo,

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                               informacijska pooblaščenka

Pripravila:                                                                                                                              

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov