Videonadzor gostinskega lokala in trgovine

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Navajate, da bi radi zaradi varnosti postavili kamere v svojem poslovnem prostoru (dvorišče, vhod v bar in trgovino). Snemalni material bi hranili do 24 ur. Sprašujete, kakšni so pogoji za uvedbo videonadzora.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo in 177/20, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Delodajalec lahko izvaja videonadzor dostopa v uradne službene oziroma poslovne prostore oz. izjemoma znotraj delovnih prostorov, vendar mora ob tem upoštevati namene, zaradi katerih se lahko videonadzor skladno z ZVOP-1 oz. Splošno uredbo uvede.

Pri snemanju okolice bi lahko prišla v poštev točka (f) prvega odstavka 6. člena Splošne uredbe, če bi lahko izvajalec videonadzora izkazal zakonite interese, zaradi katerih je potrebno izvajati videonadzor, nad temi interesi pa ne prevladajo interesi ali temeljne svoboščine posameznikov, nad katerimi se izvaja videonadzor.

Izvajalec videonadzora mora ob tem upoštevati tudi druga relevantna določila Splošne uredbe, npr. glede objave obvestila o izvajanju videonadzora, obveščanja posameznikov, sprejema primernih ukrepov za zavarovanje osebnih podatkov, itd.

O b r a z l o ž i t e v:

Pri tem IP poudarja, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Glede videonadzora še vedno veljajo določila ZVOP-1, ne glede na sprejetje Splošne uredbe. Relevantni so 74. – 77. člen, vendar ZVOP-1 eksplicitno ureja poleg splošnih določb (74. člen) le videonadzor dostopov v uradne službene oziroma poslovne prostore (75. člen), videonadzor v večstanovanjskih stavbah (76. člen) ter videonadzor delovnih prostorov (77. člen). Za vse druge oblike videonadzora mora imeti upravljavec osebnih podatkov primerno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe, ki so za zasebni sektor:

- privolitev (točka (a)),

- sklenitev ali izvajanje pogodbe (točka (b)),

- zakon (točka (c)),

- zaščita življenjskih interesov posameznika (točka (d)) ali

- zakoniti interesi, za katere si prizadeva upravljavec (točka (f)).

75. člen ZVOP-1 določa, da lahko javni in zasebni sektor izvajata videonadzor dostopa v njihove uradne službene oziroma poslovne prostore, če je to potrebno za varnost ljudi ali premoženja, zaradi zagotavljanja nadzora vstopa ali izstopa v ali iz službenih oziroma poslovnih prostorov ali če zaradi narave dela obstaja možnost ogrožanja zaposlenih. Odločitev sprejme pristojni funkcionar, predstojnik, direktor ali drugi pristojni oziroma pooblaščeni posameznik osebe javnega sektorja ali osebe zasebnega sektorja. V pisni odločitvi morajo biti obrazloženi razlogi za uvedbo videonadzora. O izvajanju videonadzora je potrebno pisno obvestiti vse zaposlene v osebi javnega ali zasebnega sektorja, ki opravljajo delo v nadzorovanem prostoru.

V kolikor je za vas relevantno pojasnjujemo tudi, da je videonadzor znotraj delovnih prostorov po ZVOP-1 mogoč izjemoma in sicer, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi (77. člena ZVOP-1). Obstajati morajo torej utemeljeni razlogi za uvedbo videonadzora, pri čemer mora upravljavec upoštevati načelo sorazmernosti – skrbno mora pretehtati, ali obstaja milejši ukrep za dosego želenega cilja. Poudariti je treba, da je prepovedano izvajati videonadzor v delovnih prostorih izven delovnega mesta, zlasti v garderobah, dvigalih in sanitarnih prostorih. Zaposleni morajo biti pred začetkom izvajanja videonadzora po tem členu vnaprej pisno obveščeni o njegovem izvajanju. Več informacij si lahko preberete v že izdanih mnenjih IP, npr. v mnenjih št. 0712-1/2019/2630 z dne 19.11.2019 in št. 07121-1/2020/1496 z dne 31.8. Mnenja IP so dosegljiva s pomočjo iskalnika na www.ip-rs.si/vop.

Če bi šlo v vašem primeru za videonadzor okolice objekta, ki ne predstavljajo delovnih prostorov delodajalca, vas napotujemo na mnenje št. 07121-1/2020/895 z dne 20.5.2020. Kot smo poudarili v mnenju, bi se kot pravna podlaga za izvajanje videonadzora (npr. dvorišča in parkirišč) lahko uporabila točka (f) prvega odstavka 6. člena Splošne uredbe, po kateri bi izvajalec videonadzora moral izkazati zakonite interese, zaradi katerih je potrebno izvajati videonadzor, ter pretehtati, ali nad temi interesi prevladajo interesi ali temeljne svoboščine posameznikov, nad katerimi se izvaja videonadzor. Izvajanje takšnega videonadzora je v primeru, da je uporaba pravne podlage zakonitih interesov utemeljena, lahko dopustno v primeru, če so kamere postavljene in uporabljene za njihov običajen namen (torej zagotavljanje varnosti premoženja) in če se z videonadzorom nesorazmerno ne posega v posameznikovo pravico do zasebnosti.

Rok hrambe podatkov mora upravljavec določiti glede na okoliščine in upoštevajoč načelo omejitve hrambe (točka (e) prvega odstavka 5. člena Splošne uredbe), ki določa, da se osebni podatki hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Navedeno z drugimi besedami pomeni, da kadar videoposnetki zaradi razloga, s katerim ste uvedli videonadzor (npr. varovanje premoženja) niso več potrebni, jih morate (varno) izbrisati. Zgolj peti odstavek 75. člena ZVOP-1 pri videonadzoru dostopa v uradne službene oziroma poslovne prostore določa, da se lahko videoposnetki hranijo največ eno leto po nastanku, nato se zbrišejo, če zakon ne določa drugače. Določen je torej maksimalen rok hrambe, upravljavec pa je odgovoren za določitev konkretnega roka hrambe.

IP vam v okviru nezavezujočega mnenja ne more podati konkretnega odgovora, ali je videonadzor dopusten (kot ste primeroma navedli - v trgovini, gostinskem lokalu oz. okolici) in ali je 24 ur v konkretnem primeru primeren rok hrambe, saj lahko konkretne obdelave osebnih podatkov presoja le v inšpekcijskem postopku. Poudarjamo pa, da mora za zakonito izvajanje videonadzora obstajati katera od zgoraj navedenih pravnih podlag, dodatno pa je treba upoštevati tudi druge določbe ZVOP-1 oz. Splošne uredbe. Tako mora biti npr. objavljeno obvestilo o izvajanju videonadzora (tretji odstavek 74. člena ZVOP-1), upravljavec mora posameznike obveščati o obdelavi njihovih osebnih podatkov (13. in 14. člen Splošne uredbe), voditi evidence dejavnosti obdelave (30. člen Splošne uredbe) in sprejeti primerne tehnično-organizacijske ukrepe za zavarovanje osebnih podatkov skladno s petim odstavkom 74. člena ZVOP-1 ter 24., 25. in 32. členom Splošne uredbe (na primer glede zavarovanja sistema videonadzora, zavarovanja dostopa do prostora, kjer se hranijo videoposnetki, ureditev dostopnih pravic, vodenje seznama evidence dostopa do videonadzornega sistema, določitev roka hrambe itd.).

Več informacij o vzpostavitvi videonadzora je dostopnih tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/.

V upanju, da vam bodo naša napotila v pomoč, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

Barbara Žurej, univ. dipl. prav.,

svetovalka pooblaščenca za preventivo