Videonadzor in hramba posnetkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše vprašanje; kje lahko dobite Zakon o obdelavi osebnih podatkov s področja videonadzora. Pojasnjujete nam, da vas podrobneje zanima člen, ki določa, koliko časa se lahko, po slovenski zakonodaji, videoposnetki shranjujejo in hranijo.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. V Sloveniji področje videonadzora ureja Zakon o varstvu osebnih podatkov (ZVOP-1) v povezavi s Splošno uredbo o varstvu podatkov (t.i. GDPR).
2. Osebni podatki se lahko hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. V povezavi s tem je rok hrambe videoposnetkov vedno odvisen od konkretnih namenov izvajanja videonadzora.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. IP izven postopka inšpekcijskega nadzora ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora.

Videonadzor je sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil. V Sloveniji to ureja ZVOP-1, ki se v tem delu do morebitne drugačne ureditve še naprej uporablja tudi po začetku veljave Splošne uredbe o varstvu podatkov. Vse veljavne predpise v RS si lahko poiščete in preberete na spletišču Pravno-informacijskega sistema Republike Slovenije: http://www.pisrs.si/

ZVOP-1 kot področni zakon ureja videonadzor v členih od 74 do 77. Splošne določbe o izvajanju videonadzora pa so predpisane v 74. členu ZVOP-1. Drugi odstavek tega člena določa, da mora oseba javnega ali zasebnega sektorja, ki izvaja videonadzor, o tem objaviti obvestilo. Obvestilo mora biti vidno in razločno objavljeno na način, ki omogoča posamezniku, da se seznani z njegovim izvajanjem najkasneje, ko se nad njim začne izvajati videonadzor. Tretji odstavek 74. člena ZVOP-1 pa določa, da mora to obvestilo vsebovati točno določene informacije, in sicer:

1. da se izvaja videonadzor;
2. naziv osebe javnega ali zasebnega sektorja, ki ga izvaja ter
3. telefonsko številko za pridobitev informacije, kje in koliko časa se shranjujejo posnetki iz videonadzornega sistema.

Videonadzorni sistemi morajo biti zavarovani pred dostopom nepooblaščenih oseb (peti odstavek 74. člena ZVOP-1). Oseba javnega ali zasebnega sektorja, ki izvaja videonadzor, mora skladno z določbami 24. in 25. člena ZVOP-1 v svojih internih aktih predpisati organizacijske, tehnične in logično tehnične ukrepe za zavarovanje osebnih podatkov, ter zagotoviti zavarovanje osebnih podatkov na način iz 24. člena ZVOP-1. Pravna ali fizična oseba, ki izvaja videonadzor, mora skladno z določbami 25. člena ZVOP-1 v notranjih aktih določiti tudi osebo, ki je odgovorna za evidenco videonadzornega sistema, ter osebe, ki lahko zaradi narave njihovega dela obdelujejo podatke v evidenci videonadzornega sistema.

ZVOP-1 podrobneje ureja videonadzor dostopa v uradne službene oziroma poslovne prostore v 75. členu, videonadzor v večstanovanjskih stavbah v 76. členu, videonadzor delovnih prostorov pa v 77. členu.

Že veljavna Splošna uredba o varstvu podatkov, ki se je začela uporabljati 25. 5. 2018, postavlja enotna pravila za varstvo osebnih podatkov v EU. Kljub temu pa lahko nekatera vsebinska in postopkovna vprašanja posebej uredijo države članice, kar bo v Republiki Sloveniji specialno urejeno z ZVOP-2 (ki pa ne sme spreminjati določb Splošna uredba o varstvu podatkov, saj se ta uporablja neposredno), ki pa v času pisanja tega mnenja, še ni sprejet.

IP je glede izvajanja videonadzora že podal veliko neobvezujočih mnenj in odločal v konkretnih inšpekcijskih postopkih. Objavljena mnenja glede videonadzora pa si lahko poiščete s pomočjo iskalnika po mnenjih IP (https://www.ip-rs.si/vop/) tako, da izberete vsebinsko področje Video in audio nadzor oz. si več o videonadzoru preberete na naši spletni strani: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/.

Glede roka hrambe videoposnetkov pa IP poudarja, da mora upravljavec osebnih podatkov obvezno opredeliti roke hrambe še pred vzpostavitvijo videonadzora, ki pa so v vsakem primeru odvisni od namenov izvajanja videonadzora. Pri tem poudarjamo, da ZVOP-1 v primeru videonadzora ne določa izrecnega roka hrambe posnetkov in ga morate določiti sami. Pri tem pa je treba upoštevati načelo omejitve hrambe (točka (e) prvega odstavka 5. člena Splošne uredbe), ki določa, da se osebni podatki hranijo le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo[1]. Navedeno z drugimi besedami pomeni, da kadar videoposnetki zaradi razloga, s katerim ste uvedli videonadzor (npr. varovanje premoženja) niso več potrebni, jih morate (varno) izbrisati. Pri presoji, kdaj je namen snemanja izpolnjen, pa je treba upoštevati tudi vsebino posnetka in pravni temelj, na podlagi katerega se snemanje izvaja.

V praksi na splošno praviloma ni razloga, da bi se vsi posnetki hranili dlje kot tri mesece (ali celo krajši čas), razen, če poseben zakon za določene posnetke določa drugače. Vsekakor pa je treba presojati rok hrambe za vsak primer posebej glede na zgoraj navedene kriterije.

V zvezi z vašim vprašanjem predlagamo še, da si preberete naše neobvezujoče mnenje glede pogojev vzpostavitve videonadzora v delovnih prostorih (št. 0712-1/2019/2630 z dne 19. 11. 2019: https://www.ip-rs.si/mnenja-gdpr/6048a48797904) ter smernice Evropskega odbora za varstvo osebnih podatkov glede obdelave osebnih podatkov z video napravami, ki so vam lahko v pomoč pri odločanju o vzpostavitvi videonadzora, ugotavljanju možnih pravnih podlag ter potrebnih varovalk (https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf).

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravil:                                                                                                                                  

Grega Rudolf,

asistent svetovalca pri IP          

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka