Videonadzor v domu starejših občanov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas prosite za mnenje glede vzpostavitve videonadzora v dislocirani enoti doma starejših občanov za stanovalce z demenco. Pojasnjujete nam, da je v bivalni enoti, kjer bi želeli izvajati videonadzor, nastanjenih 24 stanovalcev, zanje pa naj bi skrbelo 13 zaposlenih. Bivalna enota naj bi bila ograjena, vstop in izstop pa možen samo ob pomoč zaposlenih. Zanima vas, ali lahko v tej enoti namestite videonadzor, kjer bi kamere pokrivale  področje glavnih vhodov v objekt ter dveh vhodov, ki so namenjeni izhodom stanovalcev in zaposlenim iz hodnika objekta na travnato površino. Pojasnjujete nam še, da bi videonadzor izvajali zgolj z namenom zagotavljanja varnosti ljudi in premoženja ter stanovalcev.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Odgovornost za zakonito vzpostavitev in izvajanje videonadzora je vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati.
2. V kolikor bi šlo pri snemanju za obdelavo osebnih podatkov (če bi bili posamezniki na posnetkih določljivi) bi bila vzpostavitev videonadzornega sistema dovoljena le izjemoma in sicer le:

• kadar bi bila obdelava potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva (točka (h) drugega odstavka 9. člena Splošne uredbe) in;
• kadar bi bilo to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi (77. člen ZVOP-1).

3. V kolikor bi presodili, da je uvedba videonadzornega sistema skladna z navedenimi zahtevami pa bi vsekakor morali zagotoviti posameznikom vse informacije o obdelavi njihovih osebnih podatkov po 13. členu Splošne uredbe ter zagotoviti izvedbo organizacijskih, tehničnih in logično-tehničnih postopkov in ukrepov za ustrezno zavarovanje obdelovanih osebnih podatkov.
4. Upravno sodišče RS je v svoji sodbi št. II U 195/2014 poudarilo, da so ustanove, ki izvajajo varstvo starejših, dolžne zagotavljati varovanje s stalno prisotnostjo ustrezno usposobljenih oseb 24 ur dnevno ter to, da tega ni mogoče nadomestiti z videonadzorom.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da se za videonadzor v najširšem smislu šteje uporaba video kamer za sistematično snemanje, prenos in shranjevanje žive slike z ene lokacije na drugo, prav tako pa tudi vse rešitve, ki zajemajo zgolj prenos žive slike brez snemanja (t.i. podaljšano oko). Splošna uredba področja videonadzora podrobneje ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, zato med drugim v tem delu ostaja v veljavi ZVOP-1, ki regulira videonadzor v čl. 74 do 77. 

Pri tem poudarjamo, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. IP izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov ter ne sme in niti ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe, kajti zakonita obdelava osebnih podatkov je primarna naloga in odgovornost posameznega upravljavca.  IP tako tudi ne more podajati konkretnih ocen o tem, ali bi bil način izvajanja videonadzora v vašem Domu starejših občanov, kot ga opisujete v vašem dopisu, dopusten in ustrezen, kajti to bi IP lahko storil le v okviru izvedenega inšpekcijskega nadzora. V nadaljevanju vam zato posredujemo le nekaj splošnih pojasnil v zvezi z vašimi vprašanji.

V zvezi z vašo namero pri vzpostavitvi videonadzora najprej pojasnjujemo, da je treba najprej ugotoviti, ali in v kolikšni meri bi šlo pri nameravanem snemanju sploh za obdelavo osebnih podatkov, kot jo to ureja Splošna uredba. Za obdelavo v smislu Splošne uredbe npr. ne bi šlo, če posamezniki na posnetkih sploh ne bi bili določljivi bodisi zaradi kota snemalnega kadra bodisi ločljivosti posnetka ali drugega razloga. Če torej ne gre za obdelavo v smislu Splošne uredbe, potem se pravila varstva osebnih podatkov ne uporabljajo. V teh primerih pa gre lahko za posege v širšo pravico do zasebnosti, za katero je predvideno sodno varstvo in so pristojna civilna sodišča.

V kolikor gre za obdelavo osebnih podatkov pa je nadalje še potrebno presoditi, ali pri obdelavi prihaja do obdelave posebnih vrst osebnih podatkov (npr. podatki o zdravstvenem stanju pacientov), kajti tovrstna obdelava je dopustna le, kadar so za to izpolnjeni pogoji določbe člena 9(2)(h) Splošne uredbe. Dodatno pa izvajanje videonadzora znotraj delovnih prostorov določa še 77. člen ZVOP-1 (za delovne prostore gre šteti vse prostore in površine, kjer zaposleni opravljajo svoje delovne naloge).

IP upoštevaje zgoraj navedeno tako poudarja, da bi bilo takšno izvajanje videonadzora, kot ga opisujete v vašem zaprosilu za mnenje, praviloma dovoljeno le v izjemnih primerih in sicer:

• kadar bi bila obdelava potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva (točka (h) drugega odstavka 9. člena Splošne uredbe) in;
• kadar bi bilo to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi ( člen ZVOP-1).

Odločanje o nujnosti in potrebnosti uvedbe videonadzora pa je vedno na strani upravljavca, ki pa mora slediti zgoraj navedenim in dopustnim namenom, upravičenost pa se mora vedno presojati od primera do primera, kar pomeni, da mora biti osnovno vodilo pri uvedbi videonadzora načelo, da se ta uvede le takrat, kadar ni na razpolago drugega milejšega ukrepa za dosego teh namenov. Pri odločanju o uvedbi takšnega videonadzora pa je pomembno tudi dejstvo, da bi se pri takšnem videonadzoru obdelovale tudi posebne vrste osebnih podatkov (npr. zdravstveno stanje pacientov), ki pa jim Splošna uredba (v členu 9) zagotavlja še strožje varstvo ter s tem s tem potrebo po še strožjem tehtanju; ali bi bil tovrstni način vzpostavitve videonadzora res nujno potreben.

V kolikor bi kot upravljavec osebnih podatkov vseeno presodili, da izpolnjujete zgoraj navedene pogoje za vzpostavitev videonadzora, pa morate vsekakor posameznike, katere osebne podatke naj bi obdelovali (zaposleni, pacienti, drugi obiskovalci) nujno vnaprej obvestiti o dejstvu snemanja, namenih, pri komu lahko uveljavljajo svoje pravice ter drugih informacijah po 13. členu Splošne uredbe.[1] 

IP pri tem še poudarja, da so upravljavci osebnih podatkov dolžni zagotoviti varovanje osebnih podatkov, ki jih v okviru svojega dela obdelujejo.  ZVOP-1 v 24. členu zahteva od upravljavcev osebnih podatkov izvedbo organizacijskih, tehničnih in logično-tehničnih postopkov in ukrepov, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov, kar se zagotavlja med drugim tudi z varovanjem prostorov in opreme. Gre za organizacijske in tehnične ukrepe, ki jih določata Splošna uredba o varstvu podatkov (32. člen) in ZVOP-1 (24. in 25. člen).  Kakšni so ti organizacijski ukrepi, pa je treba ugotoviti v konkretnih okoliščinah ob upoštevanju kriterijev navedenih v členu 32 Splošne uredbe. Upravljavec mora v skladu s 25. členom ZVOP-1 vedno določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Prav tako mora upravljavec v zvezi z zagotavljanjem ustreznega zavarovanja in zakonite obdelave osebnih podatkov poskrbeti tudi, da osebnih podatkov ne obdelujejo nepooblaščene osebe.

IP vas v zvezi z vašim vprašanjem napotuje še na sodbo Upravnega sodišča RS št. II U 195/2014[2], kjer je sodišče že presojalo uvedbo videonadzornega sistema nad prostori in okolico domov starejših občanov. Sodišče je v sodbi poudarilo, da je uvedba videonadzornega sistema dopustna le, kadar je to nujno potrebno za varnost ljudi ali premoženja, tega namena pa ni mogoče zagotoviti z milejšimi sredstvi. Pri tem pa je sodišče poudarilo, da so ustanove, ki izvajajo varstvo starejših, dolžne zagotavljati varovanje s stalno prisotnostjo ustrezno usposobljenih oseb 24 ur dnevno ter to, da tega ni mogoče nadomestiti z videonadzorom.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravil:                                                                                                                                  

Grega Rudolf,

asistent svetovalca pri IP          

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

[1] IP je s tem namenom pripravil vzorec obvestila po členu 13 Splošne uredbe, z dodatnimi pojasnili, kako je treba obveščati posameznike. Do omenjenega vzorca lahko dostopate na spletni strani IP, v zavihku OBRAZCI/Varstvo osebnih podatkov (Vzorec obvestila posameznikom glede obdelave osebnih podatkov (člen 13 Splošne uredbe).

[2] Dostopna na povezavi: http://www.sodnapraksa.si/?doc-2012032113075577