Videonadzor vadbenega prostora
+ -Številka: 07121-1/2022/1245
Kategorije: Video in avdio nadzor, Zakoniti interesi
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje, v katerem nas prosite za pojasnila; (a) ali lahko javni zavod izvaja videonadzor nad vadbenim prostorom, ki ga uporablja izključno klub na podlagi najemne pogodbe in v katerem klub izvaja svoje aktivnosti (treninge) ter (b) kakšno pravno varstvo uživa klub v primeru, če javni zavod (kljub nasprotovanju kluba) vzpostavi videonadzor?
***
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 76. členom Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
1. Kadar upravljavec osebne podatke obdeluje na podlagi zakonitih interesov (člen 6 (1)(f) Splošne uredbe) mora pred nameravano obdelavo skupno izpolnjevati naslednje tri pogoje:
- natančno mora utemeljiti zakoniti interes, ki ga z nameravano obdelavo želi obvarovati;
- izkazati potrebnost in neposredno povezanost takšne obdelave na zakoniti interes, ki se želi obvarovati;
- opraviti dokumentirano utemeljitev prevladujočega interesa oz. sorazmernosti posega v interese oziroma temeljne pravice in svoboščine posameznikov.
2. Poleg zagotovitve ustrezne pravne podlage mora upravljavec poskrbeti tudi za druge obveznosti, ki jih določajo predpisi s področja varstva osebnih podatkov in sicer za varnost obdelave; obveščanje posameznikov; vodenje evidence obdelave ipd.
3. V kolikor kdorkoli meni, da so mu kršene pravice s področja varstva osebnih podatkov lahko takšno ravnanje vedno prijavi na IP. IP nato po uradni dolžnosti izvede ustrezne inšpekcijske postopke, če iz prijave izhaja utemeljen sum kršitve s področja varstva osebnih podatkov.
O b r a z l o ž i t e v:
IP najprej poudarja, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora zakonito izvajanja videonadzora zmožen tudi dokazati. IP izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov, kot podobno velja tudi za druge inšpekcijske organe. IP tako tudi ne more podajati konkretnih ocen o tem, ali je predviden način izvajanja videonadzora dopusten in ustrezen. V nadaljevanju vam zato posredujemo le nekaj splošnih pojasnil v zvezi z izvajanjem videonadzora.
Za vsakršno obdelavo osebnih podatkov mora upravljavec imeti zakonito in ustrezno pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe. Splošna uredba področja videonadzora podrobneje sicer ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, zato med drugim v tem delu ostaja v veljavi ZVOP-1, ki regulira videonadzor v čl. 74 do 77.
V primeru izvajanja videonadzora vadbenega prostora nad vadbo športnega kluba s strani lastnika vadbenega prostora (v vašem primeru s strani javnega zavoda), kot ga opisujete v vašem primeru bi tako najverjetneje prišla v poštev pravna podlaga na podlagi točke (f) člena 6(1) Splošne uredbe in sicer obdelava, ki je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec.
Glede zatrjevanja obstoja pravne podlage za obdelavo osebnih podatkov na podlagi zakonitih interesov, za katere si prizadeva upravljavec je pomembno, da upravljavec skupno (t.i. kumulativno) pred nameravano obdelavo izpolnjuje naslednje tri pogoje:
· zakoniti interes za katerega si prizadeva upravljavec mora biti dejanski in ne fiktiven oz. hipotetičen, prisoten pa že v času obdelave ter pri tem jasno in natančno opredeljen (npr. varovanje premoženja v lasti upravljavca);
· obdelava osebnih podatkov mora biti pri tem potrebna ter tako neposredno povezana z zakonitim interesom za katerega si prizadeva upravljavec (in ne posamezniki!) v zvezi s čimer ne obstajajo nobene realne ter manj invazivne alternative takšni obdelavi;
· upravljavec opravi dokumentirano utemeljitev prevladujočega interesa (t.i. test tehtanja, v katerem pretehta intenzivnost posega v pravice in svoboščine posameznikov glede na: vrste osebnih podatkov; obseg obdelave; št. posameznikov; okoliščine obdelave; dejanska pričakovanja posameznikov; obstoj alternativnih ukrepov za dosego namena ter tudi razumna pričakovanja posameznikov).
Pri tehtanju prevladujočih interesov (v povezavi z oceno tveganja) je treba absolutno upoštevati tudi načelo transparentnosti (ali so bile posameznikom podane ustrezne informacije, da je lahko razumno pričakoval posledice obdelave?) in sorazmernosti (npr. s sprejemom ustreznih zaščitnih ukrepov). V primeru uvedbe videonadzora na podlagi točke (f) člena 6(1) Splošne uredbe, mora biti utemeljitev prevladujočega zakonitega interesa (povzetek testa tehtanja) podana tako tudi v obvestilu posamezniku po točki (d) prvega odstavka člena 13 Splošne uredbe.
Vsekakor mora upravljavec pri izvajanju videonadzora biti tudi vedno pozoren tudi na načelo najmanjšega obsega podatkov, ki določa, da morajo biti (pod pogojem, da obstaja pravna podlaga) osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave.
Ob tem pa še opozarjamo, da mora upravljavec, v kolikor bi uspel zagotoviti ustrezno in zakonito pravno podlago za izvajanje videonadzora, poskrbeti tudi za vse obveznosti, ki jih ima v povezavi z varnostjo obdelave iz člena 32 Splošne uredbe oziroma zavarovanjem osebnih podatkov iz 24. in 25. člena ZVOP-1, obveščanja posameznikov o izvajanju videonadzora (74. člen ZVOP-1 v povezavi s 13. členom Splošne uredbe), vodenjem evidence dejavnosti obdelave za določene svoje obdelave osebnih podatkov skladno s 30. členom Splošne uredbe ter ostale obveznosti, v kolikor bi se izvajal videonadzor na specifičnih lokacijah (npr. znotraj delovnih prostorov – 77. člen ZVOP-1 oz. pri dostopu v uradne službene prostore – 75. člen ZVOP-1) itd.
Več informacij o videonadzoru najdete tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/. Dodatno vas napotujemo še na smernice Evropskega odbora za varstvo osebnih podatkov glede obdelave osebnih podatkov z video napravami, ki podrobneje opredeljujejo možne pravne podlage ter potrebne varovalke pri izvajanju videonadzora:
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf
IP v zvezi s tem sklepno poudarja, da je zakonitost izvajanja videonadzora vselej torej odvisna od tega kdo je upravljavec (kdo je tisti, ki videonadzor izvaja) ter zakaj oziroma s katerim namenom videonadzor izvaja. Ker je presoja ustrezne in zakonite pravne podlage torej odvisna od vsakokratnih konkretnih okoliščin primera, se IP v zadevnem mnenju ne sme, niti ne more opredeliti, ali je ustrezna in zakonita pravna podlaga za videonadzor podana, niti ali so izpolnjeni vsi pogoji za izvajanje videonadzora. IP bi lahko izpolnjevanje navedenih pogojev za posamezen konkreten primer presojal izključno le v okviru inšpekcijskega oz. drugega upravnega postopka.
V tem kontekstu lahko torej vsak, ki meni, da kdo krši predpise s področja varstva osebnih podatkov, vloži prijavo pri IP. IP nato po uradni dolžnosti izvede ustrezne inšpekcijske postopke, če iz prijave izhaja utemeljen sum kršitve določb Splošne uredbe oziroma drugih predpisov s področja varstva osebnih podatkov. Več o vložitvi prijave in inšpekcijskem nadzoru IP si lahko preberete na spletni strani: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/vložitev-prijave
Na koncu pa še pojasnjujemo, da so na voljo tudi druge oblike pravnega varstva. Namreč neupravičeno slikovno snemanje lahko pod določeni pogoji pomeni tudi storitev kaznivega dejanja po 138. člena Kazenskega zakonika (Uradni list RS, Uradni list RS, št. 50/12 – uradno prečiščeno besedilo, 6/16 – popr., 54/15, 38/16, 27/17, 23/20 in 91/20), vendar le v primeru, če bi se s snemanjem ali uporabo posnetkov občutno poseglo v zasebnost posameznika. Predlog za pregon zaradi suma nezakonitega slikovnega snemanja lahko prizadeti vloži na policiji ali pri pristojnem državnem tožilstvu.
Prav tako lahko posameznik, ki je prepričan, da se s takšnim snemanjem ali uporabo posnetkov posega v njegove osebnostne pravice, skladno z določbami 134. člena Obligacijskega zakonika (Uradni list RS, št. 97/07 – uradno prečiščeno besedilo, 64/16 – odl. US in 20/18 – OROZ631; v nadaljevanju OZ) od sodišča zahteva, da prepreči takšno dejanje ali da odstrani njegove posledice. V primeru, da je posamezniku s slikovnim snemanjem ali uporabo posnetkov povzročena škoda, pa lahko le-ta od povzročitelja skladno z določbami 179. in 181. člena OZ zahteva tudi odškodnino.
V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.
Pripravil:
Grega Rudolf,
asistent svetovalca pri IP
Mojca Prelesnik, univ. dipl. prav.,
informacijska pooblaščenka