Zahtevek policije za dostop do videonadzornega sistema

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zahteve policije za dostop do vašega videonadzornega sistema.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati zakonitosti in primernosti obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku.

IP glede obdelave osebnih podatkov splošno pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi policija, podana v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Iz navedenega izhaja, da mora biti zakonska norma, na podlagi katere se obdelujejo osebni podatki, konkretizirana. Posledično zakonska norma, ki vsebuje (zgolj) splošno pooblastilo za delo nekega subjekta, po prepričanju IP ni ustrezna pravna podlaga za obdelavo osebnih podatkov.

Področno pravno podlago za obdelavo osebnih podatkov s strani policije predstavlja Zakon o nalogah in pooblastilih policije (ZNPPol, Uradni list RS, št. 15/13, 23/15 – popr., 10/17, 46/19 – odl. US, 47/19). V skladu s 33. členom ZNPPol je zbiranje in obdelava podatkov eno od policijskih pooblastil, ki jih smejo policisti izvajati ob opravljanju policijskih nalog. Podrobneje nato ZNPPol v 112. členu določa, da policisti zaradi opravljanja policijskih nalog zbirajo in obdelujejo osebne in druge podatke, vključno s podatki o biometričnih značilnostih oseb in podatki iz zaupnih razmerij oziroma poklicnih skrivnosti. Policisti zbirajo osebne in druge podatke neposredno od osebe, na katero se ti podatki nanašajo, in od drugih, ki o tem kaj vedo, ali iz zbirk osebnih podatkov, uradnih evidenc, javnih knjig ali drugih zbirk podatkov. V prvem odstavku 113. člena je določeno, da smejo policisti pri opravljanju policijskih nalog, ko je to potrebno zaradi zbiranja osebnih in drugih podatkov, namenjenih dokazovanju prekrškov in kaznivih dejanj ter identificiranju kršiteljev oziroma storilcev v skladu z zakonom, uporabljati tehnična sredstva za fotografiranje ter video in avdio snemanje ter tehnična sredstva za označevanje ali identifikacijo oseb, vozil in predmetov, ki so v uporabi v policiji. V skladu s petim odstavkom 114. člena morajo biti ta tehnična sredstva tipizirana, tipizacijo pa določi minister z internim aktom.

ZNPPol torej daje policiji pooblastilo za uporabo določenih tehničnih sredstev, ki so v uporabi v policiji, njihova tipizacija pa je določena z internim aktom. Gre torej za uporabo tipiziranih tehničnih sredstev policije. Tako po mnenju IP predstavljena zakonska ureditev ne predstavlja pravne podlage, da bi drugi upravljavci za policijo izvajali takšno pooblastilo ali da bi policija videonadzorne sisteme drugih upravljavcev (v konkretnem primeru vašega), ki so postavljeni za drug namen in ne za opravljanje policijskih nalog, uporabljala za svoje namene ali celo stalno oziroma redno dostopala do na ta način pridobljenih osebnih podatkov. Zakonska norma torej policiji ne dopušča uporabe tehničnih sredstev drugih upravljavcev za svoje potrebe. Če bi zakonodajalec policiji želel dati takšno pooblastilo, bi moral tak poseg prestati strogi test sorazmernosti, predvsem pa bi moral biti izrecno urejen v zakonu.

V konkretnem primeru, ki ga opisujete v vašem zaprosilu za mnenje, tako IP meni. da bi moral zakonodajalec policiji dati izrecno zakonsko pooblastilo, da sme pridobiti in uporabljati sredstva za nadzor tretjih oseb, ki jih upravljajo drugi upravljavci (le-ti bi morali biti točno navedeni) za namen izvajanja svojih točno določenih pristojnosti. IP meni, da ZNPPol policiji ne daje takšnega pooblastila. Enako velja tudi za določbo Zakona o kazenskem postopku (ZKP), ki je prav tako navedena v zahtevku, ki ste ga priložili vašemu zaprosilu za mnenje. Nasprotno mnenje bi pomenilo, da se lahko policija praktično »priklopi« na kateri koli videonadzorni sistem, postavljen za druge namene, če le gre za namene določene v ZNPPol ali drugi zakonodaji, ki ureja določena pooblastila ali naloge policije. Takšno tolmačenje bi bilo po mnenju IP glede na prakso Ustavnega sodišča RS ter Evropskega sodišča za človekove pravice nedopustno. Bistvo varovanja zasebnosti in namenskosti obdelave osebnih podatkov je namreč prav v tem, da se zbirk osebnih podatkov, vzpostavljenih v določene namene, ne uporablja v druge namene brez ustrezne podlage v zakonu.

Ob tem IP dodaja, da se navedeno mnenje nanaša na situacijo, ko bi se policiji omogočil dostop do vašega videonadzornega sistema na način, ki omogoča določljivost posameznikov. Glede na navedbe v vašem zaprosilu za mnenje IP meni, da je zelo verjetno, da gre v konkretnem primeru za tovrsten način dostopa, dokončna presoja pa je seveda v rokah vaše organizacije kot upravljavca.

S spoštovanjem.

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka