Informacijski pooblaščenec Republika Slovenija
| sl | Iskalnik po spletni strani   Priredbe v znakovni jezik  
dekorativna slika

Posredovanje posnetkov VN sistema

+ -
Datum: 17.05.2023
Številka: 07121-1/2023/654
Kategorije: Definicija OP, Pravica do seznanitve z lastnimi osebnimi podatki, Pridobivanje OP iz zbirk, Video in avdio nadzor

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja posnetkov videonadzornega sistema.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec zbirke posnetkov, ki nastaja ob izvajanju videonadzora, lahko videoposnetke pregleduje le v skladu z osnovnimi nameni njihovega zbiranja. Posnetke lahko posreduje tretjim osebam zgolj pod pogojem, če le-ti izkažejo ustrezno pravno podlago.

Splošna uredba pravico do dostopa oziroma do seznanitve z lastnimi osebnimi podatki ureja v 15. členu. Pravica se nanaša na dostop posameznika do lastnih osebnih podatkov, ne pa do osebnih podatkov drugih posameznikov.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti posameznih obdelav osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje konkretnih osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je takšna obdelava osebnih podatkov zakonita.

Osebne podatke je skladno s Splošno uredbo dovoljeno zbirati le za določene in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (gre za t.i. načelo omejitve namena, ki je določeno v (b) točki prvega odstavka 5. člena Splošne uredbe). Upravljavec zbirke posnetkov, ki nastaja ob izvajanju videonadzora, lahko videoposnetke pregleduje le v skladu z osnovnimi nameni njihovega zbiranja (npr. zaradi varnosti ljudi ali premoženja). V kolikor je konkretni upravljavec videonadzor uvedel za namene varovanja ljudi in premoženja, potem je dopustno, da lahko izvajalec videonadzora posnetke pregleduje oziroma uporabi kot dokazno gradivo v primeru,  ko  bi  prišlo  do  poškodovanja  ali  odtujitve  njegovega  premoženja (uporaba za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov v zvezi s takšnim dogodkom) oziroma ob  nekem  deviantnem  dogodku,  ko  bi  bil  videoposnetek  le  dodaten dokaz v prekrškovnem ali kazenskem postopku.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave. V posnetke se lahko vpogleda torej le, kadar pride do okoliščin, ki jih opisujejo pogoji za uvedbo videonadzornega sistema.

IP splošno pojasnjuje, da mora vsak upravljavec za zakonito obdelavo osebnih podatkov imeti ustrezno pravno podlago iz 6. člena Splošne uredbe o varstvu podatkov, ki določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

Skladno z navedenim lahko torej upravljavec videonadzornega sistema (v konkretnem primeru bolnišnica) posnetke posreduje tretjim osebam zgolj pod pogojem, če le-ti izkažejo ustrezno pravno podlago. Za pridobivanje konkretnih podatkov (v konkretnem primeru posnetka videonadzornega sistema bolnišnice) mora torej prosilec imeti ustrezno pravno podlago ob upoštevanju načela sorazmernosti in načela omejitve namena obdelav osebnih podatkov. Upravljavec videonadzornega sistema tako posnetkov sistema brez ustrezne pravne podlage ne sme posredovati naprej, saj gre pri tem za obdelavo osebnih podatkov. IP ob tem pojasnjuje tudi, da bi v primeru, da je prišlo do kraje ali drugega škodnega dogodka, kot primeroma opisujete v svojem zaprosilu za mnenje, lahko do navedenih posnetkov za namene dokazovanja (ob izpolnitvi katere od navedenih pravnih podlag) eventualno lahko dostopali tudi policija, zavarovalnica ali sodišče.

IP nadalje pojasnjuje, da je treba ločiti med opisanim posredovanjem posnetkov tretjim osebam in pa posredovanjem posnetkov posamezniku v okviru izvrševanja njegove pravice do seznanitve z lastnimi osebnimi podatki, ki je opredeljena v 15. členu Splošne uredbe. Ta določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in določenih informacij (nameni obdelave, predvideno obdobje hrambe, uporabniki osebnih podatkov itd.), ki so naštete v navedeni določbi Splošne uredbe. Skladno s tretjim odstavkom 15. člena Splošne uredbe mora upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotoviti kopijo osebnih podatkov, ki jih obdeluje.

Pojem osebni podatek skladno s členom 4(1) Splošne uredbe pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

V konkretnem primeru bi bil tako voznik vozila ali druga oseba, ki se nahaja na posnetku (npr. vaša žena), v okviru uveljavljanja pravice do seznanitve upravičen od upravljavca parkirišča pridobiti posnetek videonadzorne kamere v delu, ki se nanaša nanj. To velja v primeru, da je posameznik na posnetku določljiv. Ker se pojem osebnih podatkov razlaga široko, bi bil morda lahko lastnik vozila v okviru uveljavljanja pravice do seznanitve upravičen od upravljavca parkirišča pridobiti posnetek videonadzorne kamere v delu, ki se nanaša na njegovo vozilo. Kot pritožbeni organ IP v okviru mnenja tega ne more dokončno presojati. Opozarja pa, da ima posameznik od izvajalca videonadzora pravico pridobiti le tisti del videoposnetka, ki se nanaša nanj. To pomeni, da je zaradi varovanja pravic drugih posameznikov dolžan upravljavec prekriti oziroma zamegliti osebne podatke drugih posameznikov na posnetku. Na podlagi pravice do seznanitve iz 15. člena Splošne uredbe posameznik od upravljavca torej ni upravičen (niti za namen uveljavljanja, izvajanja ali obrambo pravnih zahtevkov) pridobiti celotnega posnetka parkirišča z osebnimi podatki drugih posameznikov, ampak le tisti del posnetka, ki se nanaša nanj.

Upravljavec se mora na podano zahtevo za seznanitev z osebnimi podatki odzvati brez nepotrebnega odlašanja in v vsakem primeru posredovati informacije oziroma zavrnilni odgovor v enem mesecu po prejemu zahteve. IP dodaja, da se ta rok lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev (tretji odstavek 12. člena Splošne uredbe). Upravljavec obvesti posameznika, na katerega se nanašajo osebni podatki, o vsakem takem podaljšanju v enem mesecu po prejemu zahteve skupaj z razlogi za zamudo. V kolikor upravljavec na zahtevo za seznanitev ne odgovori v roku, lahko posameznik pri IP kot pritožbenemu organu vloži pritožbo. Pritožba pri IP je mogoča tudi zoper zavrnilni odgovor upravljavca, vložiti pa jo je treba v 15 dneh od prejema zavrnilnega odgovora upravljavca.

Vse potrebne informacije glede uveljavljanja pravice do seznanitve z lastnimi osebnimi podatki in (neobvezen) obrazec zahteve lahko najdete na naših spletnih straneh:

·         https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki

IP sklepno ponavlja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je torej primarno na vsakem upravljavcu posebej in ta je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

Lepo vas pozdravljamo.

 

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

 

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka