Slikanje tovornih vozil

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede slikanja tovornih vozil v prometu.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Registrske številke vozil je že po njihovi naravi, namenu in možni določljivosti posameznika, treba obravnavati kot osebne podatke. Za njihovo zakonito obdelavo je tako treba imeti ustrezno pravno podlago.

Uporaba dashboard kamer in podobnih naprav za snemanje/slikanje prometa praviloma splošno ni dovoljena. Za zagotovitev zakonitosti tovrstne obdelave bi moral upravljavec utemeljiti, da zakoniti interesi, ki jih z obdelavo zasleduje, prevladajo nad pravicami in svoboščinami posameznikov, ki so predmet obdelave.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da v okviru neobvezujočega mnenja ne more presojati ustreznosti določene rešitve, niti ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka. V nadaljevanju IP zato podaja splošna pojasnila.

IP uvodoma pojasnjuje, da je skladno s 1. točko 4. člena Splošne uredbe osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določljiv, če ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

IP poudarja, da je pri definiciji osebnih podatkov treba vedno gledati posamezen primer in kontekst, pri čemer se za presojo upošteva možnost identifikacije širše in ne zgolj na podlagi informacij, s katerimi razpolaga upravljavec. Odgovornost za presojo pa je v končni fazi vedno na strani upravljavca. IP je v preteklosti že večkrat poudaril, da tehnični podatki o lastnostih vozil sami po sebi niso osebni podatki, ker kažejo na stvar in ne na posameznika. Takšni podatki pa postanejo osebni podatki takrat, kadar jih je mogoče povezati s posameznikom (na primer z lastnikom vozila) oziroma je na njihovi podlagi mogoče identificirati lastnika vozila – fizično osebo. Bistveni pogoj za to, da podatki o vozilu (tudi registrska številka) postanejo osebni podatki, je torej ta, da je preko njih mogoče natančno identificirati posameznika.

IP sicer splošno meni, da je treba registrske številke vozil že po njihovi naravi, namenu in možni določljivosti posameznika, obravnavati kot osebne podatke. Za njihovo zakonito obdelavo je tako treba imeti ustrezno pravno podlago. Njihova obdelava je tako v skladu s členom 6(1) Splošne uredbe zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)  obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)  obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)  obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)  obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Glede vidika snemanja vožnje oziroma prometa IP pojasnjuje, da je izdal že nekaj mnenj v zvezi z uporabo t.i. »dashboard kamer«. Četudi v vašem primeru sicer ne bi šlo za uporabo teh kamer, IP pojasnjuje, da se z vidika obdelave osebnih podatkov snemanje oziroma slikanje z drugimi kamerami, telefonom ali drugimi podobnimi napravami ne razlikuje od omenjenih kamer. V teh mnenjih IP so podrobno opisani vsi vidiki obdelave osebnih podatkov na ta način. IP vam priporoča, da se seznanite z vsebino teh mnenj, ki so dostopna na spletni strani IP:

https://www.ip-rs.si/mnenja-gdpr/6048a38d454fd

https://www.ip-rs.si/mnenja-gdpr/6048a64135c6d

https://www.ip-rs.si/mnenja-gdpr/vgradnja-dashboard-kamere

Iz navedenih in tudi drugih mnenj IP izhaja, da uporaba tovrstnih kamer po mnenju IP praviloma splošno ni dovoljena, saj za njihovo uporabo ni zagotovljena nobena izmed pravnih podlag iz prvega odstavka 6. člena Splošne uredbe. Izjemoma bi morda lahko (za zasebni sektor) v poštev prišla točka (f) omenjenega člena, v skladu s katerim je obdelava osebnih podatkov zakonita, kadar je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. IP posebej poudarja, da mora za zagotovitev omenjene pravne podlage upravljavec (v konkretnem primeru vi) utemeljiti, da zakoniti interesi, ki jih z obdelavo (v konkretnem primeru torej s slikanjem tovornih vozil) zasleduje, prevladajo nad pravicami in svoboščinami posameznikov, ki so predmet obdelave (v konkretnem primeru torej udeleženci v prometu oziroma vozniki tovornih vozil). Tehtanje se opravi od primera do primera, pri čemer se upošteva zlasti, da se istega zakonitega interesa ne da doseči z milejšimi sredstvi in da je poseg v pravice in svoboščine posameznikov sorazmeren glede na pomen zakonitega interesa, ki se zasleduje – torej le v posebej utemeljenih primerih.

Pri presoji v konkretnem primeru je torej treba presoditi, ali je v konkretnem primeru slikanje potrebno zaradi uresničevanja zakonitih interesov uporabnika naprave (fotografa) in ali bi ti interesi očitno prevladali nad interesi, pravicami in svoboščinami drugih udeležencev prometa, ki bi bili pri tem fotografirani. Glede na navedbe v vašem zaprosilu za mnenje IP meni, da bi v konkretnem primeru najverjetneje to prevlado zakonitih interesov zelo težko utemeljili.

IP nadalje poudarja, da mora vsaka obdelava osebnih podatkov potekati transparentno in skladno z določbami Splošne uredbe o varstvu podatkov. Upravljavec je tako dolžan posamezniku, na čigar se nanašajo osebni podatki, zagotoviti vse informacije o obdelavi osebnih podatkov, ki so določeni v 13. členu Splošne uredbe o varstvu podatkov. Skladno z omenjeno določbo je dolžan upravljavec v primeru, kadar so bili osebni podatki  pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije:

(a)   identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;

(b)   kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;

(c)   namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;

(d)   kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;

(e)   uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;

(f)    kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo;

(g)  tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena.

Dodatno drugi odstavek 13. člena Splošne uredbe zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Informacije se posamezniku dajo na način, določen v 12. členu Splošne uredbe. Opisana obveznost informiranja posameznika odpade le izjemoma, in sicer takrat, kadar posameznik, na katerega se nanašajo osebni podatki, že ima informacije.

Iz navedenega izhaja, da je posamezniku torej treba ob pridobitvi njegovih osebnih podatkov zagotoviti navedene informacije o obdelavi osebnih podatkov. V konkretnem primeru bi torej morali vsem udeležencem v prometu, ki bi jih fotografirali in nato njihove osebne podatke objavili na blogu (ob obstoju ustrezne pravne podlage za njihovo fotografiranje, katere obstoj je na podlagi informacij iz vašega zaprosila za mnenje ter zgoraj navedenih pojasnil le malo verjeten) zagotoviti  navedene informacije v zvezi z obdelavo njihovih osebnih podatkov.

IP ob tem opozarja, da neupravičeno slikovno snemanje lahko v določenih primerih pomeni tudi kršitev določb druge področne zakonodaje, npr. določbe 138. člena Kazenskega zakonika (KZ-1; Uradni list RS, št. 55/08, 66/08 – popr., 39/09, 55/09 – odl. US, 91/11, 54/15, 38/16, 27/17, 23/20, 91/20, 95/21, 186/21, 105/22 – ZZNŠPP, 16/23), če bi se s snemanjem ali uporabo posnetkov občutno poseglo v zasebnost posameznika. Posameznik, ki meni, da se z uporabo fotografij posega v njegove osebnostne pravice, lahko uporabi institute civilnega ali kazenskopravnega varstva, ki mu jih daje zakonodaja in sodijo v pristojnost sodišč.

IP sklepno ponavlja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je torej primarno na vsakem upravljavcu posebej. Upravljavec (v konkretnem primeru torej vi) je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka