Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Mnenja - VOP

+ -
Datum: 13.08.2012
Naslov: Biometrija na karticah hotelske sobe
Številka: 0712-97/2012
Vsebina: Biometrija
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne 3. 8. 2012 prejel vaše elektronsko sporočilo, v katerem sprašujete:
1. Ali v primeru, ko se pretvorbe biometrijskih podatkov (template) posameznika (gosta hotela) shranjujejo le na RFID obesku, ki omogoča vstop v hotelske sobe in je v lasti tega posameznika, ni potrebno dovoljenje Pooblaščenca o uporabi biometrije?
2. Ali lahko delodajalec (v tem primeru hotel) nad osebjem izvršuje biometrične ukrepe iz razlogov kasnejšega ugotavljanja vstopov v hotelske sobe, v primeru suma odtujevanja stvari?


Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter  2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.


Ad1. Informacijski pooblaščenec meni, da v primeru, ko so biometrijski podatki oziroma njihove pretvorbe kakor tudi celotno upravljanje biometrične naprave (vnos biometrične značilnosti, obdelava in izbris te značilnosti) pod nadzorom posameznika, in hotel ne hrani in ne obdeluje teh podatkov, ne gre za izvajanje biometrijskih ukrepov iz 78. člena ZVOP-1. To pomeni, da za uporabo biometričnih naprav s strani hotela za vstop v hotelske sobe pod navedenimi pogoji ne potrebujete dovoljenja Informacijskega pooblaščenca iz 80. člena ZVOP-1. Informacijski pooblaščenec ob tem izrecno poudarja, da v takem primeru hotel ali kdorkoli drug, ne sme imeti dostopa, ne sme hraniti ali drugače obdelovati biometričnih podatkov (ali njihovih pretvorb) posameznega gosta hotela. Posebno pozornost je treba posvetiti tudi upravljanju z nosilci podatkov (v tem primeru RFID obesek) in odgovoriti na vprašanja: ali postane nosilec podatkov last gosta hotela in ga pri odhodu vzame s seboj? Kakšen je postopek brisanja podatkov z nosilca, v primeru, ko gost le-tega vrne hotelu? Kako gost ve, da so bili podatki res brisani in, da se ne hranijo oziroma obdelujejo naprej?
Ad2. Glede uvedbe biometrije nad zaposlenimi v hotelu zaradi kasnejšega ugotavljanja vstopov v hotelske sobe Informacijski pooblaščenec meni, da takšna uporaba ne bi bila skladna z dopustnimi nameni uvedbe biometrije (predvsem izkaz nujne potrebnosti), je pa dokončna odločitev lahko podana le v upravnem postopku izdaje dovoljenja za biometrijo.



Ad1. V primeru, da bi hotel z uvedbo biometrijskih ukrepov želel zajeti in shraniti biometrične podatke predvsem tretjih oseb, torej gostov hotela, potem bi morali hotel obravnavati kot upravljavca osebnih podatkov, ki izvaja biometrijske  ukrepe, ki mora zadostiti pogojem iz 80. člena ZVOP-1 glede dopustnosti uvedbe biometrijskih ukrepov. V takšnem primeru uvedba biometrijskih ukrepov ne bi bila skladna s pogoji iz 1. odstavka 80. člena ZVOP-1, ker lahko zasebni sektor izvaja biometrijske ukrepe le nad svojimi zaposlenimi, ti pa morajo biti o tem tudi predhodno pisno obveščeni. Gosti hotela namreč niso s hotelom v delovnem razmerju, torej jih ni mogoče (morebitnemu njihovemu soglasju k izvajanju biometrijskih ukrepov navkljub, op. Pooblaščenca) šteti za zaposlene v smislu prvega odstavka 80. člena ZVOP-1. Več o tem smo zapisali v mnenju št. 0712-731/2007/2 (http://bit.ly/O9vMqi).

Če hotel ne hrani in ne obdeluje osebnih podatkov (biometričnih značilnosti oz. njihovih pretvorb), temveč se ti hranijo izključno in samo na nosilcu podatkov, ki je pod nadzorom posameznika, tako da se ob vstopu v hotelsko sobo izvrši primerjava med dejansko biometrijsko značilnostjo (dejanskim prstnim odtisom) in podatkom na nosilcu podatkov, ki je pod nadzorom posameznika, hotel pa ne hrani biometričnih značilnosti oz. njihovih pretvorb, potem hotela ne moremo šteti za upravljavca biometričnih osebnih podatkov. Posledično tudi ni dolžan izpolniti pogojev iz 80. člena ZVOP-1 in tako ne potrebuje dovoljenja Informacijskega pooblaščenca iz 80. člena ZVOP-1. Hotel namreč v tem primeru ne razpolaga z osebnimi podatki in jih tudi ne obdeluje, temveč se kvečjemu pojavi v vlogi posrednika, ki omogoči opremo, s katero lahko posameznik potrdi svojo identiteto (strogo gledano sicer glede na definicijo obdelave osebnih podatkov skoraj hipno sicer oprema hotela »obdeluje« oz. primerja dejanski prstni odtis s podatkom na nosilcu podatkov, a zaradi tega bi bilo nesorazmerno hotel obravnavati kot upravljavca biometričnih osebnih podatkov). Da pri takšni implementaciji hotela ne moremo šteti za upravljavca biometričnih osebnih podatkov, kažejo tudi dejstva, da hotel podatkov ne more izbrisati, ne more jih popravljati in ne more slediti, kje vse in kdaj so se podatki na nosilcu podatkov obdelovali, saj je ta pod nadzorom posameznika. Pri tem seveda velja poudariti, da bi v primeru, da bi hotel npr. začasno ali trajno shranil biometrijske značilnosti ali njihove pretvorbe, s tem postal upravljavec osebnih podatkov in bi moral zadostiti pogojem iz. 80. člena ZVOP-1. Posebno pozornost je tako potrebno posvetiti tudi upravljanju z nosilci podatkov (v tem primeru RFID obesek): ali postane nosilec podatkov last gosta hotela in ga pri odhodu vzame s seboj? Kakšen je postopek brisanja podatkov z nosilca, v primeru, ko gost le-tega vrne hotelu? Kako gost ve, da so bili podatki res brisani in, da se ne hranijo oziroma obdelujejo naprej?

Pri tem se pojavi tudi vprašanje, ali lahko hotel zahteva oz. kot edino možnost vstopa dopušča zgolj vstop s prstnim odtisom, čeravno se ta hrani samo na nosilcu podatkov, ki ga ima samo posameznik? Pooblaščenec je mnenja, da ima v takšnem primeru posameznik še vedno možnost, da se svobodno odloči, ali bo pristal na takšne pogoje nudenja storitve ali ne. V primeru, da se mu takšen način preverjanja identitete zdi pretiran poseg v njegovo zasebnost, ki ne odtehta morebitnih prednosti konkretnega hotela, ima vso možnost, da se za uporabo storitve takšnega hotela ne odloči.

Ad2. Po določbi 1. odstavka 80. člena ZVOP-1 lahko zasebni sektor izvaja biometrijske ukrepe le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. Biometrijske ukrepe lahko izvaja le nad svojimi zaposlenimi, če so bili predhodno o tem pisno obveščeni. Če izvajanje določenih biometrijskih ukrepov v zasebnem sektorju ni urejeno z zakonom, je upravljavec osebnih podatkov, ki namerava izvajati biometrijske ukrepe, skladno z drugim odstavkom istega člena, dolžan pred uvedbo ukrepov posredovati državnemu nadzornemu organu opis nameravanih ukrepov in razloge za njihovo uvedbo. Po prejemu posredovanih informacij je Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) glede na 3. odstavek 80. člena ZVOP-1 dolžan v dveh mesecih odločiti, ali je nameravana uvedba biometrijskih ukrepov v skladu z ZVOP-1, predvsem s pogoji iz navedenega prvega odstavka, s katerimi je zakonodajalec konkretiziral načelo sorazmernosti (3. člen ZVOP-1) in s tem omejil možnosti prekomernih in neupravičenih posegov v zasebnost in dostojanstvo posameznika pri izvajanju biometrijskih ukrepov. Čeprav se biometrijski ukrepi lahko izvedejo ob spoštovanju vseh določil ZVOP-1, pa se torej lahko uvedejo le, če so res nujno potrebni za opravljanje dejavnosti oziroma varovanje premoženja, ljudi, tajnih podatkov ali poslovnih skrivnosti. Pri presoji, ali so biometrijski ukrepi nujno potrebni za dosego namena, Pooblaščenec presoja tudi, ali bi namen, ki ga zasleduje upravljavec, lahko dosegel z načini obdelave osebnih podatkov, ki manj posegajo v zasebnosti zaposlenih.


Prijazen pozdrav,

Informacijski pooblaščenec:
Nataša Pirc Musar, univ.dipl.prav.,
pooblaščenka