Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 11.11.2019
Naslov: Odčitavanje registrske številke ob vstopu na parkirišče
Številka: 0712-1/2019/2559
Vsebina: Ocene učinkov v zvezi z varstvom podatkov , Pravne podlage, Video in avdio nadzor
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede odčitavanja registrske tablice ob vstopu na parkirišče.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma pojasnjuje, da lahko podaja nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih ali drugih upravnih postopkov presojati ustreznosti ravnanja posameznih zavezancev.

 

IP pojasnjuje, da je skladno s 1. točko 4. člena Splošne uredbe o varstvu podatkov osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določljiv, če ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

 

Splošna uredba o varstvu podatkov tako v odnosu na ZVOP-1 bistveno ne spreminja definicije osebnega podatka in ključni test še vedno ostaja določljivost posameznika. Na določljivost posameznika pa se gleda široko, torej ne samo skozi lastne zmožnosti, namene in interese ali skozi zmožnosti enega subjekta, podjetja ali organizacije, temveč se upošteva tudi podatke, zmožnosti, sredstva in informacije, s katerimi razpolagajo drugi. Treba je upoštevati vsa sredstva, informacije in znanja, ki jih imajo na voljo tudi drugi subjekti, ki bi lahko določili, za katerega posameznika gre. 

 

IP je v preteklosti že poudaril, da tehnični podatki o lastnostih vozil sami po sebi niso osebni podatki, ker kažejo na stvar in ne na posameznika. Takšni podatki pa postanejo osebni podatki takrat, kadar jih je mogoče povezati s posameznikom (na primer z lastnikom vozila) oziroma je na njihovi podlagi mogoče identificirati lastnika vozila – fizično osebo. Bistveni pogoj za to, da podatki o vozilu (tudi registrska številka) postanejo osebni podatki, je torej ta, da je preko njih mogoče natančno identificirati posameznika.

 

IP sicer splošno meni, da je treba registrske številke avtomobilov že po njihovi naravi, namenu in možni določljivosti posameznika, obravnavati kot osebne podatke. Zbirke podatkov, ki vsebujejo registrske številke avtomobilov, je tako treba šteti za zbirke osebnih podatkov, tudi če ne vsebujejo drugih osebnih podatkov o posameznikih, ampak npr. samo podatke o vozilih. Pri njihovi obdelavi je treba spoštovati določbe Splošne uredbe o varstvu podatkov. Njihova obdelava je tako v skladu s členom 6(1) Splošne uredbe o varstvu podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev:

(a)   posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)   obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)    obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)   obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)   obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)    obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

IP poudarja, da je pri definiciji osebnih podatkov treba vedno gledati posamezen primer in kontekst, pri čemer se za presojo upošteva možnost identifikacije širše in ne zgolj na podlagi informacij, s katerimi razpolaga upravljavec. Odgovornost za presojo pa je v končni fazi vedno na strani upravljavca. Samo dejstvo, da gre za zasebno parkirišče in ne za objekt kritične infrastrukture, pri obravnavani zadevi ni relevantno.

 

Iz odgovora upravljavca parkirišča, ki ste ga priložili vašemu zaprosilu, sicer izhaja, da ocenjuje, da v konkretnem primeru ne obdeluje osebnih podatkov, IP pa meni, da bi v konkretnem primeru lahko šlo za obdelavo osebnih podatkov, in sicer za zelo omejen čas (čas parkiranja) in točno določen namen (kontrola vstopa in izstopa s parkirišča). Za takšno obdelavo bi lahko kot pravna podlaga v poštev prišla točka (f) – zakoniti interesi upravljavca.

 

Pomemben vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. IP pojasnjuje, da so informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, z vidika varstva osebnih podatkov na splošno urejene v členih 13 in 14 Splošne uredbe o varstvu podatkov.

 

Skladno z določbo 13. člena je dolžan upravljavec v primeru, kadar so bili osebni podatki  pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije:

  1. identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja;
  2. kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja;
  3. namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo;
  4. kadar obdelava temelji na točki (f) člena 6(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba;
  5. uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo;
  6. kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49(1) sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo;
  7. tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena.

 

Dodatno drugi odstavek 13. člena Splošne uredbe o varstvu podatkov zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Informacije se posamezniku dajo na način, določen v 12. členu Splošne uredbe o varstvu podatkov.

 

Posamezniku je torej treba ob pridobitvi njegovih osebnih podatkov zagotoviti navedene informacije o obdelavi osebnih podatkov. Predhodna informiranost posameznika o obdelavi njegovih podatkov je ključen element zakonite obdelave osebnih podatkov, saj se lahko le na podlagi ustreznih informacij o tem, komu lahko zaupa določene svoje podatke in za kakšen namen, posameznik svobodno odloči, ali bo to storil ali ne.

 

IP sklepno ponavlja, da v okviru mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev.

 

 

 

S spoštovanjem.

 

 

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

 

 

Informacijski pooblaščenec:

Mojca Prelesnik, univ. dipl. prav.,

pooblaščenka