Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 09.03.2020
Naslov: Zapornice na parkirišču večstanovanjske stavbe
Številka: 07121-1/2020/310
Vsebina: Pravne podlage, Stanovanjsko in nepremičninsko pravo
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaš dopis, v katerem pojasnjujete, da ste upravnik večstanovanjskih stavb in da ste po izboru etažnih lastnikov sklenili pogodbo z izvajalcem za izgradnjo in vzdrževanje parkirnega sistema. Izvajalec bo vstopne zapornice na parkirišče, ki bodo delovale na način prepoznave registrskih tablic in odpiranja zapornic s pomočjo telefona. Etažni lastniki bodo zato morali sporočiti svoje osebne podatke (ime, priimek, naslov, GSM številka, registrska tablica). Tisti, ki želijo, bodo lahko dali osebne podatke tretjih oseb (GSM številko in registrsko tablico). Podatke bi hranil izvajalec storitve. Zanima vas sledeče:

  • Ali potrebujete privolitve tretjih oseb za obdelavo njihovih podatkov?
  • Kdo je v konkretnem primeru upravljavec in kdo obdelovalec podatkov?
  • Ali je treba skleniti pogodbo z izvajalcem storitev?

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma izpostavlja, da v sklopu neobvezujočega mnenja vsekakor ne more presojati konkretnih dejanj obdelav, temveč lahko to stori šele v okviru inšpekcijskega postopka, zato v nadaljevanju podaja splošna pojasnila, ki vam bodo lahko v pomoč.

 

IP je v preteklosti že večkrat poudaril, da tehnični podatki o lastnostih vozil sami po sebi niso osebni podatki, ker kažejo na stvar in ne na posameznika. Takšni podatki pa postanejo osebni podatki takrat, kadar jih je mogoče povezati s posameznikom (na primer z lastnikom vozila) oziroma je na njihovi podlagi mogoče identificirati lastnika vozila – fizično osebo. V konkretnem primeru bi poleg registrskih številk vozil šlo za obdelavo tudi drugih osebnih podatkov (imen, naslovov, tel. številk), kar pomeni, da je posameznik na podlagi navedenih podatkov določen oz. ga je mogoče identificirati. Torej bi v konkretnem primeru šlo za obdelavo osebnih podatkov v smislu Splošne uredbe.

 

Za vsako obdelavo osebnih podatkov, tudi v vašem primeru, je potrebno zagotoviti ustrezno pravno podlago. Pravne podlage ureja prvi odstavek člena 6 Splošne uredbe, ki določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

Po mnenju IP bi za obdelavo osebnih podatkov tretjih oseb (torej ne etažnih lastnikov) privolitev (točka a člena 6(1)) lahko predstavljala ustrezno pravno podlago, kakor to tudi sami navajate. Več o veljavni privolitve:

 

Vsekakor je treba o obdelavi osebnih podatkov posameznike predhodno obvestiti, kakor to določa člen 13 Splošne uredbe. Tudi sami prilagate obvestilo po členu 13, vendar se IP v okviru mnenja do priloženega obvestila ne more konkretno opredeliti, to lahko stori le v okviru inšpekcijskega postopka. Kaj naj vsebuje takšno obvestilo je podrobno obrazloženo na naši spletni strani:

 

Glede vlog upravljavca in obdelovalca v konkretnem primeru IP pojasnjuje, da „upravljavec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave (točka 7 člena 4 Splošne uredbe). „Obdelovalec“ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca (točka 8 člena 4 Splošne uredbe). Obdelovalec je torej tisti subjekt, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. Obdelovalec pravzaprav le izvaja določene naloge v imenu in na račun upravljavca, ki bi jih drugače izvajal sam upravljavec osebnih podatkov, pa se je ta odločil, da za to pooblasti pogodbenega partnerja.

Po mnenju IP upravljavca v konkretnem primeru najverjetneje predstavljajo etažni lastniki večstanovanjske zgradbe, saj so se slednji z 80% glede na solastniški delež sami odločili, da se bo vzpostavil opisani sistem z zapornico in posledično, da se bo obdelovalo osebne podatke. To pomeni, da etažni lastniki sami določajo namene in sredstva obdelave osebnih podatkov. Upravnik pa v skladu z 68. členom Stanovanjskega zakona SZ-1 pri sklepanju pravnih poslov s tretjimi osebami nastopa v imenu in za račun etažnih lastnikov, razen če ta zakon ali pogodba o opravljanju upravniških storitev ne določa drugače. Šteje se, da je pravni posel sklenjen v imenu etažnih lastnikov, če pravni posel vsebuje navedbo: “Etažni lastniki“ skupaj z natančno označbo večstanovanjske stavbe. V skladu z vašim dopisom IP meni, da bo v konkretnem primeru upravnik sklepal pogodbo z izvajalcem v imenu in za račun etažnih lastnikov, etažni lastniki pa bodo nastopali kot upravljavci osebnih podatkov (v kolikor ni drugače dogovorjeno). V takšnem primeru je smiselno določiti predstavnika upravljavca, saj je etažnih lastnikov več. V kolikor bo zunanji izvajalec obdeloval osebne podatke le po naročilu in v skladu z zahtevami upravljavca, bi slednji lahko nastopal kot obdelovalec osebnih podatkov.

 

Vsekakor pa IP nima dovolj informacij, da bi lahko podal dokončno oceno glede vloge upravljavca in obdelovalca v konkretnem primeru. Ob tem IP še opozarja, da v kolikor gre za razmerje med upravljavcem in obdelovalcem, je to potrebno urediti v pogodbi o obdelavi v skladu s členom 28 Splošne uredbe. Več o vlogi obdelovalcev in pogodbi o obdelavi si lahko preberete v naših smernicah na to temo:

 

Glede vprašanja, ali lahko izvajalec pridobi osebne podatke neposredno od etažnih lastnikov (torej ne od upravnika), IP pojasnjuje, da je to povsem v vaši domeni oz. domeni etažnih lastnikov, kako se boste dogovorili.

 

IP dodatno pojasnjuje v zvezi s shranjevanjem osebnih podatkov, da Splošna uredba v točki e člena 5(1) določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; za daljše obdobje pa se lahko shranjujejo le, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89(1) Splošne uredbe, pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki (»omejitev shranjevanja«). Hkrati pa IP poudarja, da je ob zbiranju osebnih podatkov treba upoštevati tudi temeljno načelo minimizacije oz. najmanjšega obsega podatkov (točka  člena 5(1) Splošne uredbe), skladno s katerim naj bodo osebni podatki omejeni na to, kar je potrebno za dosego namenov, za katere se podatki obdelujejo.

 

IP vas na koncu še napotuje na smernice za upravnike večstanovanjskih stavb (glej str. 14):

 

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

 

 

Mojca Prelesnik, univ.dipl.prav.,                                 

informacijska pooblaščenka

 

 

Pripravila:                                                                                                                              

Neja Domnik, mag. prav.,

raziskovalka pri IP