Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 15.05.2020
Naslov: Zapisovalnik podatkov o dogodku
Številka: 07121-1/2020/863
Vsebina: Definicija OP, Policijski postopki, Pravne podlage
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zapisovalnikov podatkov o dogodku v vozilih cestnega prometa.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma pojasnjuje, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti s Splošno uredbo o varstvu podatkov. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku.

 

IP nadalje pojasnjuje, da je skladno s 1. točko 4. člena Splošne uredbe o varstvu podatkov osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določljiv, če ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika.

 

Uredba (EU) 2019/2144 Evropskega parlamenta in Sveta z dne 27. novembra 2019 o zahtevah za homologacijo motornih vozil in njihovih priklopnikov ter sistemov, sestavnih delov in samostojnih tehničnih enot, namenjenih za taka vozila, v zvezi z njihovo splošno varnostjo in zaščito potnikov v vozilu ter izpostavljenih udeležencev v cestnem prometu in o spremembi Uredbe (EU) 2018/858 Evropskega parlamenta in Sveta ter razveljavitvi uredb (ES) št. 78/2009, (ES) št. 79/2009 in (ES) št. 661/2009 Evropskega parlamenta in Sveta in uredb Komisije (ES) št. 631/2009, (EU) št. 406/2010, (EU) št. 672/2010, (EU) št. 1003/2010, (EU) št. 1005/2010, (EU) št. 1008/2010, (EU) št. 1009/2010, (EU) št. 19/2011, (EU) št. 109/2011, (EU) št. 458/2011, (EU) št. 65/2012, (EU) št. 130/2012, (EU) št. 347/2012, (EU) št. 351/2012, (EU) št. 1230/2012 in (EU) 2015/166 (v nadaljevanju: uredba) v 13. točki drugega odstavka 3. člena določa, da zapisovalnik podatkov o dogodku pomeni sistem, katerega namen je izključno beleženje in shranjevanje ključnih, s trkom povezanih parametrov in informacij v kratkem obdobju pred in med trkom ter takoj po njem. Nadalje uredba v četrtem odstavku 6. člena določa, da zapisovalniki podatkov o dogodku izpolnjujejo zlasti naslednje zahteve:

 

(a)    podatki v zvezi s kratkim obdobjem pred in med trkom ter takoj po njem, ki jih lahko beležijo in shranijo, vključujejo hitrost vozila, zaviranje, položaj in nagib vozila na cesti, stanje in stopnjo aktivacije vseh varnostnih sistemov vozila, sistem eCall, vgrajen v vozilo, kot storitev številke 112, aktiviranje zavor ter druge pomembne vhodne parametre vgrajenega aktivnega varnostnega sistema in sistema za preprečevanje nesreč, in sicer z visoko stopnjo natančnosti in zagotovljeno trajnostjo podatkov;
(b)    naprav ni mogoče izklopiti;
(c)    način, na katerega lahko beležijo in shranjujejo podatke, pa je tak, da:
i.    delujejo na sistemu zaprtega kroga;
ii.    so podatki, ki jih zberejo, anonimizirani in zaščiteni pred manipulacijo in zlorabo ter;
iii.    podatki, ki jih zberejo, omogočajo ugotovitev tipa, variante in izvedenke vozila ter zlasti aktivnega varnostnega sistema in sistema za preprečevanje nesreč, ki sta nameščena v vozilu, ter
(d)    se podatki, ki jih lahko beležijo, lahko dajo na voljo nacionalnim organom prek standardiziranega vmesnika na podlagi prava Unije ali nacionalnega prava in le za namene raziskav in analiz nesreč, vključno za namene homologacije sistemov in sestavnih delov, ter v skladu z Uredbo (EU) 2016/679, tj. Splošno uredbo o varstvu podatkov.

 

Iz navedenega tako po mnenju IP izhaja, da naj bi v primerih obdelave podatkov v okviru zapisovalnika podatkov o dogodku primarno šlo za obdelavo anonimiziranih podatkov. Tudi uvodna določba št. 13 uredbe določa, da so v zapisovalniku podatkov o dogodku shranjeni številni ključni anonimizirani podatki o vozilu, ki jih spremljajo zahteve glede razpona, točnosti in ločljivosti podatkov ter njihovega zbiranja, shranjevanja in dostopnosti, za kratek čas pred in med trkom ter takoj po njem. Nadalje tudi uvodna določba št. 14 med drugim določa, da bi zapisovalniki podatkov o dogodku morali delovati v okviru sistema zaprtega kroga, v katerem se podatki zapišejo čez shranjene podatke in pri katerem ni mogoče identificirati vozila ali voznika. Zapisani podatki torej ne bi smeli omogočati določljivosti posameznika (voznika). 

IP pojasnjuje, da anonimizacija pomeni, da je določen podatek praktično nemogoče pripisati določljivemu posamezniku (brez nesorazmerno velikega napora, sredstev ali časa). Med anonimizacijske metode in tehnike kot rezultati sodijo npr. povprečja, agregati, trendi in druge statistike, in metode, kot so dodajanje šumov, generalizacije in združevanja podatkov v razrede ter druge metode in tehnike, vsaka s svojimi prednostmi in slabostmi. V kolikor gre torej za obdelavo anonimiziranih podatkov, ne gre za obdelavo osebnih podatkov.

IP kljub temu posebej opozarja, da točka (d) četrtega odstavka 6. člena uredbe določa, da se podatki, ki jih lahko beležijo zapisovalniki podatkov o dogodku, lahko dajo na voljo nacionalnim organom prek standardiziranega vmesnika na podlagi prava Unije ali nacionalnega prava in le za namene raziskav in analiz nesreč, vključno za namene homologacije sistemov in sestavnih delov, ter v skladu z Uredbo (EU) 2016/679, tj. Splošno uredbo o varstvu podatkov. Ob tem uvodna določba št. 14 uredbe določa, da bi bilo treba vsako obdelavo osebnih podatkov, kot so informacije o vozniku, obdelane v zapisovalnikih podatkov o dogodku, ali informacije o zaspanosti in zmanjšani pozornosti voznika ali nepozornosti voznika, izvesti v skladu s pravom Unije o varstvu podatkov, zlasti s Splošno uredbo o varstvu podatkov.

 

Uredba torej jasno določa tako namene, za katere se lahko podatki dajo na voljo nacionalnim organom, kot tudi pravne podlage. Za dajanje podatkov na voljo oziroma njihovo posredovanje mora tako obstajati podlaga v pravu Unije ali nacionalnem pravu, potekati pa mora v skladu z določbami Splošne uredbe o varstvu podatkov. Ta pravne podlage za zakonito obdelavo osebnih podatkov določa v prvem odstavku 6. člena. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)    posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
b)    obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
c)    obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
d)    obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
e)    obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
f)    obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. 

Točka (f) se ne uporablja za obdelavo s strani javnih organov pri opravljanju njihovih nalog.

 

IP nadalje pojasnjuje, da je pravna podlaga za obdelavo osebnih podatkov v javnem sektorju, kamor sodi tudi policija, podana v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.

 

Policija bi torej za pridobitev podatkov iz zapisovalnika podatkov o dogodku po mnenju IP morala imeti ustrezno pravno podlago v skladu z zgoraj navedenimi določbami. Glede samega načina pridobivanja podatkov, po katerem sprašujete v vašem zaprosilu, IP ponavlja, da ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko poda le v konkretnem inšpekcijskem postopku.

 

 

S spoštovanjem.

 

 

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca

za varstvo osebnih podatkov

 

 

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka