Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 17.04.2019
Naslov: Vloga upravljavca in obdelovalca
Številka: 0712-1/2019/895
Vsebina: Video in avdio nadzor
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede obdelave osebnih podatkov pri slikovnem in zvočnem snemanju v prostorih, danih v uporabo. V dopisu ste navedli, da občina upravlja z več dvoranami, ki jih oddajate za različne (enkratne) dogodke. Pogoji in načini oddaje teh prostorov so urejeni z internimi splošnimi akti. V enem izmed prostorov je omogočeno slikovno in zvočno snemanje. Če uporabnik prostora tako naroči, lahko uporablja tudi to snemalnico, tj. slikovno in zvočno snema dogodek. V nekaterih primerih snemanje sproži javni uslužbenec občine in nato posnetek preda organizatorju dogodka, v drugih primerih snemanje sproži zunanji izvajalec po izbiri organizatorja (občina zagotovi samo prost dostop). Vsakemu naročniku snemanja občina posreduje izvleček pravil varstva osebnih podatkov, ne preverjate pa, ali jih organizator tudi spoštuje. Zanima vas, kakšne so obveznosti občine, če slikovno oz. zvočno snemanje v oddanih prostorih sproži javni uslužbenec in nato posnetek preda organizatorju dogodka in ali so obveznosti enake, če občina zagotovi samo prost dostop do snemalne opreme.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljnjem besedilu Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljnjem besedilu ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Obveznosti občine pri obdelavi osebnih podatkov so odvisne od odgovora na vprašanje, ali občina nastopa kot upravljavec ali kot obdelovalec osebnih podatkov, ali nič od tega.

 

V konkretnem primeru so hipotetično mogoče vse tri situacije, IP pa konkretnih obdelav osebnih podatkov izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more dokončno presojati, zato vam tudi ne more podati enoznačnega odgovora na vaše vprašanje.

 

Po členu 4(7) Splošne uredbe o varstvu podatkov »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice. Po členu 4(8) navedene uredbe »obdelovalec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca. Obdelovalci so torej tiste organizacije oziroma posamezniki, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke.

 

Pri določanju, kdo je upravljavec in kdo obdelovalec osebnih podatkov, je ključno, kakšna je vloga določenega subjekta pri pridobivanju podatkov, izvrševanju pravic do vpogleda, brisanja podatkov posameznikov, nabora osebnih podatkov, določanja namenov in sredstev obdelave, dejanskega dostopa do baze osebnih podatkov, ki se obdelujejo ipd. Če ima subjekt dostop do osebnih podatkov, ki se obdelujejo, določa namene in sredstva obdelave ter izvršuje pravice uporabnikov, potem ima odgovornosti upravljavca osebnih podatkov in ne le pogodbenega obdelovalca. Kadar o namenih in sredstvih obdelave odloča več entitet, lahko govorimo tudi o več upravljavcih oziroma o skupnem upravljavcu. Pogodbeni obdelovalec pa pravzaprav le izvaja določene naloge v imenu in na račun upravljavca, ki bi jih drugače izvajal sam upravljavec osebnih podatkov, pa se je ta odločil, da za to pooblasti pogodbenega partnerja.

 

Glede na vaš opis gre sklepati, da najemniki prostorov nastopajo kot samostojni upravljavci podatkov, čeprav jih pridobijo s slikovnim in zvočnim snemanjem z opremo, ki je last občine. Najemniki najverjetneje osebne podatke pridobivajo ter jih nadalje obdelujejo za svoje potrebe ter zato sami določajo sredstva in namene obdelave v tem okviru.

 

Če občina zagotavlja dostop do podatkov v smislu tehnične izvedbe storitve, je možno, da je pri tem dejanju obdelovalec, če bi obdelavo osebnih podatkov izvrševala (1) izključno v imenu in za račun upravljavca osebnih podatkov, (2) bi pri tem črpala podlago za obdelavo osebnih podatkov iz upravičenj upravljavca ter (3) bi bila v zvezi s samimi dejanji obdelave vezana na navodila upravljavca. Pri odločanju, ali je občina v navedenem primeru obdelovalec, ne gre zanemariti niti okoliščine, da gre (po vaših navedbah) za enkratne dogodke.

 

Za lažjo opredelitev vlog upravljavca in obdelovalca vam priporočamo seznanitev z vsebino pogodbene obdelave na povezavi https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/pogodbena-obdelava/, kjer so predstavljene tudi Smernice IP o (pogodbeni) obdelavi osebnih podatkov.

 

V upanju, da smo odgovorili na vaše vprašanje, vas lepo pozdravljamo.

 

 

 

Pripravila:

Karolina Kušević, univ. dipl. prav.,

svetovalka IP

 

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka