Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 15.05.2019
Naslov: Snemanje z dronom
Številka: 0712-1/2019/1161
Vsebina: Delovna razmerja, Ocene učinkov v zvezi z varstvom podatkov
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da vas delodajalec med delovnim časom, in sicer, ko izvajate vaje na poligonu snema z dronom. V pogodbi o zaposlitvi to ni določeno in niti kasneje niste podpisali nobene privolitve. Zanima vas, ali je to dovoljeno.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

Dovoljenost snemanja zaposlenega z brezpilotnim letalnikom

Splošne tehnične in operativne pogoje za varno uporabo brezpilotnih zrakoplovov, sistema brezpilotnih zrakoplovov in letalskih modelov določa Uredba o sistemih brezpilotnih zrakoplovov. Uredba o sistemih brezpilotnih zrakoplovov določa tudi pogoje za osebe, ki brezpilotne zrakoplove oz. drone upravljajo. Ker Uredba o sistemih brezpilotnih zrakoplovov ne ureja področja obdelave osebnih podatkov (npr. zajem posnetkov posameznikov), se za obdelavo osebnih podatkov pri uporabi brezpilotnikov uporabljajo določbe Splošne uredbe in ZVOP-1.

 

Splošna uredba določa pravne podlage v prvem odstavku 6. člena, ki določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

  1. posameznik na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
  2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
  3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
  4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
  5. obdelava je potrebna za opravljanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
  6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katere se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

V konkretnem primeru pojasnjujete, da gre za nadzor z brezpilotnim letalnikom s strani delodajalca v času opravljanja svojih delovnih obveznosti. Obdelavo osebnih podatkov delavcev ureja Zakon o delovnih razmerjih (Uradni list RS, št. 21/13 s spremembami in dopolnitvami; v nadaljevanju: ZRD-1) v 48. členu, ki določa, da se osebni podatki delavcev lahko zbirajo, obdelujejo, uporabljajo in dostavljajo tretjim osebam samo, če je to določeno z zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Iz navedene določbe ZDR-1 izhaja, da delodajalci (tako v javnem kot tudi v zasebnem sektorju) ne smejo zbirati katerihkoli osebnih podatkov, ampak le tiste osebne podatke, ki jih potrebujejo za dosego v zakonu določenega namena.

 

To pomeni, da mora delodajalec pretehtati, ali gre pri nadzoru z brezpilotnim letalnikom za obdelavo osebnih podatkov, ki je potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja, ali ne. IP v okviru neobvezujočega mnenja ne more podati dokončnega in konkretnega odgovora, to lahko stori zgolj v okviru postopka inšpekcijskega nadzora.

 

Ob tem je potrebno vzeti v obzir določbe, ki urejajo videonadzor na delovnem mestu (77. člen ZVOP-1), in sicer je ta dopusten le, kadar je to nujno potrebno za varnost ljudi ali premoženja ali varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni mogoče doseči z milejšimi sredstvi. Namreč nadzor zaposlenega z dronom predstavlja podoben poseg v zasebnost posameznika kakor videonadzor na delovnem mestu, kar posledično pomeni, da naj bi bili pogoji za zakonitost tudi pri nadzoru z brezpilotnim letalnikom podobno strogi.

 

Vsekakor pa je pri vsakem zajemu in obdelavi osebnih podatkov ključno upoštevati načeli omejitve namena obdelave (v skladu s tem načelom se osebne podatke lahko obdeluje le za določene, izrecne in zakonite namene) in najmanjšega obsega podatkov (to pomeni, da so osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo).

 

V vsakem primeru pa mora biti posameznik o obdelavi osebnih podatkov obveščen v skladu s 13. in 14. členom Splošne uredbe. Namreč posameznik ima pravico vedeti, kdaj in kdo zbira njegove podatke, zakaj in koliko časa.

 

Ocena učinkov v zvezi z varstvom osebnih podatkov

V opisanem primeru bi lahko šlo za stalno snemanje zaposlenih, morda celo snemanje javno dostopnih območij, zato izpostavljamo, da Splošna uredba v 3. odstavku 35. člena (sistematično in obsežno vrednotenje osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo; ali obsežno sistematično spremljanje javno dostopnega območja) v določenih primerih zahteva predhodno izvedbo ocene učinkov takšne obdelave v zvezi z varstvom podatkov. IP je na svoji spletni strani pripravil podstran, kjer najdete ključne informacije glede ocene učinkov.

 

Prav tako vas napotujemo tudi na seznam dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku člena 35 Uredbe.

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf

 

Dodatno pa izpostavljamo, da mora pri uporabi dronov v skladu s petim odstavkom 19. člena Uredbe o sistemih brezpilotnih zrakoplovov operater pred zajemom podatkov z uporabo brezpilotnih letalnikov opraviti posebno oceno učinkov v zvezi z varstvom osebnih podatkov, ki ga nato posreduje IP. Gre za ločeno obveznost glede na zgoraj omenjene določbe Splošne uredbe, saj je v tem primeru predpisani obrazec, za oceno učinkov po Splošni uredbi pa takšen obrazec ni prepdisan, vendar se dejansko gradiva za izvedbo ocene lahko prekrivajo. Informacije o izvedbi ocene učinkov na varstvo osebnih podatkov pri uporabi dronov so dostopne tukaj:

https://www.ip-rs.si/fileadmin/user_upload/doc/obrazci/ZVOP/DPIA_FAQ.docx.

 

V kolikor na podlagi zgoraj navedenega menite, da gre za nezakonito obdelavo osebnih podatkov, lahko podate (anonimno) prijavo o kršitvi določb zakonodaje, ki ureja varstvo osebnih podatkov na gp.ipping@ip-rspong.si.

 

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

 

 

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                               informacijska pooblaščenka

 

Pripravila:                                                                                                                              

Neja Domnik, mag. prav.,

raziskovalka pri IP