← Slovenija

Biometrija na karticah hotelske sobe - IPRS

Biometrija na karticah hotelske sobe + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 12.08.2012 Številka: 0712-97/2012 Kategorije:Biometrija --> Kategorije: Biometrija Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
  4. 2012 prejel vaše elektronsko sporočilo, v katerem sprašujete:
  5. Ali v primeru, ko se pretvorbe biometrijskih podatkov (template) posameznika (gosta hotela) shranjujejo le na RFID obesku, ki omogoča vstop v hotelske sobe in je v lasti tega posameznika, ni potrebno dovoljenje Pooblaščenca o uporabi biometrije?
  6. Ali lahko delodajalec (v tem primeru hotel) nad osebjem izvršuje biometrične ukrepe iz razlogov kasnejšega ugotavljanja vstopov v hotelske sobe, v primeru suma odtujevanja stvari? Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
  7. točke prvega odstavka
  8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
  9. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Ad
  10. Informacijski pooblaščenec meni, da v primeru, ko so biometrijski podatki oziroma njihove pretvorbe kakor tudi celotno upravljanje biometrične naprave (vnos biometrične značilnosti, obdelava in izbris te značilnosti) pod nadzorom posameznika, in hotel ne hrani in ne obdeluje teh podatkov, ne gre za izvajanje biometrijskih ukrepov iz
  11. člena ZVOP-
  12. To pomeni, da za uporabo biometričnih naprav s strani hotela za vstop v hotelske sobe pod navedenimi pogoji ne potrebujete dovoljenja Informacijskega pooblaščenca iz
  13. člena ZVOP-
  14. Informacijski pooblaščenec ob tem izrecno poudarja, da v takem primeru hotel ali kdorkoli drug, ne sme imeti dostopa, ne sme hraniti ali drugače obdelovati biometričnih podatkov (ali njihovih pretvorb) posameznega gosta hotela. Posebno pozornost je treba posvetiti tudi upravljanju z nosilci podatkov (v tem primeru RFID obesek) in odgovoriti na vprašanja: ali postane nosilec podatkov last gosta hotela in ga pri odhodu vzame s seboj? Kakšen je postopek brisanja podatkov z nosilca, v primeru, ko gost le-tega vrne hotelu? Kako gost ve, da so bili podatki res brisani in, da se ne hranijo oziroma obdelujejo naprej? Ad
  15. Glede uvedbe biometrije nad zaposlenimi v hotelu zaradi kasnejšega ugotavljanja vstopov v hotelske sobe Informacijski pooblaščenec meni, da takšna uporaba ne bi bila skladna z dopustnimi nameni uvedbe biometrije (predvsem izkaz nujne potrebnosti), je pa dokončna odločitev lahko podana le v upravnem postopku izdaje dovoljenja za biometrijo. Ad
  16. V primeru, da bi hotel z uvedbo biometrijskih ukrepov želel zajeti in shraniti biometrične podatke predvsem tretjih oseb, torej gostov hotela, potem bi morali hotel obravnavati kot upravljavca osebnih podatkov, ki izvaja biometrijske ukrepe, ki mora zadostiti pogojem iz
  17. člena ZVOP-1 glede dopustnosti uvedbe biometrijskih ukrepov. V takšnem primeru uvedba biometrijskih ukrepov ne bi bila skladna s pogoji iz
  18. odstavka
  19. člena ZVOP-1, ker lahko zasebni sektor izvaja biometrijske ukrepe le nad svojimi zaposlenimi, ti pa morajo biti o tem tudi predhodno pisno obveščeni. Gosti hotela namreč niso s hotelom v delovnem razmerju, torej jih ni mogoče (morebitnemu njihovemu soglasju k izvajanju biometrijskih ukrepov navkljub, op. Pooblaščenca) šteti za zaposlene v smislu prvega odstavka
  20. člena ZVOP-
  21. Več o tem smo zapisali v mnenju št. 0712-731/2007/2 (http://bit.ly/O9vMqi). Če hotel ne hrani in ne obdeluje osebnih podatkov (biometričnih značilnosti oz. njihovih pretvorb), temveč se ti hranijo izključno in samo na nosilcu podatkov, ki je pod nadzorom posameznika, tako da se ob vstopu v hotelsko sobo izvrši primerjava med dejansko biometrijsko značilnostjo (dejanskim prstnim odtisom) in podatkom na nosilcu podatkov, ki je pod nadzorom posameznika, hotel pa ne hrani biometričnih značilnosti oz. njihovih pretvorb, potem hotela ne moremo šteti za upravljavca biometričnih osebnih podatkov. Posledično tudi ni dolžan izpolniti pogojev iz
  22. člena ZVOP-1 in tako ne potrebuje dovoljenja Informacijskega pooblaščenca iz
  23. člena ZVOP-
  24. Hotel namreč v tem primeru ne razpolaga z osebnimi podatki in jih tudi ne obdeluje, temveč se kvečjemu pojavi v vlogi posrednika, ki omogoči opremo, s katero lahko posameznik potrdi svojo identiteto (strogo gledano sicer glede na definicijo obdelave osebnih podatkov skoraj hipno sicer oprema hotela »obdeluje« oz. primerja dejanski prstni odtis s podatkom na nosilcu podatkov, a zaradi tega bi bilo nesorazmerno hotel obravnavati kot upravljavca biometričnih osebnih podatkov). Da pri takšni implementaciji hotela ne moremo šteti za upravljavca biometričnih osebnih podatkov, kažejo tudi dejstva, da hotel podatkov ne more izbrisati, ne more jih popravljati in ne more slediti, kje vse in kdaj so se podatki na nosilcu podatkov obdelovali, saj je ta pod nadzorom posameznika. Pri tem seveda velja poudariti, da bi v primeru, da bi hotel npr. začasno ali trajno shranil biometrijske značilnosti ali njihove pretvorbe, s tem postal upravljavec osebnih podatkov in bi moral zadostiti pogojem iz.
  25. člena ZVOP-
  26. Posebno pozornost je tako potrebno posvetiti tudi upravljanju z nosilci podatkov (v tem primeru RFID obesek): ali postane nosilec podatkov last gosta hotela in ga pri odhodu vzame s seboj? Kakšen je postopek brisanja podatkov z nosilca, v primeru, ko gost le-tega vrne hotelu? Kako gost ve, da so bili podatki res brisani in, da se ne hranijo oziroma obdelujejo naprej? Pri tem se pojavi tudi vprašanje, ali lahko hotel zahteva oz. kot edino možnost vstopa dopušča zgolj vstop s prstnim odtisom, čeravno se ta hrani samo na nosilcu podatkov, ki ga ima samo posameznik? Pooblaščenec je mnenja, da ima v takšnem primeru posameznik še vedno možnost, da se svobodno odloči, ali bo pristal na takšne pogoje nudenja storitve ali ne. V primeru, da se mu takšen način preverjanja identitete zdi pretiran poseg v njegovo zasebnost, ki ne odtehta morebitnih prednosti konkretnega hotela, ima vso možnost, da se za uporabo storitve takšnega hotela ne odloči. Ad
  27. Po določbi
  28. odstavka
  29. člena ZVOP-1 lahko zasebni sektor izvaja biometrijske ukrepe le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. Biometrijske ukrepe lahko izvaja le nad svojimi zaposlenimi, če so bili predhodno o tem pisno obveščeni. Če izvajanje določenih biometrijskih ukrepov v zasebnem sektorju ni urejeno z zakonom, je upravljavec osebnih podatkov, ki namerava izvajati biometrijske ukrepe, skladno z drugim odstavkom istega člena, dolžan pred uvedbo ukrepov posredovati državnemu nadzornemu organu opis nameravanih ukrepov in razloge za njihovo uvedbo. Po prejemu posredovanih informacij je Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) glede na
  30. odstavek
  31. člena ZVOP-1 dolžan v dveh mesecih odločiti, ali je nameravana uvedba biometrijskih ukrepov v skladu z ZVOP-1, predvsem s pogoji iz navedenega prvega odstavka, s katerimi je zakonodajalec konkretiziral načelo sorazmernosti (
  32. člen ZVOP-1) in s tem omejil možnosti prekomernih in neupravičenih posegov v zasebnost in dostojanstvo posameznika pri izvajanju biometrijskih ukrepov. Čeprav se biometrijski ukrepi lahko izvedejo ob spoštovanju vseh določil ZVOP-1, pa se torej lahko uvedejo le, če so res nujno potrebni za opravljanje dejavnosti oziroma varovanje premoženja, ljudi, tajnih podatkov ali poslovnih skrivnosti. Pri presoji, ali so biometrijski ukrepi nujno potrebni za dosego namena, Pooblaščenec presoja tudi, ali bi namen, ki ga zasleduje upravljavec, lahko dosegel z načini obdelave osebnih podatkov, ki manj posegajo v zasebnosti zaposlenih. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.