Identifikacija neznane osebe + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.02.2008 Številka: 0712-11/2008/2 Kategorije:Biometrija --> Kategorije: Biometrija Spoštovani, prejeli smo vaše elektronsko sporočilo, v katerem navajate, da
- člen Zakona o varstvu osebnih podatkov jasno opredeljuje biometrične podatke kot varovane in dovoljuje rabo s soglasjem zaposlenih. V zvezi s tem vas zanima, kako je s tovrstno prehodno identifikacijo neznane osebe, ki po vašem prepričanju ni zbirka osebnih podatkov, saj razen tega identifikacijskega elementa ne vsebuje nobenega drugega podatka. Kot primer navajate rabo biometrije na področju storitev za neznanega potrošnika, wellness storitev (kopališča z gostinsko ponudbo - brezgotovinska potrošnja). Stroka ima po vašem dobre in cenene odgovore na tovrstno problematiko, a je v zakonodaji premalo podlag za poslovno koristno rabo v panogi (ameriški in korejski vzorniki podobne rešitve uspešno implementirajo). Dodajate, da vi lahko trenutno odgovorite samo s paščkom, ki trdno pripne transponder na zapestje in ga na koncu blagajnik po poplačilu prereže, tako da morate potrošnike še vedno "ožigosati" , da bi jim lahko ponudili svobodo trošenja. Zanima vas, ali je predvidena ustrezna dopolnitev zakona oz. tolmačenje, ki bi bila ustrezna podlaga za napredovanje vaše poslovne prakse. V nadaljevanju vam na podlagi predstavljenega dejanskega stanja ter na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1) ter
- člena Zakona o Informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS-A) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji: ZVOP-1 zasebnemu sektorju dovoljuje (pod v tem zakonu določenimi pogoji) izvajanje biometrijskih ukrepov le nad zaposlenimi, zato v vašem podjetju takih ukrepov ne smete izvajati nad uporabniki vaših storitev. Osebni podatek je v skladu s
- tč.
- člena ZVOP-1 katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen. Posameznik je v skladu s
- tč.
- člena ZVOP-1 določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Zbirka osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. Upravljavec osebnih podatkov je v skladu s
- tč.
- člena ZVOP-1 fizična ali pravna oseba ali druga oseba javnega ali zasebnega sektorja, ki določa namene in sredstva obdelave osebnih podatkov oziroma oseba, določena z zakonom, ki določa tudi namene in sredstva obdelave. Biometrične značilnosti so v skladu z
- tč.
- člena ZVOP-1 takšne telesne, fiziološke ter vedenjske značilnosti, ki jih imajo vsi posamezniki, so pa edinstvene in stalne za vsakega posameznika posebej in je možno z njimi določiti posameznika, zlasti z uporabo prstnega odtisa, posnetka papilarnih linij s prsta, šarenice, očesne mrežnice, obraza, ušesa, deoksiribonukleinske kisline ter značilne drže. Biometrijo opredeljuje
- člen ZVOP-1, ki določa, da se z obdelavo biometričnih značilnosti ugotavljajo ali primerjajo lastnosti posameznika, tako da se lahko izvrši njegova identifikacija oziroma preveri njegova identiteta (v nadaljnjem besedilu: biometrijski ukrepi) pod pogoji, ki jih določa ta zakon. Biometrijske ukrepe v zasebnem sektorju ureja
- člen ZVOP-1, ki določa, da zasebni sektor lahko izvaja biometrijske ukrepe le, če so nujno potrebni za opravljanje dejavnosti, za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ali poslovne skrivnosti. Biometrijske ukrepe lahko zasebni sektor izvaja le nad svojimi zaposlenimi, če so bili o tem predhodno pisno obveščeni. Če izvajanje določenih biometrijskih ukrepov v zasebnem sektorju ni izrecno določeno z zakonom, je upravljavec osebnih podatkov, ki namerava izvajati take ukrepe, dolžan pred uvedbo ukrepov posredovati državnemu nadzornemu organu, tj. Informacijskemu pooblaščencu, opis nameravanih ukrepov in razloge za njihovo uvedbo. Informacijski pooblaščenec na podlagi posredovanih informacij potem odloči, ali je nameravana uvedba biometrijskih ukrepov v skladu z ZVOP-
- Iz navedene pravne podlage sledi, da v zasebnem sektorju lahko izvajate biometrijske ukrepe samo nad svojimi zaposlenimi, kar pomeni, da ZVOP-1 natančno določa kategorijo subjektov, ki so v zasebnem sektorju lahko podvrženi izvajanju biometrijskih ukrepov in s tem prepoveduje izvajanje teh ukrepov nad vsemi drugimi subjekti, ki v to kategorijo ne spadajo. Iz tega sledi, da izvajanje biometrijskih ukrepov nad uporabniki wellness storitev ni dovoljeno. V zvezi z vašimi pomisleki, da v vašem primeru ne gre zbirko osebnih podatkov, saj poleg biometrične značilnosti ne bi obdelovali nobenega drugega osebnega podatka, Informacijski pooblaščenec opozarja na to, da ZVOP-1 v
- členu določa dva postopka, ki sta biometrijska ukrepa:
- postopek, s katerim se ugotavljajo lastnosti posameznika, tako da se lahko izvede njegova identifikacija,
- postopek, s katerim se primerjajo lastnosti posameznika, tako da se lahko preveri njegova identiteta oziroma istovetnost. Iz tega je razvidno, da zakon sicer loči med identifikacijo in preverjanjem identitete posameznika, torej avtentikacijo, vendar oba postopka določa za biometrijska ukrepa. Identifikacija je postopek, s katerim se posameznik v realnem svetu prepoznava in se tako vzpostavi njegova identiteta. Avtentikacija pa je postopek, s katerim se vzpostavi neka stopnja zaupanja glede resničnosti izjave, na primer »nosilec te kartice je kvalificiran za poklic državnega nadzornika za varstvo osebnih podatkov«. Identifikacija torej išče odgovor na vprašanje: »Ali vem, kdo si ti? (Do I know who you are?)«, avtentikacija pa na vprašanje: »Ali si ti tisti, za katerega trdiš, da si? (Are you who you claim to be?)«. Identifikacija je potrebna za namene prepoznave osebe, ki se je denimo nahajala na določenem prostoru ali ki je priskrbela podatke, medtem ko je avtentikacija primerna za omogočanje dostopa do določenih prostorov ali do podatkov. Pri izvajanju obeh biometrijskih ukrepov, tj. pri postopku identifikacije in pri postopku avtentikacije, pa po mnenju Informacijskega pooblaščenca nastaja zbirka osebnih podatkov v smislu
- tč.
- člena ZVOP-
- Tako gre tudi v primeru izvajanja biometrijskega ukrepa, ki ga navajate v vašem dopisu, ko gre za postopek avtentikacije obiskovalcev wellness centra, za zbirko osebnih podatkov, saj gre za preverjanje identitete posameznika, ki je upravičen do določenih wellness storitev z obdelavo ene od njegovih biometričnih značilnosti. Iz povedanega izhaja, da bi bil posamezni uporabnik vaših storitev v primeru izvajanja biometrijskega ukrepa nad njim v vsakem primeru vsaj določljiv, saj je določljivost posameznika nujna za preverjanje njegove identitete, ki se izvrši s pomočjo obdelave njegovih biometričnih značilnosti. Zato gre tudi v tem primeru za zbirko osebnih podatkov, torej za niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika. V zvezi z vašimi navedbami, da bi izvajanje biometrijskih ukrepov, kot jih opisujete v vašem dopisu, omogočilo uporabniku wellness storitev večjo svobodo trošenja, saj vam potrošnikov ne bi bilo treba več »žigosati« s paščkom, na katerega pritrdite transponder, pa Informacijski pooblaščenec poudarja, da predstavljajo biometrijski ukrepi že po svoji naravi neprimerno večji poseg v zasebnost in dostojanstvo posameznika kot nošenje omenjenega paščka, saj gre za zajemanje in obdelavo posameznikovih telesnih, fizioloških ter vedenjskih značilnosti tj. njegovih biometričnih značilnosti, ki omogočajo njegovo identifikacijo, hkrati pa so unikatne in nespremenljive. Prav zaradi občutljivosti izvajanja biometričnih ukrepov in nepopravljivosti škodnih posledic, ki jih lahko povzroči zloraba biometričnih značilnosti posameznika, se je zakonodajalec odločil za omejitev izvajanja biometričnih ukrepov. Izvajanje teh ukrepov je omejil tako, da je taksativno naštel dobrine, ki so tako pomembne, da njihova zaščita dopušča uvedbo takih ukrepov (varovanje ljudi, premoženja, tajnih podatkov, poslovne skrivnosti, opravljanje dejavnosti) ter določil krog subjektov, nad katerimi se ti ukrepi lahko izvajajo (zaposleni). Dodatno varovalko pa predstavlja tudi predhodno odločanje Informacijskega pooblaščenca o tem, ali je uvedba biometrijskih ukrepov v konkretnem primeru nujna, potrebna in sorazmerna . S spoštovanjem, Informacijski pooblaščenec Nataša Pirc Musar, univ. dipl. prav. pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026