Mnenje glede uporabe naprave za sledenje poštnih pošiljk + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.09.2014 Številka: 0712-23/2014/2 Kategorije:Moderne tehnologije --> Kategorije: Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po elektronski pošti prejel vaš dopis, v katerem nas sprašujete za mnenje glede uporabe naprave za slednje poštnih pošiljk. Kot pojasnjujete zastopate globalno znano družbo za dostavo pošiljk, ki nudi posebno storitev, pri kateri se lahko pošiljatelj odloči, da bo v pošiljko dodal prenosno sledilno elektronsko napravo, ki lahko spremlja podatke o temperaturi, vlažnosti, tlaku, lokaciji pošiljke, izpostavljenosti pošiljke svetlobi, ali je bila pošiljka odprta ipd. Seznanili ste se z našim mnenjem št. 0712-1/2012/491, ki se nanaša na GPS sledenje tovornjakom in nas prosite za mnenje, ali se pri uporabi tovrstne naprave odpira vprašanje sledenja uslužbencem družbe, ki jo zastopate. Pošiljke naj bi namreč deloma prenašali uslužbenci te družbe. Pri tem pojasnjujete, da omenjena dostavna družba ne bo imela dostopa do podatkov o lokacijah pošiljk, ki jih beleži sledilna naprava, po drugi strani pa družba, ki upravlja s strežnikom, na katerem se obdelujejo podatki iz sledilnih naprav, ne bi imela podatkov o uslužbencih dostavne službe. Menite, da o osebnih podatkih v takšnem primeru niti ni mogoče govoriti. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Pooblaščenec mora uvodoma ovreči ocene, da v opisanih primerih ne gre za obdelavo osebnih podatkov. Pooblaščenec opozarja, da gre v opisanem primeru prav gotovo za obdelavo osebnih podatkov in da zgolj ločevanje podatkov med različne subjekte ne izničuje tega dejstva. Kot je podrobno pojasnjeno v Mnenju Delovne skupine iz člena 29 (Mnenje o konceptu osebnih podatkov št. 4/2007, dostopno na http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf), je evropski zakonodajalec želel oblikovati širok pojem „osebnih podatkov“ in ga ohranjati skozi celoten zakonodajni postopek. Med bistvene poudarke mnenja sodi tudi ugotovitev, da morajo upravljavci na določljivost posameznika »gledati široko«, t.j. upoštevati ne le lastne zmogljivosti, informacije, znanja in sredstva, temveč tudi zmožnosti drugih subjektov in obstoj drugih podatkov, ki se oz. je pričakovati, da bi se lahko uporabili, da določijo ali omogočijo določljivost posameznika, na katerega se podatek nanaša. Ključen kriterij za to, ali gre za osebne podatke, je presoja, ali se podatki nanašajo na določenega ali določljivega posameznika, pri čemer se ne gleda samo skozi sposobnosti, znanja in informacije enega subjekta, temveč na splošno. Ločitev podatkov v smislu da en subjekt npr. pozna podatke zgolj o lokacijah oseb, drugi subjekt pa identitete oseb (ne pa podatkov o njihovi lokacijah) ne izničuje dejstva, da gre za obdelavo osebnih podatkov. Navedeno seveda še ne pomeni, da je takšna obdelava nedovoljena ali nezakonita, temveč iz tega zgolj sledi, da je treba upoštevati pogoje, ki jih za obdelavo osebnih podatkov določa zakonodaja. Vsekakor pa lahko ločevanje dostopa do podatkov med različne subjekte pripomore k manjšim tveganjem za zlorabe osebnih podatkov. Glede uporabe mnenja št. 0712-1/2012/491 Pooblaščenec poudarja, da gre v navedenem mnenju za precej drugačno dejansko stanje, saj naj bi se sledilne naprave uporabljale na tovornjakih, pomembna okoliščina pa je tudi, da gre za visoko vredne tovore ter druge okoliščine, ki lahko vplivajo na vidik sorazmernosti. Kot je pooblaščenec že opozarjal v mnenjih, ki se nanašajo na uporabo sledilnih naprav, je pri obdelavi osebnih podatkov treba upoštevati načelo sorazmernosti, ki je kot temeljno načelo opredeljeno v
- členu ZVOP-1 in določa, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni, glede na namene, za katere se zbirajo in nadalje obdelujejo. Vsaka obdelava osebnih podatkov, tudi s sistemom GPS, mora imeti jasno določene in legitimne namene, ki opravičujejo namestitev in uporabo takšnega sistema nadzora. Pri tem je prav tako pomembno preveriti, ali bi bilo možno zasledovane cilje doseči na manj invazivne načine oziroma na načine, ki (sploh) ne predstavljajo posegov v temeljne človekove pravice. Pri omenjeni presoji sorazmernosti je treba upoštevati, da se bodo – tako vsaj ocenjuje Pooblaščenec – pošiljatelji odločali za uporabo tovrstne prenosne elektronske naprave večinoma pri pošiljkah večje vrednosti (pri manjših oz. pri pošiljkah manjše vrednosti bi verjetno že sama teža naprave nesorazmerno povečala stroške pošiljanja, prav tako pa za manj vredne pošiljke ni videti smisla po zbiranju vseh podatkov, ki jih je zmožna zbrati takšna naprava). Dejstvo, da podatki o lokacijah uslužbencev dostavne službe ne bodo dostopni sami dostavni družbi, temveč zgolj ponudniku storitve in pošiljatelju, je prav tako zelo pomembno. Uporaba sledilnih naprav s strani zaposlenih - bodisi da gre za naprave v vozilih, paketih ali celo na telesih zaposlenih - je namreč sporna predvsem zaradi posega v pravice zaposlenih in možnosti neupravičenega in nesorazmernega slednja zaposlenih s strani delodajalca in sicer na podlagi osebnih podatkov o njihovih lokacijah. Pravne podlage v zasebnem sektorju opredeljuje
- člen ZVOP-1, ki določa: • Osebni podatki v zasebnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (
- odstavek
- člena). • Ne glede na prejšnji odstavek se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe (
- odstavek
- člena). • Ne glede na prvi odstavek tega člena se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki (
- odstavek
- člena). Privolitev, kot pravna podlaga po
- odstavki
- člena ZVOP-1 je v delovnopravnih razmerjih, kamor sodi tudi vprašanje uporabe sledilnih naprav pri zaposlenih, zelo problematična zaradi neravnovesja moči med delodajalcem in zaposlenimi.
- odstavek
- člena ZVOP-1 v konkretnem primeru po naši oceni ne pride v poštev, saj bi težko utemeljevali, da je obdelava osebnih podatkov potrebna in primerna za izpolnjevanje pogodbe med delodajalcem in zaposlenimi, ni pa to povsem izključeno. Kot najprimernejša pravna podlaga za uporabo omenjene naprave se tako v konkretnem primeru kaže
- odstavek
- člena ZVOP-
- Ta določa, da se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Za uporabo pravne podlage po
- odstavku naj bi skladno z mnenjem Delovne skupine iz člena 29 o legitimnih interesih kot pravni podlagi za obdelavo osebnih podatkov (mnenje št. 06/2014, dostopno na: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf), upravljavci osebnih podatkov dokumentirali razloge in okoliščine za uporabo te pravne podlage. Takšna (kratka in jedrnata) utemeljitev naj bi vsebovala: • opredelitev in utemeljitev legitimnosti interesov upravljavca, • pošteno in objektivno presojo vplivov na posameznika, • opis uporabljenih varovalk in ukrepov za zmanjšanje vplivov na posameznika (kot je npr. ukrep ločevanja dostopa do podatkov). Predvsem vplivi na posameznika morajo biti objektivno in realno ocenjeni v luči tveganj, ki jih lahko predstavlja obdelava osebnih podatkov za posameznika – neprimerno je vplive na posameznika podcenjevati ali zgolj opredeliti kot teoretične, neobstoječe ali neznatne. Delovna skupina iz člena 29 med vplive na posameznika uvršča tudi možnost diskriminacije, izključevanja posameznika, vpliv na izgubo ugleda, preglednost obdelave podatkov, moč določanja, nadlegovanja, pojava strahu ali zaskrbljenosti zaradi izgube nadzora nad lastnimi osebnimi podatki; vplivi so lahko tudi pozitivne narave. Glede na to, da gre v opisanem primeru vendarle za obdelavo osebnih podatkov menimo, da bi bila obdelava glede na zgoraj navedene okoliščine lahko sorazmerna, je pa treba zagotoviti naslednje varovalke, da se zagotoviti zakonitost in varnost obdelave podatkov: - uslužbence dostavne službe, ki bodo prenašali pošiljke s prenosnimi sledilnimi napravi je treba vnaprej obvestiti, katere pošiljke so opremljene s sledilnimi napravami ter kako te naprave delujejo (predvsem z dejstvom, kateri podatki se beležijo ter komu so oziroma niso ti podatki na voljo; zaradi transparentnosti do uslužbencev je priporočljivo, da se uslužbence tudi jasno seznani z dejstvom, da njihov delodajalec ne bo imel dostopa do podatkov o lokacijah sledilnih naprav); - dostavna družba mora s ponudnikom elektronske sledilne naprave skleniti pogodbo o pogodbeni obdelavi osebnih podatkov skladno z določbami
- člena ZVOP-1, pogodba pa mora vsebovati konkretiziran dogovor o postopkih in ukrepih za varnost podatkov; - priporočamo, da je v pogodbi izrecno navedeno, da dostavna služba nima dostopa do podatkov o lokacijah prenosne naprave ter da ponudnik storitve ne bo imel dostopa do podatkov o uslužbencih dostavne družbe. Pooblaščenec zaključno opozarja še na to, da je treba ločenost podatkov tudi dejansko zagotoviti. Tudi v praksi je torej dejansko treba onemogočiti, da bi delodajalec kljub drugačnemu pogodbenemu dogovoru imel možnost nadzora zaposlenih (npr. prek portala z vnosom evidenčne številke pošiljke, kot to lahko stori pošiljatelj). S prijaznimi pozdravi, Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026