Mnenje o uporabi bluetooth sistema za zaznavanje dogodkov v prometu - IPRS

Mnenje o uporabi bluetooth sistema za zaznavanje dogodkov v prometu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 28.03.2013 Številka: 0712-14/2013 Kategorije:Moderne tehnologije --> Kategorije: Moderne tehnologije Zaprosili ste nas za mnenje glede uporabe na blueutooth (v nadaljevanju BT) tehnologiji temelječega sistema za zaznavanje dogodkov in stanj v prometu. Iz predstavljenih informacij o zasnovi in delovanju sistema izhaja, da naj bi bil sistem namenjen ugotavljanju informacij o gnečah in zastojih na cestah v realnem času. Deloval naj bi tako, da bi se ob cesto namestili senzorji, npr. v obstoječe semaforske omarice, ki bi opazovali frekvence BT naprav v mimovozečih vozilih. Po predstavljenih informacijah naj bi pri 25-40% vozil lahko razbrali BT signal mobilnih naprav (odvisno od lokacije in časa), kar naj bi zadostovalo za ugotavljanje gneč in zastojev, merjenje povprečne hitrosti in povprečnih časov potovanja med dvema točkama. Sistem naj bi temeljil na MAC naslovu mobilne naprave, katerega naj bi v realnem času z enosmerno zgoščevalno funkcijo z uporabo posebnega gesla, znanega samo upravljavcu, pretvoril v negovoreči enolični identifikator, kontroler na senzorju pa bi uničil originalne podatke. Uporabljena funkcija (npr. SHA-128 in naključna vrednost) ne omogoča pridobitev izvornega MAC naslova, ki je enoličen posamezni mobilni napravi in zaradi uporabe naključne vrednosti onemogoča, da bi bil isti MAC naslov vsakič pretvorjen v isti enolični identifikator. Vsi podatki se shranjujejo samo v ram pomnilnik in se ob izklopu napajanja izgubijo. Podatki naj bi se na posamezni napravi (detektorju) hranili do prenosa na strežnik - v trenutnem sistemu največ 1 uro in 10 minut - potem se izbrišejo. Na strežniku naj bi potekala agregacija podatkov, in sicer naj bi se v bazo podatkov prenašali samo kodirani zapisi s časovnimi označbami v obliki (DDMMYY_HHMMSS_lokacija_kodirana-adresa) ter izvedle naslednje agregacije: - kjer se iz posameznih zapisov izračunajo povprečni potovalni časi in povprečne hitrosti med dvema točkama (lokacijama BT senzorjev); - kjer se na določen časovni interval izračuna število voznikov med dvema točkama (lokacijama BT senzorjev). Posamezni kodirani zapisi s časovnimi označbami se ob izvedbi agregacij brišejo (najdaljši rok hrambe je 24 ur). Tako pretvorjeni podatki ter podatki o času prehoda ob določenem senzorju omogočajo izračun povprečnih hitrosti, potovalnih časov, alarmov v primerih gneče in prometnih nesreč, napovedovanja prometnih tokov, identifikacije vzorcev (npr. tip: avtobus, kolesar, pešec) in t.i. O/D matrike (angl. origin-destination matrix), ki omogočajo naknadno ugotavljanje potovalnih vzorcev. Poslovni model naj bi temeljil na javno-zasebnem partnerstvu, kjer v primeru BT detektorjev partnerji prevzamejo naslednje naloge: Partner A: • Postavitev sistema • Testiranje sistema • Predaja sistema v uporabo • Vzdrževanje sistema Mestna občina: • Lastnik sistema • Skrbnik sistema • Nadzor sistema Podizvajalec 1: • Vzdrževalec semaforskega sistema (javljanje napak, enostavnejša popravila) Podizvajalec 2: • Uporabnik sistema, • Operater sistema • Spreminjanje prometnih programov • Prometne odločitve Dostop do surovih podatkov pred agregacijo naj bi imel samo partner A, ki vzdržuje sistem (kot upravljavec strežnika), ostali partnerji pa bi lahko dostopali zgolj do agregiranih podatkov. Sistem naj bi omogočal enostavno namestitev, ki je cenejša od rešitev, ki temeljijo na prepoznavi znakov/registrskih tablic (npr. OCR/ANPR rešitve), operaterji pa bi lahko v realnem času zaznali zastoje in nesreče, posledično informirali voznike, prilagajali prometno signalizacijo, preusmerili promet in obvestili druge deležnike za nadzor in obvladovanje zastojev. Določene informacije o predvidenih potovalnih časih in zastojih bi lahko ponudili tudi občanom npr. prek mobilnih naprav oz. spleta. * * * Ker lahko avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
5. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Posebej opozarjamo, da je mnenje podano na podlagi prejetih informacij o predvidenem delovanju sistema in da bi lahko bilo mnenje ob drugačnem dejanskemu stanju ali okoliščinah drugačno. Pooblaščenec uvodoma ugotavlja, da z opisanim sistemom zasledujete legitimne cilje in da način delovanja sistema, kot nam je bil predstavljen, predpostavlja obdelavo osebnih podatkov smislu ZVOP-
6. Glede na navedeno je bistvenega pomena, da se s pravočasnimi presojami vplivov na osebne podatke in zasebnost (angl. Privacy Impact Assessment) ter upoštevanjem koncepta vgrajene zasebnosti (angl. Privacy By Design) zagotovi, da obdelava podatkov poteka na zakonit način. Prav tako je pomembno pravočasno predvideti ukrepe, s katerimi je sicer mogoče doseči zasledovane cilje na način, ki zahteva najmanjši nabor osebnih podatkov in varovalke, s katerimi se zmanjšajo tveganja za možnosti zlorab osebnih podatkov. Pooblaščenec ugotavlja, da ste določene takšne ukrepe že predvideli. Osebne podatke v opisanem primeru predstavljajo predvsem podatki o MAC naslovu (mobilne naprave) in časih prehoda določenih točk. MAC naslov je namreč enolično določen vsaki mobilni napravi in ga je v večini primerov težko zamenjati, s tem pa je ob upoštevanju zmožnosti tudi ostalih subjektov in običajnih vzorcih uporabe mobilnih naprav - te zelo redko posojamo drugim - treba priti do zaključka, da se omenjeni podatki nanašajo na določene ali vsaj določljive posameznike. Pooblaščenec je dalje mnenja, da se posameznik, ki ima omogočeno opcijo, da je njegovo mobilno napravo možno odkriti oziroma zaznati prek BT, zaveda oziroma bi se moral zavedati, da s tem neomejenemu oz. nedoločenemu krogu subjektov krogu sporoča naziv svoje naprave in njen MAC naslov. Posameznik ima vselej možnost, da onemogoči zaznavanje njegove mobilne naprave prek BT in na ta način zavaruje svoj interes do varstva osebnih podatkov. Pooblaščenec opozarja, da mu model javno-zasebnega partnerstva ni bil dovolj izčrpno predstavljen, da bi se lahko popolnoma opredelil glede pravnih podlag za obdelavo osebnih podatkov. Slednja se namreč lahko razlikuje v primeru, da javni naročnik v zasledovanju javnega interesa zaupa izgradnjo določenega sistema zasebnemu partnerju od primera, ko zasebni partner v zasebnem interesu potencialnim naročnikom ponuja (zgolj) agregirane podatke, do katerih je prišel na podlagi obdelave osebnih podatkov. Glede na navedeno in ob upoštevanju dejstva, da bi bilo pridobivanje osebnih privolitev v obdelavo zadevnih osebnih podatkov v praksi neizvedljivo, je možna pravna podlaga za obdelava teh podatkov, ki jih, kot rečeno, štejemo za osebne podatke, s strani zasebnega sektorja, določba
7. odstavka
8. člena ZVOP-1, v primeru, da sistem naroča javni sektor, pa bi bila eventualno možna pravna podlaga
9. odstavek
10. člena ZVOP-
11. Ta določa, da se ne glede na prvi odstavek tega člena (podlaga v zakonu) v javnem sektorju izjemoma lahko obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. V tem primeru bi s stališča ZVOP-1 zasebni partner nastopal v vlogi pogodbenega obdelovalca za upravljavca iz javnega sektorja. Bistveno je namreč ugotoviti, kdo je tisti, ki določa namene obdelave osebnih podatkov, saj je to ključni kriterij za opredelitev, kdo je upravljavec osebnih podatkov in kakšna je potrebna pravna podlaga. Ko bo model o sodelovanju javnega in zasebnega partnerja natančneje opredeljen, lahko podrobneje ocenimo, na kakšni pravni podlagi je dopustna obdelava osebnih podatkov v konkretnem primeru. Pravne podlage za obdelavo osebnih podatkov v zasebnem sektorju določa
12. člen ZVOP-1, in sicer se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Po določbi
13. odstavka
14. člena ZVOP-1 se ne glede na prvi odstavek tega člena v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Pooblaščenec je mnenja, da je lahko v konkretnem primeru podana pravna podlaga za obdelavo osebnih podatkov v
15. odstavku
16. člena ZVOP-1, vendar je treba ugotoviti, ali so interesi posameznika glede varstva osebnih podatkov dovolj varovani, da lahko konkretni interesi zasebnega sektorja, ki so prav gotovo legitimni, v konkretnem primeru prevladajo. Pooblaščenec ugotavlja, da je mogoče z določenimi ukrepi v zadostni meri zmanjšati tveganja za možnosti zlorabe osebnih podatkov, da bilo delovanje sistema na opisan način skladno z zahtevami ZVOP-1, obdelava podatkov pa možna na podlagi
17. odstavka
18. člena ZVOP-
19. Namen sistema namreč primarno ni zbiranje ali obdelava osebnih podatkov – njihova obdelava je kvečjemu kolateralna posledica - zato je treba poskrbeti, da se čim prej prekine možnost določljivosti posameznika iz zbranih podatkov. V ta namen je treba poleg ukrepov, ki ste jih že predvideli, zagotoviti: • da se surovi podatki v realnem času z uporabo enosmernih zgoščevalnih algoritmov z uporabo naključnih vrednosti (različnih pri vsakem zajetem podatku; angl. nuance/salt) pretvorijo v negovoreče identifikatorje (kodirane označbe vozila) in originalni podatki zavržejo, pri čemer se kodirane označbe vozila hranijo največ 24 ur za potrebe O/D matrik. • ustrezne postopke in ukrepe za varovanje in nadzor dostopov do podatkovne baze. Zagotoviti je namreč treba, da iz zajetih podatkov posameznik ne bo določljiv, prav tako pa je treba zagotoviti, da se ne zbirajo podatki, ki bi omogočali naknadno ugotavljanje opravljenih poti (kje, kdaj, kako hitro se vozi itd.) kodirane označbe, saj je ta enolična za posamezno napravo. Če se posamezne kodirane označbe s časovnimi označbami hranijo najdlje 24 ur, je možnost določljivosti posameznika dovolj minimizirana. Če sistem ne bi dovolj pogosto agregiral zbranih podatkov ter bi surove podatke ali pa kodirane označbe vozil hranil dalj časa, bi bilo iz podatkov mogoče ugotoviti potovalne vzorce določene kodirane označbe, od koder je do določitve konkretne osebe lahko tudi zelo kratka pot, čemur se je absolutno treba izogniti. Kot rečeno je namreč za uporabo
20. odstavka
21. člena ZVOP-1 treba zagotoviti, da določljivost posameznika iz zbranih podatkov ni možna, saj to tudi ni eden od zasledovanih ciljev delovanja sistema. S spoštovanjem, INFORMACIJSKI POOBLAŠČENEC Nataša Pirc Musar, univ. dipl. prav., Pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026