Posredovanje posnetkov VN sistema zavarovalnici - IPRS

Posredovanje posnetkov VN sistema zavarovalnici + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 26.11.2021 Številka: 07121-1/2021/2368 Kategorije: --> Kategorije: Posredovanje OP med upravljavci, Video in avdio nadzor, Zavarovalništvo Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede zahteve zavarovalnice vaši stranki po posredovanju osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti posameznih obdelav osebnih podatkov z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje konkretnih osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je takšna obdelava osebnih podatkov zakonita. IP splošno pojasnjuje, da mora vsak upravljavec za zakonito obdelavo osebnih podatkov imeti ustrezno pravno podlago iz 6. člena Splošne uredbe o varstvu podatkov, ki določa, da je obdelava zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev: (

1. a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
2. b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
3. c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
4. d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
5. e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
6. f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«. Področno pravno podlago za obdelavo osebnih podatkov zavarovalnicam daje Zakon o zavarovalništvu (Uradni list RS, št. 93/15, 9/19, 102/20; v nadaljevanju: ZZavar-1) V skladu z drugim odstavkom 268. člena ZZavar-1 zavarovalnice in Slovensko zavarovalno združenje (v nadaljevanju: SZZ) zbirajo, shranjujejo, posredujejo, uporabljajo ali kako drugače obdelujejo osebne podatke iz tega člena v skladu z zakonodajo, ki ureja varstvo osebnih podatkov in zbirke podatkov s področja zavarovanja, in sicer: zbirko podatkov o zavarovalcih in zavarovancih, zbirko podatkov o zavarovalnih primerih, zbirko podatkov za presojo zavarovalnega kritja in višine odškodnine oziroma zavarovalnine, zbirko podatkov o potencialnih zavarovalcih in zavarovancih. Ob tem IP poudarja, da je obdelava osebnih podatkov v vseh navedenih zbirkah dopustna le v obsegu, ki je primeren in potreben za uresničevanje namenov obdelave - v primeru prvih treh zbirk (torej tudi v primeru zbirke podatkov za presojo zavarovalnega kritja in višine odškodnine oziroma zavarovalnine) gre za sklepanje in izvajanje pogodb o zavarovanju, izterjava neplačanih obveznosti iz naslova zavarovalnih pogodb, reševanje škod, uveljavljanje povračilnih zahtevkov in drugih pravic ter obveznosti, vključno s preiskovanjem sumljivih primerov neupravičeno izplačanih odškodnin oziroma zavarovalnin, ki izvirajo iz zavarovanj po tem zakonu, in preverjanje politične izpostavljenosti oseb po zakonu, ki ureja preprečevanje pranja denarja in financiranja terorizma. V zbirki podatkov za presojo zavarovalnega kritja in višine odškodnine oziroma zavarovalnine se ob upoštevanju namena obdelave podatkov tako lahko zbirajo sledeči osebni podatki: osebno ime, spol, datum in kraj rojstva, stalno in začasno prebivališče oziroma stalni in začasni naslov v tujini, naslov za vročanje, datum smrti, davčna številka, vrsta in številka osebnega dokumenta zavarovanca in oškodovanca, za katerega se ugotavlja zavarovalno kritje in odškodnina oziroma zavarovalnina, osebni podatki o predhodnih zavarovalnih primerih v obsegu iz prejšnjega odstavka ter podatki o upoštevnem zdravstvenem stanju zavarovanca in oškodovanca, vključno z zagotavljanjem zdravstvenih storitev, predhodnimi poškodbami in zdravstvenem stanju, vrsti telesnih poškodb, trajanjem zdravljenja in posledicami za oškodovanca in zavarovalca, dohodki zavarovanca in oškodovanca ter zaposlitev, upokojitve (redne in invalidske), prekvalifikacije in stopnje invalidnosti zavarovanca in oškodovanca, stroški za medicinsko oskrbo, zdravila in medicinske pripomočke zavarovanca in oškodovanca, upravičenosti do kritja razlike do polne vrednosti zdravstvenih storitev po zakonu, ki ureja zdravstveno zavarovanje, iz proračunskih sredstev Republike Slovenije, podatki o vozniškem dovoljenju, historični podatki o zgodovini predmeta zavarovanja. IP ugotavlja, da med temi podatki ni navedenih posnetkov videonadzornih sistemov posameznih upravljavcev. Navedeni osebni podatki se sicer skladno z osmim odstavkom 268. člena ZZavar-1 pridobivajo na več načinov, in sicer: praviloma neposredno od posameznika, na katerega se nanašajo, od drugih oseb, ki o zavarovalnem primeru kaj vedo, če gre za primere iz 270. člena ZZavar-1 (izmenjava osebnih podatkov o spornih zavarovalnih primerih med zavarovalnicami), iz zbirk podatkov posameznih zavarovalnic in SZZ, določeni podatki se lahko pridobijo iz Registra nepremičnin, določeni podatki se lahko pridobijo iz zbirk podatkov državnih organov, podatke za zbirko podatkov za presojo zavarovalnega kritja in višine odškodnine oziroma zavarovalnine lahko pridobivajo v določenih primerih tudi od: izvajalcev zdravstvenih in z njimi povezanih storitev, Zavoda za zdravstveno zavarovanje, iz zbirk podatkov delodajalca, Zavoda za pokojninsko in invalidsko zavarovanje, centrov za socialno delo in iz zbirk podatkov različnih ministrstev, od drugih upravljavcev zbirk podatkov, ki hranijo podatke, ki jih lahko zavarovalnice in SZZ pridobivajo in zbirajo v skladu z ZZavar-1. Skladno s predstavljeno zakonodajo imajo torej zavarovalnice pravno podlago za pridobivanje in obdelavo določenih osebnih podatkov v obsegu in za namene, kot to določa ZZavar-1. Zavarovalnice tako lahko pridobivajo zgolj zgoraj navedene osebne podatke, ki jih potrebujejo za obravnavo konkretnega primera, upoštevajoč namene posamezne zbirke. Ob tem je treba, kot ste navedli že v vašem zaprosilu za mnenje, upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je treba obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti, torej v konkretnem primeru za reševanje konkretnega odškodninskega zahtevka oškodovanca. Za pridobivanje konkretnih podatkov (v konkretnem primeru posnetka videonadzornega sistema vaše stranke) mora torej zavarovalnica imeti ustrezno pravno podlago ob upoštevanju načela sorazmernosti in tudi načela omejitve namena obdelav osebnih podatkov, v skladu s katerim morajo biti osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni. V vašem zaprosilu navajate, da ima vaša stranka videonadzorni sistem vzpostavljen za namen varovanja ljudi in premoženja, varovanja poslovne skrivnosti in varstva pri delu. Ob tem IP poudarja, da je upravljavec videonadzornega sistema (v konkretnem primeru vaša stranka) dolžan skrbeti za zakonito obdelavo teh posnetkov. Obdeluje jih lahko le v skladu z osnovnimi nameni njihovega zbiranja (npr. za zagotavljanje varnosti ljudi ali premoženja) oziroma eventualno v primeru nekega izrednega dogodka, ko bi videoposnetek služil kot dodaten dokaz v pravnem postopku (v zaprosilu za mnenje navajate, da tak postopek zaenkrat še ni bil sprožen). Upravljavec videonadzornega sistema tako posnetkov sistema brez ustrezne pravne podlage ne sme posredovati naprej, saj gre brez dvoma za obdelavo osebnih podatkov. Na posnetkih so namreč, kot tudi sami navajate v vašem zaprosilu za mnenje, posneti obiskovalci vaše stranke. Med nameni, za katere je videonadzorni sistem vaše stranke vzpostavljen, pa ni navedenega reševanja in obravnave zavarovalnih zahtevkov. Tudi za zavarovalnico torej velja, da sme dostopati do posnetka zgolj pod pogojem, da je izpolnjena katera od zgoraj navedenih pravnih podlag. To bi po mnenju IP lahko bila tudi privolitev osebe na posnetku (oškodovanca). IP sklepno ponovno poudarja, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, v konkretnem primeru torej vaša stranka. Ta nosi tudi odgovornost za tovrstno opravljeno presojo. IP se namreč ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
7. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026