Spremljanje gibanja vozičkov v nakupovalnem centru + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.04.2015 Številka: 0712-71/2013 Kategorije:Moderne tehnologije --> Kategorije: Moderne tehnologije Informacijski pooblaščenec (v nadaljevanju: Pooblaščenec) je prejel vaše elektronsko sporočilo, v katerem nas sprašujete za mnenje glede analize gibanja vozičkov v nakupovalnem centru. Kot ste pojasnili, bi voziček opremili z napravo, ki bi na podlagi WiFi triangulacije merila gibanje vozička znotraj nakupovalnega centra. Pri tem naj ne bi zbirali drugih podatkov, razmišljate le v smeri, da bi na koncu poti vprašali osebo po starosti ter spolu.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/2004 s spremembami in dopolnitvami; v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.Pooblaščenec meni, da lahko zbirate podatke o gibanju naprave na nakupovalnem vozičku, če s čim hitrejšim nepovratnim brisanjem zajetih surovih podatkov minimizirate možnosti, da bi bila iz zbranih podatkov možna določljivost posameznika. Če določljivost posameznika ni možna, potem ne potrebujete soglasja osebe, ki voziček uporablja. Posebej opozarjamo, da je mnenje podano na podlagi prejetih informacij o predvidenem delovanju sistema in da bi lahko bilo mnenje ob drugačnem dejanskemu stanju ali okoliščinah (zlasti v primeru hrambe surovih podatkov ali zbiranju dodatnih podatkov) drugačno.Obrazložitev: Pooblaščenec se je že srečal s podobnimi vprašanji in sicer je izdal naslednji mnenji: · mnenje o zbiranju MAC naslovov za potrebo anonimiziranih in agregiranih statističnih obdelav v cestnem prometu s pomočjo Bluetooth tehnologije - mnenje št. 0712-14/2013 z dne 28.3.2013 (dostopno na http://bit.ly/155XKHT);· mnenje o sledenju uporabnikom trgovskega centra na podlagi MAC naslova – mnenje št. 0712-1/2013/3689/2 z dne
- 2013 (dostopno na: http://bit.ly/1dl3It7).Svetujemo vam, da se najprej seznanite z navedenimi mnenji, saj v veliki meri pojasnjujejo, ali in kako je treba v podobnih primerih upoštevati zahteve zakonodaje o varstvu osebnih podatkov.Vaš primer se od zgoraj navedenih razlikuje v tem, da želite zbirati podatke z naprave, ki ni v lasti uporabnika (v zgoraj omenjenih mnenjih je šlo za zbiranje MAC naslovov mobilnih naprav, ki so v lasti posameznika). To deloma pomeni nekoliko drugačen kontekst, klub temu pa so bistveni odgovori podobni.V vašem primeru je bistveno najti odgovor na to, ali je iz zbranih podatkov možna določljivosti posameznika. Če to ni mogoče, potem lahko govorimo, da ne gre za zbiranje oziroma obdelavo osebnih podatkov. Če bi torej ves čas od zajema do obdelave in uporabe podatkov ostali na ravni agregiranih, statističnih podatkov oziroma takšnih podatkov, da iz njih ni mogoče razbrati, na koga se nanašajo, potem niste dolžni upoštevati določb ZVOP-
- Pri tem opozarjamo, da je treba na določljivost posameznika gledati na široko. Mnenje Delovne skupine iz člena 29 (mnenje o konceptu osebnih podatkov št. 4/2007, dostopno na http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf), namreč poudarja, da je evropski zakonodajalec želel oblikovati širok pojem „osebnih podatkov“ in ga ohranjati skozi celoten zakonodajni postopek. Med bistvene poudarke mnenja sodi tudi ugotovitev, da morajo upravljavci »gledati široko«, t.j. upoštevati ne le lastne zmogljivosti, informacije, znanja in sredstva, temveč tudi zmožnosti drugih subjektov in obstoj drugih podatkov, ki se oz. je pričakovati, da bi se lahko uporabili, da določijo posameznika, na katerega se podatek nanaša. Prepričati se torej morate, da tudi nihče drug, ne samo vi, ne bi znal iz zbranih podatkov razločiti posamezne nakupovalce. Pooblaščenec meni, da je verjetnost določljivosti posameznika v primeru, ko je naprava nameščena na vozičku in torej ne gre za napravo uporabnika (npr. njegov mobilni telefon), relativno majhna, zlasti če naj bi sistem deloval tako, kot ste opisali – torej da ni bi zbirali drugih osebnih podatkov. Ker boste spol in starost verjetno zbrali neposredno od posameznika[1], boste po naravi stvari ta dva podatka pridobili le od tistih, ki se s tem strinjajo in vam ta podatka zaupajo, tako da glede teh podatkov ne vidimo posebnih težav, temveč je pomembneje ugotoviti, kako je s podatki o gibanju vozičkov.Kljub vsemu pa opozarjamo, da z naraščanjem števila zbranih podatkov narašča tudi verjetnost določljivosti posameznika (zelo znan je primer spletne izposojevalnice filmov Netflix, ki ni uspela zadostno anonimizirati podatkov o gledanosti filmov, kar so kasneje dokazali raziskovalci: glej opis v Ohm, Paul: Broken Promises of Privacy: Responding to the Surprising Failure of Anonymization, dostopno na: http://papers.ssrn.com/sol3/papers.cfm?abstract_id=1450006). Pooblaščenec ne more prezreti možnosti, da bi bilo iz velike količine podatkov (npr. večletna zbirka vseh gibanj z zajetimi enoličnimi identifikatorji, starostjo in spolom posameznika) možno izluščiti nakupovalni profil, od tu pa je do identifikacije posameznika le še nekaj korakov (npr. povezava s podatki iz videonadzornega sistema ali podatki iz opravljenih nakupov v klubu zvestobe določenem času ipd.). Navedenemu se lahko izognete z vnaprej premišljenimi ukrepi, s katerimi minimizirate takšne možnosti, in sicer predvsem s čim hitrejšim nepovratnim brisanjem, obdelavo oziroma agregiranjem zajetih surovih podatkov – podobno kot smo svetovali v že omenjenih mnenjih. Če vas namreč zanima izdelava npr. toplotnih kart (tlorisov s prikazom najpogosteje opravljenih poti znotraj trgovskega centra), šteje nakupovalcev ipd., potem za tovrstne namene ne potrebujete surovih podatkov, kot so izvirni datum in čas, MAC ali drug identifikator, temveč lahko surove podatke precej hitro agregirate (npr. na urni ali dnevni ravni) oziroma drugače obdelate (npr. pretvorite v toplotno karto in zavržete izvorne podatke) in s tem zajete podatke pretvorite v brezosebne. Če tega ne boste storili, potem se kot rečeno možnost določljivosti poveča in – zlasti z morebitnimi kasnejšimi nadgradnjami in dodatnimi nameni – prekoračite mejo, ko za vas začne veljati zakonodaja o varstvu osebnih podatkov.Glede na navedeno menimo, da lahko zbirate podatke o gibanju naprave na nakupovalnem vozičku, če s čim hitrejšim nepovratnim brisanjem zajetih surovih podatkov minimizirate možnosti, da bi bila iz zbranih podatkov možna določljivost posameznika. Če določljivost posameznika ni možna, potem ne potrebujete soglasja osebe, ki voziček uporablja.Ker je - kot razumemo - namen vaše rešitve predvsem pridobitev anonimiziranih in agregatnih statistik o gibanju uporabnikov[2] v določenem prostoru, je treba poskrbeti, da se čim prej prekine možnost določljivosti posameznika iz zbranih podatkov. V ta namen smo tudi v zgoraj omenjenem mnenju št. 0712-1/2013/3689/2 predlagali naslednje:· da se surovi podatki o MAC naslovu takoj po zajemu z uporabo enosmernih zgoščevalnih algoritmov (npr. sha-1) z uporabo naključnih vrednosti (angl. nuance/salt) pretvorijo v negovoreče identifikatorje (kodirane označbe MAC naslova), originalni podatki pa zavržejo;· da se tudi zgoščeni (negovoreči) identifikatorji hranijo za minimalno potrebno obdobje, tj. zgolj tako dolgo, kot so potrebni za pripravo nameravanih statistik. Po preteku tega časa se individualne podatke pobriše, priporoča pa se tudi menjavo salt vrednosti. Če je namreč namen, ki ga zasledujete »spremljati fluktuacijo gibanja obiskovalcev po posameznih področjih trgovinskega centra, čas zadrževanja v centru in po posameznih delih«, potem pooblaščenec ne vidi razloga po hrambi podatkov, ki bi presegala en dan oz. čas obratovanja trgovskega centra na določen dan. Morebitna hramba podatkov za daljše obdobje bi lahko pomenila zbiranje podatkov, iz katerih bi bilo mogoče ugotoviti vzorec obnašanja posameznega obiskovalca, za kar ne bi bilo več mogoče uporabiti pravne podlage iz
- odstavka
- člena – za obdelavo tovrstnih podatkov bi bilo treba pridobiti vnaprejšnjo izrecno privolitev posameznika.· da se iz zbranih podatkov shranjuje zgolj podatek o MAC naslovu. Posebna pozornost velja glede zbiranja t.i. Probe Requests, s katerimi mobilne naprave poizvedujejo za prisotnimi brezžičnimi omrežji v svoji neposredni okolici. Omenjeni zahtevki lahko vključujejo tudi ime omrežja, ki ga naprava išče, kar bo tipično prav tisto omrežje, v katerega je oprava največ priključena – npr. domače ali službeno. Imena teh omrežij lahko vključujejo tudi osebne podatke, tipično priimek ali naziv upravljavca omrežja. Pooblaščenec tukaj striktno opozarja, da se podatki o imenih iskanih omrežij ne smejo zbirati in hraniti. Ker niso potrebni za pripravo ciljnih statistik, za njihovo zbiranje in obdelavo tudi ni ustrezne pravne podlage. Poskusi zbiranja podatkov o prisotnih omrežjih, ali celo vsebini prometa na teh omrežij (šifriranih ali ne) so bili v preteklosti že večkrat sankcionirani. Informacijski pooblaščenec v nemški zvezni deželi Hamburg je denimo aprila 2013 ameriškemu podjetju Google izrekel sankcijo v višini 145.000,00€ zavoljo zbiranja podatkov o prisotnih wi-fi omrežjih tekom izvajanja fotografiranj za potrebo storitve StreetView. S pozdravi, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav.,pooblaščenka [1] Predvidevamo, da niste imeli v mislih tehničnega zajema teh podatkov, npr. s pomočjo pametnega nadzora, biometričnih ukrepov ali drugih tehnologij. Če bi temu bilo tako, potem vam svetujemo, da skrbno preberete smernice o izvajanju inteligentne video analitike ter biometrije. [2] V resnici vas zanimajo uporabniki in ne nakupovalni vozički. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026