Uvedba sistema za avtomatsko prepoznavo registrskih tablic + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 17.08.2022 Številka: 07121-1/2022/889 Kategorije: --> Kategorije: Definicija OP, Informiranje posameznika, Moderne tehnologije, Občine, Video in avdio nadzor Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede uvedbe sistema za avtomatsko prepoznavo registrskih tablic na javni površini s strani občine. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Izbor ustrezne pravne podlage za posamezno obdelavo je obveznost upravljavca (v konkretnem primeru občine), ki mora pri tem upoštevati konkretne okoliščine in namene obdelave. Pravna podlaga za izvajanje videonadzora javnih površin je po mnenju IP podana, če je tak ukrep nujno potreben za varnost ljudi ali premoženja in ob spoštovanju načela sorazmernosti. Preveriti je treba, ali za upravljavca velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov, v vsakem primeru pa je izdelava takšne ocene priporočljiva. O b r a z l o ž i t e v: IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. To pomeni, da IP v okviru izdaje mnenja ne more presojati, ali so v konkretnem primeru podani pogoji za obdelavo osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava podatkov zakonita. IP nadalje poudarja, da videonadzor na javnih površinah v zakonodaji Republike Slovenije ni izrecno urejen, zato se za njegovo zakonito izvajanje uporabljajo splošne določbe ZVOP-
- Stališče IP je, da je možno, da pravna podlaga za izvajanje videonadzora na javnih površinah obstaja, če je tak ukrep nujno potreben za varnost ljudi ali premoženja, vendar lahko IP primer konkretno presoja le v okviru inšpekcijskega ali drugega upravnega postopka. IP pojasnjuje, da je skladno s
- točko
- člena Splošne uredbe o varstvu podatkov osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določljiv, če ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. IP poudarja, da je pri definiciji osebnih podatkov treba vedno gledati posamezen primer in kontekst, pri čemer se za presojo upošteva možnost identifikacije širše in ne zgolj na podlagi informacij, s katerimi razpolaga upravljavec. Odgovornost za presojo pa je v končni fazi vedno na strani upravljavca. IP je v preteklosti že večkrat poudaril, da tehnični podatki o lastnostih vozil sami po sebi niso osebni podatki, ker kažejo na stvar in ne na posameznika. Takšni podatki pa postanejo osebni podatki takrat, kadar jih je mogoče povezati s posameznikom (na primer z lastnikom vozila) oziroma je na njihovi podlagi mogoče identificirati lastnika vozila – fizično osebo. Bistveni pogoj za to, da podatki o vozilu (tudi registrska številka) postanejo osebni podatki, je torej ta, da je preko njih mogoče natančno identificirati posameznika. IP sicer splošno meni, da je treba registrske številke avtomobilov že po njihovi naravi, namenu in možni določljivosti posameznika obravnavati kot osebne podatke. Zbirke podatkov, ki vsebujejo registrske številke avtomobilov, je tako treba šteti za zbirke osebnih podatkov, tudi če ne vsebujejo drugih osebnih podatkov o posameznikih, ampak npr. samo podatke o vozilih. Ker bi šlo v primeru, opisanem v vašem zaprosilu za mnenje, za snemanje javnih površin (javne ceste), je nedvomno, da bi se ob tem obdelovali osebni podatki udeležencev v prometu. Za zakonito obdelavo osebnih podatkov je treba imeti ustrezno pravno podlago. Njihova obdelava je tako v skladu s členom 6
(1)Splošne uredbe o varstvu podatkov zakonita le in kolikor je za konkretni namen obdelave izpolnjen eden od naslednjih pogojev: (
- a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; (
- b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; (
- c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; (
- d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; (
- e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; (
- f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Ob tem je treba upoštevati, da se zadnja točka (
- f)ne more uporabljati za obdelavo s strani javnih organov pri opravljanju njihovih nalog. Pravne podlage za obdelavo osebnih podatkov v javnem sektorju, kamor spadajo tudi občine, so nadalje določene v 9. členu ZVOP-1, ki v prvem odstavku določa, da se osebni podatki v javnem sektorju lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi tudi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Na podlagi četrtega odstavka 9. člena pa se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Zakon o lokalni samoupravi (Uradni list RS, št. 94/07 – UPB, 76/08, 79/09, 51/10, 40/12 – ZUJF, 14/15 – ZUUJFO, 11/18 – ZSPDSLS-1, 30/18, 61/20 - ZIUZEOP-A, 80/20 - ZIUOOPE; v nadaljevanju: ZLS) opredeljuje pooblastila občine glede obdelave osebnih podatkov v 21.a členu v povezavi z 21. členom tega zakona. Občina v skladu z 21. členom samostojno opravlja lokalne zadeve javnega pomena (izvirne naloge), ki jih določi s splošnim aktom občine ali so določene z zakonom. V skladu z 21.a členom ZLS občina pridobiva podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti, jih obdeluje ter opravlja statistično, evidenčno in analitično funkcijo za svoje potrebe. Občina pridobiva in obdeluje o posameznikih naslednje osebne podatke: EMŠO, osebno ime, naslov stalnega ali začasnega prebivališča, datum in kraj rojstva oziroma datum smrti, podatke o osebnih vozilih, podatke o nepremičninah ter druge osebne podatke v skladu z zakonom. Občina pridobiva navedene osebne podatke neposredno od posameznika, na katerega se podatki nanašajo. Na podlagi zahteve, ki vsebuje navedbo pravne podlage obdelovanja osebnih podatkov, lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. Upravljavec zbirke podatkov mora občini omogočiti dostop tudi do drugih podatkov iz zbirke, če je to določeno z zakonom in če te podatke občina potrebuje za izvajanje svojih z zakonom določenih pristojnosti. Občina ima torej za opravljanje nalog iz 21. člena ZLS pravno podlago tudi za pridobivanje podatkov o osebnih vozilih, a zgolj za opravljanje nalog iz svojih pristojnosti. IP poudarja, da je primarna odgovornost za zakonito in pošteno obdelavo osebnih podatkov na upravljavcu (v konkretnem primeru občini), izbira pravilne pravne podlage za obdelavo osebnih podatkov pa je odvisna zlasti od konkretnih okoliščin primera. IP podaja splošno mnenje, da iz določbe 21. člena ZLS, ki določa izvirne naloge občine, izhaja tudi, da občina gradi, vzdržuje in ureja lokalne javne ceste, javne poti, rekreacijske in druge javne površine, v skladu z zakonom ureja promet v občini ter opravlja naloge občinskega redarstva. Zakon o občinskem redarstvu (Uradni list RS, št. 139/06, 9/17; v nadaljevanju: ZORed) v 3. členu določa, da delovno področje in naloge občinskega redarstva določa zakon ali na podlagi zakona izdan občinski predpis. V okviru in skladu z naštetimi predpisi in občinskim programom varnosti občinsko redarstvo skrbi za javno varnost in javni red na območju občine in je pristojno nadzorovati varen in neoviran cestni promet v naseljih, varovati ceste in okolje v naseljih in na občinskih cestah zunaj naselij, skrbeti za varnost na občinskih javnih poteh, rekreacijskih in drugih javnih površinah, varovati javno premoženje, naravno in kulturno dediščino ter vzdrževati javni red in mir. V skladu s 5. členom ZORed naloge občinskega redarstva kot pooblaščene uradne osebe opravljajo vodja občinskega ali medobčinskega redarstva ter občinski redarji. IP ponovno poudarja, da je pravna podlaga za izvajanje videonadzora javnih površin po mnenju IP podana, če je tak ukrep nujno potreben za varnost ljudi ali premoženja in ob spoštovanju načela sorazmernosti, skladno z načelom omejitve namena pa se osebni podatki, zbrani za določene, izrecne in zakonite namene ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni (točka (
- b)prvega odstavka 5. člena Splošne uredbe o varstvu podatkov). IP tako pojasnjuje, da bi bilo treba pred uvedbo videonadzora oceniti vrednost premoženja, ki ga je treba varovati z videonadzorom, ter verjetnost (glede na pretekle izkušnje), da bo prišlo do poškodovanja ali odtujitve tega premoženja ali ogrožanja ljudi. Ob tem IP opominja, da mora oseba javnega ali zasebnega sektorja, ki izvaja videonadzor, skladno z določbami 24. in 25. člena ZVOP-1 v svojih aktih predpisati organizacijske, tehnične in logično tehnične ukrepe za zavarovanje osebnih podatkov, ter zagotoviti zavarovanje osebnih podatkov na način iz 24. člena ZVOP-1. Pravna ali fizična oseba, ki izvaja videonadzor, mora skladno z določbami 25. člena ZVOP-1 v notranjih aktih določiti tudi osebo, ki je odgovorna za evidenco videonadzornega sistema, ter osebe, ki lahko zaradi narave njihovega dela obdelujejo podatke v evidenci videonadzornega sistema. V skladu z določbo 24. člena ZVOP-1 mora pravna ali fizična oseba, ki izvaja videonadzor, zagotoviti tudi evidenco, iz katere je mogoče pozneje ugotoviti, kdaj so bili posamezni osebni podatki iz evidence videonadzornega sistema uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je možno zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. IP opozarja tudi na zahtevo po vgrajenem in privzetem varstvu osebnih podatkov (25. člen Splošne uredbe o varstvu podatkov). Ta terja, da se tako v sami zasnovi sistema (vgrajeno), kot tudi pri njegovi uporabi (privzeto), spoštuje načela varstva osebnih podatkov iz 5. člena Splošne uredbe o varstvu podatkov (npr. načelo najmanjšega obsega podatkov, načelo omejitve shranjevanja, itd.). Več informacij v zvezi z izvajanjem videonadzora je dostopnih na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora IP posebej opozarja, da pomemben in pogosto zapostavljen vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. IP pojasnjuje, da so informacije, ki jih je treba zagotoviti posamezniku, na katerega se nanašajo osebni podatki, z vidika varstva osebnih podatkov na splošno urejene v členih 13 in 14 Splošne uredbe o varstvu podatkov. Skladno z določbo 13. člena je dolžan upravljavec v primeru, kadar so bili osebni podatki pridobljeni od posameznika, na katerega se ti nanašajo, le-temu takrat, ko pridobi osebne podatke, zagotoviti naslednje informacije: (
- a)identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; (
- b)kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; (
- c)namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; (
- d)kadar obdelava temelji na točki (
- f)člena 6
(1), zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; (
- e)uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo; (
- f)kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49
(1)sklic na ustrezne ali primerne zaščitne ukrepe in sredstva za pridobitev njihove kopije ali kje so na voljo; (
- g)tudi nekatere druge informacije, opredeljene v drugem odstavku istega člena. Dodatno drugi odstavek 13. člena Splošne uredbe o varstvu podatkov zahteva med drugim tudi zagotovitev informacij o roku hrambe, obstoju pravic posameznika in možnosti pritožbe nadzornemu organu. Informacije se posamezniku dajo na način, določen v 12. členu Splošne uredbe o varstvu podatkov. Posamezniku je torej treba ob pridobitvi njegovih osebnih podatkov zagotoviti navedene informacije o obdelavi osebnih podatkov. Predhodna informiranost posameznika o obdelavi njegovih podatkov je ključen element zakonite obdelave osebnih podatkov, saj se lahko le na podlagi ustreznih informacij o tem, komu lahko zaupa določene svoje podatke in za kakšen namen, posameznik svobodno odloči, ali bo to storil ali ne. IP vsekakor pozdravlja vašo navedbo v zaprosilu za mnenje o nameravani izvedbi ocene učinka v zvezi z varstvom podatkov. IP splošno vsem subjektom, ki razmišljajo o uvedbi podobnih rešitev, kot jo navajate v vašem zaprosilu za mnenje, priporoča, da v skladu s 35. členom Splošne uredbe o varstvu osebnih podatkov izvedejo oceno učinka v zvezi z varstvom osebnih podatkov. IP je na temo ocene učinkov izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani: https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf Gre za vnaprejšnjo presojo, ali oziroma pod kakšnimi pogoji bi bila predlagana uvedba sistema za avtomatsko prepoznavo registrskih tablic zakonita, sorazmerna, transparentna, varna itd. Zelo pomembno je izhajati iz težav, ki naj bi jih reševali z uvedbo rešitve, pri čemer je treba realno oceniti, ali se bo na tak način dejansko doseglo zasledovane cilje in ali teh ciljev ni mogoče doseči na drug način (npr. z uporabo drugih sredstev za dosego cilja), ki bi manj posegal v pravice posameznika. IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe o varstvu podatkov temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena. Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe o varstvu podatkov in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf Glede na navedbe v vašem zaprosilu za mnenje je po mnenju IP zelo verjetno, da je v konkretnem primeru izdelava ocene učinka obvezna, saj predvidena obdelava izpolnjuje (vsaj) kriterij iz točke 3 (sistematičen nadzor nad posameznikom, ki se ga posameznik ne zaveda ali se mu ne more izogniti). IP ob tem priporoča, da se v okviru ocene učinka še posebej skrbno obdelajo pravna podlaga in namen(
- i)obdelave ter obravnavajo tveganja in ukrepi za njihovo zamejitev. Posebno pozornost je treba nameniti tudi spoštovanju načela najmanjšega obsega podatkov ter sorazmernosti, torej ali res ni mogoče namenov, ki naj bi se jih zasledovalo, doseči z milejšimi ukrepi, ki bi manj posegali v zasebnost posameznika. Kvalitetno izdelana ocena učinka bo podala odgovore na številna vprašanja v zvezi z uvedbo sistema avtomatske prepoznave registrskih številk in omogočila odločitev o (ne)dopustnosti uvedbe tega ukrepa oziroma morebitnih potrebnih prilagoditvah pred njegovo uvedbo. IP sklepno ponavlja, da v okviru mnenja ne more presojati ustreznosti posameznih rešitev oziroma ravnanja posameznih zavezancev, ampak to lahko presoja le v okviru konkretnega inšpekcijskega oziroma drugega upravnega postopka, ko so znane vse konkretne okoliščine posameznega primera. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo je torej primarno na vsakem upravljavcu posebej. Upravljavec (v konkretnem primeru občina) je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja. Zaključno IP pojasnjuje še, da je bil s strani Vlade RS res sprejet in poslan v obravnavo Državnemu zboru predlog novega Zakona o varstvu osebnih podatkov. IP ob tem poudarja, da ne more podajati kakršnihkoli ocen ali komentarjev tako glede končne vsebine posameznih določb zakona kot predvidenega datuma njegovega sprejema, opozarja pa, da je predlog zakona lahko v zakonodajnem postopku deležen še precejšnjih sprememb. IP ob tem dodaja, da trenutna veljavna ureditev ostaja veljavna vse do njegove uveljavitve. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026