Videonadzor elektrarne s sprotnim in stalnim vpogledom v posnetke + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.08.2022 Številka: 07121-1/2022/878 Kategorije: --> Kategorije: Video in avdio nadzor Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš dopis, v katerem nas seznanjate, da imate na območju vaše elektrarne, ki je uvrščena med kritično infrastrukturo, nameščenih 32 kamer, dve izmed katerih sta na glavnem vhodu in na industrijskem vhodu elektrarne. Glede na to, da boste revidirali pravila varstva osebnih podatkov se na IP obračate z naslednjimi vprašanji: (
- a)Ali sprotno (neposredno in stalno spremljanje posnetkov kamer prek ekrana z razpolago 24
- ur)gledanje posnetkov s strani receptorja, delavca na obratu, gasilca, varnostnika in informatika pomeni obdelavo osebnih podatkov, ali je šele vpogled s strani pooblaščene osebe obdelava osebnih podatkov? (
- b)Ali sploh lahko ima toliko število zaposlenih možnost sprotnega gledanja? (
- c)Ali lahko varnostnik varnostne službe, ki v vaši elektrarni izvaja storitve varovanja, vpogleda v posnetek? *** Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. 1. Vpogled, kot tudi izvajanje videonadzora (v kolikor pri snemanju nastaja zbirka osebnih podatkov oz. se posnetki hranijo), kjer so posamezniki na posnetku določeni oz. določljivi, spada med aktivnosti obdelave osebnih podatkov. 2. Odgovornost za zakonito vzpostavitev in izvajanje videonadzora je vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen dokazati. 3. Upravljavec zbirke posnetkov, ki nastaja ob izvajanju videonadzora lahko videoposnetke pregleduje le v skladu z osnovnimi nameni njihovega zbiranja. 4. Dostop in vpogled v posnetke videonadzora mora biti omejen sorazmernemu številu ljudi, ki so zadolženi za spremljanje posnetkov v skladu z nameni s katerimi je bil videonadzor prvotno (zakonito) vzpostavljen. 5. Vsesplošno, sprotno in stalno spremljanje posnetkov s strani širšega kroga zaposlenih ne bi bilo skladno z načelom sorazmernosti v zvezi z načelom najmanjšega obsega podatkov. O b r a z l o ž i t e v: IP uvodoma pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. IP izven postopka inšpekcijskega nadzora ali drugega upravnega postopka tako ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov in zato tudi ne more podajati konkretnih ocen o tem, ali upravljavec izpolnjuje pogoje za uvedbo in izvajanje videonadzora, niti se ne more opredeljevati glede konkretnih načinov izvajanja videonadzora ter posameznikov, ki do posnetkov videonadzora dostopajo. S tega razloga vam v nadaljevanju posredujemo le nekaj splošnih pojasnil v zvezi z izvajanjem videonadzora, kot ga opisujete v vašem dopisu. IP glede vašega prvega vprašanja uvodoma pojasnjuje, da skladno s členom 4
(2)Splošne uredbe pomeni obdelava osebnih podatkov vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje. Pojem osebni podatek pa skladno s členom 4
(1)Splošne uredbe pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom. Dodatno še pojasnjujemo, da za videonadzor v najširšem smislu šteje uporaba video kamer za sistematično snemanje, prenos in shranjevanje žive slike z ene lokacije na drugo, prav tako pa tudi vse rešitve, ki zajemajo zgolj prenos žive slike brez snemanja (t.i. podaljšano oko). Splošna uredba področja videonadzora podrobneje ne ureja, dopušča pa podrobnejšo ureditev v nacionalni zakonodaji, zato med drugim v tem delu ostaja v veljavi ZVOP-1, ki regulira videonadzor v čl. 74 do 77. Vsekakor torej tako vpogled, kot že samo izvajanje videonadzora (v kolikor pri snemanju nastaja zbirka osebnih podatkov oz. se posnetki hranijo), kjer so posamezniki na posnetku določeni oz. določljivi, spada med aktivnosti obdelave osebnih podatkov. Če se videonadzor ne snema, ne nastane zbirka osebnih podatkov, zato niti ZVOP-1 niti Splošna uredba takšnega videonadzora ne urejata. Je pa upravljavec, ki se odloči za takšno obliko videonadzora, lahko podvržen odškodninski tožbi ali uvedbi kazenskega postopka (npr. zaradi posega v osebnostne pravice posameznikov). IP s tega razloga vseeno priporoča, da upravljavec upošteva obveznosti glede informiranja posameznika, ki izhajajo iz 74. člena ZVOP-1 in sicer upravljavec naj objaviti obvestilo o izvajanju videonadzora ter dodatno upošteva še člen 13 Splošne uredbe, v skladu s katerim morajo biti posameznikom na voljo vse taksativno naštete informacije v zvezi z izvajanjem videonadzora, vključno z nameni in pravno podlago, kot tudi pojasnilom v zvezi z uveljavljanem pravic posameznikov po Splošni uredbi. Upravljavec mora tudi za vsakršno obdelavo osebnih podatkov, imeti zakonito in ustrezno pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče: - privolitev (točka (a)), - sklenitev ali izvajanje pogodbe (točka (b)), - zakon (točka (c)), - zaščita življenjskih interesov posameznika (točka (d)), - izvajanje javne naloge (točka (
- e)v zvezi s četrtim odstavkom 9. člena ZVOP-1), - zakoniti interesi upravljavca, ki ne prevladajo nad interesi in pravicami posameznika (točka (f)). Pri tem pa ponovno poudarjamo, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. IP tako v zadevnem mnenju ne more podajati konkretnih ocen o tem, ali je način izvajanja in spremljanja videonadzora dopusten oz. ustrezen ter namesto upravljavca presojati katera (če sploh) pravna podlaga za obdelavo osebnih podatkov je ustrezna ali ne. Glede vašega drugega in tretjega vprašanja pa pojasnjujemo, da upravljavec zbirke posnetkov, ki nastaja ob izvajanju videonadzora lahko videoposnetke pregleduje le v skladu z osnovnimi nameni njihovega zbiranja, na primer za zagotavljanje varnosti ljudi ali premoženja oziroma eventualno v primeru nekega izrednega, deviantnega dogodka, ko bi videoposnetek služil kot dodaten dokaz v pravnem postopku. Ob upoštevanju načela najmanjšega obsega osebnih podatkov se lahko v posnetke videonadzora vpogleda zgolj, kadar pride do »dogodka«, ki ga opisujejo pogoji za uvedbo videonadzora. Načelo najmanjšega obsega podatkov tako določa, da morajo biti (pod pogojem, da obstaja pravna podlaga) osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. Upravljavec mora med drugim tudi voditi evidenco dejavnosti obdelave za določene svoje obdelave osebnih podatkov. Tudi obdelave v okviru videonadzora je tako treba ustrezno evidentirati v skladu z zahtevami, ki izhajajo iz 30. člena Splošne uredbe o varstvu podatkov[1]. Vsekakor mora upravljavec, v kolikor izvaja videonadzor, poskrbeti za vse obveznosti, ki jih ima v povezavi z varnostjo obdelave iz člena 32 Splošne uredbe oziroma zavarovanjem osebnih podatkov iz 24. in 25. člena ZVOP-1, obveščanja posameznikov o izvajanju videonadzora (74. člen ZVOP-1 v povezavi s 13. členom Splošne uredbe), posvetovanja z reprezentativnim sindikatom, če ta obstaja (77. člen ZVOP-1) itd. V zvezi z drugim in tretjim vprašanjem, IP tako pojasnjuje, da v zadevnem mnenju ni moč določiti oz. vam predlagati koliko in kateri posamezniki imajo lahko dostop do posnetkov videonadzora temveč pri tem lahko le opozorimo, da mora biti dostop in vpogled v posnetke videonadzora omejen sorazmernemu številu ljudi, ki so zadolženi za spremljanje posnetkov v skladu z nameni s katerimi je videonadzor prvotno (zakonito) vzpostavljen. ZVOP-1 v 25. členu določa, da mora vsak upravljavec osebnih podatkov v svojih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov in njihovo obdelavo. Vsekakor pa vse splošno, sprotno in stalno spremljanje posnetkov s strani širšega kroga zaposlenih ne bi bilo skladno z načelom sorazmernosti v zvezi z načelom najmanjšega obsega podatkov. Več informacij o videonadzoru najdete tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/. Dodatno vas napotujemo še na smernice Evropskega odbora za varstvo osebnih podatkov glede obdelave osebnih podatkov z video napravami, ki so vam lahko v pomoč pri odločanju o vzpostavitvi videonadzora, ugotavljanju možnih pravnih podlag ter potrebnih varovalk: https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo. Pripravil: Grega Rudolf, asistent svetovalca pri IP Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka [1] Obveznosti upravljavcev in obdelovalcev v zvezi z vodenjem evidenc dejavnosti obdelav, ki izhajajo iz Splošne uredbe o varstvu podatkov, je IP podrobno opisal na svoji spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/evidenca-dejavnosti-obdelave/. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026