Videonadzor izvajanja hemodialize (podaljšano oko) - IPRS

Videonadzor izvajanja hemodialize (podaljšano oko) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 08.11.2021 Številka: 07120-1/2021/559 Kategorije: --> Kategorije: Ocene učinkov v zvezi z varstvom podatkov, Video in avdio nadzor Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis s prošnjo za mnenje glede načrta nove organizacije dela zdravstvene obravnave pacientov med izvedbo hemodialize. Pojasnjujete, da bi želeli v novih prostorih izvajali hemodializo na način, da bi uvedli videonadzor v obliki »podaljšanega očesa« z namenom nadzora zdravstvenih delavcev nad izvajanjem hemodialize. Doslej so izvajanje hemodialize spremljali zdravstveni delavci, ki so morali biti fizično prisotni v vsaki sobi, v kateri se je izvajala hemodializa, vendar v novih prostorih in z razširjenimi kapacitetami za izvajanje hemodialize to ne bo več mogoče na tak način. Izvedbo hemodialize bi preko videonadzora (zgolj živo sliko) spremljal le zdravstveni delavec, ki tudi sicer izvaja nadzor in je za nadzor pooblaščen. Poskrbeli bi za vse potrebne ukrepe za varstvo osebnih podatkov in upoštevali bi načelo sorazmernosti. Zanima vas naše mnenje glede opisanega videonadzora, sprašujete pa tudi, ali bi bilo mnenje drugačno, če bi zabrisali obraze pacientov in/ali zaposlenih, če bi pacienti in/ali zaposleni podali pisno privolitev ter če bi namesto »podaljšanega očesa« uvedli »snemanje na medij«? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V 6. členu Splošne uredbe so tako določene pravne podlage, in sicer: posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. IP ob tem opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego posamičnega zakonitega namena obdelave. IP glede vzpostavitve videonadzora uvodoma pojasnjuje, da se za videonadzor v najširšem smislu šteje uporaba video kamer za sistematično snemanje, prenos in shranjevanje žive slike z ene lokacije na drugo, prav tako pa tudi vse rešitve, ki zajemajo zgolj prenos žive slike brez snemanja (t.i. podaljšano oko). Ustrezno pravno podlago je treba torej zagotoviti tako v primeru shranjevanja žive slike na določen medij kot zgolj za prenos žive slike brez snemanja. Ob tem je treba ugotoviti, da lahko pod določenimi pogoji t.i. podaljšano oko velja za manj invazivno od snemanja s shranjevanjem posnetkov, saj nosi vsaj manjše tveganje kasnejšega nepooblaščenega dostopa do posnetkov videonadzora. IP nadalje pojasnjuje, da je odgovornost za zakonito vzpostavitev in izvajanje videonadzora vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. Kot primarno gradivo v pomoč pri odločanju o vzpostavitvi videonadzora, ugotavljanju možnih pravnih podlag ter potrebnih varovalk vam svetujemo, da se naslonite na smernice Evropskega odbora za varstvo osebnih podatkov o obdelavi osebnih podatkov z video napravami (https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf). V primeru, ki ga opisujete, gre za potencialno obdelavo posebnih vrst osebnih podatkov z videonadzornim sistemom, saj se odločate o snemanje posameznikov pri izvajanju zdravstvenega procesa hemodialize. Zaradi možne obsežne obdelave posebnih vrst podatkov (gl. točko (

1. b)tretjega odstavka 35. člena Splošne uredbe), vam svetujemo, da vsekakor opravite tako imenovano oceno učinka v zvezi z varstvom podatkov, ki jo predvideva (in v določenih primerih zapoveduje) 35. člen Splošne uredbe. Poenostavljeno rečeno gre za pisno oceno možnih tveganj za zlorabo osebnih podatkov ter ukrepov za njihovo preprečevanje. Sedmi odstavek 35. člena Splošne uredbe določa, da mora ocena učinka zajemati vsaj: sistematičen opis predvidenih dejanj obdelave in namenov obdelave, kadar je ustrezno pa tudi zakonitih interesov, za katere si prizadeva upravljavec; oceno potrebnosti in sorazmernosti dejanj obdelave glede na njihov namen; oceno tveganj za pravice in svoboščine posameznikov, na katere se nanašajo osebni podatki, iz odstavka 1, ter ukrepe za obravnavanje tveganj, vključno z zaščitnimi ukrepi, varnostne ukrepe ter mehanizme za zagotavljanje varstva osebnih podatkov in za dokazovanje skladnosti s to uredbo, ob upoštevanju pravic in zakonitih interesov posameznikov, na katere se nanašajo osebni podatki, ter drugih oseb, ki jih to zadeva. Vsekakor vam svetujemo, da v prvi vrsti preučite tehnične možnost za prekrivanje obrazov posameznikov na takšnih posnetkih in/ali morebitno postavitev kamer na način, ki preprečuje ali znatno omejuje identifikacijo posameznikov. Glede videonadzora znotraj delovnih prostorov (predvsem kar se tiče snemanje zaposlenih na delovnem mestu) še opozarjamo na določbe 77. člena ZVOP-1, ki v prvem in drugem odstavku določa, da se lahko izvajanje videonadzora znotraj delovnih prostorov izvaja le v izjemnih primerih, kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. Videonadzor se lahko izvaja le glede tistih delov prostorov, kjer je potrebno varovati prej navedene interese. V nadaljnjih odstavkih je določeno še, da je prepovedano izvajati videonadzor v delovnih prostorih izven delovnega mesta, zlasti v garderobah, dvigalih in sanitarnih prostorih (tretji odstavek); da morajo biti zaposleni pred začetkom izvajanja videonadzora po tem členu vnaprej pisno obveščeni o njegovem izvajanju (četrti odstavek) ter da se mora pred uvedbo videonadzora v osebi javnega ali zasebnega sektorja delodajalec posvetovati z reprezentativnim sindikatom pri delodajalcu (peti odstavek 77. člena). IP pojasnjuje tudi, da mora upravljavec voditi evidenco dejavnosti obdelave za določene svoje obdelave osebnih podatkov. Tudi obdelave v okviru videonadzora je tako treba ustrezno evidentirati v skladu z zahtevami, ki izhajajo iz 30. člena Splošne uredbe o varstvu podatkov. Ob navedenem IP opozarja tudi na obveznosti, ki jih ima upravljavec osebnih podatkov v zvezi z varnostjo obdelave iz 32. člena Splošne uredbe o varstvu podatkov oziroma zavarovanjem osebnih podatkov iz 24. in 25. člena ZVOP-1. Upravljavec mora namreč sprejeti in izvajati ustrezne postopke in ukrepe varnosti oziroma zavarovanja osebnih podatkov, ki jih predvidevajo določbe navedenih členov. Poleg tega je dolžan v skladu s 74. členom ZVOP-1 zagotoviti, da je videonadzorni sistem, s katerim se izvaja videonadzor, zavarovan pred dostopom nepooblaščenih oseb. IP dodaja še, da so podrobnejše informacije o obveznostih upravljavcev v zvezi z vzpostavitvijo videonadzora dosegljive tudi na spletni strani IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/obveznosti-upravljavcev/vzpostavitev-videonadzora/ Za konec še enkrat poudarjamo, da je na vas kot upravljavcu osebnih podatkov odgovornost, da raziščete možne pravne podlage za vzpostavitev videonadzora, pri tem pa vas spodbujamo, da s tehnično-pravnega vidika poiščete rešitve, ki so za varstvo osebnih podatkov in zasebnost posameznikov čim manj invazivni. Če je le možno sistem zasnujte v največji meri na način, ki ne bo vključeval obdelave osebnih podatkov (prekrivanje obrazov, ustrezna namestitev kamer itd.). V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026