Informacijski pooblaščenec (v nadaljevanju: IP) je prejel zaprosilo za mnenje glede primera, ko ima upravljavec večje število kamer, ki snemajo javne površine. Kamere so bile nameščene pred začetkom veljave Splošne uredbe in ZVOP-2. Je za te kamere treba izdelati oceno učinka?
IP podaja svoje neobvezujoče mnenje:
Upravljavec mora presoditi, ali so za nadaljnje izvajanje videonadzora izpolnjeni pogoji po 80. členu ZVOP-2, ki ureja videonadzor javnih površin. Če gre za zakonito izvajanje videonadzora, ki se je pričelo pred 25. 5. 2018 in je po tem datumu prišlo do pomembnih sprememb v tveganjih, naravi, obsegu, kontekstu ali namenih, je treba izvesti oceno učinka.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da ZVOP-2 poleg splošnih določb o videonadzoru (76. člen) ureja tudi videonadzor dostopa v uradne službene oz. poslovne prostore (77. člen), videonadzor znotraj delovnih prostorov (78. člen), videonadzor v prevoznih sredstvih, namenjenih javnemu potniškemu prometu (79. člen) in videonadzor na javnih površinah (80. člen). V vseh drugih primerih mora obstajati pravna podlaga skladno s prvim odstavkom 6. člena Splošne uredbe. IP meni, da mora upravljavec v opisanem primeru skladno z ZVOP-2 presoditi, ali so za nadaljnje izvajanje videonadzora izpolnjeni pogoji po 80. členu ZVOP-2.
Upravljavec pred obdelavo opravi oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov, kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov. Ocena učinka je lahko obvezna glede določenih obdelav osebnih podatkov. Katere so te obdelave, lahko preverite na Seznamu dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku člena 35 Uredbe (EU) 2016/679, ki je priloga k smernicam Ocene učinkov na varstvo osebnih podatkov in je dostopen TUKAJ.
Kot izhaja iz točke (c) tretjega odstavka 35. člena Splošne uredbe, se ocena učinkov v zvezi z varstvom (osebnih) podatkov zlasti zahteva med drugim tudi v primeru obsežnega sistematičnega spremljanja javno dostopnega območja. IP je tako v zgoraj navedenem seznamu v 3. točki med primeri sistematičnega nadzora nad posameznikom brez njegovega zavedanja, za katere bo izvedba ocene učinkov obvezna, določil tudi videonadzor javnih površin. Več o tem lahko preberete tudi v mnenju IP št. 07121-1/2021/1133 z dne 21. 6. 2021.
Kot je IP poudaril v smernicah Ocene učinkov na varstvo podatkov (Smernice o ocenah učinka) je treba izvesti oceno učinka, če se je obdelava podatkov pričela pred 25. 5. 2018, pa je po tem datumu prišlo do pomembnih sprememb v tveganjih, naravi, obsegu, kontekstu ali namenih. Večji nabor zbranih podatkov, dodatni nameni obdelave in druge okoliščin imajo namreč lahko pomembne vpliv na ustrezno pravno podlago, sorazmernost, varnost podatkov in druge pomembne vidike, zato je oceno učinka treba izvesti. Prav tako drugi odstavek 24. člena ZVOP-2 določa, da se pred začetkom obdelave ocena učinka ponovno izdela tudi, kadar je bila spremenjena pravna podlaga za obdelavo iz 6. člena ZVOP-2.
Vsekakor je ocena učinka lahko zelo koristno orodje za upravljavca pri identifikaciji tveganj, ki jih lahko predstavlja obdelava osebnih podatkov ter sprejemu ustreznih ukrepov na njihovo obvladovanje in jo lahko opravite tudi v primerih, ko ni obvezna. Dobra praksa pa je tudi osveževanje ocen učinkov v rednih intervalih, npr. vsaj na 3 leta, saj se v vmesnem času ob hitrih tehnoloških in družbenih spremembah, lahko pomembno spremenijo okoliščine obdelave osebnih podatkov.
Celotno mnenje lahko preberete TUKAJ
Vir: Informacijski pooblaščenec