Informacijski pooblaščenec (v nadaljevanju: IP) je prejel zaprosilo za mnenje glede uporabe video nadzorne kamere v osnovni šoli, v prostorih zaklonišča. Prosilec pojasnjuje, da zaklonišče v tem trenutku služi kot garderoba, kjer si otroci slačijo in oblačijo bunde, jakne in se preobujejo. Prosilec dodaja, da o tem ukrepu razmišlja zaradi odtujitev in uničevanja lastnine ter to, da z drugimi milejšimi ukrepi ne more zagotoviti varnosti.

IP konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

1.     Videonadzor je dovoljen le, če so v konkretnem primeru izpolnjeni spodaj navedeni pogoji bodisi po 77. členu ZVOP-1 bodisi po 4. odstavku 9. člena ZVOP-1.

2.     Absolutno prepovedano je izvajati videonadzor v delovnih prostorih izven delovnega mesta, zlasti v garderobah, dvigalih in sanitarnih prostorih.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da je videonadzor sam po sebi ena hujših oblik posegov v zasebnost posameznika, zato je prav, da je ustrezno zakonsko reguliran in omejen na tisto, kar je nujno in sorazmerno za doseganje ciljev in namenov, ki naj bi jim videonadzor služil. V Sloveniji to upoštevajoč Splošno uredbo še vedno ureja tudi ZVOP-1, ki se v tem delu do morebitne drugačne ureditve še uporablja tudi po začetku veljave Splošne uredbe o varstvu podatkov.

Zakonsko podlago za izvajanje videonadzora, do drugačne ureditve v novem zakonu, predstavljajo določbe 74. do 77. člena ZVOP-1. V teh določbah pa je posebej urejen zgolj videonadzor območij, ki predstavljajo dostope v službene ali poslovne prostore, in območij, ki predstavljajo delovne prostore pri izvajalcu videonadzora, medtem ko je pri presoji zakonitosti videonadzora vseh drugih območij potrebno presoditi, ali zanj obstaja katera od splošnih pravnih podlag za obdelavo (na temeljih 6. člena Splošne uredbe o varstvu podatkov).

IP v zvezi z vašim vprašanjem pojasnjuje, da bi šlo v primeru izvajanja videonadzora v osnovni šoli verjetno:

A.    za videonadzor delovnih prostorov, ki ga ureja 77. člen ZVOP-1, ki določa, da je videonadzor delovnih prostorov dovoljen le v izjemnih primerih, in sicer le kadar je to nujno potrebno za varnost ljudi ali premoženja ali za varovanje tajnih podatkov ter poslovne skrivnosti, tega namena pa ni možno doseči z milejšimi sredstvi. Poleg pisnega obvestila o uvedbi videonadzora vsem zaposlenim in učencem, se more šola (kot upravljavec osebnih podatkov) posvetovati z reprezentativnim sindikatom, namestiti obvestilo o izvajanju videonadzora ter videonadzor omejiti le na tiste dele, kjer je to nujno potrebno za varovanje zgoraj naštetih interesov. Videonadzor je v osnovnih šolah načeloma dovoljen za varovanje vstopov v šolo in izstopov iz nje ter izjemoma za varovanje svojega premoženja in varnost učencev (npr. arhiva, parkirišča pred šolo, igrišča, kolesarnice, jedilnice), če ni možno zagotoviti milejših sredstev. Absolutno prepovedano pa je izvajati videonadzor v delovnih prostorih izven delovnega mesta, zlasti v garderobah, dvigalih in sanitarnih prostorih (tretji odstavek 77. člena ZVOP-1).;

B.    za videonadzor območja, kjer se nahajajo učenci, obiskovalci ter morebiti tudi druge osebe, kjer pa za ugotavljanje dopustnosti takšnega videonadzora potrebno uporabiti določbo 4. odstavka 9. člena ZVOP-1 v povezavi s členom 6(1)(e) Splošne uredbe in sicer opravljanje naloge v javnem interesu oz.  izvajanju javne oblasti, dodeljene upravljavcu. Slednja pravna podlaga tako določa, da se v javnemu sektorju lahko izjemoma obdelujejo le tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Pri presoji utemeljenosti obdelave osebnih podatkov na tej pravni podlagi je ključno tehtanje interesov javnega sektorja na eni strani in na drugi strani interesov posameznika, na katerega se nanašajo osebni podatki. Pri tem pa obdelava osebnih podatkov pri videonadzoru ne sme biti nesorazmerna ter ne sme prekomerno poseči v zasebnost posameznika. 

Šola oz. vsak drug upravljavec, ki se odloča o vzpostavitvi videonadzora mora tudi v zvezi z videonadzorom upoštevati še druge določbe ZVOP-1 oz. Splošne uredbe o varstvu podatkov, npr. glede objave obvestila o videonadzoru in preprečitve nepooblaščenega dostopa do videonadzornega sistema tretjim osebam (74. člen ZVOP-1), zavarovanja osebnih podatkov (24., 25. in 32. člen Splošne uredbe), vodenja evidenc dejavnosti obdelave (30. člen Splošne uredbe), obveščanja posameznikov (13. in 14. člen Splošne uredbe), pogodbene obdelave osebnih podatkov (28. člen Splošne uredbe) itd.

Šola bi torej morala kot upravljavec osebnih podatkov, ki bi se obdelovali pri izvajanju videonadzora, najprej opredeliti, v katerih prostorih bi se izvajal videonadzor, namen takega videonadzora in katere pravne dobrine bi želel z njim varovati, ob tem pa upoštevati poseg v informacijsko zasebnost zaposlenih, učencev ter drugih oseb, prisotnih na nadzorovanih območjih, ki ga bi izvajanje takega videonadzora predstavljalo. Nadalje bi morala šola ugotoviti, ali obstajajo milejša sredstva, s katerimi bi lahko zavarovali pravno dobrino in bi v manjši meri ali pa sploh ne posegala v pravico navedenih oseb do varstva njihovih osebnih podatkov (npr. zagotoviti prisotnost zaposlenih, če je to možno; zaklepanje vrat). Če pa bi upravljavec ugotovil, da izpolnjuje pogoje za izvajanje želenega videonadzora, pa bi tega moral izvajati v skladu s splošnimi načeli iz člena 5 Splošne uredbe, predvsem pa bi moral spoštovati načelo najmanjšega obsega podatkov ter poskrbeti, da bi bili osebni podatki, ki jih bi pri tem obdeloval, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Pomembno je namreč, da tudi v primerih, ko se ugotovi, da je pred varstvom informacijske zasebnosti posameznika treba dati prednost varstvu drugih pravnih dobrin, ta prednost ni absolutna, ampak se v navedeno pravico poseže le tako in toliko, kolikor je to potrebno za zavarovanje te druge dobrine.

Ob vsem navedenem pa sklepno še poudarjamo, da mora vse odločitve o obdelavi osebnih podatkov sprejeti upravljavec osebnih podatkov sam, ki zanje tudi odgovarja. Odgovornost za zakonito vzpostavitev in izvajanje videonadzora je tako vedno na upravljavcu osebnih podatkov, ki mora biti to zmožen tudi dokazati. IP pa se v zadevnem mnenju tako ne more konkretneje opredeljevati, ali bi bil način izvajanja videonadzora dopusten oz. ustrezen ter namesto upravljavca presojati katera (če sploh) pravna podlaga za obdelavo osebnih podatkov je ustrezna ali ne. To presojo in odločitev bo moral upravljavec osebnih podatkov izvesti in sprejeti sam.

Za več informacij v zvezi z videonadzorom IP napotuje na še vedno aktualne smernice IP o videonadzoru, ki so dostopne na povezavi:
https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_videonadzoru_web.pdf ter na  smernice Evropskega odbora za varstvo osebnih podatkov (EDPB) glede obdelave osebnih podatkov z video napravami, ki so vam lahko v pomoč pri odločanju o vzpostavitvi videonadzora, ugotavljanju možnih pravnih podlag ter potrebnih varovalk:
https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_sl_0.pdf

Celotno mnenje je na voljo TUKAJ.