GDPR i video nadzor

Novosti koje donose GDPR i Zakon o provedbi opće uredbe za zaštitu podataka odnose se i na video nadzor. Video nadzor može se postaviti jedinu u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, ako ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom podataka putem video nadzora.
Zakonom je propisano da se podaci, odnosno videozapisi mogu čuvati najviše 6 mjeseci od prikupljanja što znači da je potrebno podatke izbrisati nakon proteka 6 mjeseci ili nakon kraćeg vremena ukoliko voditelj obrade (primjerice, poduzeće ili obrt) tako definiraju u svojim internim aktima. Naravno, snimke se mogu i dulje čuvati ukoliko se vodi sudski proces i potrebne su u svrhu provođenja dokaznog postupka.
Pristup videozapisima mogu imati samo osobe koje je voditelj obrade ovlastio i ne smije se dogoditi da netko treći ima uvid u takve podatke. U ovom kontekstu potrebno je naglasiti da sustav video nadzora mora imati uspostavljen automatizirani zapis za evidentiranje pristupa snimkama video nadzora. Ta evidencija mora sadržavati vrijeme i mjesto pristupa te oznaku osoba koje su izvršile pristup podacima prikupljenim putem video nadzora. Ova odredba je u skladu s načelom transparentnosti prikupljanja podataka koje je temelj GDPR-a. Važno je reći da se ova obveza odnosi na voditelje obrade i na izvršitelje obrade osobnih podataka.
Potrebno je istaknuti i da mjesto koje je pokriveno video nadzorom mora biti adekvatno označeno. Ova odredba je pojačana u odnosu na dosadašnju praksu i sada je u Zakonu o provedbi uredbe o zaštiti podataka jasno navedeno da se moraju dati sve relevantne informacije koje propisuje GDPR u članku 13, a posebno mora biti slika uz tekst s podacima o tome da je prostor pod video nadzorom, navedeni podaci o voditelju obrade te podaci za kontakt putem kojih pojedinac može ostvariti svoja prava. Važno je naglasiti da su zakonski propisane upravne novčane kazne u iznosu do 50.000 kuna u slučaju nepridržavanja opisanih postupaka obrade osobnih podataka. Tijelo koje je ovlašteno izreći navedenu kaznu je Agencija za zaštitu osobnih podataka  (AZOP) - izvor časopis Zaštita, www. zastita.info

IZVOD IZ ZAKONA O PROVEDBI OPĆE UREDBE O ZAŠTITI PODATAKA OD 03.05.2018. GODINE

Članak 25.
(1) Videonadzor u smislu odredbi ovoga Zakona odnosi se na prikupljanje i daljnju obradu osobnih podataka koja obuhvaća stvaranje snimke koja čini ili je namijenjena da čini dio sustava pohrane.
(2) Ako drugim zakonom nije drugačije određeno, na obradu osobnih podataka putem sustava videonadzora primjenjuju se odredbe ovoga Zakona.
Članak 26.
(1) Obrada osobnih podataka putem videonadzora može se provoditi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, ako ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom podataka putem videonadzora.
(2) Videonadzorom mogu biti obuhvaćene prostorije, dijelovi prostorija, vanjska površina objekta, kao i unutarnji prostor u sredstvima javnog prometa, a čiji je nadzor nužan radi postizanja svrhe iz stavka 1. ovoga članka.
Članak 27.
(1) Voditelj obrade ili izvršitelj obrade dužan je označiti da je objekt odnosno pojedina prostorija u njemu te vanjska površina objekta pod videonadzorom, a oznaka treba biti vidljiva najkasnije prilikom ulaska u perimetar snimanja.
(2) Obavijest iz stavka 1. ovoga članka treba sadržavati sve relevantne informacije sukladno odredbi članka 13. Opće uredbe o zaštiti podataka, a posebno jednostavnu i lako razumljivu sliku uz tekst kojim se ispitanicima pružaju sljedeće informacije:
– da je prostor pod videonadzorom
– podatke o voditelju obrade
– podatke za kontakt putem kojih ispitanik može ostvariti svoja prava.
Članak 28.
(1) Pravo pristupa osobnim podacima prikupljenim putem videonadzora ima odgovorna osoba voditelja obrade odnosno izvršitelja obrade i/ili osoba koju on ovlasti.
(2) Osobe iz stavka 1. ovoga članka ne smiju koristiti snimke iz sustava videonadzora suprotno svrsi utvrđenoj u članku 26. stavku 1. ovoga Zakona.
(3) Sustav videonadzora mora biti zaštićen od pristupa neovlaštenih osoba.
(4) Voditelj obrade i izvršitelj obrade dužni su uspostaviti automatizirani sustav zapisa za evidentiranje pristupa snimkama videonadzora koji će sadržavati vrijeme i mjesto pristupa, kao i oznaku osoba koje su izvršile pristup podacima prikupljenim putem videonadzora.
(5) Pristup podacima iz stavka 1. ovoga članka imaju nadležna državna tijela u okviru obavljanja poslova iz svojeg zakonom utvrđenog djelokruga.
Članak 29.
Snimke dobivene putem videonadzora mogu se čuvati najviše šest mjeseci, osim ako je drugim zakonom propisan duži rok čuvanja ili ako su dokaz u sudskom, upravnom, arbitražnom ili drugom istovrijednom postupku.
Videonadzor radnih prostorija
Članak 30.
(1) Obrada osobnih podataka zaposlenika putem sustava videonadzora može se provoditi samo ako su uz uvjete utvrđene ovim Zakonom ispunjeni i uvjeti utvrđeni propisima kojima se regulira zaštita na radu i ako su zaposlenici bili na primjeren način unaprijed obaviješteni o takvoj mjeri te ako je poslodavac informirao zaposlenike prije donošenja odluke o postavljanju sustava videonadzora.
(2) Videonadzor radnih prostorija ne smije obuhvaćati prostorije za odmor, osobnu higijenu i presvlačenje.
Videonadzor stambenih zgrada
Članak 31.
(1) Za uspostavu videonadzora u stambenim odnosno poslovno-stambenim zgradama potrebna je suglasnost suvlasnika koji čine najmanje 2/3 suvlasničkih dijelova.
(2) Videonadzorom može se obuhvatiti samo pristup ulascima i izlascima iz stambenih zgrada te zajedničke prostorije u stambenim zgradama.
(3) Zabranjeno je korištenje videonadzora za praćenje radne učinkovitosti domara, spremačica i drugih osoba koje rade u stambenoj zgradi.
Videonadzor javnih površina
Članak 32.
(1) Praćenje javnih površina putem videonadzora dozvoljeno je samo tijelima javne vlasti, pravnim osobama s javnim ovlastima i pravnim osobama koje obavljaju javnu službu, samo ako je propisano zakonom, ako je nužno za izvršenje poslova i zadaća tijela javne vlasti ili radi zaštite života i zdravlja ljudi te imovine.
(2) Odredbe ovoga članka ne isključuju primjenu članka 35. Opće uredbe o zaštiti podataka na sustavno praćenje javno dostupnog područja u velikoj mjeri.
Obrada osobnih podataka u statističke svrhe
Članak 33.
(1) U okviru obrade osobnih podataka u svrhu proizvodnje službene statistike u skladu s posebnim propisima iz područja službene statistike, tijela koja proizvode službenu statistiku nisu dužna osigurati ispitanicima pravo pristupa osobnim podacima, pravo na ispravak osobnih podataka, pravo na ograničenje obrade osobnih podataka niti pravo na prigovor na obradu osobnih podataka, i to radi osiguravanja uvjeta nužnih za ostvarivanje svrhe službene statistike u mjeri u kojoj je vjerojatno da bi se takvim pravima moglo onemogućiti ili ozbiljno ugroziti postizanje tih svrha te kada su takva odstupanja od prava prijeko potrebna za postizanje tih svrha.
(2) Tijela nadležna za proizvodnju službene statistike dužna su primjenjivati tehničke i organizacijske mjere zaštite podataka prikupljenih za potrebe službene statistike.
(3) Voditelji obrade osobnih podataka prilikom prijenosa osobnih podataka tijelima nadležnima za službenu statistiku nisu dužni obavještavati ispitanike o prijenosu osobnih podataka u statističke svrhe.
(4) Obrada osobnih podataka u statističke svrhe smatra se podudarnom svrsi za koju su podaci prikupljeni, pod uvjetom da se poduzmu odgovarajuće zaštitne mjere.
(5) Osobni podaci obrađeni u statističke svrhe ne smiju omogućiti identifikaciju osobe na koju se podaci odnose.

Videonadzor u stambenim zgradama

Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka  – Opća uredba o zaštiti podataka (dalje u tekstu: Opća uredba) je u cijelosti obvezujuća i izravno se primjenjuje u Republici Hrvatskoj od 25. svibnja 2018. godine, te njezine odredbe moraju poštivati svi subjekti koji u sklopu svojih aktivnosti obrađuju osobne podatke fizičkih osoba u Europskoj uniji te u određenim slučajevima i subjekti izvan Europske Unije.

Uredbom se predviđaju specifikacije ili ograničenja njezinih pravila pravom države članice, te države članice mogu, u mjeri u kojoj je to potrebno radi usklađenosti i kako bi nacionalne odredbe bile razumljive osobama na koje se primjenjuju, elemente Uredbe uključiti u svoje nacionalno pravo.

Slijedom navedenog, Republika Hrvatska je dana 27. travnja 2018. godine usvojila Zakon o provedbi Opće Uredbe o zaštiti podataka koji je stupio na snagu dana 25. svibnja 2018. godine (NN 42/2018, u daljnjem tekstu: Zakon).

Nadalje, u uvodnoj odredbi 10 propisuje se da se Općom uredbom ne isključuje pravo države članice kojim se utvrđuju okolnosti posebnih situacija obrade, što uključuje preciznije određivanje uvjeta pod kojima je obrada osobnih podataka zakonita.

U Republici Hrvatskoj Zakonom su detaljnije propisani uvjeti obrade osobnih podataka putem uspostavljanja sustava videonadzora. Prvenstveno je potrebno pojasniti da se videonadzor u smislu odredbi članka 25. stavka 1. Zakona odnosi na prikupljanje i daljnju obradu osobnih podataka koja obuhvaća stvaranje snimke koja čini ili je namijenjena da čini dio sustava pohrane.

Osim toga, potrebno je istaknuti da je člankom 25. stavkom 2. Zakona propisano sljedeće: „Ako drugim zakonom nije drugačije određeno, na obradu osobnih podataka putem sustava videonadzora primjenjuju se odredbe ovoga Zakona.“

Nadalje, člankom 26. stavkom 1. Zakona propisano je da se obrada osobnih podataka putem videonadzora može provoditi samo u svrhu koja je nužna i opravdana za zaštitu osoba i imovine, ako ne prevladavaju interesi ispitanika koji su u suprotnosti s obradom podataka putem videonadzora.

U tom smislu upućujemo na mišljenje Radne skupine iz članka 29. Direktive 95/46/EC https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2004/wp89_en.pdf u kojem su detaljnije razrađeni kriteriji za ocjenu zakonitosti i nužnosti postavljanja sustava videonadzora te ujedno napominjemo kako je navedeno mišljenje Radne skupine preuzeto i od strane Europskog odbora za zaštitu podataka.

Također, ističemo da je sukladno članku 27. Zakona voditelj obrade ili izvršitelj obrade dužan označiti da je objekt odnosno pojedina prostorija u njemu te vanjska površina objekta pod videonadzorom, a oznaka treba biti vidljiva najkasnije prilikom ulaska u perimetar snimanja.

Obavijest treba sadržavati sve relevantne informacije sukladno članku 13. Opće uredbe, a posebno jednostavnu i razumljivu sliku uz tekst kojim se ispitanicima pružaju sljedeće informacije; da je prostor pod videonadzorom, podatke o voditelju obrade te podatke za kontakt putem kojih ispitanik može ostvariti svoja prava.

Konkretno, obavijest o videonadzoru mora sadržavati sljedeće podatke:

1. da se prostor nalazi pod videonadzorom
2. podatke o voditelju obrade
3. podatke za kontakt putem kojih ispitanik može ostvariti svoja prava
4. svrhu obrade
5. pravnu osnovu
6. prava ispitanika te
7. informaciju da se cjelovite informacije nalaze na internetskoj stranici ili na drugom odgovarajućem mjestu u okviru Politike privatnosti.

Dodatno, a budući da suvlasnici stambene zgrade predstavljaju voditelje obrade u smislu odredbi Opće uredbe, Agencija preporučuje da na obavijesti o videonadzoru bude naznačeno da su upravo suvlasnici stambene zgrade voditelji obrade, dok kontakti podaci mogu biti generičke naravi (primjerice; suvlasnicizgrade@gmail.com).

U tom kontekstu preporučamo objavu kontaktnih podataka predstavnika suvlasnika budući da je isti nadležan za zastupanje i predstavljanje suvlasnika prema upraviteljima i trećim osobama, međutim, napominjemo kako takvi podaci ne moraju sadržavati njegove osobne podatke u smislu osobnog imena i prezimena.

Osim toga, napominjemo da sukladno člancima 28. i 29. Zakona sustav videonadzora mora biti zaštićen od pristupa neovlaštenih osoba, a odgovorne osobe koje imaju pravo pristupa osobnim podacima ne smiju koristiti snimke suprotno svrsi utvrđenoj člankom 26. Zakona.

Nadalje, ističemo kako suvlasnici stambene zgrade zastupani po upravitelju zgrade predstavljaju voditelje obrade u smislu odredbi Opće uredbe, dok društvo s kojim je potpisan ugovor o ugradnji sustava videonadzora predstavlja izvršitelja obrade te stoga ugovor potpisan s navedenim društvom kao izvršiteljem obrade mora sadržavati sve podatke iz članka 28. stavka 3. Opće uredbe.

Budući da se u konkretnom slučaju radi o videonadzoru stambenih zgrada, dodatno se primjenjuju odredbe članka 31. Zakona. Naime, člankom 31. propisano je da je za uspostavu videonadzora u stambenim odnosno poslovno-stambenim zgradama potrebna suglasnost suvlasnika koji čine najmanje 2/3 suvlasničkih dijelova. Osim toga, stavkom 2. istoga članka propisano je da videonadzor može obuhvatiti samo pristup ulascima i izlascima iz stambenih zgrada te zajedničke prostorije u stambenoj zgradi.

U tom kontekstu naglašavamo kako za postavljanje sustava videonadzora nije potrebno prikupljanje dodatnih privola, već postojanje potrebne suglasnosti te legitimnog interesa kao pravnog temelja za ugradnju takvog sustava.

Također ističemo kako bi cjelokupne informacije koje su namijenjene ispitanicima trebale biti dostupne i na jednom mjestu ili u jednom cjelovitom dokumentu (u digitalnom ili papirnatom obliku) kojemu ispitanici mogu lako pristupiti ako žele dobiti uvid u cjelokupne informacije koje su im namijenjene.

Od presudne je važnosti da metode koje su odabrane za pružanje informacija odgovaraju konkretnim okolnostima, tj. načinu interakcije voditelja obrade podataka i ispitanika ili načinu prikupljanja informacija ispitanika.

U člancima 13. i 14. Opće uredbe upućuje se na obvezu voditelja obrade podataka da „ispitaniku pruža sve sljedeće informacije…”. Naglasak je na riječi „pruža”. To znači da voditelj obrade podataka mora poduzimati aktivne korake radi dostavljanja predmetnih informacija ispitaniku ili mora aktivno usmjeravati ispitanika na njihovu lokaciju.

Radna skupina iz članka 29. u Smjernici o transparentnosti posebno preporučuje da bi se, radi izbjegavanja umaranja zbog prekomjernih informacija trebale koristiti slojevite izjave/obavijesti o privatnosti. Slojevite obavijesti o privatnosti mogu olakšati pomirivanje načela potpunosti i razumijevanja, prije svega time što se korisnicima omogućuje da izravno pristupe dijelu obavijesti koji žele pročitati.

Dizajn i grafičko uređenje prvog sloja obavijesti o privatnosti trebali bi biti takvi da ispitanik ima jasan pregled informacija koje su mu dostupne o obradi njegovih osobnih podataka i o tome gdje odnosno kako može pronaći detaljne informacije unutar slojeva obavijesti o privatnosti.

Radna skupina iz članka 29. preporučuje da bi prvi sloj trebao sadržavati pojedinosti o svrhama obrade i identitetu voditelja obrade te opis prava ispitanika.

Nadalje, Radna skupina smatra da bi, u skladu s načelom poštenosti, uz navedene informacije, prvi sloj obavijesti trebao sadržavati i informacije o obradi koja ima najveći učinak na ispitanika i obradi koja bi ga mogla iznenaditi. Stoga bi ispitanik iz informacija koje se nalaze u prvom sloju trebao moći razumjeti posljedice koje će predmetna obrada imati za ispitanika.

Bez obzira na formate koji se upotrebljavaju u okviru tog slojevitog pristupa, Radna skupina iz članka 29. preporučuje da se u prvom „sloju” (drugim riječima, glavnom načinu kojim voditelj obrade prvi put započinje interakciju s ispitanikom) općenito navode najvažnije informacije, a to su pojedinosti o svrhama obrade, identitetu voditelja obrade i postojanju prava ispitanika, zajedno s informacijama o najvećem učinku obrade ili obradi koja bi mogla iznenaditi ispitanika.

Slijedom svega iznesenog, Agencija ističe kako suvlasnici stambene zgrade međusobne odnose mogu urediti i pisanim sporazumom sukladno članku 85. stavku 4. Zakona o vlasništvu i drugim stvarnim pravima (NN 91/96, 68/98, 137/99, 22/00, 73/00, 129/00, 114/01, 79/06, 141/06, 146/08, 38/09, 153/09, 143/12, 152/14), pritom poštujući relevantne odredbe Opće uredbe i Zakona.

Uloga suvlasnika stambene zgrade prilikom postavljanja sustava videonadzora

Prvenstveno ističemo kako suvlasnici stambene zgrade predstavljaju voditelje obrade u smislu odredbi Opće uredbe. S tim u vezi, Agencija preporučuje da na obavijesti o videonadzoru bude naznačeno da su upravo suvlasnici stambene zgrade voditelji obrade, dok kontakti podaci mogu biti generičke naravi (primjerice; suvlasnicizgrade@gmail.com).

U tom kontekstu preporučamo objavu kontaktnih podataka predstavnika suvlasnika budući da je isti nadležan za zastupanje i predstavljanje suvlasnika prema upraviteljima i trećim osobama, međutim napominjemo kako takvi podaci ne moraju sadržavati njegove osobne podatke u smislu osobnog imena i prezimena.

Osim toga, dodatno napominjemo kako suvlasnici međusobne odnose mogu urediti i pisanim sporazumom sukladno članku 85. stavku 4. ZV-u te u tom smislu odrediti osobu čiji će kontaktni podaci biti javno objavljeni u kontekstu poštovanja obveza sukladno odredbama Opće uredbe.

S druge strane, ukoliko u konkretnom slučaju ne postoji pisani sporazum te nije određen predstavnik suvlasnika, tada suvlasnici zgrade mogu zajedničkim dogovorom odrediti osobu koja će biti nadležna za postupanje po zahtjevima ispitanika vezanim uz sustav videonadzora.