Narodna skupština Republike Srbije usvojila je novi Zakon o zaštiti podataka o ličnosti („Sl. glasnik RS”, br. 95/18 – dalje: Zakon), koji je stupio na snagu 21. novembra 2018, a započeo sa primenom 21. avgusta 2019. godine. Tekst Zakona u najvećoj meri je usaglašen sa Opštom uredbom o zaštiti podataka o ličnosti Evropske Unije (dalje: Opšta uredba), kao i sa tzv. Policijskom direktivom, koja uređuje obradu podataka o ličnosti od strane nadležnih organa u vezi sa krivičnim postupcima i pretnjama nacionalnoj bezbednosti.
Obrada podataka putem video-nadzora zbog svoje prirode može da ima veliki uticaj na privatnost lica. Nebrojeno puta u praksi se pokazalo da organizacije vrše nezakonitu i nesrazmernu upotrebu video-nadzora, počevši od prekomerne upotrebe video-nadzora na javnom prostoru do nesrazmerne upotrebe video-nadzora zaposlenih lica.
Takođe, razvoj modernih tehnologija i softverskih alata doveo je do toga da se kamere više ne koriste samo za potrebe obezbeđenja lica i imovine, već da imaju i multifunkcionalnu svrhu, poput analize ponašanja lica čiji se podaci obrađuju, personalizovanog marketinga i dr. Propuštena je prilika da se odredbama novog zakona, kao i zakona pre njega, konkretizuje obrada podataka putem video-nadzora, pa rukovaoci i obrađivači u praksi i dalje imaju velikih poteškoća i nedoumica po tom pitanju. Od pozitivnih propisa, Zakon o privatnom obezbeđenju („Sl. glasnik RS”, br. 104/2013, 42/2015 i 87/2018) uređuje pitanje video-nadzora, ali u veoma ograničenom obimu. Odredbe tog zakona, zajedno sa odredbama drugih posebnih zakona koji regulišu obradu podataka o ličnosti, shodno članu 100. Zakona trebalo bi da budu usklađene sa njegovim odredbama do kraja 2020. godine.
U nedostatku zakonskih odredbi u vezi sa navedenim pitanjem, rešenja koja je Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti (dalje: Poverenik) ponudio u Modelu zakona o zaštiti podataka o ličnosti (dalje: Model zakona), koja se odnose upravo na obradu ličnih podataka putem video-nadzora, kao i Smernice Radne grupe za zaštitu podataka o ličnosti Evropske unije koje se odnose na obradu ličnih podataka putem video-nadzora od 29. januara 2020. godine (dalje: Smernice), mogu da budu vodič za pronalaženja odgovora na većinu dilema i nedoumica koje se odnose na dato pitanje.
Pored toga, imajući u vidu činjenicu da Zakon uvodi legitimni interes rukovaoca i treće strane kao osnov za obradu podataka o ličnosti, kao i da je, zbog prirode obrade podataka putem video-nadzora, ovo najčešći pravni osnov za obradu podataka o ličnosti, istim se otvaraju mnoga pitanja za rukovaoce u pogledu implementacije navedenog pravnog osnova, budući da s jedne strane pokriva širok spektar situacija, a s druge strane može da se primenjuje samo ako nad tim interesima ne pretežu osnovna prava i slobode lica čiji se podaci obrađuju.
Stoga će u ovom tekstu detaljno biti razrađena neka od najbitnijih pitanja i dilema koje se javljaju u vezi sa video-nadzorom u kontekstu novog zakona, i to:
pravni osnovi za obradu podataka o ličnosti putem video-nadzora;
prava lica čiji se podaci obrađuju putem video-nadzora;
rok čuvanja podataka o ličnosti koji se obrađuju putem video-nadzora.
I. PRAVNI OSNOVI ZA OBRADU PODATAKA O LIČNOSTI PUTEM VIDEO-NADZORA
Sve obrade podataka o ličnosti koje potpadaju pod Zakon moraju da budu zakonite, poštene i transparentne, što praktično znači da moraju da imaju odgovarajući pravni osnov za obradu u skladu sa članom 12. Zakona. Shodno članu 12. stav 1. Zakona, obrada je zakonita samo ako je ispunjen jedan od sledećih uslova:
lice na koje se podaci o ličnosti odnose pristalo je na obradu svojih podataka o ličnosti u jednu ili više posebno određenih svrha;
– obrada je neophodna za izvršenje ugovora zaključenog sa licem na koje se podaci odnose ili preduzimanje radnji na zahtev – – lica na koje se podaci odnose pre zaključenja ugovora;
– obrada je neophodna u cilju poštovanja pravnih obaveza rukovaoca;
– obrada je neophodna u cilju zaštite životno važnih interesa lica na koje se podaci odnose ili drugog fizičkog lica;
– obrada je neophodna u cilju obavljanja poslova u javnom interesu ili izvršenja zakonom propisanih ovlašćenja rukovaoca;
– obrada je neophodna u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose, koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno.
Imajući u vidu prirodu obrade, kao najčešći pravni osnovi za obradu putem video-nadzora izdvajaju se:
– legitimni interes rukovaoca ili treće strane;
– obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca;
– pristanak lica čiji se podaci obrađuju.
1) Legitimni interes kao osnov za obradu podataka o ličnosti putem video-nadzora
Legitimni interes u većini slučajeva može da se smatra najpogodnijim pravnim osnovom za obradu podataka o ličnosti putem video-nadzora. Da bi rukovalac u svakom konkretnom slučaju mogao da zaključi da li ispunjava uslove za obradu podataka putem video-nadzora po osnovu legitimnog interesa, pre svega mora da utvrdi:
– postojanje legitimnog interesa,
– neophodnost obrade podataka putem video-nadzora.
a) Postojanje legitimnog interesa
Članom 12. stav 1 tačka 6) Zakona propisano je da je obrada zakonita „ako je ista neophodna u cilju ostvarivanja legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose, koji zahtevaju zaštitu podataka o ličnosti, a posebno ako je lice na koje se podaci odnose maloletno lice.”
Shodno gorenavedenom, video-nadzor može da predstavlja zakoniti osnov za obradu podataka ako je isti neophodan za ostvarivanje legitimnih interesa rukovaoca ili treće strane, osim ako su nad tim interesima pretežniji interesi ili osnovna prava i slobode lica na koje se podaci odnose. U tom smislu, ukoliko lica čiji se podaci obrađuju putem video-nadzora prigovore takvom načinu obrade, rukovalac može da, shodno članu 37. Zakona, nastavi sa video-nadzorom samo ako je predočio da postoje zakonski razlozi za obradu koji pretežu nad interesima, pravima ili slobodama lica na koje se podaci odnose ili su u vezi sa podnošenjem, ostvarivanjem ili odbranom pravnog zahteva.
U praksi se mogu naći različiti slučajevi video-nadzora u kojima bi se legitimni interes tretirao kao adekvatan pravni osnov obrade podataka o ličnosti. U tom smislu posebno se ističe zaštita imovine i lica od krađe ili nastanka štete, kao jedan od bitnijih primera legitimnog interesa za upotrebu video-nadzora.
Ono što je bitno da se istakne jeste da legitimni interes mora da bude stvaran i aktuelan, što znači da mora da se pođe od realne opasnosti da bez video-nadzora može da nastane velika šteta i opasnost po imovinu ili bezbednost lica. Tako, na primer, učestale krađe u određenom kvartu za kompaniju koja upravo u tom kvartu otvara lokal predstavlja realnu opasnost i situaciju kada ima legitimni interes da uspostavi video-nadzor svog lokala. Smernice napominju da nije neophodno da je do štete već došlo da bi postojao legitimni interes za rukovaoca da uspostavi video-nadzor, ali u tom slučaju nije dovoljno imati trenutnu statistiku kriminala na nacionalnom nivou, bez analize područja u kojem se nalazi lokal rukovaoca koji planira da postavi video-nadzor. S druge strane, neke delatnosti same po sebi predstavljaju opasnost koja kreira momentalno postojanje legitimnog interesa za upotrebu video-nadzora, bez detaljnijih analiza rizika, poput banaka, zlatara i sličnih delatnosti.
b) Neophodnost obrade podataka putem video-nadzora
Nakon utvrđivanja legitimnog interesa za obradu podataka o ličnosti, rukovalac bi trebalo da utvrdi obim neophodnosti ličnih podataka. To znači da podaci o ličnosti moraju da budu adekvatni, relevantni i ograničeni samo na ono što je u vezi sa svrhom zbog koje se obrađuju, čime se poštuje načelo minimizacije podataka o ličnosti, koje je propisano Zakonom.
Video-nadzor bi trebalo da se koristi samo ukoliko svrha obrade podataka o ličnosti ne bi mogla da se ostvari drugim sredstvima koja su manje invazivna prema osnovnim pravima i slobodama lica čiji se podaci obrađuju. Pored video-nadzora, rukovalac može da preduzme i druge mere za zaštitu imovine i lica, poput angažovanja obezbeđenja, instaliranja boljeg osvetljenja, osnaživanja kapija, ulaznih vrata i dr. U tom smislu rukovalac bi trebalo da izvrši detaljnu analizu i utvrdi da li ove mere za zaštitu od krađa i provala na adekvatan način mogu da zamene video-nadzor. Ukoliko je to slučaj, onda bi rukovalac trebalo da odustane od korišćenja video-nadzora.
v) Balansiranje interesa
U situacijama kada se legitimni interes tretira kao odgovarajući osnov za obradu podataka putem video-nadzora, rukovalac mora da vodi računa o tome da takvi legitimni interesi budu pretežniji od osnovnih prava i sloboda lica čiji se podaci obrađuju. To znači da osnovna prava i slobode lica i legitimni interes rukovaoca moraju da budu evaluirani i međusobno izbalansirani. Rukovalac je dužan da oceni rizik invazivnosti prema pravima lica čiji se podaci obrađuju. Intenzitet zadiranja u prava lica može da bude izmeren na bazi informacija koje se prikupljaju putem video-nadzora, obima obrade i drugih podataka. Smernice navode da se kao važan faktor za balansiranje interesa može uzeti veličina područja, kao i broj lica koja su obuhvaćena video-nadzorom.
Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti prilikom primene prethodnog Zakona o zaštiti podataka o ličnosti donosio je odluke i mišljenja koja mogu da budu od značaja pri određivanju balansa između legitimnog interesa rukovaoca i trećih lica i lica koja su obuhvaćena video-nadzorom. Tako je po pitanju video-nadzora koji uvode stambene zgrade Poverenik zauzeo stav da prilikom odlučivanja o tome koji prostor treba pokriti video-nadzorom treba imati u vidu princip srazmernosti primene video-nadzora i princip srazmernosti u vršenju aktivnosti video-nadzora. To, između ostalog, podrazumeva i procenu da li je, sa stanovišta svrhe obrade, neophodno da se određeni prostor pokrije video-nadzorom ili svrha obrade može da se ostvari na manje invazivan način.
Vizuelni ugao koji pokriva kamera ne sme da bude takav da se snima veći prostor od onog koji je neophodan za ostvarenje svrhe obrade ili da pokriva prostor koji je isključivo vlasništvo privatnih lica. U mnogim zemljama video-nadzor podrazumeva nadzor nad ulaskom i izlaskom u zajedničke prostorije, a ne i nadzor tokom boravka u prostoriji.
Dakle, prilikom ocenjivanja neophodnosti i srazmernosti legitimnog interesa za obradu podataka putem video-nadzora u odnosu na prava i slobode lica čiji se podaci obrađuju rukovalac je dužan da pođe od razumnih očekivanja lica. Tako Smernice daju primer da, u slučaju privatne parking kompanije koja dokumentuje probleme u vezi sa krađom u automobilima koji su parkirani u njenom parking-prostoru, pomenuta kompanija ima legitimni interes da nadzire parking prostor u periodu dana kada ima probleme koji nastaju krađom automobila. U tim situacijama lica se nadziru pomoću video-nadzora u ograničenom vremenskom intervalu, pri čemu je u njihovom interesu da se spreči potencijalna krađa. Ovo je primer situacije kada je nad interesom lica čiji se podaci obrađuju da ne budu nadzirani pretežniji legitimni interesi rukovaoca.
S druge strane, postoje situacije kada je interes lica da ne budu nadzirana pretežniji od interesa rukovaoca da postave video-nadzor. Tako postavljanje video-nadzora vlasnika restorana u toaletima u cilju kontrole urednosti istih ne preteže nad interesima gostiju restorana da ne budu nadzirani, pa vlasnik restorana nema zakonit osnov za postavljanje video-nadzora.
Takođe, ono što je bitno da se napomene jeste da u određenim situacijama kamere video-nadzora moraju da budu podešene tako da ne prate konstantno područje / prostor na kojem su postavljene. Tako, na primer, zaposleni na svom radnom mestu u najvećem broju slučajeva ne očekuje da bude nadziran od strane svog poslodavca.
Iako nikada usvojen, Model zakona koji je predložen od strane Poverenika, koji reguliše obradu podataka putem video-nadzora, može da bude vrlo koristan prilikom razmatranja pitanja balansiranja interesa rukovaca i lica koje je pod video-nadzorom. Tako je članom 36. Modela zakona predviđeno da rukovalac podataka može da vrši video-nadzor u poslovnom prostoru ako je to neophodno radi zaštite bezbednosti lica ili imovine ili tajnih podataka i poslovnih tajni. Model zakona istim članom predviđa da video-nadzor u poslovnom prostoru nije dozvoljen u garderobama i sanitarnim prostorijama.
2) Obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca kao osnov za obradu podataka putem video-nadzora
Obrada podataka može da bude izvršena putem video-nadzora ako je ista neophodna za obavljanje poslova u javnom interesu ili izvršenje zakonom propisanih ovlašćenja rukovaoca, kako je to definisano članom 12. stav 1. tačka 5) Zakona. U praksi može da se dogodi da obavljanje poslova u javnom interesu ne dozvoljava takvu vrstu obrade, ali i da drugi zakonski osnov omogućava upotrebu video-nadzora radi zaštite lica i zaposlenih.
3) Pristanak kao osnov za obradu podataka o ličnosti putem video-nadzora
Pristanak kao osnov za obradu podataka o ličnosti putem video-nadzora može da se koristi samo u izuzetnim slučajevima, budući da je zbog prirode ove vrste obrade vrlo teško rukovaocu da dokaže da su lica dala pristanak pre početka obrade podataka, odnosno pre početka video-nadzora lica.
II. PRAVA LICA ČIJI SE PODACI OBRAĐUJU PUTEM VIDEO-NADZORA
Imajući u vidu specifičnost obrade podataka o ličnosti putem video-nadzora, u ovom odeljku biće razmotrena neka od najbitnijih prava lica u vezi sa obradom podataka putem video-nadzora.
1) Pravo na pristup podacima
Lica čiji se podaci obrađuju putem video-nadzora imaju pravo na pristup podacima. To konkretno znači da, u slučaju kada podaci nisu sačuvani u trenutku podnošenja zahteva (načelo ograničenje čuvanja), rukovalac može da pruži samo informaciju da se podaci više ne obrađuju. Ukoliko su podaci sačuvani u trenutku podnošenja zahteva, rukovalac je dužan da omogući licu pristup i informacije u skladu sa članom 26. Zakona, i to informacije o:
– vrsti obrade;
– vrstama podataka o ličnosti koji se obrađuju;
– primaocu ili vrstama primalaca kojima su podaci o ličnosti otkriveni ili će im biti otkriveni, a posebno primaocima u drugim državama ili međunarodnim organizacijama;
– predviđenom roku čuvanja podataka o ličnosti ili, ako to nije moguće, o kriterijumima za određivanje tog roka;
– postojanju prava da se od rukovaoca zahteva ispravka ili brisanje njegovih podataka o ličnosti, prava na ograničenje obrade i prava na prigovor na obradu;
– pravu da se podnese pritužba Povereniku;
– izvoru podataka o ličnosti, ako podaci o ličnosti nisu prikupljeni od lica na koje se odnose;
– postojanju postupka automatizovanog donošenja odluke, uključujući profilisanje, kao i najmanje u tim slučajevima svrsishodne informacije o logici koja se pri tome koristi, ali i o značaju i očekivanim posledicama te obrade po lice na koje se podaci odnose.
Osim toga, shodno članu 26. stav 3. Zakona, rukovalac je dužan da licu na koje se podaci odnose na njegov zahtev dostavi kopiju podataka koje obrađuje. Ako se zahtev za kopiju dostavlja elektronskim putem, informacije se dostavljaju u uobičajeno korišćenom elektronskom obliku, osim ako je lice na koje se podaci odnose zahtevalo drugačije dostavljanje.
Međutim, i bez obzira na gorenavedeno, imajući u vidu prirodu obrade podataka o ličnosti putem video-nadzora, ovo pravo u praksi može da potpadne pod razna ograničenja. Tako je članom 26. stav 4. Zakona propisano da ostvarivanje prava i sloboda drugih lica ne može da se ugrozi ostvarivanjem prava na dostavljanje kopije. Ovo posebno imajući u vidu činjenicu da se prilikom video-nadzora nadzire veliki broj lica, kao i da bi prilikom dostavljanja kopija snimaka mogla da budu ugrožena prava drugih lica koja se nalaze sa licem koje je podnelo zahtev za dobijanje podataka. U takvim situacijama rukovalac ne bi smeo da čini dostupnim snimke drugih lica. Međutim, zaštita podataka trećih lica ne može da služi rukovaocu kao izgovor da ne postupi po zahtevu lica čiji se podaci obrađuju. Rukovalac je dužan da implementira adekvatne tehničke mere da bi postupio po zahtevu. U tom smislu Smernice kao primer navode da identitet drugih lica na traženim snimcima može da se zamaskira ili skrembluje.
Osim toga, u praksi može da se dogodi da rukovalac nije u mogućnosti da pronađe podatke lica koji su obrađivani video-nadzorom, i to u slučaju kada video-snimak ne može da se pretraži ili u slučaju koji bi podrazumevao da rukovalac pretraži široku bazu sačuvanih podataka kako bi pronašao podatke lica koje je podnelo zahtev. Tada bi lice koje je podnelo zahtev za pristup i kopiju podataka moralo da precizira svoj zahtev u pogledu vremenskog intervala u kojem je isto bilo pod video-nadzorom, kako bi rukovalac bio u mogućnosti da pribavi zatraženi snimak, odnosno identifikuje lice koje je podnelo zahtev. Evropski odbor za zaštitu podataka o ličnosti u Smernicama je ukazao na to da je, u situaciji kada dokaže da nije u mogućnosti da postupi po zahtevu lica, rukovalac dužan da predoči istom sve obrade koje su se vršile video-nadzorom i područje na kojem se sprovodio video-nadzor, kao i da pruži druge informacije kako bi lice koje je podnelo zahtev imalo jasnu sliku o tome koji lični podaci su bili predmet obrade u konkretnom slučaju.
2) Pravo na brisanje podataka o ličnosti (pravo na zaborav)
Shodno članu 30. stav 2. Zakona, rukovalac je dužan da bez nepotrebnog odlaganja podatke izbriše u sledećim slučajevima:
podaci o ličnosti više nisu neophodni za ostvarivanje svrhe zbog koje su prikupljeni ili na drugi način obrađivani;
lice na koje se podaci odnose opozvalo je pristanak na osnovu kojeg se obrada vršila, a nema drugog pravnog osnova za obradu;
lice na koje se podaci odnose podnelo je prigovor na:
i. obradu podataka koja se vrši u cilju obavljanja poslova u javnom interesu ili u cilju ostvarivanja legitimnih interesa rukovaoca ili trećeg lica, a nema drugog pravnog osnova za obradu koji preteže nad legitimnim interesom, pravom ili slobodom lica na koje se podaci odnose,
ii. obradu podataka za potrebe direktnog oglašavanja;
– podaci o ličnosti su nezakonito obrađivani;
– podaci o ličnosti moraju da budu izbrisani u cilju izvršenja zakonskih obaveza rukovaoca;
– podaci o ličnosti su prikupljeni u vezi sa korišćenjem usluga informacionog društva od strane maloletnika.
U slučaju kada je video-snimak sa podacima o licu koje je podnelo zahtev za brisanje podataka rukovalac učinio javno dostupnim, isti je dužan da, shodno članu 30. stav 3. Zakona, preduzme razumne korake, uključujući i sve tehničke mere kako bi informisao druge rukovaoce koji te podatke obrađuju da je lice na koje se podaci odnose podnelo zahtev za brisanje svih kopija ovih podataka. Takođe, članom 33. stav 1. Zakona propisano je da je rukovalac dužan da obavesti sve primaoce kojima su podaci o ličnosti otkriveni o svakoj ispravci ili brisanju podataka o ličnosti ili ograničenju njihove obrade, osim ako je to nemoguće ili zahteva prekomeran utrošak vremena i sredstava.
3) Pravo na prigovor na obradu podataka o ličnosti video-nadzorom
Imajući u vidu član 37. Zakona, lice čiji se podaci obrađuju putem video-nadzora ima pravo da u svakom trenutku rukovaocu podnese prigovor na obradu njegovih podataka o ličnosti koja se vrši u cilju obavljanja poslova u javnom interesu ili u cilju ostvarivanja legitimnih interesa rukovaoca ili trećeg lica.
Rukovalac je u tom slučaju dužan da prekine sa obradom podataka, osim ako je predočio da postoje zakonski razlozi za obradu koji:
– pretežu nad interesima, pravima ili slobodama lica na koji se podaci odnose ili
– u vezi su sa podnošenjem, ostvarivanjem ili odbranom pravnog zahteva.-
U slučaju obrade podataka putem video-nadzora, prigovor na obradu mogao bi da se iznese prilikom ulaska, u toku posete ili nakon izlaska iz prostora koji se prati video-nadzorom. Ocena o tome koji od dva interesa preteže zavisi od svakog konkretnog slučaja, o čemu je bilo više reči u prethodnom delu ovog teksta.
III. ROK ČUVANjA PODATAKA O LIČNOSTI
Po pravilu, podaci o ličnosti, shodno članu 5. stav 1. tačka 5) Zakona, mogu da se čuvaju samo u roku koji je neophodan za ostvarivanje svrhe obrade („načelo ograničenja čuvanja”). Tako u slučaju postojanja legitimnog interesa za video-nadzor u cilju zaštite imovine, štete koje nastanu na imovini mogu da budu detektovane u kratkom roku.
Imajući u vidu upravo kratak rok u kojem rukovalac može da identifikuje eventualne štete, kao i načelo minimizacije podataka, podaci ne bi trebalo da budu čuvani duže od par dana. Smernice napominju da, ukoliko rukovalac namerava da čuva podatke u periodu dužem od nekoliko dana (posebno duže od 72 časa), bio bi dužan da dokaže da je čuvanje neophodno kako bi se ostvarila svrha za koju se koristi video-nadzor. U tom slučaju rukovalac je dužan da definiše rok čuvanja za svaku konkretnu svrhu.
U svakom slučaju, treba imati u vidu da, u zavisnosti od svrhe u koju se podaci obrađuju putem video-nadzora, rok čuvanja podataka takođe može da varira, a nekada rok čuvanja može da bude propisan i zakonom.
Autor: Petar Mijatović, advokat
