VB: Nove smernice za podjetja
Britanski nadzorni organ za varstvo osebnih podatkov je objavil nov prispevek, v katerem podjetjem pojasnjuje, kako lahko osebne podatke uporabljajo za preprečevanje in obravnavo kriminalitete, ne da bi pri tem kršila pravila varstva osebnih podatkov.
Novica je bila objavljena julija 2026.
ICO je pripravil nove smernice, ki podjetjem pomagajo razumeti, kako lahko zakonito uporabljajo osebne podatke pri preprečevanju kaznivih dejanj in prekrškov. Poudarja se iskanje ravnotežja med varnostnimi potrebami podjetij in varstvom pravic posameznikov.
Podjetja lahko osebne podatke, pridobljene na primer z videonadzorom, kamerami v vozilih ali z evidentiranjem incidentov, uporabljajo za zaščito zaposlenih, premoženja in poslovnih prostorov, vendar mora biti takšna obdelava ustrezna glede na konkretno tveganje ter omejena na tisto, kar je za dosego namena dejansko potrebno.
Smernice obravnavajo več praktičnih situacij, s katerimi se podjetja srečujejo ob tatvinah, nasilju in drugih incidentih. Med drugim pojasnjujejo pravila glede posredovanja posnetkov policiji, opozarjanja zaposlenih na osebe, ki predstavljajo tveganje, izmenjave informacij z drugimi podjetji, objavljanja fotografij domnevnih storilcev ter uporabe tehnologij za prepoznavo obraza.
Posnetke je mogoče posredovati policiji
Podjetje lahko osebne podatke, vključno s posnetki videonadzora, posreduje policiji za namen preiskovanja konkretnega dogodka. Pri tem naj posreduje zgolj podatke, ki so za preiskavo potrebni, na primer le relevantni del posnetka in ne celotnega videogradiva.
Posredovanje mora potekati na varen način, podjetje pa naj evidentira, katere podatke je posredovalo, kdaj in s kakšnim namenom. Izvirne posnetke mora hraniti skladno z določenimi roki hrambe, pri čemer se lahko obdobje hrambe v konkretnem primeru podaljša, če je to potrebno zaradi preiskave.
V Sloveniji je takšno posredovanje mogoče na podlagi uradne zahteve organa pregona, ki mora vsebovati vse elemente, ki jih predpisuje 41. člen ZVOP-2.
O nevarnih posameznikih je mogoče opozoriti zaposlene
Smernice dopuščajo tudi interno obveščanje zaposlenih o osebah, ki predstavljajo konkretno tveganje za poslovne prostore ali zaposlene, če je takšno obveščanje potrebno in sorazmerno.
Podjetje lahko zaposlenim na primer posreduje fotografijo osebe in kratek opis konkretnega tveganja. Pri tem mora informacije omejiti na znana in preverjena dejstva, odstraniti oziroma zamegliti podobe drugih oseb, ki niso relevantne, ter zagotoviti, da so informacije dostopne samo tistim zaposlenim, ki jih dejansko potrebujejo.
Takšna opozorila tudi ne smejo ostati v uporabi za nedoločen čas. Podjetje mora določiti ustrezne roke za njihov pregled in jih odstraniti, ko niso več potrebna.
Javna objava fotografij domnevnih storilcev praviloma ni upravičena
Drugače ICO presoja objavljanje fotografij domnevnih storilcev na družbenih omrežjih ali drugih javno dostopnih kanalih.
Po mnenju nadzornega organa je malo verjetno, da bi bilo javno objavljanje fotografij oseb, osumljenih kaznivih ravnanj, mogoče upravičiti kot sorazmeren ukrep za zaščito podjetja. Z javno objavo namreč podjetje izgubi nadzor nad tem, kdo bo fotografijo videl, kopiral, ponovno objavil ali uporabil za druge namene.
Tveganje je še posebej izrazito v primeru napačne identifikacije posameznika. Kot primernejše možnosti ICO izpostavlja posredovanje podatkov policiji, omejeno interno obveščanje zaposlenih ter uporabo ustrezno organiziranih sistemov sodelovanja med podjetji.
Izmenjava podatkov med podjetji mora biti ustrezno urejena
Pod določenimi pogoji je mogoče podatke o osebah, ki predstavljajo tveganje, deliti tudi z drugimi podjetji. ICO pri tem priporoča uporabo formalno organiziranih sistemov sodelovanja za preprečevanje kriminalitete, v katerih so vnaprej določena pravila glede uporabe in izmenjave podatkov.
Pri takšnem sodelovanju morajo biti jasno določeni namen izmenjave, vloge in odgovornosti sodelujočih podjetij, pravila glede dostopa in hrambe podatkov ter ustrezni varnostni ukrepi. Podjetja morajo vedeti tudi, kdo odloča o posredovanju podatkov in kdo je odgovoren za obravnavo zahtev posameznikov glede uveljavljanja njihovih pravic.
Visok prag za uporabo tehnologije za prepoznavo obraza
Poseben del smernic je namenjen tudi uporabi tehnologije za prepoznavo obraza za preprečevanje kriminalitete.
Takšni sistemi praviloma analizirajo biometrične podatke oseb in njihove podobe primerjajo s fotografijami posameznikov na vnaprej določenem seznamu. ICO poudarja, da je prag za zakonito uporabo takšne tehnologije v javno dostopnih prostorih visok, saj sistem ne obdeluje zgolj podatkov oseb, za katere obstaja konkreten sum, temveč lahko zajame vse posameznike, ki vstopijo v nadzorovano območje.
Podjetje mora zato dokazati, da je uporaba tehnologije nujna in sorazmerna glede na zasledovani namen ter da cilja ni mogoče ustrezno doseči z manj invazivnimi ukrepi. Presoditi mora tudi tveganje napačne identifikacije in utemeljiti, zakaj je posamezna oseba vključena na seznam za prepoznavo.
ICO pri uporabi takšne tehnologije posebej poudarja potrebo po ustrezni pravni podlagi, izvedbi podrobne DPIA ter zagotavljanju transparentnosti do posameznikov.
Pri nas je za uporabo takšnih tehnologij nujno upoštevati tudi določbe slovenske področne zakonodaje.
Preprečevanje kriminalitete ne upravičuje vsake obdelave osebnih podatkov
Ključno sporočilo smernic je, da imajo podjetja legitimen interes za zaščito svojih zaposlenih, premoženja in poslovnih prostorov, vendar ta cilj sam po sebi ne upravičuje vsakega načina uporabe osebnih podatkov.
Dopustnost obdelave je odvisna predvsem od konkretnega namena, vrste podatkov, kroga oseb, ki imajo do njih dostop, načina njihovega posredovanja ter posledic, ki jih ima lahko obdelava za posameznika. Isti posnetek videonadzora je tako lahko ustrezno uporabljen za interno obravnavo incidenta ali posredovan policiji, medtem ko bi bila njegova objava na družbenem omrežju lahko nesorazmerna.
Čeprav smernice ICO temeljijo na britanski zakonodaji o varstvu osebnih podatkov, so vprašanja, ki jih obravnavajo, relevantna tudi za upravljavce v EU. Še posebej opozarjajo na potrebo po skrbni presoji nujnosti in sorazmernosti pri uporabi videonadzornih posnetkov in drugih osebnih podatkov za preprečevanje kriminalitete ter na dodatna tveganja, kadar se podatki nanašajo na domnevna kazniva ravnanja posameznikov.
Naslovna fotografija: Pexels
