Povezovanje zbirk OP

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dostopa posameznih uporabnikov do posameznih zbirk osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da v okviru nezavezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali drugem upravnem postopku.

Glede povezovanja zbirk osebnih podatkov IP uvodoma splošno pojasnjuje, da povezovanje zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov in se zato z vidika določb Splošne uredbe o varstvu podatkov in ZVOP-1 šteje za zakonito le in kolikor je za takšno ravnanje izpolnjen vsaj eden od pogojev, določenih v členu 6(1) oziroma v primeru, ko se s pomočjo povezave posredujejo tudi t. i. posebne vrste osebnih podatkov, vsaj eden od pogojev iz člena 9(2) Splošne uredbe o varstvu podatkov. V Republiki Sloveniji je povezava zbirk osebnih podatkov iz uradnih evidenc in javnih knjig posebej urejena v 6. poglavju VI. dela (Področne ureditve) še vedno veljavnega ZVOP-1, kjer je v prvem odstavku 84. člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek 84. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek 84. člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku 84. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov.

Iz zgoraj citiranih določb 84. člena ZVOP-1 je razvidno, da če katera od zbirk od zbirk osebnih podatkov vsebuje občutljive osebne podatke ali če je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka (npr. EMŠO, davčne številke ali številke zdravstvenega zavarovanja), povezava zbirk osebnih podatkov ni dovoljena brez predhodnega dovoljenja državnega nadzornega organa (IP).

IP nadalje splošno pojasnjuje, da niti Splošna uredba o varstvu podatkov niti ZVOP-1 izraza »povezovanje zbirk osebnih podatkov« posebej ne definirata, pač pa je iz določb 4. člena Splošne uredbe o varstvu podatkov in 6. člena ZVOP-1, kjer je definiran pomen izrazov, razvidno le to, da se povezovanje šteje kot obdelava osebnih podatkov in pomeni eno od delovanj, ki se izvaja v zvezi z osebnimi podatki. IP ob tem dodatno ugotavlja, da je za razumevanje izraza »povezovanje zbirk osebnih podatkov« v smislu določb 6. poglavja VI. dela ZVOP-1 v času čedalje širše uporabe informacijsko-komunikacijskih tehnologij potrebno precejšnje poznavanje teorije podatkovnih komunikacij, računalniških omrežij, baz podatkov in standardnih modelov povezovanja sistemov.

Kot je IP opisal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi«, se šteje za povezovanje zbirk osebnih podatkov avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko.

IP nadalje splošno pojasnjuje, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po 22. členu ZVOP-1 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to torej šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Za povezovanje v širšem smislu gre po mnenju IP tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk. Takšno povezovanje ima seveda določene prednosti (hitrejša in enostavnejša pridobitev podatkov, odprava neskladja virov, večja ažurnost, točnost, popolnost ter zanesljivost podatkov), po drugi strani pa takšna povezava lahko pomeni tudi nezakonit in prekomeren poseg v zasebnost posameznika, saj upravljavec osebnih podatkov na takšen način na enem mestu lahko pridobi in združi podatke iz večjega števila zbirk, ki se vodijo za podobne ali različne namene.

IP na podlagi navedenega zaključuje, da bi glede na navedbe v vašem zaprosilu za mnenje v konkretnem primeru zelo verjetno dejansko šlo za povezovanje osebnih podatkov. V kolikor bi nameraval posamezni uporabnik želeno povezovanje izvesti s pomočjo istega povezovalnega znaka (npr. številke zdravstvenega zavarovanja, EMŠO ali davčne številke), bi bilo treba za izvedbo takšnega povezovanja pridobiti odločbo oziroma predhodno dovoljenje IP za vzpostavitev nameravane povezave zbirk osebnih podatkov.

IP sklepno ponovno poudarja, da dokončnega mnenja v zvezi s tem ne more podati, saj lahko IP konkretna stališča v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov podaja le v okviru postopka inšpekcijskega nadzora ali drugega upravnega postopka.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka