Prepoved uporabe OP iz CRP

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše sporočilo o tem, da ste prejeli vabilo za sodelovanje pri anketi s strani Fakultete za družbene vede. Vaše podatke (ime, priimek in naslov) naj bi fakulteti posredovali iz Centralnega registra prebivalstva. Zaradi navedenega prosite za odgovor na vaši vprašanji o tem:

- ali obstaja zakonska podlaga za posredovanje vaših osebnih podatkov iz CRP tretjim osebam, brez vašega soglasja?

- če obstaja zakonska podlaga, ali lahko zahtevate od CRP prepoved posredovanja vaših podatkov? (npr. za razne ankete, zdravstvene presejalne programe, itd.)

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

IP meni, da Fakulteta za družbene vede samostojno izvaja raziskovalno dejavnost, v katero so vključeni posamezniki, ki sodijo v določen vzorec, na podlagi katerega se izvaja raziskava.

IP sklepa, da je Fakulteta za družbene vede za namen izvedbe raziskave na podlagi 41. člena ZDSta s strani Statističnega urada Republike Slovenije, pridobila podatke o posameznikih (ime, priimek posameznika, njegovo prebivališče, letnico rojstva in spol), ki sodijo v vzorec raziskave fakultete.

Glede prepovedi uporabe OP iz uradnih evidenc, registrov ipd. pa IP meni, da v kolikor je za določeno obdelavo osebnih podatkov podana zakonska podlaga, prepoved posameznika praviloma nima vpliva na to obdelavo osebnih podatkov.

IP najprej pojasnjuje, da Splošna uredba natančno ne določa, kaj se šteje za znanstveno-raziskovalne namene. V uvodni izjavi 159 Splošne uredbe je zapisano, da bi bilo treba obdelavo osebnih podatkov v znanstveno-raziskovalne namene razlagati široko, tako da vključuje tudi na primer tehnološki razvoj, predstavitvene dejavnosti, temeljne raziskave, uporabne raziskave in zasebno financirane raziskave ter upoštevati cilje Unije glede oblikovanja evropskega raziskovalnega prostora. Po 5. členu Zakona o raziskovalni in razvojni dejavnosti (Uradni list RS, št. 22/06 – uradno prečiščeno besedilo, 61/06 – ZDru-1, 112/07, 9/11, 57/12 – ZPOP-1A, 21/18 – ZNOrg in 9/19) obsegata raziskovalna in razvojna dejavnost temeljno in uporabno raziskovanje ter predkonkurenčne raziskave, industrijske raziskave in prenos znanja. Navedeno je treba upoštevati pri presoji, ali gre v konkretnem primeru za obdelavo v znanstveno-raziskovalne namene.

Obdelava v znanstveno-raziskovalne namene ima v Splošni uredbi poseben režim in pogosto predstavlja primer nadaljnje obdelave osebnih podatkov, ki po namenu ni enaka prvotni obdelavi. Skladno s členom 5(1)(b) Splošne uredbe, ki ureja načelo omejitve namena, morajo biti vsi osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) pa ne velja za nezdružljivo s prvotnimi nameni. Domneva združljivosti torej velja le pod pogojem, da se pri takšni nadaljnji obdelavi upoštevajo ustrezni zaščitni ukrepi za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, kot jih zahteva člen 89(1) Splošne uredbe (npr. anonimizacija ali psevdonimizacija).

Prvi odstavek še veljavnega 17. člena ZVOP-1 določa podobno, in sicer, da se ne glede na prvotni namen zbiranja lahko osebni podatki nadalje obdelujejo za zgodovinsko, statistično in znanstveno-raziskovalne namene. Praviloma pa se rezultati raziskave posredujejo uporabniku in objavijo v anonimizirani obliki, razen če zakon določa drugače ali če je posameznik, na katerega se nanašajo osebni podatki, za obdelavo brez anonimiziranja oziroma za objavo v neanonimizirani obliki podal pisno privolitev ali če je za objavo podano pisno soglasje dedičev umrle osebe po tem zakonu (drugi in četrti odstavek 17. člena ZVOP-1). Ker na podlagi anonimiziranega podatka posameznik ni več določljiv, se s tem preprečuje, da bi se objavljeni rezultati raziskave uporabili za sprejem kakršnihkoli odločitev, usmerjenih k posamezniku.

Ker IP iz vašega elektronskega sporočila ni mogel ugotoviti, za kakšen namen je izvajalka ankete želela opraviti anketo ravno z vami in kje konkretno je dobila vaše osebne podatke za namen izvedbe ankete, IP iz vsebine priloženega dopisa, ki ste ga prejeli od fakultete lahko zgolj predvideva, da  je fakulteta vaše podatke (npr. ime, priimek, prebivališče, letnico rojstva in spol) pridobila na podlagi 41. člena Zakona o državni statistiki ((Uradni list RS, št. 45/95 in 9/01; v nadaljevanju: ZDSta) za namen izvedbe samostojne raziskave. IP zato meni, da so bili fakulteti na podlagi 41. člena ZDSta posredovani podatki o določeni skupini posameznikov, na podlagi katerih bo fakulteta samostojno izvedla raziskavo.

Ob tem pojasnjujemo, da ZDSta v 3. členu določa, da osnovne naloge pri izvajanju državne statistike izvaja Statistični urad Slovenije (v nadaljevanju Urad), s pomočjo izvajalcev nacionalnega programa statističnih raziskovanj, poročevalskih enot ter s pridobivanjem statističnih podatkov iz uradnih in drugih administrativnih zbirk podatkov.

Glede navedenega IP poudarja, da v okviru mnenja ne more dokončno presojati konkretne obdelave osebnih podatkov. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov (v konkretnem primeru izvajalcu ankete).

Glede prepovedi obdelave osebnih podatkov v naprej pa pojasnjujemo naslednje. Če je za določeno obdelavo osebnih podatkov podana zakonska podlaga, prepoved posameznika praviloma nima vpliva na to obdelavo osebnih podatkov. Prepoved učinkuje le:

-      če jo nek predpis izrecno določa kot dodatno pravico posameznika, kar je v zakonodajni praksi redko;

-      če se nanaša na nezakonito obdelavo osebnih podatkov (npr. pravica do omejitve obdelave po 18. členu Splošne uredbe o varstvu podatkov);

-      če posameznik glede na določbe 21. člena Splošne pri upravljavcu uveljavlja pravico do ugovora. Pravica do ugovora je vezana na obdelavo osebnih podatkov, ki se vrši na pravni podlagi zakonitih interesov javnega ali zasebnega sektorja (točki (e) in (f) prvega odstavka 6. člena Splošne uredbe o varstvu podatkov);

-      če posameznik prekliče privolitev pod pogojem, da se obdelava osebnih podatkov izvaja le na podlagi predhodne privolitve (v vašem primeru ne gre za tak primer).

Lepo vas pozdravljamo,

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

Pripravila:

mag. Tanja SLAK

država nadzornica za varstvo osebnih podatkov