Izvedene zbirke osebnih podatkov
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 30.01.2017Številka: 0712-1/2017/180
Kategorije: Register zbirk osebnih podatkov, Razno, Zbirke osebnih podatkov Spoštovani,prejeli smo vaše zaprosilo za mnenje, v katerem nas sprašujete, ali dolžnost vpisa zbirk osebnih podatkov velja le za izvirne zbirke osebnih podatkov ali tudi za izvedene zbirke osebnih podatkov oziroma dele izvirnih zbirk v različnih oblikah.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Dolžnost vpisa zbirk osebnih podatkov v register Informacijskega pooblaščenca nalaga 27. člene ZVOP-1, pri čemer oblika ali format določene zbirke (npr. ali gre za tabelo s podatki, bazo podatkov ali drugo obliko zbirke osebnih podatkov) ne igra vloge. Glede vprašanja, ali ta dolžnost velja tudi za izvedene zbirke pa načeloma menimo, da ta dolžnost ne velja za izvedene zbirke ali pa za del te zbirke, dokler gre za obdelavo osebnih podatkov v okviru istega namena. Če npr. trgovec uporabi podatke v klubu zvestobe za namen oglaševanja tako, da določen oglas pošlje samo prebivalcem določene regije, potem seznama takšnih prejemnikov, ki bi mu lahko rekli tudi izvedena zbirka ali del osnovne zbirke osebnih podatkov, ne moremo šteti za novo zbirko in s tem za novo dolžnost prijave v register. Obdelave osebnih podatkov v zbirkah osebnih podatkov npr. za namen izstavljanja mesečnih računov ne bi smeli šteti za ustvarjanje novih zbirk osebnih podatkov in s tem za nove obveznosti glede vpisa zbirk v register zbirk osebnih podatkov. Vsekakor pa tudi za takšne »izvedene« zbirk osebnih podatkov veljajo dolžnosti za zagotavljanje ustrezne informacijske varnosti kot tudi spoštovanje ostalih načel varstva osebnih podatkov (npr. načelo namenske rabe osebnih podatkov). Podobno velja v vašem primeru, ko se iz zbirke stanovalcev zavoda pripravi tudi spisek upravičencev za plačilo določenih storitev – omenjeni spisek je treba šteti kot sestavni del osnovne zbirke osebnih podatkov – treba ga je ustrezno varovati tako kot zbirko celo, ni ga pa potrebno posebej prijavljati kot novo zbirko osebnih podatkov. Takšno tolmačenje bi namreč po našem mnenju predstavljajo za upravljavce osebnih podatkov nesorazmerno breme, saj bi morali praktično po vsaki poizvedbi po bazah osebnih podatkov opraviti novo prijavo v register za tako pridobljene podatke, ki ustrezajo kriterijem, po katerih so poizvedovali. Če bi pa šlo pri izčlenitvi osebnih podatkov iz zbirke osebnih podatkov za nov namen obdelave osebnih podatkov, ki ni vsebovan oz. zajet v osnovnih namenih obdelave celotne zbirke, potem bi lahko govorili o novi zbirki osebnih podatkov. V vašem primeru konkretno menimo, da je namen obdelave osebnih podatkov v zbirki stanovalcev zavoda tudi priprava in uporaba podatkov upravičencev za plačilo določenih storitev, zato ne gre za novo zbirko in vsakokratnega mesečnega seznama ni treba posebej prijavljati v register. S spoštovanjem,Pripravil:
mag. Andrej Tomšič
namestnik informacijske pooblaščenke
Informacijski pooblaščenec:
Mojca Prelesnik, univ.dipl.prav.,
Informacijska pooblaščenka