Kontaktiranje najemnika groba za namene raziskovalnega projekta

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede kontaktiranja najemnika groba za namene raziskovalnega projekta.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Določba drugega odstavka 70. člena ZVOP-2 ne omogoča, da raziskovalna organizacija od upravljavca pridobi kontaktne podatke posameznika, ampak omogoča (ne glede na določbo petega odstavka 35. člena ZPPDej) le, da upravljavec sam kontaktira posameznika z namenom pridobitve privolitve za sodelovanje v raziskavi.

Izpolnjevanje zahteve glede sledenja uveljavljenim metodološkim in etičnim standardom znanstvenega raziskovanja se lahko glede na okoliščine konkretnega primera dokazuje na različne načine, na primer s predložitvijo mnenja etične komisije, dokazilom o tem, da organizacijo zavezujejo določena zunanja ali notranja pravila na tem področju, s predložitvijo ustreznega protokola raziskave ali z zavezujočo enostransko izjavo.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne more pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage, namenov in obsega obdelave osebnih podatkov v konkretnem primeru. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru mnenja tako ne more presojati konkretno odgovarjati na vprašanja iz vašega zaprosila za mnenje, zato v nadaljevanju podaja splošna pojasnila.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;
2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;
3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;
4. obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;
5. obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;
6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Področni zakon na področju najema pokopaliških grobov predstavlja Zakon o pogrebni in pokopališki dejavnosti (Uradni list RS, št. 62/16, 3/22 – ZDeb; v nadaljevanju: ZPPDej), ki v prvem odstavku med drugim določa, da mora upravljavec pokopališča voditi evidenco najemnikov grobov za obdobje zadnjih desetih let. Nadalje ZPPDej v petem odstavku 35. člena določa, da se v evidenci najemnikov grobov vodijo podatki o imenu in priimku najemnika, EMŠO ali davčna številka, naslov najemnika, številka in datum sklenitve pogodbe o najemu ter višina grobnine. Podatki so dostopni samo tistim uporabnikom, ki so za obdelavo osebnih podatkov pooblaščeni z zakonom. ZPPDej torej jasno določa, kdo lahko dostopa do podatkov iz evidence najemnikov grobov – samo uporabniki, pooblaščeni z zakonom, ne pa kdorkoli.

IP nadalje pojasnjuje, da ZVOP-2 v drugem odstavku 70. člena določa, da upravljavec lahko na podlagi zbirk, s katerimi razpolaga v okviru zakonitega opravljanja dejavnosti, proti plačilu stroškov obdelave osebnih podatkov kontaktira posameznike z namenom pridobivanja privolitev za izvrševanje namenov iz prvega odstavka 70. člena ZVOP-2. IP pojasnjuje, da ta določba ne omogoča, da raziskovalna organizacija od upravljavca (v konkretnem primeru je to upravljavec pokopališča) pridobi kontaktne podatke posameznika (v konkretnem primeru najemnika groba), ampak omogoča (ne glede na določbo petega odstavka 35. člena ZPPDej) le, da upravljavec sam kontaktira posameznika z namenom pridobitve privolitve za sodelovanje v raziskavi, ki jo sicer izvaja druga, torej zunanja raziskovalna organizacija ali raziskovalec (v konkretnem primeru vaš inštitut). Gre torej za primere, ko želi raziskovalec pridobiti privolitev, pa nima želenih osebnih podatkov, zato kontaktiranje posameznika, na katerega se nanašajo osebni podatki, zanj izvede upravljavec, in sicer proti plačilu stroškov ter le za namene iz prvega in drugega odstavka 70. člena ZVOP-2. Če upravljavec s to obdelavo ne soglaša, jo lahko zavrne.

IP nadalje pojasnjuje, da bi moral v tem primeru zunanji nosilec znanstveno-raziskovalnega dela za pridobitev podatkov o posamezniku izpolnjevati stroge pogoje iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2. Glede izpolnjevanja teh pogojev je IP precej pojasnil podal v mnenju, ki ga navajate v vašem zaprosilu za mnenje (št. 07120-1/2023/80).

IP nadalje pojasnjuje, da je glede na uvodno določbo 159 Splošne uredbe treba obdelavo osebnih podatkov v znanstveno-raziskovalne namene razlagati široko, tako da vključuje tudi na primer tehnološki razvoj, predstavitvene dejavnosti, temeljne raziskave, uporabne raziskave in zasebno financirane raziskave. Poleg tega je treba upoštevati cilj EU iz prvega odstavka 179. člena Pogodbe o delovanju EU glede oblikovanja evropskega raziskovalnega prostora. Znanstveno-raziskovalni nameni bi morali zajemati tudi študije, izvedene v javnem interesu na področju javnega zdravja. Bolj zadržano smernice Evropskega odbora za varstvo podatkov poudarjajo, da izraz obdelave za znanstvene namene ne sme presegati svojega običajnega pomena in da znanstvena raziskava v tem okviru pomeni raziskovalni projekt, vzpostavljen v skladu z ustreznimi sektorskimi metodološkimi in etičnimi standardi ter dobro prakso. Izpolnjevanje zahteve glede sledenja uveljavljenim metodološkim in etičnim standardom znanstvenega raziskovanja se lahko glede na okoliščine konkretnega primera dokazuje na različne načine, na primer s predložitvijo mnenja etične komisije, dokazilom o tem, da organizacijo zavezujejo določena zunanja ali notranja pravila na tem področju, s predložitvijo ustreznega protokola raziskave ali z zavezujočo enostransko izjavo.

IP ob tem dodaja tudi, da se zahteve po drugem in tretjem odstavku 70. člena ZVOP‑2 na določenih mestih prepletajo z načrtom za ravnanje z raziskovalnimi podatki, ki je pomemben element pri snovanju raziskovalnih projektov in vsebuje tudi vprašanja, povezana z varstvom osebnih podatkov. Kakovostna izdelava tovrstnega načrta in ocene učinka bo z vidika varstva osebnih podatkov lahko zagotovila spoštovanje načel najmanjšega obsega podatkov ter vgrajenega in privzetega varstva zasebnosti in zagotovila ustrezne zaščitne ukrepe in zavarovanja, s tem pa zmanjšala tveganja za kršitve ter možnosti zlorab. Poudariti velja, da je treba v okviru raziskovalnega projekta med drugim natančno opredeliti vloge vseh udeležencev v določeni raziskavi tudi z vidika pravil varstva osebnih podatkov, torej kdo bo obdeloval podatke ter v kateri vlogi (kot samostojni ali skupni upravljavec, kot obdelovalec, kdo so osebe, ki delujejo pod upravljavcem ali obdelovalcem, ipd.).

Lepo vas pozdravljamo.

Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,
Informacijska pooblaščenka