Obveznost izdelave ocene učinka
+ -Številka: 07120-1/2026/405
Kategorije: Ocene učinkov v zvezi z varstvom podatkov
Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obveznosti priprave ocene učinka v zvezi z varstvom osebnih podatkov pri uvedbi spletne platforme za elektronsko oddajo vlog.
Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.
IP izven konkretnih nadzornih ali drugih upravnih postopkov ne sme presojati, ali so v konkretnem primeru izpolnjeni kriteriji za določene obveznosti zavezancev (kot je npr. obveznost izdelave ocene učinka), saj je to primarno odgovornost zavezanca.
V vsakem primeru (ne glede na to, ali bo izdelana ocena učinka ali ne) je treba pri implementaciji informacijske rešitve poskrbeti za ustrezno varnost osebnih podatkov.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov presojati, ali so v konkretnem primeru izpolnjeni kriteriji za določene obveznosti zavezancev (kot je npr. obveznost izdelave ocene učinka), saj je to primarno odgovornost zavezanca.
IP tako splošno pojasnjuje, da je bistvo ocene učinka v zvezi z varstvom osebnih podatkov vnaprejšnja presojo, ali oziroma pod kakšnimi pogoji bi bila predlagana rešitev zakonita, sorazmerna, transparentna, varna itd. IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena.
Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:
IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama. IP dodaja, da glede na navedbe v vašem zaprosilu ni očitno, da bi predlagana rešitev izpolnjevala katerega od kriterijev, ni pa seveda to izključeno. Bistveno je namreč predvsem, katere vrste osebnih podatkov bo platforma obdelovala in v kakšnem obsegu, katere funkcionalnosti bo omogočala in tudi način njene integracije v vaš dokumentacijski sistem. V kolikor gre pri implementaciji vaše informacijske rešitve za rešitev, pri kateri je pričakovana npr. množična obdelava osebnih podatkov, IP meni, da bi lahko šlo za projekt, ki ima pomembne posledice na varstvo osebnih podatkov posameznikov, zato je glede na določbe Splošne uredbe potrebno, da se pred implementacijo rešitve opravi ustrezna ocena učinka na varstvo osebnih podatkov. IP močno odsvetuje implementacijo informacijskih rešitev velikega obsega brez ustrezno izvedenih predhodnih ocen učinkov na varstvo osebnih podatkov.
IP poudarja tudi, da je ocena učinkov namenjena upravljanju s tveganji in njihovi minimizaciji. Ob tem prinaša tudi druge pozitivne učinke, predvsem bi jo upravljavci, ki stremijo k odgovornemu ravnanju z osebnimi podatki posameznikov, morali prepoznati kot orodje, ki je primarno v njihovem interesu. Namenjeno je namreč pravočasni identifikaciji tveganj in sprejemu ustreznih ukrepov za obvladovanje tveganj, s čimer lahko posamezni upravljavci preprečijo, da bi prišlo do kršitve zakonodaje. V pomoč pri presoji, ali je v določenem primeru obvezna izdelava ocene učinka, so vam lahko smernice o ocenah učinka, ki jih je sprejel Evropski odbor za varstvo podatkov:
https://www.ip-rs.si/fileadmin/user_upload/Pdf/Mednarodno_delovanje/wp248_rev.01_sl.pdf
IP pojasnjuje tudi, da je treba v vsakem primeru (ne glede na to, ali bo izdelana ocena učinka ali ne) pri implementaciji informacijske rešitve poskrbeti za ustrezno varnost osebnih podatkov.
IP sklepno ponovno poudarja, da je to vendarle primarno odločitev upravljavca, ki je torej v vsakem posameznem primeru odgovoren za zakonitost ter sorazmernost obdelav osebnih podatkov, ki jih izvaja.
Lepo vas pozdravljamo.
Pripravil:
Matej Sironič,
Svetovalec pooblaščenca I
dr. Jelena Virant Burnik,
Informacijska pooblaščenka