Obdelava osebnih podatkov v znanstveno-raziskovalne namene

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za splošno pojasnilo in sestanek v zvezi z obdelavo osebnih podatkov v znanstveno-raziskovalne namene oziroma za namene priprave različnih analiz, ki jih odločevalci potrebujejo pri oblikovanju politik na določenem področju oziroma za spremljanje trendov razvoja otrok in mladostnikov na določenem področju. Zanima vas, ali lahko upravljavec oziroma njegov pogodbeni obdelovalec analizira osebne podatke (pravna podlaga za te osebne podatke je podana) tako, da pri tem konkretni osebni podatek primerja s povprečnim podatkom določene populacije. Sprašujete, ali je tako pridobljen podatek, ki je del analize, potrebno obravnavati kot nov osebni podatek posameznika ali pa je to lahko dopustna oblika obdelave osebnega podatka v znanstveno-raziskovalne namene ter če se lahko tak obdelan osebni podatek konkretne osebe hrani v osnovni zbirki osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Ob tem poudarjamo, da IP izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Iz vašega zaprosila izhaja, da bi upravljavec oziroma obdelovalec določen osebni podatek posameznika, za katerega ima pravno podlago, v znanstveno-raziskovalne namene nadalje obdelal tako, da bi ga primerjal s povprečnim podatkom določene populacije.

IP najprej pojasnjuje, da Splošna uredba natančno ne določa, kaj se šteje za znanstveno-raziskovalne namene, v uvodni izjavi 159 Splošne uredbe pa je zapisano, da bi bilo treba obdelavo osebnih podatkov v znanstveno-raziskovalne namene razlagati široko, tako da vključuje tudi na primer tehnološki razvoj, predstavitvene dejavnosti, temeljne raziskave, uporabne raziskave in zasebno financirane raziskave ter upoštevati cilje Unije glede oblikovanja evropskega raziskovalnega prostora. Po 5. členu Zakona o raziskovalni in razvojni dejavnosti (Uradni list RS, št. 22/06 – uradno prečiščeno besedilo, 61/06 – ZDru-1, 112/07, 9/11, 57/12 – ZPOP-1A, 21/18 – ZNOrg in 9/19) obsegata raziskovalna in razvojna dejavnost temeljno in uporabno raziskovanje ter predkonkurenčne raziskave, industrijske raziskave in prenos znanja. Navedeno je treba upoštevati pri presoji, ali gre v konkretnem primeru za obdelavo v znanstveno-raziskovalne namene.

Obdelava v znanstveno-raziskovalne namene ima v Splošni uredbi poseben režim in pogosto predstavlja primer nadaljnje obdelave osebnih podatkov, ki po namenu ni enaka prvotni obdelavi. Skladno s členom 5(1)(b) Splošne uredbe, ki ureja načelo omejitve namena, morajo biti vsi osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) pa ne velja za nezdružljivo s prvotnimi nameni. Domneva združljivosti torej velja le pod pogojem, da se pri takšni nadaljnji obdelavi upoštevajo ustrezni zaščitni ukrepi za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, kot jih zahteva člen 89(1) Splošne uredbe (npr. anonimizacija ali psevdonimizacija).

Prvi odstavek še veljavnega 17. člena ZVOP-1 določa podobno, in sicer, da se ne glede na prvotni namen zbiranja lahko osebni podatki nadalje obdelujejo za zgodovinsko, statistično in znanstveno-raziskovalne namene. Praviloma pa se rezultati raziskave posredujejo uporabniku in objavijo v anonimizirani obliki, razen če zakon določa drugače ali če je posameznik, na katerega se nanašajo osebni podatki, za obdelavo brez anonimiziranja oziroma za objavo v neanonimizirani obliki podal pisno privolitev ali če je za objavo podano pisno soglasje dedičev umrle osebe po tem zakonu (drugi in četrti odstavek 17. člena ZVOP-1). Ker na podlagi anonimiziranega podatka posameznik ni več določljiv, se s tem preprečuje, da bi se objavljeni rezultati raziskave uporabili za sprejem kakršnihkoli odločitev, usmerjenih k posamezniku.

IP ob tem poudarja, da je treba ločevati pojma anonimizacija in psevdonimizacija. Anonimizacija podatkov pomeni obdelavo osebnih podatkov in mora biti opravljena skladno z določbami Splošne uredbe. Vendar pa je anonimiziran podatek nemogoče pripisati določljivemu ali določenemu posamezniku, zato tak podatek ne šteje več za osebni podatek in posledično ne spada v področje uporabe Splošne uredbe. Psevdonimizacija pa pomeni obdelavo osebnih podatkov na tak način, da osebnih podatkov brez dodatnih informacij ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku (člen 4(5) Splošne uredbe). Takšni podatki pa še vedno veljajo za osebne podatke in so podvrženi določbam Splošne uredbe.

IP nadalje pojasnjuje, da podatek, ki je pridobljen iz drugih podatkov (npr. na podlagi analiz, primerjav, kombinacij…) predstavlja nov osebni podatek, če je na njegovi podlagi mogoče ugotoviti identiteto posameznika. Če se tak podatek vodi v osnovni zbirki upravljavca na način, da ga je mogoče pripisati določljivemu posamezniku, potem tak osebni podatek ni anonimiziran, kar samo po sebi ni nedopustno, če ima za to upravljavec ustrezno pravno podlago iz člena 6(1) Splošne uredbe ter v primeru posebnih vrst osebnih podatkov tudi iz člena 9(2) Splošne uredbe. Pravna podlaga je v primeru podane domneve združljivosti namena lahko načeloma enaka tisti, na podlagi katere so bili osebni podatki zbrani (tako uvodna izjava 50 Splošne uredbe). Kot že navedeno, pa je skladno s 17. členom ZVOP-1 neanonimiziran podatek za znanstveno-raziskovalne namene dopustno posredovati drugemu upravljavcu oziroma objaviti le na podlagi zakona ali privolitve posameznika oziroma njegovega dediča. Ob tem IP še dodaja, da Evropski odbor za varstvo podatkov (EDPB) trenutno pripravlja smernice za obdelavo osebnih podatkov za namene znanstvenih raziskav, ki bodo podrobneje naslovile vprašanja s tega področja.

Glede na obrazloženo IP ocenjuje, da v tem trenutku sestanek ni potreben, saj vam izven inšpekcijskega postopka konkretnejših odgovorov ne moremo podati. Presoja zakonitosti posameznih obdelav oziroma spoštovanje izvajanja zakonodaje s področja varstva osebnih podatkov se namreč opravlja v postopku inšpekcijskega nadzora, v katerem so zagotovljene tudi vse varovalke in procesne pravice udeležencem postopka.

Lep pozdrav,

Mojca Prelesnik, univ. dipl. prav.,                                                

informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov