Objava osebnih podatkov živih in umrlih posameznikov v znanstvenem članku

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da preiskujete zapuščino umrlega skladatelja, med zapuščino pa so tudi pisma, ki jih je skladatelj prejel. V znanstvenem članku želite objaviti seznam teh pisem, na katerem bi navedli tudi pošiljatelja. Nekateri izmed njih so še živi, zato nas sprašujete, ali potrebujete njihovo privolitev za objavo ali pa objavite le njihovo ime ali inicialke. Pri tem pojasnjujete težave s pridobivanjem privolitve, saj so nekateri težko dosegljivi, živijo v drugih državah ipd.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Glede objave osebnih podatkov še živečih posameznikov IP ugotavlja, da bo najverjetnejša pravna podlaga njihova privolitev. Zgolj uporaba inicialk ali druge tehnike, po katerem so posamezniki z uporab razumnih sredstev vseeno lahko prepoznavni, ne pomeni anonimizacije (ampak psevdonimizacijo), torej gre še vedno za obdelavo osebnih podatkov, za katero je potrebna pravna podlaga. Glede objave osebnih podatkov umrlih posameznikov pa je treba upoštevati, da je bil 27. 12. 2022 v Uradnem listu objavljen novi Zakon o varstvu osebnih podatkov, ki začne veljati trideseti dan po objavi, zato vam svetujemo, da po tem datumu ustrezno upoštevate njegove določbe, saj vsebuje novo ureditev varstva osebnih podatkov umrlih posameznikov.

Obrazložitev

1.     Splošno o obdelavi osebnih podatkov

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

• privolitev (točka (a)),
• sklenitev ali izvajanje pogodbe (točka (b)),
• zakon (točka (c)),
• zaščita življenjskih interesov posameznika (točka (d)),
• izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1),
• zakoniti interesi upravljavca, če ne prevladajo interesi in pravice oz. svoboščine posameznika (točka (f)).

Za vsako obdelavo osebnih podatkov mora torej obstajati ustrezna pravna podlaga, ki jo mora že pred obdelavo osebnih podatkov natančno razčistiti upravljavec osebnih podatkov, ki mora biti zmožen tudi dokazati zakonitost obdelave osebnih podatkov.

Že na tem mestu izpostavljamo, da če v knjigi ne objavite osebnih podatkov pošiljateljev, ampak anonimizirane podatke, potem ne moremo govoriti o obdelavi osebnih podatkov in tudi pravnim podlagam ni treba zadostiti (na primer iskati privolitve posameznikov). Vendar je pri tem potrebna previdnost; medtem ko anonimni podatki pomenijo dejanske brezosebne podatke, so psevdonimi podatki še vedno osebni podatki, le da so nekoliko »zakriti«, da posamezniki niso razpoznavni »na prvi pogled«. Torej če podatke anonimizirate na način, da posamezniki ne bodo nikoli in nikomur prepoznavni, ne bo šlo za obdelavo osebnih podatkov. Če pa pošiljateljem pisem le dodelite psevdonime (med katere sodi tudi uporaba inicialk), bo pri takšni objavi prišlo do obdelave osebnih podatkov in bo za objavo potrebna pravna podlaga.

2.     Osebni podatki še živečih posameznikov

Kot zgoraj omenjeno, mora biti za obdelavo osebnih podatkov podana ustrezna pravna podlaga. Ker se vaše vprašanje tiče objave v znanstvenem članku, je treba na tem mestu pojasniti, da je Državni zbor pred kratkim sprejel nov Zakon o varstvu osebnih podatkov (ZVOP-2), ki vsebuje novo ureditev varstva osebnih podatkov v razmerju do svobode izražanja. V trenutku pisanja tega mnenja pa ZVOP-2 še ni začel veljati, zato njegove določbe navajamo zgolj informativno in ne zavezujoče.

Drugi odstavek 73. člena ZVOP-2 tako določa, da se lahko v okviru svobode izražanja osebni podatki za namene obveščanja javnosti s strani medijev, književnega, umetniškega ali raziskovalnega ustvarjanja, resne kritike, obrambe kakšne pravice ali varstva upravičene koristi in izobraževanja ali izobraževanja prek javno dostopnih objav in publikacij, obdelajo, objavijo ali drugače razkrijejo, če:

1. je posameznik za obdelavo, objavo ali razkritje osebnih podatkov dal privolitev;

2. je posameznik osebne podatke že javno objavil ali dal na razpolago javnosti;

3. so osebni podatki na zakonit način že bili dostopni javnosti;

4. so bili osebni podatki pridobljeni na podlagi prisotnosti posameznika na javno dostopnih krajih ali dogodkih, kjer posameznik glede na vse okoliščine ne more razumno pričakovati varstva zasebnosti, ter na način, ki ne pomeni občutnega posega v razumno pričakovano zasebnost;

5. gre za zakonito objavo mnenja ali vrednostne ocene, kjer je objava osebnih podatkov nujna za utemeljitev tega mnenja ali vrednostne ocene;

6. so bili osebni podatki pridobljeni na drug zakonit način;

7. javni interes po obveščanju javnosti, pravica do obveščenosti ter svoboda izražanja prevladajo nad upravičenimi interesi varstva zasebnosti in drugih osebnostnih pravic posameznika ali

8. tako določa drug zakon.

IP v neobvezujočem mnenju ne more vnaprej presoditi ali zagotoviti, da je podana katera od zgoraj navedenih pravnih podlag, ugotavljamo pa, da bi v konkretnem primeru najverjetneje prišla kot pravna podlaga v poštev privolitev posameznika (točka (a) prvega odstavka 6. člena Splošne uredbe ter zgoraj prva točka drugega odstavka 73. člena ZVOP-2, ko stopi v veljavo).

Tudi če so posamezniki težko dosegljivi, v tujini itd., bo brez njihove privolitve težko doseči zakonito objavo njihovih osebnih podatkov. Upoštevati je treba tudi pravico do tajnosti pisem in občil, ki je zagotovljena že z Ustavo RS. Poseg v zasebnost posameznika, ki jo utemeljeno pričakuje glede svojih pisemskih občil, je treba varovati in le posameznik lahko s svojo privolitvijo izrazi voljo, da se takšni zasebnosti odreče.

Nadalje pojasnjujemo, da mora biti privolitev vedno prostovoljna, specifična, informirana ter nedvoumna in da se lahko kadarkoli prekliče. Upravljavec mora natančno opredeliti, kakšen je namen podane privolitve, na kakšen način bodo prejeti podatki obdelani in kje bodo objavljeni. Glede na zahtevo, da mora biti privolitev informirana, mora vsebovati torej naslednje:

-       podatek o identiteti upravljavca,

-       konkretno opredeljen namen za vsako posamezno obdelavo, za katero je zahtevana posamezna privolitev,

-       navedbo vrst osebnih podatkov, ki bodo zbrani in obdelovani,

-       obstoj pravice do umika privolitve,

-       obvestilo posamezniku, da ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov (ni relevantno za vaš primer),

-       obvestilo posamezniku o morebitnih tveganjih pri prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo (ni relevantno za vaš primer).

Glede nabora objavljenih osebnih podatkov vam predlagamo, da upoštevate t.i. načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Predlagamo vam, da objavite zgolj tiste osebne podatke, ki so z vidika knjige nujno potrebni za objavo. Na tem mestu lahko kot zaščitni ukrep pred preveč hudimi posegi v pravico do varstva osebnih podatkov uporabite tehniko psevdonimizacije.

3.     Osebni podatki umrlih posameznikov

Kar zadeva osebne podatke umrlih oseb, predstavlja zakonsko podlago za obdelavo osebnih podatkov umrlih v trenutku pisanja tega mnenja 23. člen ZVOP-1. Tretji odstavek 23. člena ZVOP-1 določa, da lahko upravljavec osebnih podatkov osebne podatke o umrlem posamezniku posreduje osebi, ki namerava te podatke uporabljati za zgodovinsko, statistično ali znanstveno-raziskovalne namene, če umrli posameznik ni pisno prepovedal posredovanja teh osebnih podatkov. Če umrli posameznik prepovedi ni podal, lahko osebe, ki so po zakonu, ki ureja dedovanje, njegovi zakoniti dediči prvega ali drugega dednega reda, pisno prepovejo posredovanje njegovih podatkov.

Kot rečeno pa je bil sprejet novi Zakon o varstvu osebnih podatkov, ki varstvo osebnih podatkov umrlih posameznikov ureja drugače. Peti odstavek 9. člena ZVOP-2 tako določa, da se lahko za obdelavo za namene znanstvenega raziskovanja, zgodovinskega raziskovanja, izobraževalne, statistične ali arhivske namene ali v okviru izvajanja svobode izražanja obdelujejo zakonito pridobljeni osebni podatki umrlih posameznikov, če tako določa zakon, če je privolitev pred smrtjo dal posameznik sam ali če je za tako obdelavo v času po smrti posameznika dana pisna privolitev naslednjih oseb v izključujočem vrstnem redu: zakonec ali zunajzakonski partner, otroci ali starši umrlega posameznika. Ne glede na določbe prejšnjega stavka se lahko za objavo ali drugo obdelavo v zgodovinskih in drugih izobraževalnih publikacijah obdelujejo zakonito pridobljeni osebni podatki umrlih posameznikov, če so bili umrli posamezniki javne osebe in če tega ne prepoveduje drug zakon.

Šesti odstavek zgoraj omenjenega 9. člena ZVOP-2 še dodaja, da se določbe tega člena uporabljajo za osebne podatke umrlih posameznikov 20 let po njihovi smrti, če drug zakon ne določa drugače

IP glede izvrševanja ZVOP-2 še nima prakse, iz katere bi lahko črpali nasvete glede pravilne uporabe njegovih določb, saj kot rečeno zakon še ni stopil v veljavo. Svetujemo vam, da se po uveljavitvi ZVOP-2 ravnate po njegovih določbah; zakon je bil v Uradnem listu RS objavljen 27. 12. 2022, veljati pa začne trideseti dan po objavi.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov