Posredovanje osebnih podatkov za znanstvenoraziskovalne namene drugemu upravljavcu

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede posredovanja osebnih podatkov za namen znanstvenoraziskovalnega projekta. Zanima vas:

1)    Pravna podlaga:

Ali pravna podlaga za posredovanje osebnih podatkov tako živih kot umrlih oseb za namen izvedbe znanstvenoraziskovalnega projekta izhaja iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 v povezavi s točko e prvega odstavka 6. člena ter točko i drugega odstavka 9. člena Splošne uredbe, pri čemer ni potrebno upoštevati pogojev iz prvega odstavka 69. člena ZVOP-2?

2)    Skupno upravljavstvo:

Ali pravilno tolmačite, da je opredelitev skupnega upravljavstva med upravljavcem, ki zakonito obdeluje osebne podatke in jih posreduje za namen izvedbe raziskave, ter izvajalcem raziskave neustrezna, saj ne gre za obdelavo osebnih podatkov za namen interne raziskave?

3)    Zagotavljanje varnosti osebnih podatkov:

Ali pravilno razumete, da posredovanje osebnih podatkov umrlih oseb, pri čemer se izvajalec raziskave sklicuje na tolmačenje nizozemske zakonodaje, ki eksplicitno ne ureja varstva osebnih podatkov umrlih oseb, in zato umrlih oseb ne obravnava kot posameznikov, za katere velja varstvo podatkov skladno s 1. točko četrtega člena Splošne uredbe, ni skladno z zahtevo iz 5. točke četrtega odstavka 69. člena ZVOP-2 in posledično nedopustno, saj je potrebno osebne podatke umrlih skladno s slovensko zakonodajo ustrezno varovati?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

Pravna podlaga za posredovanje osebnih podatkov za znanstvenoraziskovalne namene drugemu izvajalcu raziskave izhaja iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2, pri čemer pogoji iz prvega odstavka 69. člena ZVOP-2 niso relevantni. Zavrnitev tovrstne zahteve lahko temelji na razlogih, določenih v četrtem odstavku tega člena.

Za posredovanje osebnih podatkov umrlih posameznikov za znanstvenoraziskovalne namene velja četrti odstavek 9. člena ZVOP-2, ki je manj strog kot določbe 69. člena ZVOP-2.

Samo posredovanje osebnih podatkov izvajalcu raziskave še ne pomeni vzpostavitve skupnega upravljanja, razen če bi oba subjekta skupaj določala namene in sredstva obdelave.

Pri posredovanju osebnih podatkov za znanstvenoraziskovalne namene veljajo tudi postopkovna pravila iz 39. do 41. člena ZVOP-2.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov za znanstvenoraziskovalne namene izvajalcu raziskave niti, ali je v opisanih okoliščinah vzpostavljeno skupno upravljavstvo, saj je to primarna naloga in odgovornost upravljavca. Zato na vaše vprašanje ne moremo dokončno odgovoriti, temveč vam v nadaljevanju podajamo splošna pojasnila in pravna izhodišča, ki vam lahko pomagajo pri sprejemanju ustreznih odločitev.

Vprašanje št. 1 – Pravna podlaga:

ZVOP-2 v 69. členu določa pogoje tako za a) obdelavo osebnih podatkov za lastne raziskovalne namene upravljavca (prvi odstavek) kot tudi b) pogoje za pridobivanje osebnih podatkov od upravljavca s strani raziskovalnih organizacij in raziskovalcev za namene raziskovanja (drugi, tretji in četrti odstavek). Kot pravilno razumete, raziskovalcu oziroma raziskovalni organizaciji iz prvega odstavka 68. člena ZVOP-2 za pridobitev osebnih podatkov od drugega upravljavca za raziskovalne namene torej ni treba izpolnjevati pogojev iz prvega odstavka 69. člena ZVOP-2.

Pogoji za upravičenost do pridobitve zahtevanih osebnih podatkov od drugega upravljavca za znanstvenoraziskovalni namen pa so naslednji:

1.     Izkaz namena:

Raziskovalna organizacija oziroma raziskovalec mora dokazati, da namerava zahtevane osebne podatke obdelovati izključno za znanstvenoraziskovalne namene.

2.     Upravičen subjekt:

Zahtevo mora vložiti raziskovalna organizacija ali raziskovalec, ki upošteva etična načela in metodologijo na področju raziskovanja ter spoštuje pravila s področja varstva osebnih podatkov.

3.     Opis raziskave:

Zahteva mora vsebovati opis raziskave, ki vključuje vse elemente iz drugega odstavka 69. člena ZVOP-2. Poleg tega mora, če to zahtevajo pogoji iz tretjega odstavka 69. člena ZVOP-2, vključevati tudi oceno učinka na varstvo podatkov in zaključke posvetovanja z IP.

4.     Neobstoj razlogov za zavrnitev:

Za pridobitev osebnih podatkov ne smejo biti podani razlogi za zavrnitev posredovanja podatkov, kot jih določa četrti odstavek 69. člena ZVOP-2.

Za posredovanje osebnih podatkov umrlih posameznikov drugim osebam (npr. raziskovalcem), ki dokažejo, da te podatke potrebujejo za znanstvenoraziskovalne namene, velja ureditev po četrtem odstavku 9. člena ZVOP-2. Ta je v primerjavi z 69. členom ZVOP-2 manj stroga. Opozoriti pa je treba, da za objavo osebnih podatkov umrlih posameznikov v rezultatih raziskave kljub temu velja ureditev po sedmem odstavku 69. člena ZVOP‑2.

Vprašanje št. 2 – Skupno upravljavstvo:

Zgolj dejstvo, da upravljavec posreduje osebne podatke raziskovalcu ali raziskovalni organizaciji, samo po sebi še ne pomeni, da postaneta skupna upravljavca osebnih podatkov v smislu 26. člena Splošne uredbe. Skupno upravljavstvo nastopi le v primerih, ko dva ali več subjektov skupaj določata namene in sredstva obdelave osebnih podatkov. V primerih, ko gre le za posredovanje podatkov raziskovalni organizaciji, je upravljavec odgovoren za zakonitost posredovanja, medtem ko raziskovalec ali organizacija, ki prejme te podatke, postane samostojen upravljavec in jih obdeluje za svoj raziskovalni namen.

Upoštevati pa je treba, da lahko druge okoliščine privedejo do vzpostavitve skupnega upravljavstva, na primer, če oba subjekta dejansko sodelujeta pri opredeljevanju namenov, metodologije ali ciljev raziskave in podobno. Če pa gre za zgolj posredovanje podatkov izvajalcu raziskave za samostojen raziskovalni projekt, skupno upravljavstvo načeloma ne nastopi.

Več informacij o skupnih upravljavcih je na voljo tudi v smernicah Evropskega odbora za varstvo podatkov št. 07/2020, ki so dostopne na: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_sl.

Vprašanje št. 3 – Zagotavljanje varnosti osebnih podatkov:

Splošna uredba se ne uporablja za osebne podatke umrlih, vendar lahko države članice same določijo pravila za obdelavo teh osebnih podatkov. To področje je v Republiki Sloveniji urejeno v 9. členu ZVOP-2. Določbe tega člena se uporabljajo za osebne podatke umrlih posameznikov 20 let po njihovi smrti, če drug zakon ne določa drugače. To pomeni, da po preteku 20 let od smrti ti podatki niso več varovani kot osebni podatki po ZVOP-2 in zanje velja področna ureditev, npr. določbe Ustave RS in Obligacijskega zakonika.

Po mnenju IP zato zgolj dejstvo, da zakonodaja druge države članice ne ureja eksplicitno varstva osebnih podatkov umrlih oseb oziroma jih ne obravnava kot osebne podatke v smislu 1. točke četrtega člena Splošne uredbe, še ne pomeni, da je posredovanje teh podatkov za znanstvenoraziskovalne namene avtomatično nezakonito. Pri posredovanju osebnih podatkov umrlih za raziskovalne namene pa je upoštevati določbo četrtega odstavka 9. člena ZVOP-2. Izvajalec raziskave mora skladno s tem natančno opredeliti svoj znanstvenoraziskovalni namen in izkazati potrebo po zahtevanih podatkih za dosego zasledovanega namena.

Ob tem je treba upoštevati, da se pri odločanju o zahtevah po 9. členu in drugemu odstavku 69. člena ZVOP‑2 uporabljajo tudi postopkovna pravila iz 39. do 41. člena ZVOP‑2, saj gre za posredovanje osebnih podatkov. Zahteva za posredovanje mora med drugim vsebovati jasno opredeljen namen obdelave osebnih podatkov ter razloge, ki upravičujejo njihovo uporabo. Če upravljavec zavrne zahtevo za posredovanje osebnih podatkov, so vlagatelju na voljo pravna sredstva, ki so urejena v četrtem odstavku 41. člena ZVOP-2 različno glede na to, ali gre za osebne podatke iz zbirk, ki so uradne evidence ali javne knjige, ali ne.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik,

informacijska pooblaščenka