Posredovanje podatkov ministrstvu na podlagi izjeme dostopa do podatkov za raziskovalne namene

Pri Informacijskem pooblaščencu (IP) smo dne 21. 7. 2023 prejeli vaše zaprosilo za mnenje glede posredovanja podatkov na podlagi 69. člena ZVOP-2. Navajate, da vas je ministrstvo zaprosilo za posredovanje neanonimiziranih podatkov za pripravo različnih ekonomskih in statističnih analiz, namenjenih načrtovanju, spremljanju in ocenjevanju sprememb ukrepov na delovnem področju ministrstva. Zanima vas, ali ima ministrstvo lahko status raziskovalne organizacije, ki pri svojem delovanju uporablja etična načela in metodologijo s področja raziskovanja in s tem izpolnjuje temeljni pogoj za posredovanje podatkov na podlagi 69. člena ZVOP-2?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Ali ima določen subjekt status raziskovalne organizacije, je treba presojati glede na vse okoliščine posameznega primera in raziskave. Glede na dikcijo ZVOP-2 in obrazložitev predlagatelja v zakonodajnem postopku, ni razbrati, da bi na splošno in v vseh primerih ministrstva kot del izvršilne veje oblasti imela zgolj s sprejemom podzakonskega akta status raziskovalnih organizacij, saj bi lahko to pomenilo obid zakona s ciljem pridobivanja osebnih podatkov iz vseh zbirk. Ministrstva načeloma pridobivajo podatke, ki jih potrebujejo za učinkovito opravljanje delovnih nalog na upravnem področju ministrstva, preko ugotovitev oziroma rezultatov statističnih raziskovanj Statističnega urada Republike Slovenije, ki je kot samostojna strokovna vladna služba ustanovljen prav z namenom zagotavljanja podatkov organom in organizacijam javne uprave, gospodarstvu in javnosti. Zato podatkov (v obliki analiz in ne v surovi obliki kopiranja celotnih zbirk), ki jih lahko pridobijo od Statističnega urada, praviloma ne morejo zahtevati od drugih upravljavcev na podlagi izjeme za dostop do podatkov za namene znanstvenega raziskovanja.

2. Če so izpolnjeni drugi pogoji za posredovanje podatkov, mora opis raziskave vsebovati ne le vse sestavine iz drugega odstavka 69. člena ZVOP-2 (formalni kriterij), temveč mora raziskovalna organizacija upravljavcu zagotoviti vse informacije o raziskavi, ki mu omogočijo vsebinsko presojo (materialni kriterij).

3. Raziskovalna organizacija mora v opisu raziskave poleg same navedbe oblike, v kateri želi prejeti osebne podatke (izvorni osebni podatki, psevdonimizirani osebni podatki, osebni podatki v obliki, ki ne omogoča identifikacije, anonimizirani podatki), tudi navesti razloge za določeno obliko podatkov.

O b r a z l o ž i t e v:

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podaja zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V skladu drugim, tretjim in četrtim odstavkom 69. člena ZVOP-2 je posredovanje osebnih podatkov za raziskovalne namene dopustno, če so izpolnjeni naslednji pogoji:

a.     gre za raziskovalno organizacijo v smislu 68. člena ZVOP-2, ki izkazuje izpolnjevanje pogojev glede uporabe etičnih načel in metodologije s področja raziskovanja;

b.     raziskovalna organizacija je prošnji za posredovanje osebnih podatkov predložila ustrezen opis raziskave in morebitne priloge (na primer oceno učinka);

c.     ni podan noben izmed razlogov za zavrnitev posredovanja osebnih podatkov.

Kljub temu, da niti Splošna uredba niti ZVOP-2 ne urejata natančno, katere vrste obdelav podatkov pomenijo obdelavo v raziskovalne namene ter dopuščata možnost široke razlage, pa vseeno določb, ki urejajo obdelavo podatkov v raziskovalne namene ni mogoče razumeti na način, da lahko obdelavo za ta namen opravljajo vsi upravljavci pri izvrševanju vseh svojih nalog. Takšna razlaga bi pomenila obid vseh določb Splošne uredbe in ZVOP-2 glede zakonitosti obdelav.

V skladu z načelom delitve oblasti ministrstva kot del izvršilne veje oblasti opravljajo upravne naloge na enem ali več upravnih področjih, delovna (upravna) področja posameznih ministrstev ter njihove naloge in pristojnosti pa določa Zakon o državni upravi  (v nadaljevanju: ZDU-1). Ta v 29. členu opredeljuje naloge ministrstva za finance kot »naloge na področjih makroekonomske politike in koordinacije strukturnih reform, zakladništva, javnega računovodstva, programskega proračuna, davčnega in carinskega sistema, javnofinančnih prihodkov in finančnega sistema, finančnega premoženja, poroštev, zadolževanja javnega sektorja, javno-zasebnega partnerstva, preglednosti finančnih odnosov, preprečevanja in odkrivanja pranja denarja, prirejanja iger na srečo, državnih pomoči ter fiskalnih analiz in napovedi«.

Uresničevanje nalog iz upravnega področja ministrstva za finance gotovo zahteva tudi pripravo različnih ekonomskih in statističnih analiz, namenjenih načrtovanju, spremljanju in ocenjevanju sprememb ukrepov. Vendar IP izpostavlja, da je na podlagi Zakona o državni statistiki (v nadaljevanju: ZDSta) za zagotavljanje podatkov o stanju in gibanjih na ekonomskem, demografskem in socialnem področju državnim organom in organizacijam javne uprave pristojen Statistični urad Republike Slovenije (v nadaljevanju: SURS). SURS ima v skladu s 34. členom ZDSta za izvajanje programa statističnih raziskovanj pravico zbirati podatke iz vseh obstoječih virov, zbirke podatkov pa lahko vsebujejo tudi osebne podatke, če so zbrani in uporabljeni v skladu z zakonom, ki ureja varstvo osebnih podatkov. Na podlagi navedenega IP meni, da ministrstva načeloma pridobivajo podatke, ki jih potrebujejo za učinkovito opravljanje delovnih nalog na upravnem področju ministrstva, preko ugotovitev statističnih raziskovanj, ki jih izvaja Statistični urad Republike Slovenije, ki je kot samostojna strokovna vladna služba ustanovljen prav z namenom zagotavljanja podatkov organom in organizacijam javne uprave, gospodarstvu in javnosti. Zato ministrstva podatkov za pripravo ocene stanja in načrtovanje bodočih politik na podlagi statističnih podatkov (v obliki analiz in ne v surovi obliki kopiranja celotnih zbirk), ki jih lahko pridobijo od Statističnega urada, praviloma ne morejo zahtevati od drugih upravljavcev na podlagi izjeme za dostop do podatkov za namene znanstvenega raziskovanja. Ministri poleg vodenja in predstavljanja ministrstva tudi tvorijo vlado, ki ima v Statističnem svetu Republike Slovenije dva predstavnika, zato lahko vplivajo na vsebine za statistično raziskovanje, ki jih potrebujejo za namene priprave predpisov s tem da jih predlagajo za vključitev v program statističnih raziskovanj. Srednjeročni program statističnih raziskovanj sprejme vlada za petletno obdobje, letni program pa predstojnik urada v soglasju s pooblaščenimi izvajalci. Oba programa se objavita v Uradnem listu Republike Slovenije. 26. člen ZDStat še določa, da  obsežnejša občasna statistična raziskovanja v državi, ki se ne izvajajo v okviru programa statističnih raziskovanj (popisi, ankete ipd.), urejajo posebni zakoni.

Ad. 1 Glede uporabe etičnih načel in metodologije s področja raziskovanja

IP je v mnenju št. 07121-1/2023/42 že pojasnil, da ZVOP-2 ne napotuje na posebna pravila ali standarde ter ne določa meril za presojo, ali raziskovalna organizacija pri svojem delu uporablja etična načela in metodologijo s področja raziskovanja. Raziskovalna organizacija lahko izkaže izpolnjevanje tega pogoja na primer z različnimi kombinacijami naslednjih dokazil:

-         z zavezujočo enostransko izjavo,

-         z izjavo o pristopu k določenim pravilom drugih organizacij,

-         z dokazilom o tem, da je članica oziroma član organizacije, za katero veljajo določena notranja ali zunanja pravila (npr. univerza, raziskovalni konzorcij),

-         s predložitvijo lastnih oziroma internih pravil,

-         s predložitvijo ustreznega protokola raziskave,

-         s predložitvijo ustreznih referenc,

-         z dokazilom o vpisu v evidenco o izvajalcih raziskovalne in razvojne dejavnosti v skladu z Zakonom o znanstvenoraziskovalni in inovacijski dejavnosti (ZZrID),

-         s predložitvijo soglasja Komisije za medicinsko etiko ali podobnega telesa.

IP se ne more vnaprej opredeljevati do vprašanja izpolnjenosti pogojev za posredovanje podatkov v konkretnem primeru in ne more vnaprej presojati, ali sploh gre v konkretnem primeru za raziskovalno organizacijo, ki uporablja ustrezna etična načela in metodologijo s področja raziskovanja, saj v skladu s četrtim odstavkom 41. člena ZVOP-2 nastopa kot pritožbeni organ v primeru delne ali popolne zavrnitve zahteve za dostop do podatkov iz uradnih evidenc ali javnih knjig.

IP ob tem opozarja, da je breme dokazovanja, da izpolnjuje pogoj iz prvega odstavka 68. člena ZVOP-2 glede uporabe etičnih načel in metodologije s področja raziskovanja, na raziskovalni organizaciji, ki mora v opisu raziskave med drugim jasno in natančno opisati na kakšen način bo obdelovala osebne podatke, vključno z navedbo etičnih načel in metodologije, ki upravljavcu omogoči presojo. Predložena dokazila pa mora upravljavec presojati ne le formalno, temveč tudi vsebinsko ter na podlagi vseh okoliščin konkretnega primera oceniti, ali gre v konkretnem primeru za raziskovalno organizacijo, ki pri svojem delu uporablja etična načela in metodologijo s področja raziskovanja ter pravila glede varstva osebnih podatkov.

Ad. 2 Glede opisa raziskave in ocene učinka

Raziskovalne organizacije ter raziskovalci, ki izpolnjujejo druge pogoje iz 68. in 69. člena ZVOP-2, lahko za namene raziskovanja od upravljavca pridobijo osebne podatke, vključno s posebnimi vrstami osebnih podatkov, če predložijo opis raziskave, ki vsebuje vse sestavne dele, navedene v drugem odstavku 69. člena ZVOP-2. Kot je IP že pojasnil pod točko 1, mora opis raziskave vsebovati ne le vse sestavine iz drugega odstavka 69. člena ZVOP-2 (formalni kriterij), temveč mora raziskovalna organizacija upravljavcu zagotoviti vse informacije o raziskavi, ki mu omogočijo vsebinsko presojo (materialni kriterij). Navedeno izhaja tudi iz Predloga Zakona o varstvu osebnih podatkov, ki navaja, da je namen opisa raziskave omogočiti upravljavcu, da se seznani z raziskavo, njenimi nameni, potrebnimi podatki in na tej podlagi sprejme informirano in utemeljeno odločitev o posredovanju osebnih podatkov.

Posebej glede oblike, v kateri želi raziskovalna organizacija prejeti osebne podatke, IP poudarja, da mora v opisu raziskave poleg same navedbe oblike, v kateri želi prejeti osebne podatke (izvorni osebni podatki, psevdonimizirani osebni podatki, osebni podatki v obliki, ki ne omogoča identifikacije, anonimizirani podatki), navesti tudi razloge za določeno obliko podatkov (6. točka drugega odstavka 69. člena ZVOP-2). Ob upoštevanju načela najmanjšega obsega podatkov iz 5(1)(c) člena Splošne uredbe, ki zahteva, da so zbrani podatki omejeni na to, kar je potrebno za namene, za katere se obdelujejo, osebni podatki pa se lahko obdelajo le, če namena obdelave ni mogoče razumno doseči z drugimi sredstvi ter dejstva, da gre pri dostopu do osebnih podatkov na podlagi 69. člena ZVOP-2 za izjemo, ki jo je treba razlagati ozko, IP meni, da mora raziskovalna organizacija pojasniti, zakaj cilja raziskave ne bi bilo mogoče doseči z obdelavo anonimiziranih podatkov, ki manj intenzivno posega v pravice posameznika. Izkazati mora torej, da  je predlagana obdelava podatkov nujno potrebna in v tolikšni meri bolj učinkovita, da pretehta poseg v pravico do varstva osebnih podatkov posameznika.

Dodatno IP opozarja na določbo tretjega odstavka 69. člena ZVOP-2, ki zahteva, da raziskovalna organizacija, ki zaprosi za osebne podatke na podlagi 69. člena ZVOP-2, opisu raziskave priloži oceno učinka v zvezi z varstvom osebnih podatkov, kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov (prvi odstavek člen 35 Splošne uredbe).

Ocena učinkov sicer ni obvezna za vse upravljavce in za vse obdelave osebnih podatkov. Splošna uredba v tretjem odstavku člena 35 le primeroma navaja, v katerih primerih morajo upravljavci pripraviti oceno učinka, IP pa je pripravil tudi Seznam dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku člena 35 Uredbe (EU) 2016/679, ki je dostopen na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf.

Ad. 3 Glede razlogov za zavrnitev posredovanja osebnih podatkov

V skladu s četrtim odstavkom 69. člena ZVOP-2 upravljavec zavrne posredovanje osebnih podatkov:

1.     če niso izpolnjeni pogoji iz drugega in tretjega odstavka tega člena;

2.     če oceni, da zahtevani osebni podatki niso primerni za izvedbo raziskave;

3.     če oceni, da nameni oziroma cilji raziskave ne upravičujejo posega v pravice posameznikov, na katere se nanašajo osebni podatki;

4.     če upravljavec iz zasebnega sektorja in raziskovalna organizacija oziroma raziskovalec ne dosežeta soglasja o ceni posredovanja podatkov;

5.     če oceni, da ukrepi za varnost osebnih podatkov niso ustrezni, ali

6.     če gre za tajne podatke v skladu z zakonom o tajnih podatkih.

Predvsem pri odločanju glede zavrnilnih razlogov na podlagi prve, druge in tretje točke četrtega člena 69. člena ZVOP-2 je ključno, da upravljavec razpolaga s popolnimi in natančnimi podatki o namenih oziroma ciljih raziskave, predvidenih sredstvih in dejanjih obdelave osebnih podatkov, ukrepih za varnost osebnih podatkov, vrstah osebnih podatkov, ki bi jih želeli pridobiti od upravljavca, in kategorijah posameznikov, na katere se ti podatki nanašajo, saj mu šele te informacije omogočijo vsebinsko utemeljeno odločitev o zavrnitvi posredovanja osebnih podatkov.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka