Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 18.04.2019
Naslov: Masovni podatki
Številka: 0712-1/2019/919
Vsebina: Moderne tehnologije, Profiliranje in avtomatizirano odločanje, Statistika in raziskovanje , Telekomunikacije in pošta
Pravni akt: Mnenje

prejeli smo vaš dopis, v katerem nas prosite za odgovore na vprašanja glede zbiranja in obdelave uporabniških podatkov, ki ga izvaja operater A1 (https://www.masovni-podatki.si). Zanima vas, ali smo to že kaj preverjali, konkretno pa vas zanima:

  • Ali bi po mnenju IP naročniki morali imeti možnost izpisa iz tovrstnega zbiranja in obdelovanja podatkov o uporabi, lokaciji in še marsičem, četudi se ti podatki anonimizirajo?

  • Kako bi potem to rešili za tiste, ki gostujejo v omrežju, niso pa naročniki tega operaterja?

  • Ima operater v zakonodaji sploh podlago za tovrstno zbiranje in obdelavo podatkov?

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma poudarja, da predstavljajo obdelave osebnih podatkov v smislu koncepta »big data« precejšnje izzive za varstvo osebnih podatkov. O njih smo se tudi pri IP že izrekli v okviru našega mednarodnega sodelovanja kot člani mednarodnih delovnih skupin in sicer bi vas predvsem napotili na dva pomembna dokumenta, kjer so podrobno opisane pravne podlage, tveganja in izzivi varstva osebnih podatkov v tem oziru:

 

 

IP inšpekcijskih postopkov glede te specifične teme ni vodil, je pa to vsekakor področje, ki bo uvrščeno v načrt inšpekcijskih nadzorov po uradni dolžnosti.

 

Predpostavljamo, da imate z izrazom »imeti možnost izpisa« v mislih možnost ugovora (angl. opt-out), torej da ima uporabnik možnost, da se njegovih podatkov ne obdeluje za te namene, in ne izpisa v smislu dostopa do kopije svojih podatkov. IP pojasnjuje, da imajo države članice skladno s členom 89 Splošne uredbe možnost, da zakonsko uredijo uporabo osebnih podatkov v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene. Člen 89 Splošne uredbe namreč določa:

 

1. Za obdelavo v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene se v skladu s to uredbo uporabljajo ustrezni zaščitni ukrepi za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. S temi zaščitnimi ukrepi se zagotovi, da se sprejmejo tehnični in organizacijski ukrepi, s katerimi se zagotovi zlasti spoštovanje načela najmanjšega obsega podatkov. Ti ukrepi lahko vključujejo psevdonimizacijo, kadar se ti nameni lahko uresničijo na ta način. Kadar se ti nameni lahko uresničijo z nadaljnjo obdelavo, ki ne omogoča ali več ne omogoča identifikacije posameznikov, na katere se nanašajo podatki, se ti nameni uresničijo na ta način.

2. Kadar se osebni podatki obdelujejo v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene, se lahko v pravu Unije ali pravu države članice določijo odstopanja od pravic iz členov 15, 16, 18 in 21, za katere veljajo pogoji in zaščitni ukrepi iz odstavka 1 tega člena, kolikor je verjetno, da bi takšne pravice onemogočile ali resno ovirale doseganje posebnih namenov in kolikor so takšna odstopanja nujna za uresničitev teh namenov.

3. Kadar se osebni podatki obdelujejo za namene arhiviranja v javnem interesu, se lahko v pravu Unije ali pravu države članice določijo odstopanja od pravic iz členov 15, 16, 18, 19, 20 in 21, za katere veljajo pogoji in zaščitni ukrepi iz odstavka 1 tega člena, če bi takšne pravice lahko onemogočile ali resno ovirale doseganje posebnih namenov in kolikor so takšna odstopanja nujna za uresničitev teh namenov.

4. Kadar vrsta obdelave iz odstavkov 2 in 3 hkrati izpolnjuje tudi drug namen, se dovoljena odstopanja uporabijo le za obdelavo v namene iz navedenih odstavkov.

 

Glede na to, da v času pisanja tega mnenja še ni bil sprejet ZVOP-2 ostajajo do nadaljnjega v veljavi določbe 17. člena ZVOP-1, ki glede obdelave za zgodovinsko, statistično in znanstveno-raziskovalne namene določa naslednje:

 

(1) Ne glede na prvotni namen zbiranja se lahko osebni podatki nadalje obdelujejo za zgodovinsko, statistično in znanstveno-raziskovalne namene.

(2) Osebni podatki se posredujejo uporabniku osebnih podatkov za namen obdelave iz prejšnjega odstavka v anonimizirani obliki, če zakon ne določa drugače ali če posameznik, na katerega se nanašajo osebni podatki, ni predhodno podal pisne privolitve, da se lahko obdelujejo brez anonimiziranja.

(3) Osebni podatki, ki so bili posredovani uporabniku osebnih podatkov v skladu s prejšnjim odstavkom, se ob zaključku obdelave uničijo, če zakon ne določa drugače. Uporabnik osebnih podatkov mora upravljavca osebnih podatkov, ki mu je posredoval osebne podatke, brez odlašanja po njihovem uničenju pisno obvestiti, kdaj in na kakšen način jih je uničil.

(4) Rezultati obdelave iz prvega odstavka tega člena se objavijo v anonimizirani obliki, razen če zakon določa drugače ali če je posameznik, na katerega se nanašajo osebni podatki, za objavo v neanonimizirani obliki podal pisno privolitev ali če je za takšno objavo podano pisno soglasje dedičev umrle osebe po tem zakonu.

 

Navedeno poenostavljeno pomeni, da lahko upravljavci osebnih podatkov ne glede na prvotni namen zbiranja osebne podatke, ko so jih zakonito zbrali za sicer druge namene, lahko obdelujejo za statistične namene, vendar pa se lahko zunanjim uporabnikom posredujejo le v anonimizirani obliki (razen če je podana katera od izjem po prvem odstavku, npr. če zakon določa drugače ali če odsotnost anonimizacije predhodno pisno dovoli posameznik). Seveda je potrebno poudariti, da je anonimizacija prometnih in lokacijskih podatkov zelo zahtevna naloga in da nikakor ne pomeni zgolj brisanja osnovnih identifikatorjev posameznika, temveč mora celovito in poglobljeno nasloviti vsa tveganja. Če ta tveganja niso zadostno naslovljena, podatkov ni mogoče zares šteti za anonimizirane, ampak zgolj za psevdonimizirane (torej še vedno za osebne podatke). Glede kriterijev za to se Pooblaščenec naslanja zlasti na mnenje Delovne skupina iz člena 29 o anonimizacijskih tehnikah (dostopno na: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinionrecommendation/files/2014/wp216_en.pdf), ki identificira tri ključna tveganja nepopolne anonimizacije:

 

1. tveganje določljivosti oz. razločljivosti posameznika (angl. singling out),

2. tveganja povezovanja oziroma pripisovanja zapisov istemu posamezniku (angl. linkability),

3. tveganje sprejemanja zaključkov o določenih lastnostih posameznika (angl. inference).

 

Ko poteka obdelava na podlagi določb 17. člena (in skladno z njimi) posameznik glede na določbe ZVOP-1 nima možnosti ugovora. Ob upoštevanju pogojev iz 17. člena ZVOP-1 vprašanje, ali gre za naročnika operaterja ali ne, ni relevantno, saj morajo za vse uporabnike veljati enaka pravila oziroma pogoji in varovalke.

 

Povsem drugače pa je, če bi upravljavec želel osebne podatke uporabljati za druge namene, ki pa niso statistični nameni, npr. za personalizirane odločitve, avtomatizirano odločanje ali profiliranje posameznika. V tem primeru mora strogo upoštevati določbe člena 22 Splošne uredbe, ki posebej ureja avtomatizirano določanje in profiliranje posameznikov in ki določa:

 

1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico, da zanj ne velja odločitev, ki temelji zgolj na avtomatizirani obdelavi, vključno z oblikovanjem profilov, ki ima pravne učinke v zvezi z njim ali na podoben način nanj znatno vpliva.

2. Odstavek 1 se ne uporablja, če je odločitev:

(a) | nujna za sklenitev ali izvajanje pogodbe med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem podatkov;

(b) | dovoljena v pravu Unije ali pravu države članice, ki velja za upravljavca in določa tudi ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, ali

(c) | utemeljena z izrecno privolitvijo posameznika, na katerega se nanašajo osebni podatki.

3. V primerih, navedenih v točkah (a) in (c) odstavka 2, upravljavec podatkov izvede ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, vsaj pravice do osebnega posredovanja upravljavca, do izražanja lastnega stališča in izpodbijanja odločitve.

4. Odločitve iz odstavka 2 ne temeljijo na posebnih vrstah osebnih podatkov iz člena 9(1), razen če se uporablja točka (a) ali (g) člena 9(2) in se izvajajo ustrezni ukrepi za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki.

 

Več o temi avtomatiziranega odločanja in profiliranja lahko najdete v mnenju Evropskega odbora za varstvo podatkov (WP251.rev01), ki so dostopne na: https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612053.

 

 

 

Lep pozdrav,

 

 

Mojca Prelesnik, univ.dipl.prav.,

informacijska pooblaščenka

 

Pripravil:

mag. Andrej Tomšič,
namestnik informacijske pooblaščenke