Posredovanje osebnih podatkov za znanstvenoraziskovalne namene

Datum

11.12.2023

Številka

07121-1/2023/1547

Kategorije

Anonimizacija/psevdonimizacija, Statistika in raziskovanje

Pri Informacijskem pooblaščencu (IP) smo dne 1. 12. 2023 prejeli vaše zaprosilo za mnenje glede posredovanja podatkov o porabi električne energije v določenem naselju po posameznih merilnih mestih. Podatki o porabi na merilnem mestu so osebni podatki, zato vas zanima ali tovrstne podatke lahko posredujete raziskovalni organizaciji v anonimizirani obliki na podlagi določb ZDIJZ.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.Meja med anonomiziranimi podatki in psevodnimiziranimi podatki je lahko zabrisana, zato mora upravljavec pozorno preučiti, ali podatkov z razumnimi sredstvi dejansko ni več mogoče povezati z določenim ali določljivim posameznikom.

2.Dopustnost dostopa do osebnih podatkov za raziskovalne namene na podlagi 69. člena ZVOP-2 je odvisna od kumulativnega izpolnjevanja pogojev, določenih v drugem, tretjem in četrtem odstavku navedenega člena. Upravljavec lahko zavrne posredovanje osebnih podatkov, za katere ga je zaprosila raziskovalna organizacija, če je izpolnjen kateri izmed pogojev iz četrtega odstavka 69. člena ZVOP-2.

3.Presoja izpolnjenosti pogojev iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 je v pristojnosti upravljavcev, ki so tudi odgovorni za zakonitost posredovanja osebnih podatkov.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

IP obenem opozarja, da je področje obdelave osebnih podatkov v raziskovalne namene eno izmed redkih področij, ki jih Splošna uredba v podrobnejše urejanje prepušča državam članicam. V Sloveniji je to področje urejeno v 68. do 70. členu ZVOP-2, ki velja od 26. 1. 2023, zato ustaljena praksa na tem področju še ni vzpostavljena. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V skladu z definicijo iz prve točke 4. člena Splošne uredbe je osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določen, če ga je mogoče prepoznati in ločiti od ostalih oseb, določljiv posameznik pa sicer še ni prepoznaven, je pa njegova identifikacija mogoča neposredno ali posredno z uporabo identifikatorjev, na primer njegovega osebnega imena, podatka o lokaciji ali spletnega identifikatorja (IP naslova). Takšni podatki, ki na prvi pogled lahko delujejo kot anonimizirani podatki, vendar je z uporabo drugih informacij mogoče določiti posameznika, na katerega se nanašajo, so psevdonimizirani podatki. Tudi psevodnimizirani podatki so osebni podatki, zato je njihovo zbiranje podvrženo enakim pravilom kot obdelava ostalih osebnih podatkov. Po drugi strani pa anonimiziranih podatkov z razumnimi sredstvi ni več mogoče povezati z določenim ali določljivim posameznikom, zato ne gre za osebne podatke in zanje ne uporabljamo pravil s področja varstva osebnih podatkov. IP ob tem izpostavlja, da je meja med anonomiziranimi podatki in psevodnimiziranimi podatki lahko zabrisana, zato mora upravljavec pozorno preučiti, ali podatkov z razumnimi sredstvi dejansko ni več mogoče povezati določenim ali določljivim posameznikom.

Iz vašega zaprosila za mnenje ne izhaja, ali ste zahtevo za dostop do podatkov prejeli na podlagi Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odl. US, 102/15, 7/18 in 141/22, v nadaljevanju: ZDIJZ) ali Zakona o varstvu osebnih podatkov, zato sta v nadaljevanju predstavljeni ureditvi posredovanja podatkov v skladu z obema zakonoma.

1. Posredovanje podatkov na podlagi ZDIJZ

Zakon o dostopu do informacij javnega značaja k posredovanju informacij javnega značaja obvezuje dva tipa zavezancev:

1.vse državne organe, organe lokalnih skupnosti, osebe javnega prava, nosilce javnih pooblastil in izvajalce javnih služb (»organi«);

2.vse gospodarske družbe in druge pravne osebe zasebnega prava pod neposrednim ali posrednim prevladujočim vplivom, posamično ali skupaj, Republike Slovenije, samoupravnih lokalnih skupnosti in drugih oseb javnega prava (»poslovni subjekti pod prevladujočim vplivom oseb javnega prava«).

Definicija informacije javnega značaja se razlikuje glede na tip zavezanca v skladu z ZDIJZ. IP je skladno s 1. alinejo prvega odstavka 2. člena Zakona o Informacijskem pooblaščencu v povezavi z ZDIJZ v zadevah s področja dostopa do informacij javnega značaja pristojen za odločanje o pritožbi in v tem delu ne sme prejudicirati odločitve. To pomeni, da izven konkretnega pritožnega postopka ne sme razlagati zakona (ZDIJZ) in podajati pisnih mnenj glede pravilnosti vodenja konkretnih postopkov, zlasti pa ne zavezancem zapovedovati, kakšno odločitev morajo sprejeti. Vsakokratna odločitev zavezanca je namreč pogojena s specifikami posameznega primera in mora zanjo odgovornost sprejeti zavezanec sam. Praksa IP na področju dostopa do informacij javnega značaja je na voljo na naši spletni strani (https://www.ip-rs.si/informacije-javnega-zna%C4%8Daja/iskalnik-po-odlo%C4%8Dbah/).

2. Posredovanje podatkov na podlagi ZVOP-2

Obdelava osebnih podatkov za raziskovalne namene je urejena v 68. do 70. členu ZVOP-2. V skladu drugim, tretjim in četrtim odstavkom 69. člena ZVOP-2 je posredovanje osebnih podatkov za raziskovalne namene dopustno, če so kumulativno izpolnjeni naslednji pogoji:

a.gre za obdelavo osebnih podatkov v raziskovalne namene;

b.obdelavo podatkov izvaja raziskovalna organizacija ali raziskovalec v smislu 68. člena ZVOP-2, ki izkazuje izpolnjevanje pogojev glede uporabe etičnih načel in metodologije s področja raziskovanja;

d.prošnji za podatke je priložen opis raziskave in glede na okoliščine konkretnega primera tudi ocena učinka in zaključki posvetovanja z nadzornim organom;

e.ni podan noben izmed primerov iz četrtega odstavka 69. člena ZVOP-2 za zavrnitev posredovanja podatkov.

Splošna uredba ne ureja natančno, katere vrste obdelav podatkov pomenijo obdelavo v raziskovalne namene. Uvodna opomba 159 Splošne uredbe določa, da bi bilo treba obdelavo osebnih podatkov v znanstvenoraziskovalne namene razlagati široko, tako da vključuje tudi tehnološki razvoj, predstavitvene dejavnosti, temeljne raziskave, uporabne raziskave in zasebno financirane raziskave, pa tudi študije, izvedene v javnem interesu na področju javnega zdravja.

ZVOP-2 v prvem odstavku 68. člena uvaja dodatni pogoj glede dostopa do podatkov v raziskovalne namene, saj se ureditev iz 69. in 70. člena uporablja le za organizacije in posameznike, ki pri svojem delovanju uporabljajo etična načela in metodologijo s področja raziskovanja. Na izjemo glede obdelave osebnih podatkov v raziskovalne namene se tako lahko sklicujejo le organizacije (na primer univerze in inštituti) in posamezniki (na primer doktorski študenti), ki pri svojem delu sledijo uveljavljenim metodološkim in etičnim standardom znanstvenega raziskovanja, kar lahko glede na okoliščine konkretnega primera dokazujejo na različne načine, na primer s predložitvijo mnenja etične komisije, dokazilom o tem, da organizacijo zavezujejo določena zunanja ali notranja pravila na tem področju, s predložitvijo ustreznega protokola raziskave ali z zavezujočo enostransko izjavo. Vendar pa IP izpostavlja, da gre za izjemo glede dostopa do podatkov, zato jo je treba razlagati ozko.

Zahtevi za dostop do podatkov mora raziskovalna organizacija predložiti opis raziskave, ki vključuje:

1.naslov raziskave in navedbo nosilcev raziskave (za fizične osebe osebno ime, naziv in prebivališče, za pravno osebo pa firmo, matično številko in sedež);

2.podatke o izvajalcih raziskave (osebno ime, naziv, prebivališče, morebitno razmerje do nosilca raziskave in morebitna šifra raziskovalca);

3.namene oziroma cilje raziskave;

4.predvidena sredstva in dejanja obdelave osebnih podatkov, vključno z navedbo etičnih načel in metodologije iz prvega odstavka prejšnjega člena in ukrepi za varnost osebnih podatkov;

5.vrste osebnih podatkov, ki bi jih želeli pridobiti od upravljavca, in kategorije posameznikov, na katere se nanašajo ti podatki;

6.obliko, v kateri želijo prejeti osebne podatke (izvorni osebni podatki, psevdonimizirani osebni podatki, osebni podatki v obliki, ki ne omogoča identifikacije, anonimizirani podatki), in navedbo razloga za določeno obliko podatkov;

7.način objave ali drugačne dostopnosti raziskave.

Posredovanje podatkov ni dolžnost upravljavca in jo lahko v določenih primerih tudi zavrne, na primer če raziskovalna organizacija zaprosilu za podatke ni priložila (ustreznega) opisa raziskave ali če oceni, da zahtevani osebni podatki niso primerni za izvedbo raziskave ali da nameni oziroma cilji raziskave ne upravičujejo posega v pravice posameznikov (vsi razlogi za zavrnitev so navedeni v četrtem odstavku 69. člena ZVOP-2). Presoja izpolnjenosti pogojev iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 je v pristojnosti upravljavcev, ki so tudi odgovorni za zakonitost posredovanja osebnih podatkov.

Več o posredovanju osebnih podatkov za znanstvenoraziskovalne namene si lahko preberete v mnenjih Informacijskega pooblaščenca, na primer v mnenju št. 07120-1/2023/42 z dne 3. 3. 2023, mnenju št. 07120-1/2023/379 z dne 11. 8. 2023 in mnenju št. 07120-1/2023/473 z dne 24. 10. 2023.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka IP za mednarodne odnose

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka