Obdelava posebnih kategorij osebnih podatkov pri delovanju aplikacije

Datum

16.12.2024

Številka

07120-1/2024/442

Kategorije

Umetna indeligenca

Pri Informacijskem pooblaščencu (IP) smo dne 11. 12. 2024 prejeli vaše zaprosilo za mnenje glede obdelave posebnih kategorij osebnih podatkov v zvezi z uporabo aplikacije, ki je namenjena slikovnemu zajemu in obdelavi podatkov za oblikovanje delovne diagnoze ter podporo zdravstvenim delavcem pri obravnavi pacientov. Aplikacija uporablja tehnologijo optične prepoznave znakov (OCR) in umetno inteligenco za prepoznavo relevantnih podatkov, ki so pomembni za nadaljnjo obravnavo pacienta. V zaprosilu za mnenje opisujete tri možne različice delovanja aplikacije, ki se razlikujejo glede na to, ali se obdelujejo osebni ali neosebni podatki ter glede na to, kje poteka obdelava podatkov. Zanima vas, ali so opisane obdelave osebnih podatkov skladne z zahtevami Splošne uredbe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1.1. Zgolj z maskiranjem ali počrnitvijo določenih osebnih podatkov iz zdravstvene kartoteke pacienta, na primer osebnega imena, datuma rojstva, enotne matične številke občana (EMŠO) in podobnih alfanumeričnih podatkov, običajno ni mogoče zagotoviti anominizacije podatkov.

2.2. V primeru obdelav posebnih kategorij osebnih podatkov (občutljivih podatkov) mora biti podana tako pravna podlaga iz 6. člena, kot tudi ena izmed izjem za obdelavo občutljivih podatkov iz 9. člena Splošne uredbe.

3.3. IP dodatno izpostavlja, da 9(2)(h) člen Splošne uredbe sam po sebi ne predstavlja pravne podlage za obdelavo občutljivih podatkov, temveč je takšna obdelava dopustna le, če je (1) je nujno potrebna za doseganje ciljev, ki so opredeljeni v tem členu; (2) takšna obdelava je določena v pravu Unije ali pravu države članice ali v pogodbi z zdravstvenim delavcem; (3) in zanjo veljajo pogoji in zaščitni ukrepi iz 9(3) člena Splošne uredbe.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. Obenem IP tudi niso znane vse podrobnosti konkretnih tehnoloških rešitev, ki jih navajate v zaprosilu za mnenje, zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

Splošna uredba je tehnološko nevtralna, kar pomeni, da se uporablja ne glede na uporabljeno tehnologijo, če gre za obdelavo osebnih podatkov. Vsaka obdelava osebnih podatkov, ne glede na to, ali se podatki obdelujejo v okviru UI sistemov ali pa je za njihovo obdelavo uporablja kakšno drugo, manj sofisticirano orodje, mora izpolnjevati vse zahteve iz Splošne uredbe in ZVOP-2. In nasprotno: če sistem UI ne obdeluje osebnih podatkov, se določbe Splošne uredbe in ZVOP-2 ne uporabljajo. Zato je za zagotavljanje skladnosti sistemov UI z varstvom osebnih podatkov ključno, da upravljavec pravilno presodi, ali sistem UI obdeluje osebne podatke ali ne, ob tem pa upošteva, da je definicija osebnega podatka široka in zajema vse informacije, ki so v zvezi z določenim ali določljivim posameznikom.

V skladu z definicijo iz 1. točke 4. člena Splošne uredbe je osebni podatek katerakoli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določen, če ga je mogoče prepoznati in ločiti od ostalih oseb, določljiv posameznik pa sicer še ni prepoznaven, je pa njegova identifikacija mogoča neposredno ali posredno z uporabo identifikatorjev, na primer osebnih imen, identifikacijskih številk, podatkov o lokaciji, spletnih identifikatorjev, ali okoliščin, ki so značilne za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto posameznika. Za določitev posameznika se lahko uporabijo vsa sredstva, za katera se razumno pričakuje, da jih bo upravljavec ali druga oseba uporabila za identifikacijo posameznika. IP izpostavlja, da za določljivost posameznika ni nujno, da je določljiv za upravljavca, temveč so lahko identifikatorji, na podlagi katerih je mogoče identificirati posameznika, v rokah drugih subjektov (upravljavcev) ali pa so razpršeni med različnimi subjekti.

Več o tehnikah anonimizacije si lahko preberete v mnenju Delovne skupine za varstvo podatkov iz člena 29 glede anonimizacijskih tehnik, kjer so opisana vsa tveganja v zvezi z določljivostjo posameznikov:

https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_sl.pdf. Med drugim je Delovna skupina iz člena 29 v mnenju jasno izrazila stališče, da »odstranitev elementov, ki omogočajo neposredno določitev, sama po sebi na splošno torej ne zadostuje za zagotovitev, da določitev posameznika, na katerega se nanašajo osebni podatki, ni več mogoča. Pogosto je treba sprejeti dodatne ukrepe za preprečitev določitve, ki so znova odvisni od okoliščin in namenov obdelave, za katero so anonimizirani podatki namenjeni.«

Glede na navedeno IP glede Različice 1 izpostavlja, da zgolj z maskiranjem ali počrnitvijo določenih osebnih podatkov iz zdravstvene kartoteke pacienta, na primer osebnega imena, datuma rojstva, enotne matične številke občana (EMŠO) in podobnih alfanumeričnih podatkov, običajno ni mogoče zagotoviti anominizacije podatkov.

Če upravljavec presodi, da se v katerikoli fazi življenjskega cikla UI, na primer v fazi razvoja ali uvajanja sistema UI, obdelujejo osebni podatki, mora zagotoviti skladnost tovrstne obdelave z določbami Splošne uredbe. V nadaljevanju navajamo nekatere najbolj pomembne vidike, o katerih mora razmisliti upravljavec, če želi zagotoviti skladnost z varstvom osebnih podatkov. Izpostavljena področja so navedena zgolj primeroma in niso izčrpna. Za oceno skladnosti konkretne obdelave osebnih podatkov je odgovoren upravljavec, odvisna pa je od okoliščin vsakega posameznega primera.

Odgovornost za obdelavo osebnih podatkov

Razvoj in uvajanje sistemov UI običajno vsebuje več postopkov obdelav (osebnih) podatkov, ki lahko zasledujejo različne namene, vanje pa je običajno vključenih več podjetij ali organizacij. Zato je pomembno, da opredelite, kakšno vlogo in s tem tudi odgovornosti imajo ta podjetja in organizacije v okviru varstva osebnih podatkov. Splošna uredba ločuje med dvema skupinama akterjev, ki sodelujejo pri obdelavi osebnih podatkov: upravljavci so pravne ali fizične osebe, ki sami ali skupaj (v tem primeru gre za skupne upravljavce) usmerjajo obdelavo z določanjem njenih ciljev in sredstev, lahko pa jo tudi prepustijo tretji osebi, ki v tem primeru nastopa v vlogi obdelovalca. V skladu z načelom odgovornosti so upravljavci odgovorni za zagotavljanje skladnosti z določbami Splošne uredbe in jo morajo biti sposobni tudi dokazati.

Pravne podlago za obdelavo osebnih podatkov

Osebni podatki se lahko obdelujejo le, če za njihovo obdelavo obstaja pravna podlaga iz 6. člena Splošne uredbe, v primeru občutljivih podatkov pa tudi ena izmed izjem za obdelavo tovrstnih podatkov iz 9. člena Splošne uredbe. V primeru obdelav posebnih kategorij osebnih podatkov (občutljivih podatkov) mora biti tako podana pravna podlaga iz 6. člena in ena izmed izjem za obdelavo občutljivih podatkov iz 9. člena Splošne uredbe.

IP dodatno izpostavlja, da 9(2)(h) člen Splošne uredbe sam po sebi ne predstavlja pravne podlage za obdelavo občutljivih podatkov, temveč je takšna obdelava dopustna le, če je (1) je nujno potrebna za doseganje ciljev, ki so opredeljeni v tem členu; (2) takšna obdelava je določena v pravu Unije ali pravu države članice ali v pogodbi z zdravstvenim delavcem; (3) in zanjo veljajo pogoji in zaščitni ukrepi iz 9(3) člena Splošne uredbe.

Med pravnimi podlagami ni hierarhije, vendar pa ni vsaka pravna podlaga primerna za vsak postopek obdelave oziroma za vsako razmerje med upravljavcem in posameznikom. Upravljavec mora glede na vse okoliščine konkretne obdelave osebnih podatkov izbrati najbolj ustrezno med njimi, pri tem pa mora upoštevati tudi posebnosti obdelave osebnih podatkov pri razvoju in uvajanju UI sistemov. Pravno podlago mora upravljavec določiti pred začetkom obdelave osebnih podatkov in jo lahko spremeni le, če za to obstaja utemeljen razlog.

Obseg zbranih podatkov in rok hrambe

Načelo najmanjšega obsega podatkov zahteva, da se obdeluje le toliko osebnih podatkov, kot jih je potrebnih za namene, za katere se obdelujejo. Če podatki niso potrebni za namen, ki ga zasleduje obdelava osebnih podatkov, jih upravljavec za ta namen ne sme obdelovati. Zbiranje in hramba osebnih podatkov »na zalogo«, brez jasno določenega namena obdelave, zato ni dopustna.

Tako kot ni dopustno zbirati neopredeljenega obsega osebnih podatkov, Splošna uredba tudi prepoveduje, da bi se osebni podatki hranili nedoločen čas. V skladu z načelom omejitve shranjevanja se osebni podatki lahko hranijo le toliko časa, kolikor je potrebno za namene, za katere se obdelujejo. Glede na namen obdelave osebnih podatkov in ostale okoliščine obdelave mora upravljavec določiti rok hrambe osebnih podatkov še preden se obdelava prične, po izteku rokov hrambe pa mora osebne podatke izbrisati ali jih anonimizirati.

Zagotavljanje pravic posameznikov

Na glede na to, kako so bili osebni podatki zbrani in na kakšen način se obdelujejo, morajo biti posamezniki, na katere se podatki nanašajo, obveščeni o nekaterih najpomembnejših okoliščinah obdelave podatkov, na primer o namenu obdelave, pravni podlagi in roku hrambe. Med drugim mora upravljavec posameznike obvestiti tudi o njihovih pravicah in jim olajšati njihovo izvrševanje, na primer s tem, da jim pojasni, kako jih lahko uveljavljajo.

Upravljavec mora nadalje poskrbeti, da lahko posamezniki uveljavljajo svoje pravice, to so pravica do dostopa, pravica do popravka, pravica do izbrisa, pravica do omejitve obdelave, pravica do prenosljivosti in pravica do ugovora. Posamezniki lahko pravice uveljavljajo skozi celoten življenjski cikel UI sistema glede vseh obdelav osebnih podatkov. Upravljavci se ne morejo izogniti obveznosti uresničevanja pravic posameznikov z zatrjevanjem, da določene pravice v praksi ni mogoče uresničiti.

Varnost podatkov

Osebni podatki se morajo obdelovati tako, da je zagotovljena ustrezna varnost osebnih podatkov, vključno z zaščito pred nedovoljeno ali nezakonito obdelavo ter pred nenamerno izgubo, uničenjem ali poškodbo. Praviloma postopki obdelave osebnih podatkov, ki vključujejo večji obseg osebnih podatkov ali obdelavo občutljivih podatkov, in predstavljajo večje tveganje za pravice in svoboščine posameznikov, zahtevajo vpeljavo strožjih ukrepov za zagotavljanje varnosti osebnih podatkov. Za zagotavljanje skladnosti z načelom varnosti morajo upravljavci spremljati najnovejši razvoj na tem področju in implementirati ustrezne organizacijske in tehnične ukrepe za zaščito osebnih podatkov.

Ocena učinka v zvezi z varstvom podatkom

Upravljavci si lahko pri identifikaciji in upravljanju s tveganji, ki jih prinašajo sistemi UI, pomagajo tako, da pripravijo oceno učinka v zvezi z varstvom podatkom, ki je pomembno orodje za uspešno implementacijo načela odgovornosti in vgrajenega varstva osebnih podatkov. V skladu s 35. členom Splošne uredbe je ocena učinkov obvezna, če bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov.

Več o umetni inteligenci in obdelavi osebnih podatkov si lahko preberete na: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/ključna-področja-uredbe/umetna-inteligenca-in-varstvo-osebnih-podatkov.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Pripravila

dr. Pika Šarf, Svetovalka za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka