Posredovanje osebnih podatkov za raziskovalne namene

Datum

24.10.2023

Številka

07120-1/2023/473

Kategorije

Informiranje posameznika, Posredovanje osebnih podatkov, Statistika in raziskovanje

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da ste prejeli zaprosilo …, ki izvaja projekt, v okviru katerega želi preučevali postopke izbire kandidatov za sodniško funkcijo na Sodnem svetu RS. Pojasnjujete, da se zaprosilo nanaša na dostop do spisov Sodnega sveta v postopkih izbire kandidatov za sodniško funkcijo v obdobju enega leta. Pred odločitvijo glede odobritve zaprosila bi želeli pridobiti predhodno mnenje IP, saj gre za poseg v obsežne zbirke osebnih podatkov večjega števila posameznikov. Izpostavljate, da je ZVOP-2 začel veljati šele po zaključku referenčnega obdobja, na katerega se nanaša zaprosilo, zaradi česar po vašem stališču teh določb ni mogoče uporabiti. ZVOP-1, ki je veljal v času vlaganja relevantnih kandidatur, pa je glede uporabe osebnih podatkov v znanstveno-raziskovalne namene vseboval le nekaj skopih določb, skladno s katerimi je bilo mogoče osebne podatke brez posameznikove privolitve posredovati le v anonimizirani obliki. Zanima vas, ali bi bilo mogoče zaprosilu brez predhodne anonimizacije osebnih podatkov v spisih izbirnih postopkov ugoditi le, če bi predhodno pridobili izrecno pisno privolitev vseh kandidatov, ki bi jih bilo potrebno obvestiti tudi o namenu obdelave osebnih podatkov za raziskovalne namene.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Določbe ZVOP-2 o obdelavi osebnih podatkov za raziskovalne namene so uporabne tudi za osebne podatke, ki jih je upravljavec pridobil še pred veljavnostjo ZVOP-2. Za presojo utemeljenosti zahteve za posredovanje podatkov je relevanten zakon, ki velja v času obdelave, v konkretnem primeru torej v času njihovega morebitnega posredovanja v znanstvenoraziskovalne namene oziroma ob odločanju o tovrstni zahtevi.

Upravljavec, ki odloča o posredovanju podatkov na podlagi drugega odstavka 69. člena ZVOP-2, je dolžan presoditi:

-ali raziskovalna organizacija ali raziskovalec izpolnjuje pogoj glede uporabe etičnih načel in metodologije s področja raziskovanja;

-ali je raziskovalna organizacija prošnji za posredovanje osebnih podatkov predložila ustrezen opis raziskave in morebitne priloge;

-ali ni podan kateri izmed razlogov za zavrnitev posredovanja osebnih podatkov.

Upravljavec o posredovanju osebnih podatkov izvajalcu raziskave obvesti javnost z objavo na svojih spletnih straneh.

Obrazložitev

IP uvodoma pojasnjuje, da izven nadzornega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da v mnenju ne more odločati, ali so v konkretnem primeru podani pogoji za zakonito posredovanje zahtevanih osebnih podatkov za raziskovalne namene. Zato vam v nadaljevanju podaja splošna pojasnila in pravna izhodišča v zvezi z vašim vprašanjem.

Obdelava osebnih podatkov za raziskovalne namene je urejena v 68. do 70. členu ZVOP-2. IP meni, da so te določbe uporabne tudi za osebne podatke, ki jih je upravljavec pridobil od kandidatov za sodniško funkcijo pred veljavnostjo ZVOP-2. Za presojo utemeljenosti obravnavanega zaprosila je namreč po oceni IP relevanten zakon, ki velja v času obdelave, v konkretnem primeru torej v času njihovega morebitnega posredovanja v znanstveno-raziskovalne namene oziroma ob odločanju o tovrstni zahtevi. Zato bo dopustno neanonimizirane osebne podatke v ta namen raziskovalcu oziroma raziskovalni organizaciji posredovati tudi brez posameznikove privolitve, če bodo za to izpolnjeni vsi pogoji po ZVOP-2.

V skladu z načelom odgovornosti je dolžnost upravljavca, ki odloča o posredovanju podatkov na podlagi drugega odstavka 69. člena ZVOP-2, da presodi:

-ali raziskovalna organizacija ali raziskovalec izpolnjuje pogoj glede uporabe etičnih načel in metodologije s področja raziskovanja;

-ali je raziskovalna organizacija prošnji za posredovanje osebnih podatkov predložila ustrezen opis raziskave in morebitne priloge (na primer oceno učinka) v skladu s drugim in tretjim odstavkom 69. člena ZVOP-2;

-ali ni podan kateri izmed razlogov za zavrnitev posredovanja osebnih podatkov v skladu s četrtim odstavkom 69. člena ZVOP-2.

IP posebej izpostavlja, da mora opis raziskave med drugim vključevati tudi obliko, v kateri želi raziskovalna organizacija oziroma raziskovalec prejeti osebne podatke (izvorni osebni podatki, psevdonimizirani osebni podatki, osebni podatki v obliki, ki ne omogoča identifikacije, anonimizirani podatki), in navedbo razloga za določeno obliko podatkov. Pri tem je pomembno spoštovati načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (točka c) prvega odstavka 5. člena Splošne uredbe).

V opisu raziskave mora biti zajet tudi način objave ali drugačne dostopnosti raziskave. Skladno s sedmim odstavkom 69. člena ZVOP-2 se rezultati raziskave praviloma objavijo v anonimizirani obliki, izjemoma pa v psevdonimizirani obliki, če objava podatkov v anonimizirani obliki iz tehničnih razlogov ali zaradi zasledovanja ciljev raziskave ni mogoča. Anonimizirana oblika preprečuje določljivost posameznika, zato pri objavi rezultatov raziskave sploh ne gre več za osebne podatke. Psevdonimizirana oblika objave pa glede na opredelitev v 5. točki 4. člena Splošne uredbe še vedno omogoča določljivost posameznika, na katerega se osebni podatki iz rezultatov raziskave nanašajo. Tudi pri tem je treba upoštevati načelo najmanjšega obsega podatkov.

V petem odstavku 69. člena ZVOP-2 je nadalje določeno, da upravljavec in izvajalec raziskave posameznikov, na katere se nanašajo podatki, ne obveščata o obdelavah njihovih osebnih podatkov, razen če drug zakon določa drugače, temveč upravljavec osebnih podatkov o posredovanju osebnih podatkov izvajalcu raziskave obvesti javnost z objavo na svojih spletnih straneh. Objava obsega navedbo naslova raziskave, namene oziroma cilje raziskave, navedbo kategorij posameznikov in vrst osebnih podatkov, posredovanih izvajalcu raziskave.

IP še dodaja, da ZVOP-2 v 39. do 41. členu določa pravila glede posredovanja osebnih podatkov, ki ga izvedejo osebe javnega in zasebnega sektorja, ter postopek posredovanja podatkov. Glede na okoliščine konkretnega primera zahteve za posredovanje osebnih podatkov za raziskovalne namene so relevantne tudi te določbe.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka