Presoja ustreznosti metodologije projekta

Datum

03.02.2023

Številka

07120-1/2023/36

Kategorije

Anonimizacija/psevdonimizacija, Ocene učinkov v zvezi z varstvom podatkov, Statistika in raziskovanje

Na podlagi vašega zaprosila za mnenje glede ustreznosti priložene metodologije projekta, ki ga izvajate, v nadaljevanju posredujemo mnenje Informacijskega pooblaščenca (IP). Kot pojasnjujete, izvajate projekt, ki naslavlja problematiko mladih, ki niso zaposleni, se ne izobražujejo ali usposabljajo. Namen projekta je opolnomočenje in socialna aktivacija teh oseb. V ta namen boste oblikovali celostni program, ki temelji na izobraževalnih modulih, psihosocialni podpori, motivacijskih modulih in vključuje karierno svetovanje z vzpostavitvijo dvotirne mentorske sheme. V sklopu projekta razvijate tudi metodologijo za identifikacijo osnovnih karakteristik in potreb ciljne populacije, v kateri ste identificirali relevantne institucije za spremljanje teh oseb in naredili pregled relevantnega zakonodajnega okvira z vidika varstva osebnih podatkov.

IP v mnenju ne more podajati presoj ustreznosti metodologij ali strokovnih analiz, ki jih prilagate.

Glede na navedeno predlagamo, da konkretneje opredelite podatkovne tokove, vrste obdelav in podatkov, katerih kategorij posameznikov naj bi izvajali in za katere konkretne namene (glede na posamezne vrste podatkov), kdo so upravljavci, kako bi pridobili te podatke in od koga ter kdo in kako bi tem posameznikom zagotovil ustrezne informacije o obdelavi.

Prav tako morate glede na to opredeliti vloge posameznih vključenih organizacij v procesu zbiranja in obdelave ter pravne podlage za zbiranje (upravljavci/skupni upravljavci/morda pogodbeni obdelovalci), ukrepe varovanja podatkov, rok hrambe in podobno. V tem procesu je lahko v pomoč izvedba ocene učinkov v zvezi z varstvom osebnih podatkov.

Informacijski pooblaščenec (v nadaljevanju: IP) na podlagi 5. točke prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/23, v nadaljevanju: ZVOP-2), 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) uvodoma poudarja, da ne more v mnenju presojati o ustreznosti in dopustnosti konkretnih obdelav osebnih podatkov ali metodologij, v vašem primeru IP ni pristojen za potrjevanje pravne točnosti analize, ki ste jo izvedli. Prav tako se ne moremo opredeljevati do ustreznosti izbranih pravnih podlag, saj so pojasnila zelo splošna, ni razvidno, kdo bo(do) upravljavec/upravljavci posameznih novo nastalih zbirk, katere vrste osebnih podatkov točno se bodo uporabljale, katerih posameznika ter za katere točne namene in na katerih pravnih podlagah. Ugotovitve namreč povzemate zelo na splošno.

Zato IP ne more podati ocene ustreznosti priloženega gradiva, lahko pa pojasnimo, da je malo verjetno, da bi glede na navedeno prišla v opisanem primeru za morebitno množično obdelavo osebnih podatkov posameznikov iz ciljne skupine (celo posebne vrste osebnih podatkov, kamor npr. sodijo osebni podatki v zvezi z zdravjem) v poštev pravna podlaga zaščite življenjskih interesov posameznika po d) točki prvega odstavka 6. člena Splošne uredbe, saj gre za okoliščine, ko bi posameznik moral imeti možnost izbire glede sodelovanja v tovrstnem projektu in ne za nujno obdelavo, ki bi bila resnično potrebna za namen zaščite življenjskih interesov posameznika.

Ob tem izpostavljamo, da ni sporno, če bi posamezni upravljavci, ki sodelujejo v projektu ciljnim skupinam, s katerimi so v stiku, v okviru rednih stikov ponudili na izbiro možnost sodelovanja v npr. anonimni anketi. Glede na to da navajate, da naj bi pri uporabi vprašalnikov uporabljali unikatne kode, se zastavlja vprašanje, ali gre pri tem za resnično anonimne vprašalnike, ki ne vsebujejo obdelav osebnih podatkov. Zdi se, da verjetno temu ni tako in boste torej tudi v tem delu morda obdelovali osebne podatke anketirancev, za kar potrebujete ustrezno pravno podlago (najverjetneje privolitev).

Odvisno od tega ali naj bi v okviru projekta obdelovali posamezni upravljavci iz javnega ali zasebnega sektorja osebne podatke, ki jih že zakonito zbirajo in obdelujejo za določene namene in na ustrezni pravni podlagi, bi eventualno morda prišle v poštev določbe 68. do 70. člena ZVOP-2, če gre za obdelave za namene raziskovanja, kar pa iz opisanega gradiva ni povsem razvidno. Za namene kontaktiranja posameznikov za pridobitev privolitev za obdelavo njihovih osebnih podatkov za raziskovanje ZVOP-2 v 70. členu določa dopustne oblike obdelave omejenega nabora kontaktnih podatkov iz zbirk, s kateri upravljavec razpolaga v okviru zakonitega opravljanja dejavnosti

Vsekakor pride v poštev možnost obdelav na podlagi osebne privolitve posameznika, ni pa razbrati, iz katerih predpisov naj bi izhajala pravna podlaga e) točke prvega odstavka 6. člena Splošne uredbe, saj ne gre za samostojno pravno podlago, ampak za pravno podlago, ki jo države članice ustrezno uredijo v področnih predpisih. V kolikor gre pri izvajanju nalog za obdelavo vrst osebnih podatkov, kategorij posameznikov in za namene, ki so opredeljeni v posameznih področnih predpisih, pa bi lahko prišla v poštev podlaga bodisi c) ali e) točke prvega odstavka 6. člena Splošne uredbe (morda tudi v povezavi s prostovoljno odločitvijo posameznika, da se vključi v projekt), vendar to iz opisanega ni razvidno. Vsekakor pa morate, ko boste ugotovili odgovore na vsa zgoraj navedena vprašanja pri zbiranju podatkov poskrbeti tudi, da posameznikom ob zbiranju posredujete tudi vse informacije iz 13. člena Splošne uredbe.

Glede na navedeno predlagamo, da konkretneje opredelite podatkovne tokove, katere vrste obdelav in podatkov, katerih kategorij posameznikov naj bi izvajali in za katere konkretne namene (glede na posamezne vrste podatkov), kdo so upravljavci, kako bi pridobili te podatke in od koga ter kdo in kako bi tem posameznikom zagotovil ustrezne informacije o obdelavi. Prav tako morate glede na to opredeliti vloge posameznih vključenih organizacij v procesu zbiranja in obdelave ter pravne podlage za zbiranje (upravljavci/skupni upravljavci/morda pogodbeni obdelovalci), ukrepe varovanja podatkov, rok hrambe in podobno.

V primeru kompleksnejših in množičnih obdelav posebnih vrst osebnih podatkov ali sistematičnega spremljanja posameznikov ter v primeru inovativne uporabe novih tehnologij, katerih osebne in družbene posledice niso nujno dobro raziskane in poznane svetujemo pred začetkom obdelave izdelavo ocene učinkov iz 35. člena Splošne uredbe, ki je v teh primerih lahko tudi obvezna. Več o tem je na voljo na spletni strani IP (https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/ocena-u%C4%8Dinka-v-zvezi-z-varstvom-podatkov/).

Lepo vas pozdravljamo in vam želimo uspešno izvedbo projekta,

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

Pripravila

Alenka Jerše, univ. dipl. prav., namestnica informacijske pooblaščenke