Posredovanje osebnih podatkov za znanstvenoraziskovalne namene drugemu upravljavcu

Datum

26.11.2024

Številka

07120-1/2024/406

Kategorije

Posredovanje osebnih podatkov, Skupni upravljavci, Statistika in raziskovanje, OP umrlih

Pri Informacijskem pooblaščencu (IP) smo prejeli vašo prošnjo za mnenje glede posredovanja osebnih podatkov za namen znanstvenoraziskovalnega projekta, vezano na mnenje IP št. 07121-1/2024/1257 z dne 16. 10. 2024. Zanima vas:

1)Pravna podlaga za posredovanje podatkov:

Ali tolmačite pravilno, da pravna podlaga za posredovanje osebnih podatkov skladno z 2., 3. in 4. odstavkom 69. člena ZVOP-2 (torej brez izpolnjevanja pogojev iz 1. odstavka 69. člena ZVOP-2) velja tudi v primeru, ko bi šlo za skupnega upravljavca?

2)Posredovanje podatkov umrlih posameznikov:

Ali tolmačite pravilno, da izpolnjevanje pogojev iz 2., 3. in 4. odstavka 69. člena ZVOP-2 (brez izpolnjevanja pogojev iz 1. odstavka 69. člena ZVOP-2) predstavlja ustrezno pravno podlago (vezano na »če tako določa zakon« iz 5. odstavka 9. člena ZVOP-2) za posredovanje osebnih podatkov umrlih oseb za namen znanstvenega raziskovanja?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

Pojma »upravljavec« in »skupni upravljavec« sta funkcionalna in vezana na dejanske odgovornosti in vloge, ki jih imajo subjekti pri obdelavi osebnih podatkov.

Ne glede na morebitno skupno upravljavstvo morajo biti za zakonitost samega posredovanja osebnih podatkov s strani primarnega upravljavca raziskovalni organizaciji ali raziskovalcu iz 68. člena ZVOP-2 za znanstvenoraziskovalni namen izpolnjeni pogoji iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 in ne pogoji iz prvega odstavka tega člena.

Na podlagi četrtega in petega odstavka 9. člena ZVOP-2 je obdelava osebnih podatkov umrlih posameznikov dopustna v več alternativnih primerih:

-če to določa ZVOP-2 (npr. v četrtem odstavku 9. člena) ali drug zakon;

-če je za to podana privolitev tega posameznika;

-če je podana pisna privolitev določenih svojcev posameznika.

Če so za posredovanje osebnih podatkov umrlih posameznikov izpolnjeni pogoji iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2, so načeloma izpolnjeni tudi pogoji po četrtem odstavku 9. člena ZVOP-2.

Obrazložitev

IP uvodoma pojasnjuje, da v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov za znanstvenoraziskovalne namene izvajalcu raziskave niti, ali je v opisanih okoliščinah vzpostavljeno skupno upravljavstvo, saj je to primarna naloga in odgovornost upravljavca. Zato vam v nadaljevanju podajamo splošna pojasnila in pravna izhodišča, ki vam lahko pomagajo pri sprejemanju ustreznih odločitev.

Vprašanje št. 1 – Pravna podlaga za posredovanje osebnih podatkov v okviru skupnega upravljavstva:

V zvezi s tem vprašanjem pojasnjujete, da bi v okviru t.i. »skupnega upravljavca« prvi upravljavec nastopal izključno kot posredovalec podatkov ter ne bi bil v nikakršni obliki vključen v samo raziskavo, ki bi jo izvajal drugi upravljavec kot del »skupnega upravljavca«. Takšna ureditev bi bila tudi jasno opredeljena v dogovoru med obema stranema.

Kot je IP že obrazložil, zgolj dejstvo, da upravljavec posreduje osebne podatke raziskovalcu ali raziskovalni organizaciji, samo po sebi še ne pomeni, da postaneta skupna upravljavca osebnih podatkov v smislu 26. člena Splošne uredbe. Lahko pa do vzpostavitve skupnega upravljavstva privedejo druge okoliščine. Pojma »upravljavec« in »skupni upravljavec« sta funkcionalna in vezana na dejanske odgovornosti in vloge, ki jih imajo subjekti pri obdelavi osebnih podatkov. Namen teh pojmov ni zgolj formalna opredelitev, temveč natančna dodelitev odgovornosti v skladu z resničnimi vlogami strank pri obdelavi podatkov v vsakem posameznem primeru.

Glavno merilo za obstoj skupnega upravljanja je sodelovanje dveh ali več subjektov pri določitvi namenov in sredstev obdelave. Vendar to ne pomeni, da so vsi subjekti enako odgovorni za celotno obdelavo osebnih podatkov. Sodišče EU je že pojasnilo, da so lahko subjekti udeleženi v različnih fazah obdelave podatkov in v različnih obsegih, zato je treba raven odgovornosti vsakogar oceniti ob upoštevanju vseh okoliščin konkretnega primera. Tudi v primeru skupnega upravljavstva pa je pomembno, da vsak subjekt obdrži svojo samostojnost in ne nastopa zgolj kot del enega »skupnega upravljavca«.

Ne glede na morebitno skupno upravljavstvo pa IP meni, da morajo biti za zakonitost samega posredovanja osebnih podatkov s strani primarnega upravljavca raziskovalni organizaciji ali raziskovalcu iz 68. člena ZVOP-2 za znanstveno raziskovalni namen izpolnjeni pogoji iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2 in ne pogoji iz prvega odstavka tega člena.

Vprašanje št. 2 – Posredovanje podatkov umrlih posameznikov:

ZVOP-2 v 9. členu ureja obdelavo osebnih podatkov umrlih posameznikov. Po tej določbi so upravičeni uporabniki teh podatkov razdeljeni v več kategorij, med katerimi so tudi uporabniki za znanstvenoraziskovalne, zgodovinskoraziskovalne, izobraževalne, statistične ali arhivske namene.

Po četrtem odstavku 9. člena ZVOP-2 lahko upravljavec osebne podatke o umrlem posamezniku posreduje tudi drugi osebi, ki izkaže, da namerava te podatke uporabljati za namene znanstvenega raziskovanja, zgodovinskega raziskovanja, izobraževalne, statistične ali arhivske namene, če drug zakon ne določa drugače. Ta določba omogoča posredovanje osebnih podatkov umrlih posameznikov za znanstvenoraziskovalne namene, ne da bi bilo za takšno obdelavo treba pridobiti privolitev.

Peti odstavek 9. člena ZVOP-2 prav tako ureja obdelavo osebnih podatkov umrlih posameznikov za znanstvenoraziskovalni namen, vendar pod pogojem, da tako določa zakon, če je privolitev pred smrtjo dal posameznik sam ali če je za tako obdelavo v času po smrti posameznika dana pisna privolitev določenih svojcev posameznika.

Ureditev v teh dveh odstavkih deluje izključujoča in nekoliko nejasna, vendar pa ju je treba interpretirati tako, da obdelava osebnih podatkov za znanstvenoraziskovalni namen ostaja dopustna v več alternativnih primerih:

•če to določa ZVOP-2 (npr. v četrtem odstavku 9. člena) ali drug zakon;

•če je za to podana privolitev posameznika;

•če je podana pisna privolitev določenih svojcev posameznika.

Pogoj za sklicevanje na katerokoli od teh pravnih podlag pa je, da so osebni podatki pridobljeni zakonito.[1]

Iz navedenega po mnenju IP tudi izhaja, da so načeloma vedno, ko so izpolnjeni pogoji iz drugega, tretjega in četrtega odstavka 69. člena ZVOP-2, izpolnjeni tudi pogoji po četrtem odstavku 9. člena ZVOP-2. Za posredovanje osebnih podatkov umrlih posameznikov za znanstvenoraziskovalni namen je namreč bistveno, da uporabnik ta namen konkretno utemelji (na primer pri raziskavah z navedbo statusa raziskovalne organizacije ali raziskovalca ter naslova, področja, metodologije in ciljev raziskave ipd.) in da so zahtevani podatki potrebni za dosego tega namena. Privolitev v obdelavo za znanstvenoraziskovalni namen torej ni edina možna pravna podlaga za posredovanje osebnih podatkov umrlih posameznikov drugemu upravljavcu.

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka

---

[1]Glej Brulc v: Mojca Prelesnik in drugi, Zakon o varstvu osebnih podatkov (ZVOP-2): s komentarjem, Ljubljana: Lexpera, GV založba, 2024, str. 92 in 93.