Obdelava osebnih podatkov v okviru projekta na področju športa (zahteva za izbris in dolgoročna hramba podatkov)

Datum

13.05.2024

Številka

07121-1/2024/563

Kategorije

Pravica do izbrisa - pozabe, Pravica do ugovora, Privolitev, Anonimizacija/psevdonimizacija, Rok hrambe OP

Pri Informacijskem pooblaščencu (IP) smo dne 9. 5. 2024 prejeli vaše vprašanje:

1.ali lahko kot nosilec EU projekta na področju športa hranite osebne podatke udeležencev tudi po morebitni posameznikovi zahtevi za izbris, pri čemer bi se podatki obdelovali na podlagi c. in f. točke prvega odstavka 6. člena Splošne uredbe;

2.ali bi po zaključku projekta (in po poteku obdobja hrambe iz 82. člena Uredbe (EU) št. 2021/1060) lahko iz zbirk osebnih podatkov izbrisali EMŠO in osebna imena, ostale podatke pa obdržali za namen raziskav in analiz.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena ZVOP-2, 58. členom Splošne uredbe o varstvu podatkov, 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pojasnjujemo še, da se lahko dokončno opredeljujemo do konkretnih obdelav osebnih podatkov le v nadzornih postopkih in ob upoštevanju vseh okoliščin konkretnega primera.

1.Posameznik s sklicevanjem na 17. člen Splošne uredbe EU o varstvu podatkov ne more zahtevati izbrisa zakonito vodenih osebnih podatkov pred potekom roka obvezne hrambe dokumentacije po Uredbi EU št. 2021/1060, če med dokumentacijo iz uredbe spadajo tudi osebni podatki, ki so predmet zahteve. IP ni pristojen za razlago, kdo je po omenjeni uredbi zavezanec za hrambo ter katera dokumentacija in kateri osebni podatki so predmet hrambe v konkretnem primeru.

Če gre za osebne podatke, ki se obdelujejo le na podlagi privolitve (torej, če ni druge pravne podlage za kontinuirano obdelavo), je zahtevo za izbris treba šteti kot preklic privolitve in zahtevi ugoditi.

2.Po poteku predpisanega roka iz prejšnje točke se lahko za kakršenkoli namen hranijo oziroma drugače obdelujejo le popolnoma anonimizirani osebni podatki. Če bi se po preteku predpisanega roka še naprej hranili psevdonimizirani osebni podatki, bi bila za podaljšano hrambo potrebna veljavna privolitev. IP ne more vnaprej oceniti, ali bi v konkretnem primeru z izbrisom osebnega imena in EMŠO lahko dosegli popolno anonimizacijo ali pa bi šlo le za psevdonimizacijo.

Obrazložitev

Pravica do izbrisa iz 17. člena Splošne uredbe ni absolutna. Izbris osebnih podatkov v zbirki osebnih podatkov je možen le (alternativno):

a)če osebni podatki niso več potrebni v namene, zaradi katerih so se obdelovali – izhajamo iz domneve, da je namen podan dokler ne poteče predpisani rok hrambe;

b)če posameznik prekliče privolitev, ker so se podatki obdelovali na tej podlagi in če za nadaljnjo obdelavo ni druge pravne podlage;

c)če posameznik ugovarja obdelavi podatkov po 21. členu Splošne uredbe, ker so se obdelovali na podlagi t.i. prevladujočih zakonitih interesov ali ker ne želi neposrednega trženja;

d)če so bili osebni podatki obdelani nezakonito;

e)če je treba podatke izbrisati, ker tako določa nek predpis;

f)če so bili podatki zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8 (1) Splošne uredbe.

Kot nadzorni organ v primeru zavrnitve zahteve za izbris, se IP ne more vnaprej opredeljevati do konkretnih primerov zahtev, poleg tega pa ne poznamo vseh relevantnih okoliščin konkretnega primera.

Če je za določene osebne podatke s predpisom (v vašem primeru celo z uredbo EU) določen obvezen rok hrambe, ni videti pogojev za upravičenost do izbrisa v času do poteka roka hrambe. To velja pod pogojem, da se osebni podatki obdelujejo zakonito. IP ne more presojati, ali rok hrambe iz te uredbe velja za vse osebne podatke, ki ste jih predvideli za obdelavo v okviru projekta.

Če je za nekatere osebne podatke pravna podlaga izključno privolitev, je treba zahtevi za izbris ugoditi, saj z vložitvijo zahteve (ta praktično pomeni preklic privolitve) preneha pravna podlaga (in namen) za nadaljnjo obdelavo teh osebnih podatkov. Priporočamo vam razmislek, ali je morda za osebne podatke, za katere sicer predvidevate privolitev, morda na voljo kakšna druga pravna podlaga, na primer v b. (pogodbeni odnos) ali f. točki (prevladujoči zakoniti interesi) prvega odstavka 6. člena Splošne uredbe. V tem primeru preklic privolitve ni možen.

Opozarjamo še na to, da je v primeru, če se zahteva posameznika nanaša na osebne podatke, ki se vodijo na podlagi f. točke prvega odstavka 6. člena Splošne uredbe, treba ugotoviti, ali gre morda za ugovor po 21. členu Splošne uredbe (in morda tudi s tem povezano zahtevo za omejitev obdelave po 18. členu Splošne uredbe). Če je ugovor utemeljen, lahko posameznik dodatno uveljavlja pravico do izbrisa, če so za to izpolnjeni vsi pogoji iz 17. člena Splošne uredbe.

Anonimizirani podatki se lahko prosto uporabljajo (npr. za analize in raziskave) in na njihovo uporabo ne vplivajo roki hrambe izvornih osebnih podatkov. Vendar opozarjamo, da se pogosto ne da doseči anonimizacije zgolj z odstranitvijo osnovnih identifikatorjev. Metoda anonimizacije oziroma njena uspešnost je odvisna od vrste podatkov, ki se vodijo o posamezniku, konkretnih vrednosti (vsebine) posameznih podatkov in obsega teh podatkov, števila posameznikov, načina vodenja podatkov, medsebojne povezanosti podatkov, možnosti za reidentifikacijo in podobno.

Če anonimizacija ni možna ali če ne bi bila izvedena ustrezno, bi bila podlaga za nadaljnjo hrambo lahko le privolitev pod pogojem, da po poteku predpisanega roka hrambe ne bi bilo na voljo druge pravne podlage za želeno hrambo osebnih podatkov. V zvezi s privolitvijo po Splošni uredbi je IP že izdal več mnenj, ki so dostopna na spletni strani IP. V primeru želje po internih raziskavah, bi bilo možno te izvajati tudi brez privolitve (če ne gre za posebne kategorije podatkov in če posameznik ni podal prepovedi) na podlagi prvega odstavka 69. člena ZVOP-2. Toda za samo hrambo podatkov po poteku predpisanega roka (podaljšana hramba je namreč predpogoj za izvajanje raziskav v tem obdobju) bi bila vseeno potrebna privolitev.

Če gre v vašem primeru za kompleksen projekt, ki na primer vključuje relativno veliko število posameznikov, morebitne posebne vrste osebnih podatkov, več namenov uporabe podatkov in več pravnih podlag, več udeležencev (upravljavcev ali obdelovalcev ali uporabnikov) ter posebna varnostna tveganja, je možno, da so izpolnjeni pogoji za obvezno predhodno pripravo ocene učinka iz 35. člena Splošne uredbe. V zvezi s tem so na spletni strani IP na voljo objavljene smernice.

Prijazen pozdrav.

Pripravil

dr. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka