Obdelava OP v arhivske namene

Datum

22.03.2023

Številka

07120-1/2023/154

Kategorije

Pogodbena obdelava podatkov, Posebne vrste OP, Pravne podlage, OP umrlih

Informacijski pooblaščenec (v nadaljevanju: IP) je dne 7. 3. 2023 prejel vašo prošnjo za mnenje v zvezi z obdelavo osebnih podatkov v arhivske namene. Iz vašega dopisa izhaja, da ima Univerza … na podlagi odločbe ministra, pristojnega za arhive, dovoljenje za zagotavljanje varstva lastnega javnega arhivskega gradiva in arhivskega gradiva, za katerega opravlja naloge varstva arhivskega gradiva. Zanima vas, ali Univerza … v razmerju do Arhiva RS nastopa kot upravljavec ali kot obdelovalec osebnih podatkov, oziroma katera organizacija je dolžna v skladu z določbo iz prvega odstavka 71. člena ZVOP-2 določiti ukrepe ter kateri ukrepi konkretno naj bi to bili. Nadalje navajate, da je v drugem odstavku 65. člena ZVDAGA določeno, da gradivo postane dostopno za javno uporabo 75 let po nastanku ali 10 let po smrti posameznika, na katerega se podatki nanašajo, če je datum smrti znan, če ni z drugimi predpisi drugače določeno. V zvezi s tem prosite za mnenje, kateri rok je pravilen v primeru posredovanja arhivskega gradiva, ki vsebuje podatke, naštete v drugem odstavku 65. člena ZVDAGA. V povezavi s tem vas zanima tudi korelacija šestega odstavka 9. člena ZVOP-2 in drugega odstavka 65. člena ZVDAGA glede posredovanja osebnih podatkov umrlih oziroma kateri rok je pravilen z vidika dostopnosti osebnih podatkov umrlih.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju v skladu z 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.

Po mnenju IP javnopravna oseba, ki ji je z odločbo ministra dovoljeno lastno varstvo arhivskega gradiva, kot to določa 62. člen ZVDAGA, upoštevajoč kriterije iz Smernic IP o pogodbeni obdelavi predstavlja upravljavca osebnih podatkov iz arhivskega gradiva, ki mora glede na okoliščine konkretne obdelave presoditi, kateri tehnični in organizacijski ukrepi so ob upoštevanju določb ZVOP-2, Splošne uredbe in ZVDAGA potrebni in ustrezni za zagotavljanje varnosti osebnih podatkov. Kar zadeva roke dostopnosti arhivskega gradiva, ki vsebuje osebne podatke umrlih, pa je po mnenju IP potrebno upoštevati roke, kot jih v 65. členu določa ZVDAGA, in sicer na način, da so podatki posameznika zaščiteni najdlje.

Po mnenju IP javnopravna oseba, ki ji je z odločbo ministra dovoljeno lastno varstvo arhivskega gradiva, kot to določa 62. člen Zakon o varstvu dokumentarnega in arhivskega gradiva ter arhivih (Uradni list RS, št. 30/06 in 51/14; ZVDAGA), upoštevajoč kriterije iz Smernic IP o pogodbeni obdelavi predstavlja upravljavca in ne pogodbenega obdelovalca osebnih podatkov iz arhivskega gradiva, saj namen in sredstva obdelave osebnih podatkov določa zakon (ne drug upravljavec), osebni podatki ji niso poverjeni v izvajanje opravila obdelave, temveč obdelavo izvaja na podlagi zakona in odločbe, navodila, ukrepi in pogoji so določeni s strani arhiva kot zunanje institucije v skladu z zakonom (ne kot upravljavca), ki na isti podlagi vrši tudi nadzor, subjekt pa ima zakonska pooblastila oziroma pravno podlago, da deluje kot upravljavec, saj zakon predpisuje možnost lastne hrambe na podlagi odločbe ministra, s katero v konkretnem primeru javnopravna oseba tudi razpolaga. V tem primeru mora javnopravna oseba kot upravljavec osebnih podatkov določiti ukrepe za varnost osebnih podatkov in varstvo interesov posameznikov, na katere se osebni podatki v arhivskem gradivu nanašajo; pri tem mora glede na okoliščine konkretne obdelave presoditi, kateri tehnični in organizacijski ukrepi so ob upoštevanju določb ZVOP-2, Splošne uredbe in ZVDAGA potrebni in ustrezni za zagotavljanje varnosti osebnih podatkov.

Kar zadeva roke dostopnosti arhivskega gradiva, ki vsebuje osebne podatke umrlih, v zvezi s čimer je mogoče najti določbe tako v ZVOP-2 kot v ZVDAGA, pa je po mnenju IP potrebno upoštevati roke, kot jih določa ZVDAGA, saj predmetna določba ZVOP-2 (ki predstavlja splošni predpis na področju varstva osebnih podatkov) izrecno napotuje na določbe drugega (specialnega) zakona, če te obstajajo. Določbe ZVOP-2 bi se za arhivsko gradivo uporabljale v delu, ki z ZVDAGA ne bi bil posebej urejen. Ker IP ni pristojen za tolmačenje določb ZVDAGA, vam odgovora na vprašanje, kateri rok iz drugega odstavka 65. člena ZVDAGA bi bil v primeru posredovanja podatka o umrlem posamezniku pravilen (75 let od nastanka podatka ali 10 let po smrti posameznika, če je datum smrti znan), ne more podati, bi pa po mnenju IP z vidika varstva osebnih podatkov veljalo uporabiti tisti rok, ki v posameznem primeru podatke posameznika ščiti dlje.

Lep pozdrav,

Pripravila

Mojca Leitinger Okršlar, državna nadzornica za varstvo osebnih podatkov

Informacijski pooblaščenec

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka

---

[1]Smernice Informacijskega pooblaščenca o (pogodbeni) obdelavi osebnih podatkov, str. 9: Pri ugotavljanju, ali gre za (pogodbenega) obdelovalca, so ključni naslednji faktorji (ki jih je treba presojati skupaj):

•• Ali subjekt lahko sam določa namen in sredstva obdelave osebnih podatkov?

•• Ali je upravljavec zbirke osebnih podatkov subjektu poveril v izvajanje opravila obdelave, ki bi jih sicer lahko izvajal upravljavec sam?

•• Kakšna je intenzivnost obdelave, vezanost na navodila in nadzor upravljavca nad dejanji subjekta?

•• Ali ima subjekt zakonska pooblastila oziroma pravno podlago, ki bi ga deloma ali v celoti postavila za upravljavca v zvezi z osebnimi podatki upravljavca?

•• Ali je primarni namen najema storitev subjekta katero od dejanj obdelave osebnih podatkov (npr. hramba) ali pa je obdelava osebnih podatkov zgolj posledica najetja storitve subjekta?

[2]Prvi odstavek 71. člena ZVOP-2 določa, da je obdelava osebnih podatkov za namene arhivskega delovanja dovoljena, če to določa zakon, upravljavec pa v skladu z zakonom določi ukrepe za varnost osebnih podatkov ter primerne in posebne ukrepe za varstvo interesov posameznika, na katerega se nanašajo osebni podatki, zlasti glede posebnih vrst osebnih podatkov.

[3]Splošna uredba v 4. členu »upravljavca« opredeljuje kot fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, »obdelovalca« pa kot fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

[4]22., 23. in 24. člen ZVOP-2

[5]5., 24., 25. in 32. člen Splošne uredbe

[6]3. – 6. in 36. člen ZVDAGA

[7]9. člen ZVOP-2 ureja posebno varstvo osebnih podatkov umrlih posameznikov in v šestem členu določa, da posebno varstvo osebnih podatkov umrlih velja za osebne podatke umrlih posameznikov 20 let po njihovi smrti, če drug zakon ne določa drugače.

[8]ZVDAGA v drugem odstavku 65. členu določa, da javno arhivsko gradivo v javnih arhivih, ki vsebuje osebne podatke, ki se nanašajo na zdravstveno stanje, spolno življenje, žrtev kaznivih dejanj zoper spolno nedotakljivost, zakonsko zvezo, družino in otroke, storilca kaznivih dejanj in prekrškov, razen kaznivih dejanj in prekrškov oseb, zoper katere je bil voden postopek zaradi nasprotovanja nekdanjemu enopartijskemu režimu, versko prepričanje in etnično pripadnost, postane dostopno za javno uporabo 75 let po nastanku gradiva ali 10 let po smrti posameznika, na katerega se podatki nanašajo, če je datum smrti znan, če ni z drugimi predpisi drugače določeno.