Anonimizacija podatkov - IPRS

Anonimizacija podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.05.2020 Številka: 07120-1/2020/378 Kategorije:Bančništvo, Definicija OP --> Kategorije: Bančništvo, Definicija OP, Anonimizacija/psevdonimizacija Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede anonimizacije podatkov pri poročanju za potrebe makrobonitetnega nadzora. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
5. točko prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter
7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave osebnih podatkov z vidika skladnosti s Splošno uredbo o varstvu podatkov. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem postopku. IP pojasnjuje, da je skladno s
8. točko
9. člena Splošne uredbe o varstvu podatkov osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom. Posameznik je določljiv, če ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Pri tem je zelo pomembno, da se na določljivost gleda široko, skozi vprašanje »ali se da« in ne »ali ga lahko mi določimo«. Treba je upoštevati vsa sredstva, informacije in znanja, ki jih imajo na voljo tudi drugi subjekti, ki bi lahko določili, za katerega posameznika gre. Na določljivost posameznika se torej ne gleda zgolj skozi lastne zmožnosti ali skozi zmožnosti enega subjekta, podjetja, organizacije, temveč širše glede na vse zbirke osebnih podatkov. Več o konceptu osebnih podatkov v mnenju Delovne skupine za varstvo osebnih podatkov iz člena 29 (predhodnice današnjega Evropskega odbora za varstvo podatkov): http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2007/wp136_sl.pdf IP nadalje splošno pojasnjuje, da anonimizacija pomeni, da je določen podatek praktično nemogoče pripisati določljivemu posamezniku (brez nesorazmerno velikega napora, sredstev ali časa). Med anonimizacijske metode in tehnike kot rezultati sodijo npr. povprečja, agregati, trendi in druge statistike, in metode, kot so dodajanje šumov, generalizacije in združevanja podatkov v razrede ter druge metode in tehnike, vsaka s svojimi prednostmi in slabostmi. Ob tem IP opozarja, da je treba k anonimizaciji podatkov, ki jih navajate v vašem zaprosilu za mnenje, pristopiti z največjo mero skrbnosti in v največji možni meri zmanjšati oziroma preprečiti možnost ponovne identifikacije oziroma določljivosti posameznikov. IP posebej opozarja, da se posameznika lahko določi ne le na podlagi identifikacijskih, ampak tudi določenih transakcijskih podatkov. Tako npr. zgolj zamenjave enega osebnega podatka z drugim, posamezniku enolično dodeljenim identifikatorjem, ali pa dodelitve enoličnega identifikatorja, še ne moremo šteti za anonimizacijo. IP vam priporoča tudi pregled mnenja Delovne skupine za varstvo podatkov iz člena 29 glede anonimizacijskih tehnik, kjer so opisana vsa tveganja v zvezi z določljivostjo posameznikov: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_sl.pdf V primeru, ki ga opisujete v vašem zaprosilu za mnenje, brez neposredne in natančne preučitve uporabljenih metod, vhodnih podatkov in rezultatov, ni mogoče vnaprej presoditi, ali so vključeni podatki ustrezno anonimizirani ali ne, vendar pa lahko na podlagi zgoraj navedenih stališč in gradiv z dovolj veliko verjetnostjo sami presodite, ali so podatki anonimizirani ali ne. IP te presoje ne more opraviti namesto vas, saj gre za presojo, ki jo morate opraviti sami kot upravljavec osebnih podatkov, IP pa jo lahko preveri le v okviru inšpekcijskega postopka. Z namenom lažje oprave presoje vam IP v tem mnenju podaja nekaj ključnih pojasnil ter napotuje na relevantna gradiva in mnenja. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026