Besedilni korpus kot upravljavec osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 10.09.2012 Številka: 0613-300/2012 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Spoštovani, prejeli smo vaše elektronsko sporočilo, v katerem izražate nestrinjanje z odločitvijo Informacijskega pooblaščenca v primeru korpusa Nova beseda. Podajate prijavo proti večjemu številu domnevnih kršiteljev, upravljavcev spletnih strani in storitev: proti spletnim iskalnikom, novičarskim portalom, ki omogočanje iskanje po svojih vsebinah (in podatkih o določljivih osebah), sistemu Cobiss, spletnim omrežjem Twitter in Facebook, ki omogočata iskanje po osebnih podatkih, Wikipediji in besedilnemu korpusu iz Velike Britanije. Pooblaščenca pozivate, da se opredeli do domnevnih kršitev in uvede ustrezne postopke. Obveščamo vas, da Informacijski pooblaščenec po pregledu zadeve ne bo uvedel postopka inšpekcijskega nadzora nad obdelavo osebnih podatkov pri navedenih zavezancih, ki jih v prijavi navajate. Razlogi za neuvedbo so opredeljeni v nadaljevanju.
- Krajevna pristojnost Pooblaščenca Pooblaščenec uvodoma pojasnjuje, da so upravljavci večine spletnih storitev, ki jih v prijavi omenjate (Google, Ask, Bing, Yahoo, Twitter, Facebook, British National Corpus, Wikipedia), družbe, registrirane v tujini, nekatere celo izven Evropske unije. Pooblaščenec glede na
- odstavek
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, 94/07 – UPB1; v nadaljevanju: ZVOP-1) v primeru teh družb nima neposredne pristojnosti za ukrepanje, saj ZVOP-1 velja za obdelavo osebnih podatkov, če je upravljavec osebnih podatkov ustanovljen, ima sedež ali je registriran v Republiki Sloveniji ali če je podružnica upravljavca osebnih podatkov registrirana v Republiki Sloveniji. V skladu s
- členom ZVOP-1 Informacijski pooblaščenec pri svojem delu sodeluje z ostalimi pristojnimi organi Evropske unije za varstvo osebnih podatkov, glede vseh vprašanj, ki so na tem področju pomembna. Če Pooblaščenec zazna kršitev varstva osebnih podatkov pri upravljavcu, ki ozemeljsko sodi v pristojnost kakega drugega organa za varstvo osebnih podatkov iz držav članic EU, temu organu posreduje informacijo in zaprosilo za sodelovanje v skladu s
- odstavkom
- člena Direktive 95/46/ES, ki organom narekuje sodelovanje pri izvajanju pristojnosti.
- Pravne podlage za obdelavo osebnih podatkov Pravne podlage za obdelavo osebnih podatkov so v slovenski zakonodaji predeljene v ZVOP-1, in sicer v
- členu za javni sektor in v
- členu za zasebni sektor. Upravljavec osebnih podatkov v Sloveniji torej sme obdelovati osebne podatke le v primeru, da ima za to na voljo katero od spodaj navedenih pravnih podlag.
- člen ZVOP-1 tako določa:
(1)Podatki v javnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.
(2)Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil.
(3)Ne glede na prvi odstavek tega člena se lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.
(4)Ne glede na prvi odstavek tega člena se lahko v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. 10. člen ZVOP-1 pa določa:
(1)Osebni podatki v zasebnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika.
(2)Ne glede na prejšnji odstavek se lahko v zasebnem sektorju obdelujejo osebni podatki posameznikov, ki so z zasebnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.
(3)Ne glede na prvi odstavek tega člena se lahko v zasebnem sektorju obdelujejo osebni podatki, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Na podlagi
- člena ZVOP-1 se ne glede na prvotni namen zbiranja lahko osebni podatki nadalje obdelujejo za zgodovinsko, statistično in znanstveno-raziskovalne namene. Osebni podatki se posredujejo uporabniku osebnih podatkov za namen obdelave iz prejšnjega odstavka v anonimizirani obliki, če zakon ne določa drugače ali če posameznik, na katerega se nanašajo osebni podatki, ni predhodno podal pisne privolitve, da se lahko obdelujejo brez anonimiziranja. V nadaljevanju se Pooblaščenec opredeljuje do storitev, za katere navajate, da pri njihovi uporabi in izvajanju prihaja do kršitve varstva osebnih podatkov. Opredelitve se nanašajo izključno na upravljavce, katere zavezuje, oziroma bi zavezovala slovenska zakonodaja, t. j. ZVOP-
- Spletni iskalniki Pooblaščenec poudarja, da delovanje iskalnikov samo po sebi še ne pomeni nujno nezakonite obdelave osebnih podatkov. Bistvena razlika med besedilnim korpusom, na katerega se nanaša naša odločba in spletnimi iskalniki je namreč ta, da gre v primeru omenjenega besedilnega korpusa za vzpostavitev nove zbirke podatkov, v primeru spletnih iskalnikov pa gre prvenstveno za omogočanje iskanja po podatkih, ki so javno dostopni prek spletnih strani. Pooblaščenec se je v postopkih, ki jih je vodil, postavil na stališče, da mora tisti, ki na spletnih straneh med drugim objavlja tudi osebne podatke (izvirni upravljavec), z ustreznimi organizacijskimi in tehničnimi ukrepi spletnim iskalnikom preprečiti, da bi prišli do tistih osebnih podatkov, ki javnosti ne bi smeli biti dostopni. Povedano drugače: v primerih, ko je Pooblaščenec ugotovil, da je s pomočjo spletnih iskalnikov mogoče priti do osebnih podatkov, ki javnosti ne bi smeli biti dostopni, je Pooblaščenec ukrepal zoper upravljavca osebnih podatkov oz. spletnih strani in sicer na način, da mu je odredil umik spornih podatkov oz. sprejetje postopkov in ukrepov, s katerimi bo spletnim iskalnikom preprečil dostop do osebnih podatkov, do katerih javnost ni upravičena. Pooblaščenec pojasnjuje, da je vprašanje, ali so spletni iskalniki tudi upravljavci osebnih podatkov trenutno zelo aktualno in še nerazrešeno. Iskalniki so nedvomno upravljavci podatkov, ko gre za osebne podatkov, ki jih zberejo o svojih uporabnikih (identifikacijske številke, IP-naslovi, uporabniška imena, itd.). Ni pa tako jasno ali so tudi upravljavci osebnih podatkov v vsebinah, ki jih primarno objavljajo drugi upravljavci, iskalniki pa le omogočajo enostavnejši dostop do teh vsebin. Če bi iskalnike dojemali kot upravljavce osebnih podatkov tudi v primeru teh vsebin, bi iskalniki morali upoštevati določbe zakonodaje s področja varstva osebnih podatkov in med drugim izvrševati pravice posameznikov (npr. do izbrisa podatkov). Ker pa tu prihaja do trenja med odgovornostjo originalnega upravljavca podatkov in iskalnika, je odgovor na vprašanje zelo kompleksen. Pooblaščenec še pojasnjuje, da bo o vprašanju, do katere mere spletni iskalniki predstavljajo upravljavce osebnih podatkov odločilo Sodišče EU v zadevi C-131/12 (Google Spain et Google), kjer je španski nadzorni organ Google obravnaval kot upravljavca osebnih podatkov, špansko sodišče pa je zadevo odstopilo v predhodno odločanje Sodišču EU. Sodba bo pokazala, kako naj se v evropskem prostoru interpretirajo zahteve zakonodaje s področja varstva osebnih podatkov pri spletnih iskalnikih. Pooblaščenec sodbo nestrpno pričakuje in bo v skladu z interpretacijo v prihodnosti tudi izvajal svoje pristojnosti.
- Cobiss V zvezi s sistemom Cobiss je Pooblaščenec že izdal neobvezujoče mnenje, iz katerega izhaja, da se podatki o avtorjih hranijo kot knjižnično gradivo, bodisi po volji avtorja, bodisi na podlagi Zakona o obveznem izvodu publikacij (Uradni list RS, št 69/06 s spremembami in dopolnitvami; v nadaljevanju: ZOIPub). V skladu z
- alinejo prvega odstavka
- člena Zakona o knjižničarstvu (Uradni list RS, št. 87/01 s spremembami in dopolnitvami; v nadaljevanju: ZKnj-1) imajo uporabniki knjižničnih storitev pravico, da se jim posredujejo informacije o gradivu in iz gradiva, kamor sodijo tudi podatki, ki nedvoumno identificirajo avtorja. Knjižnično dejavnost izvajajo javni zavodi, na podlagi koncesije pa tudi druge pravne osebe in posamezniki. Nacionalna knjižnica, organizacija, ki izvaja dejavnost knjižničnega informacijska servisa za izmenjavo podatkov in knjižnice, ki izpolnjujejo pogoje iz ZKnj-1 za vključitev, sestavljajo Nacionalni vzajemni bibliografski sistem. Skupne strokovne osnove za delovanje nacionalnega vzajemnega bibliografskega sistema so v skladu s
- členom ZKnj-1: - standardizirana in vzajemna obdelava knjižničnega gradiva in enotno vodenje katalogov, - ustrezna usposobljenost strokovnih delavcev za vzajemno katalogizacijo, - računalniška in komunikacijska povezanost knjižnic. Ena od nalog knjižničnega informacijskega servisa v nacionalnem vzajemnem bibliografskem sistemu je v skladu s
- alinejo
- člena ZKnj-1 tudi organizacija ponudbe podatkovnih zbirk na elektronskih nosilcih z neposrednim dostopom. Naloge knjižničnega informacijskega servisa izvaja javni zavod Institut informacijskih znanosti (IZUM), ki v skladu s četrtim odstavkom
- člena ZVOP-1 lahko obdeluje tudi tiste osebne podatke, ki so nujni za izvrševanje njegovih zakonitih pristojnosti, nalog ali obveznosti, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo (v skladu z definicijo
- točke
- člena ZVOP-1 javni zavodi sodijo v javni sektor).V vzajemni bibliografski sistem se podatki vnašajo po enotni metodologiji, ki v primeru avtorjev – soimenjakov, kot prvi razlikovalni znak predvideva navedbo letnice rojstva. V sistemu Cobiss se tako osebni podatki obdelujejo prvenstveno na podlagi zakona.
- Novičarski portali in spletni mediji Pooblaščenec pojasnjuje, da v zvezi z novičarskimi portali in njihovimi spletnimi arhivi še ni vodil postopka, v katerem bi preverjal zakonitost obdelave osebnih podatkov v arhivih in načinov iskanja po arhivih. Kljub temu pa Pooblaščenec splošno pojasnjuje, da bi tak novičarski portal, ob predpostavki, da arhiv izpolnjuje pogoje za obstoj zbirke osebnih podatkov, lahko obravnavali kot upravljavca osebnih podatkov. V zvezi s pravno podlago za obdelavo osebnih podatkov v takem primeru Pooblaščenec opozarja na zgoraj navedeni
- člen ZVOP-1, ki poleg privolitve in določbe v zakonu, obdelavo osebnih podatkov dopušča tudi, če je to nujno zaradi uresničevanja zakonitih interesov zasebnega sektorja in ti interesi očitno prevladujejo nad interesi posameznika, na katerega se nanašajo osebni podatki. Mediji v družbi zagotovo predstavljajo posebnega akterja, katerega poslanstvo je uresničevanje druge temeljne človekove pravice – do svobode govora. V tem kontekstu je obdelava osebnih podatkov do določene mere (ko ne posega v pravice posameznika) zagotovo del uresničevanja zakonitih interesov zasebnega sektorja, a le do točke, kjer interes posameznika ni močnejši. V zvezi s kolizijo pravice do svobode govora in pravice do zasebnosti in varstva osebnih podatkov obstaja že veliko število judikatov, odločitve pa se lahko sprejemajo le od primera do primera in nikakor generalno. Taki arhivi in načini iskanja po njih se od besedilnega korpusa torej bistveno razlikujejo. Arhiv določenega medija je zaprt sistem, ki zaradi lažje dostopnosti omogoča iskanje po lastnih vsebinah, ki so bile nekoč objavljene, kot v preteklosti arhivi, kjer je bilo potrebno fizično iskanje po dokumentaciji. Za objavo osebnih podatkov je morala obstajati katera od zgoraj navedenih pravnih podlag. V primeru besedilnega korpusa pa gre za vsebine zbrane iz drugih baz podatkov in torej za nastanek nove zbirke, s popolnoma drugačnim namenom obdelave podatkov, za katero bi morala obstajati nova pravna podlaga – zgolj dejstvo, da so bili podatki nekoč javno objavljeni, po ZVOP-1 še ne predstavlja pravne podlage. Izvirni namen obdelave osebnih podatkov je bilo morda poročanje o dogodkih, ljudeh, ipd, medtem ko je namen korpusa prikaz uporabe besed in izrazov v sobesedilu.
- Spletna družbena omrežja Pooblaščenec pojasnjuje, da spletna družbena omrežja vsekakor ustvarjajo zbirke osebnih podatkov in so tudi, glede na zakonodajo in prakso v državah članicah EU, obravnavana kot upravljavci osebnih podatkov. To pomeni, da morajo upravljavci spletnih družbenih omrežij upoštevati zakonodajo s področja varstva osebnih podatkov, vse obveznosti, ki jim jih ta nalaga in izvrševati pravice posameznikov. Podatke uporabnikov lahko obdelujejo zgolj na podlagi privolitve posameznika, ki mora temeljiti na natančnih informacijah o namenih obdelave osebnih podatkov. V zvezi z vašimi navedbami glede iskalnika, ki omogoča iskanje po imenu in priimku znotraj omrežja pojasnjujemo, da vsak uporabnik, ko se omrežju pridruži, sprejme pogoje delovanja omrežja, med katerimi je običajno tudi ta, da je posameznika mogoče z iskanjem najti, da so glede na začetne nastavitve vsi podatki praktično javno dostopni na spletu, ipd. Vsak posameznik je torej odgovoren za to, da z nastavitvami zasebnosti določi, v kolikšni meri bo omogočeno iskanje znotraj omrežja po vsebinah, ki jih sam objavlja. Pooblaščenec v primeru največjih spletnih družbenih omrežij običajno ni pristojen za presojanje njihovega delovanja, saj so ustanovljena v drugih državah članica EU in širše, se pa trenutno Irski nadzorni organ podrobno ukvarja z vprašanji omrežja Facebook, ki je ustanovljeno na Irskem, in mora kot tako spoštovati Irsko zakonodajo (ki temelji na Evropski direktivi). Omrežje Twitter sodi v pristojnost nadzornega organa iz Velike Britanije, ki prav tako budno spremlja obdelavo osebnih podatkov v tem okviru. V zvezi z vsebinami, ki jih o določenem uporabniku objavljajo drugi posamezniki in so dostopne preko spletnih omrežij, pa pojasnjujemo, da tak način razkrivanja podatkov običajno ne sodi v okvir zakonodaje o varstvu osebnih podatkov, pač pa je pravice mogoče uveljavljati v civilnih in kazenskih postopkih. Osebe, ki razkrivajo podatke o drugih osebah običajno ne predstavljajo upravljavcev osebnih podatkov – upravljavec je spletno družbeno omrežje. Seveda pa lahko tak način razkrivanja vseeno pomeni poseg v pravice posameznikov, kjer lahko ti posamezniki uporabijo druga pravna sredstva.
- Wikipedia Kot pojasnjeno na začetku, v primeru Wikipedije ne gre za upravljavca, kjer bi bil Pooblaščenec krajevno pristojen uvesti postopek nadzora. V zvezi z enciklopedijami pa Pooblaščenec splošno meni, da je, kot pri medijih, pri pravnih podlagah potrebno iskati ravnovesje med pravico do svobode govora in obveščenosti in med osebnostnimi pravicami posameznikov, o katerih morda enciklopedije govorijo in na tak način potencialno predstavljajo upravljavce osebnih podatkov. Vsakršna obdelava osebnih podatkov mora biti sorazmerna glede na namen obdelave. Prijazen pozdrav, Jože Bogataj, vodja nadzornikov državni nadzornik za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026