Mnenje glede psevdonimizacije - IPRS

Mnenje glede psevdonimizacije + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.01.2017 Številka: 0712-1/2017/102 Kategorije:Definicija OP, Moderne tehnologije, Pogodbena obdelava OP --> Kategorije: Definicija OP, Moderne tehnologije, Pogodbena obdelava OP Spoštovani,prejeli smo vaše zaprosilo za mnenje, v katerem nas sprašujete, ali morate skleniti pogodbo o pogodbeni obdelavi osebnih podatkov z zunanjim izvajalcem za namene izvajanja statistike obiskanosti in uporabe mobilne aplikacije (izvajanje statistike na podlagi osebne privolitve uporabnika aplikacije). Upravljavec osebnih podatkov bi vsakemu uporabniku dodelil unikatno ID številko za namene izvajanja statistike (torej ne gre za posredovanje interne številke kupca, davčne številke ipd., ki bi jo upravljavec osebnih podatkov tudi sam uporabljal za identifikacijo uporabnikov v drugih zbirkah...), ki bi jo posredoval pogodbenemu partnerju. Partner bi tako pripravljal statistike po posameznem uporabniku. ID številko bi lahko s konkretnim posameznikom povezal samo upravljavec osebnih podatkov, ne pa tudi pogodbeni partner. Za pogodbenega partnerja tako posameznik ne bi bil v nobenem primeru določljiv. Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
3. točke
4. odstavka
5. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
6. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.IP je glede pogodbene obdelave pripravil smernice o pogodbeni obdelavi, ki so na voljo na naslovu:https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdfV smernicah se sicer ne dotikamo vprašanja psevdonimizacije osebnih podatkov, v njih pa lahko najdete odgovore na pogosta vprašanja glede pogodbene obdelave osebnih podatkov.Stališče IP je, da je treba tudi psevdonimizirane osebne podatke obravnavati kot osebne podatke, če je možna določljivost posameznika, pri čemer je na možnost določljivosti treba gledati na široko in upoštevati vsa sredstva, ki bi jih lahko uporabil upravljavec ali katerakoli druga oseba za določljivost posameznika. Takšno stališče zastopa tudi Delovna skupina za varstvo podatkov iz člena 29 (Article 29 Working Party) v Mnenju o konceptu osebnih podatkov (dostopno na: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2007/wp136_sl.pdf). Zgolj zamenjave enega osebnega podatka z drugim, posamezniku enolično dodeljenim identifikatorjem, ali pa dodelitve enoličnega identifikatorja, še ne moremo šteti za anonimizacijo in samo dejstvo, da pogodbeni obdelovalec samostojno ne more povezati ID številke z določenim posameznikom še ne pomeni, da za to ne obdeluje osebnih podatkov. Zgolj uporaba psevdonimizacije ali pa ločevanje osebnih podatkov med različnimi pravnimi osebami še ne predstavlja anonimizacije, zato gre za obdelavo osebnih podatkov in v primeru zunanjega izvajanja za pogodbeno obdelavo osebnih podatkov.Priporočamo tudi Mnenje o anonimizacijskih tehnikah (dostopno na: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_sl.pdf), kjer Delovna skupina za varstvo podatkov iz člena 29 navaja, da »…psevdonimizacija ni anonimizacijska metoda. Z njo se samo zmanjša povezljivost nabora podatkov s prvotno identiteto posameznika, na katerega se nanašajo osebni podatki, zato je to uporaben varnostni ukrep« in dalje: »Psevdonimizacija vključuje nadomestitev enega atributa (običajno edinstvenega atributa) v zapisu z drugim. Posredna določitev fizične osebe je torej še vedno verjetna; zato psevdonimizacija, če se uporabi samostojno, ne pomeni anonimnega nabora podatkov.«Tudi Splošna Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne
7. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; uredba), ki bo »nasledila« ZVOP-1 vsebuje jasne določbe, da je psevdonimizirane osebne podatke treba obravnavati kot osebne podatke. Uvodna določba 26 uredbe navaja, da: »Načela varstva podatkov bi se morala uporabljati za vse informacije v zvezi z določenim ali določljivim posameznikom. Osebne podatke, ki so bili psevdonimizirani in ki jih je mogoče z uporabo dodatnih informacij pripisati posamezniku, bi bilo treba obravnavati kot informacije o določljivem posamezniku.«
8. točka
9. člena uredbe definira »psevdonimizacijo« , ki »pomeni obdelavo osebnih podatkov na tak način, da osebnih podatkov brez dodatnih informacij ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku«.Glede na navedeno menimo, da bi morali opisani način zunanjega izvajanja obdelave podatkov šteti kot pogodbeno obdelavo osebnih podatkov, zato je treba pogodbeni odnos urediti skladno z zahtevami ZVOP-1 glede pogodbene obdelave osebnih podatkov, pri čemer so vam lahko v pomoč na začetku omenjene smernice IP. Opozarjamo še, da bo uredba zahtevala bistveno več elementov v pogodbah o pogodbeni obdelavi, zato vam priporočamo, da upoštevate tudi te (členi 28 do 30), saj so načeloma v interesu upravljavca, z namenom da ustrezno zavaruje svoje interese in pravice in omeji svojo odgovornost za ravnanje drugih v primerih, ko določene obdelave osebnih podatkov poveri zunanjim izvajalcem.S spoštovanjem,Informacijski pooblaščenec: Mojca Prelesnik, univ.dipl.prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026