Nadaljnja obdelava osebnih podatkov za raziskovalne namene s strani uporabnika osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.07.2021 Številka: 07120-1/2021/377 Kategorije:Posredovanje OP med upravljavci, Pravne podlage --> Kategorije: Posredovanje OP med upravljavci, Pravne podlage Informacijski pooblaščenec (IP) je dne
- 2021 prejel vaše zaprosilo za mnenje o tem, ali lahko upravljavec osebnih podatkov v javnem sektorju, ki osebne podatke obdeluje na zakonski osnovi in v okviru izvajanja javnih pooblastil, z namenom internih razvojno - raziskovalnih in statističnih obdelav nadalje obdeluje tudi osebne podatke, katerih sam sicer ni upravljavec (določen z zakonom), ampak z njimi vseeno razpolaga, saj jih zbira (npr. v okviru prijav in jih potem (delno) posreduje drugim uporabnikom in tudi upravljavcem teh podatkov) oziroma kako drugače obdeluje na zakonski osnovi. Te osebne podatke bi pravna oseba javnega sektorja obdelovala v okviru internih raziskav izključno z namenom izboljšanja oziroma optimizacije storitev za državljane, za izvajanje katerih ima sicer javna pooblastila, raziskovalna dejavnost s tem namenom pa je del rednega poslovanja te pravne osebe javnega sektorja. Gre za pravno osebo, ki obdeluje tudi podatke posebne vrste (podatke o zdravstvenem stanju). Zanima vas tudi, ali je nadaljnja obdelava osebnih podatkov (in podatkov posebne vrste) za interne raziskovalne in razvojne namene upravljavca omejena samo na podatke, katerih upravljavec je določena pravna oseba javnega sektorja oziroma, ali je nadaljnja (a hkratna obdelava s "svojimi" podatki) obdelava drugih osebnih podatkov, glede katerih je ta pravna oseba samo uporabnik, upravljavec pa je druga pravna oseba javnega sektorja, sploh dopustna in če je, pod kakšnimi pogoji? Dodatno vas zanima, ali lahko te osebne podatke, glede katerih pravna oseba sicer ni upravljavec, jih pa vseeno obdeluje na zakonski osnovi (kot uporabnik), posreduje drugim prosilcem za znanstveno - raziskovalne namene v psevdonimizirani ali anonimizirani obliki in pod kakšnimi pogoji. Tudi pri raziskavah, ki jih izvajajo znanstveno - raziskovalne institucije (npr. fakultete), se namreč pojavljajo potrebe po hkratni obdelavi podatkov z istega raziskovalnega področja (konkretno zdravstva), pri čemer pa so zakonsko določeni upravljavci teh osebnih podatkov (in podatkov posebne vrste) različne pravne osebe javnega sektorja. Na zgornje vprašanje se navezuje tudi vaše vprašanje, ali je posredovanje osebnih podatkov (in osebnih podatkov posebne vrste) za ta namene dovoljena samo upravljavcem teh osebnih podatkov oziroma obrnjeno, ali zgolj uporabnik (torej ne upravljavec) osebnih podatkov (in osebnih podatkov posebne vrste) sploh sme te podatke posredovati drugemu uporabniku za znanstveno raziskovalne namene in pod kakšnimi pogoji? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Najprej pojasnjujemo, da je naše mnenje načelo in splošno: ker se lahko IP do predstavljene problematike dokončno in konkretno opredeli le v morebitnem inšpekcijskem postopku in ker nimamo na voljo vseh odločilnih informacij, od katerih je odvisen konkretni odgovor. Po mnenju IP je uporabnik osebnih podatkov lahko tudi upravljavec pridobljenih osebnih podatkov, če ima za (nadaljnjo) obdelavo podatkov ustrezno pravno podlago (
- ali
- člen Splošne uredbe o varstvu podatkov) in če ta subjekt ustreza splošni definiciji upravljavca iz
(7)točke 4. člena Splošne uredbe o varstvu podatkov. Možno je tudi, da določen javni organ, ki pridobiva osebne podatke na podlagi posamičnih poizvedb sploh ni uporabnik v skladu z drugim stavkom
(9)točke 4. člena Splošne uredbe o varstvu podatkov. Če je torej v nekem konkretnem primeru možno uporabnika opredeliti tudi kot upravljavca osebnih podatkov, lahko ta osebne podatke interno obdeluje tudi za znanstveno-raziskovalni ali statistični namen, in sicer brez privolitve posameznikov To velja za »navadne« osebne podatke in za posebne vrste osebnih podatkov. Upravljavec iz prejšnje točke lahko zunanji raziskovalni organizaciji posreduje: - popolnoma anonimizirane podatke za raziskovalni namen, pri čemer za to posredovanje ne potrebuje pravne podlage ali - psevdonimizirane osebne podatke za raziskovalni namen, za kar pa mora biti podana ustrezna pravna podlaga (izrecna podlaga v nekem zakonu ali privolitev), ki je odvisna od tipa upravljavca in uporabnika, vrste želenih podatkov in podobno. O b r a z l o ž i t e v: Če je nek subjekt uporabnik osebnih podatkov, to še ne pomeni, da ne more biti tudi upravljavec pridobljenih osebnih podatkov, torej samostojni upravljavec (ne soupravljavec), ki je ločen od prvotnega (izvornega) upravljavca. Taki primeri so v praksi pogosti, odgovor v konkretnem primeru pa je odvisen od tega, ali ima uporabnik pravno podlago za obdelavo pridobljenih osebnih podatkov in ali ustreza definiciji upravljavca. Če je uporabnik že upravljavec za »svoje« osebne podatke, to ne vpliva na opredelitev, ali je upravljavec tudi za pridobljene osebne podatke. Pod pogoji iz drugega stavka
(9)točke
- člena Splošne uredbe o varstvu podatkov nekateri upravljavci javnega sektorja že po sami uredbi niso uporabniki, čeprav podatke pridobivajo od drugih upravljavcev. Obdelava osebnih podatkov za znanstveno-raziskovalne in statistične namene je dopustna tudi brez privolitve posameznikov, če tako obdelavo izvaja sam upravljavec zase oziroma za svoj lasten znanstveno-raziskovalni ali statistični namen, torej interno. Podlaga za to je: v (b) točki prvega odstavka
- člena Splošne uredbe (načelo omejitve namena), ki določa, da morajo biti vsi osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89
(1)pa ne velja za nezdružljivo s prvotnimi nameni; v prvem odstavku
- člena ZVOP-1, ki določa, da se ne glede na prvotni namen zbiranja lahko osebni podatki nadalje obdelujejo za zgodovinsko, statistično in znanstveno-raziskovalne namene. Pravnih podlag za posredovanje osebnih podatkov zunanjemu izvajalcu znanstveno-raziskovalnega ali statističnega dela je več in niso enotno urejene na enem mestu. Najpomembnejša je privolitev, poleg tega pa pridejo v poštev tudi izrecne zakonske podlage, na primer tretji odstavek
- člena ZVOP-1, ZVDAGA, Letni program statističnih raziskovanj na podlagi Zakona o državni statistiki, priloga Zakona o zbirkah podatkov s področja zdravstvenega varstva, področna zakonodaja s področja šolstva in socialnega varstva. Če se izvajalcu znanstveno-raziskovalnega ali statističnega dela posredujejo psevdonimizirani osebni podatki, za tako posredovanje velja enako kot, če gre za posredovanje neobdelanih osebnih podatkov. Še vedno gre namreč za osebne podatke. Če izvajalec znanstveno-raziskovalnega ali statističnega dela nima na voljo pravne podlage, se mu lahko posredujejo anonimizirani podatki. Toda tu je treba upoštevati, da popolne (nepovratne) anonimizacije v praksi ni lahko doseči. Predlagamo vam tudi ogled že objavljenih mnenj IP, ki so dostopna na spletni strani IP. V vašem primeru so lahko relevantna mnenja npr. 07120-1/2021/341, 07120-1/2021/235, 07120-1/2020/419 in 07120-1/2020/
- Lepo vas pozdravljamo, Pripravil: mag. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026