Obdelava osebnih podatkov v zvezi z uživanjem drog + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 27.05.2012 Številka: 0712-1/2012/1643 Kategorije:Občutljivi OP, Svetovni splet --> Kategorije: Svetovni splet, Občutljivi OP Informacijski pooblaščenec je dne 14.05.2012 po elektronski pošti prejel vaš dopis, kjer pojasnjujete, da vaša nevladna organizacija, ki deluje na področju zmanjševanja škodljivih posledic alkohola in drog med mladimi, pripravlja spletno aplikacijo za (samo)pomoč uporabnikom, ki se spopadajo z različnimi odvisnostmi. Navajate, da bi uporabnikom radi zagotovili anonimnost, razen tega pa pri obdelavi osebnih podatkov ne želite kršiti določb ZVOP-
- Prijava v aplikacijo naj bi se izvedla s pomočjo naslova elektronske pošte in gesla. Uporabnik bo nato po vzoru spletnih dnevnikov skozi svoj uporabniški profil vnašal različne informacije glede svojega počutja, količine in vrste uporabljene droge, idr. Uporabniški računi naj bi bili zaščiteni, vsak uporabnik pa bo imel dostop le do tistih podatkov, ki bodo v njegovem računu. Aplikacija naj bi omogočala svetovanje s strani strokovnjakov. Tem bo uporabnik lahko omogočil dostop do podatkov v svojem profilu. Razen tega želite vi kot organizacija spremljati trend priljubljenosti aplikacije, v ta namen pa naj bi obdelovali še podatke o številu uporabnikov, o številu prijav v aplikacijo, času uporabe in prenehanju uporabe aplikacije. Aplikacija bo predvidoma dostopna na strežniku vaše organizacije, ker se bodo shranjevali tudi IP naslovi uporabnikov, vendar ne z namenom nadaljnje analize. Razmišljate tudi, da bi uporabnike vprašali po njihovem spolu in starosti, najbrž bo to vprašanje opcijsko, uporabniki bodo odgovorili nanj, če bodo sami želeli. Zanima vas, ali bi lahko glede na navedeno aplikacijo že uporabili oziroma na kakšen način bi bila uporaba dopustna, da pri tem ne bi prihajalo do kršitev določb ZVOP-
- Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 - ZUstS-A; ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uvodoma je potrebno poudariti, da v vašem primeru ne gre le za obdelavo (navadnih) osebnih podatkov, pač pa tudi za obdelavo občutljivih osebnih podatkov, ki je dopustna pod strožjimi pogoji. V
- členu ZVOP-1 so osebni podatki opredeljeni kot katerikoli osebni podatki, ki se nanašajo na posameznika, ne glede na obliko, v kateri so izraženi. Sem sodijo ime, priimek, naslov prebivališča, naslov elektronske pošte (če je posameznik posredno ali neposredno določljiv), IP naslov, idr. Občutljivi osebni podatki pa so med drugim tudi podatki o zdravstvenem stanju, kamor nedvomno sodijo tudi informacije o uživanju drog in učinkih, ki jih te povzročajo na zdravju posameznikov. Prvi pogoj za kakršnokoli obdelavo osebnih podatkov je ustrezna pravna podlaga.
- člen ZVOP-1 določa, da se osebni podatki v zasebnem sektorju lahko obdelujejo, če obdelavo določa zakon ali če je podana osebna privolitev posameznika. V vašem primeru se lahko osebni podatki obdelujejo le na podlagi osebne privolitve vsakega posameznika. Pri tem je potrebno poudariti, da se občutljivi osebni podatki v zasebnem sektorju lahko obdelujejo le na podlagi izrecne osebne privolitve, ki mora biti praviloma pisna (prva točka
- člena ZVOP-1). Vendar pa bi v primeru pisne privolitve, ki jo ZVOP-1 opredeljuje kot osebno privolitev posameznika, ki je podpisana, ima obliko listine, določila v pogodbi, določila v naročilu, priloge k vlogi ali drugo obliko v skladu z zakonom in je lahko podana tudi v digitalizirani obliki (npr. elektronski podpis), posameznik razkril svojo identiteto, kar pomeni, da v razmerju uporabnik – upravljavec osebnih podatkov ne bi bilo več anonimnosti. Zato Pooblaščenec dopušča možnost, da je privolitev v tem primeru lahko podana tudi tako, da se uporabnik najprej seznani s pogoji uporabe aplikacije, potem pa, če se tako odloči, s »klikom« sprejme pogoje uporabe. Vsekakor mora biti posameznik vnaprej obveščen, kdo in za kakšne namene bo obdeloval njegove osebne podatke (katere) ter kdo in za kakšne namene se bo z njimi lahko seznanil, prav tako mora podati svojo privolitev za kakršnokoli obdelavo ali posredovanje občutljivih osebnih podatkov. Kljub večji ali manjši stopnji anonimizacije je uporabnike potrebno predhodno opozoriti, da bodo s privolitvijo in uporabo aplikacije njihovi podatki dostopni na spletu (čeprav zgolj v okviru omejene aplikacije), zato naj bodo še posebej previdni pri navajanju osebnih podatkov oziroma tistih osebnih podatkov, ki bi lahko tretjim osebam omogočili, da ugotovijo identiteto uporabnikov. V konkretnem primeru to pomeni, da ni priporočljivo objavljati (čeprav v zaprtem profilu) svojega pravega imena, priimka, naslova prebivališča ali telefonske številke). Priporočljivo je, da se pri uporabi aplikacije zagotovi čim višja stopnja anonimnosti. To pomeni, da se uporabniki npr. prijavijo v aplikacijo s svojim fiktivnim uporabniškim imenom (če se uporabi naslov elektronske pošte utegne biti to z vidika zagotavljanja anonimnosti nemalokrat sporno) in geslom. Prav tako Pooblaščenec svetuje, da upravljavec ne zbira IP naslovov oziroma jih izbriše čim hitreje. IP naslov praviloma šteje kot osebni podatek, saj je na njegovi podlagi mogoče določiti/izslediti posameznika Pomembno je vprašanje posredovanja (občutljivih) osebnih podatkov tretjim strankam, npr. različnim strokovnjakom in organizacijam. Tretje stranke lahko nastopajo kot pogodbeni obdelovalci ali kot uporabniki osebnih podatkov. Na podlagi vašega dopisa je mogoče sklepati, da bodo svetovalci in strokovnjaki nastopali kot uporabniki osebnih podatkov, druge organizacije pa kot uporabniki in kot pogodbeni obdelovalci osebnih podatkov. ZVOP-1 v
- členu uporabnike osebnih podatkov opredeljuje kot fizične ali pravne osebe ali druge osebe javnega ali zasebnega sektorja, ki se ji posredujejo ali razkrijejo osebni podatki. Pogodbeni obdelovalec pa je fizična ali pravna oseba, ki obdeluje osebne podatke v imenu in na račun upravljavca osebnih podatkov. Zakonska določila so nekoliko različna glede na to ali gre za uporabnike osebnih podatkov ali za pogodbene obdelovalce, zato je potrebno predhodno ugotoviti kakšen status bodo tretje stranke zavzele. Upravljavec osebnih podatkov (vaša organizacija) mora ustrezno zavarovati osebne podatke, ki jih obdeluje. Zavarovanje osebnih podatkov po
- členu ZVOP-1 obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov, tako da se: • varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami; • varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki; • preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih; • zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov; • omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. Pri tem je še posebej pomembno, da se – ker gre tudi za občutljive osebne podatke – v skladu s
- členom istega zakona prenos teh podatkov prek telekomunikacijskih omrežji zavaruje z uporabo kriptografskih metod (npr. uporaba protokola https namesto http) tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Uporaba protokola https s tehničnega vidika ni zahtevna in za vašo organizacijo ne bo predstavljala opaznih stroškov, bo pa precej pripomogla k varnosti podatkov med samim prenosom. Poleg naštetega mora upravljavec osebnih podatkov za vsako zbirko osebnih podatkov vzpostaviti katalog zbirke osebnih podatkov, ki vsebuje naslednje elemente iz
- člena ZVOP-1: • naziv zbirke osebnih podatkov; • podatke o upravljavcu osebnih podatkov (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko); • pravno podlago za obdelavo osebnih podatkov; • kategorije posameznikov, na katere se nanašajo osebni podatki; • vrste osebnih podatkov v zbirki osebnih podatkov; • namen obdelave; • rok hrambe osebnih podatkov; • omejitve pravic posameznikov glede osebnih podatkov v zbirki osebnih podatkov in pravno podlago omejitev; • uporabnike ali kategorije uporabnikov osebnih podatkov, vsebovanih v zbirki osebnih podatkov; • dejstvo, ali se osebni podatki iznašajo v tretjo državo, kam, komu in pravno podlago iznosa; • splošen opis zavarovanja osebnih podatkov; • podatke o povezanih zbirkah osebnih podatkov iz uradnih evidenc ter javnih knjig; • podatke o zastopniku iz tretjega odstavka
- člena tega zakona (za fizično osebo: osebno ime, naslov opravljanja dejavnosti ali naslov stalnega ali začasnega prebivališča, za samostojnega podjetnika posameznika pa še firmo, sedež in matično številko; za pravno osebo: naziv oziroma firmo in naslov oziroma sedež upravljavca osebnih podatkov in matično številko). Če vaša organizacija šteje več kot petdeset zaposlenih, ste po
- členu ZVOP-1 dolžni Pooblaščencu posredovati podatke o katalogu zbirk osebnih podatkov najmanj 15 dni pred vzpostavitvijo zbirke osebnih podatkov. če imate manj kot petdeset zaposlenih pa vam teh podatkov ni potrebno posredovati Pooblaščencu. Pri celotni obdelavi osebnih podatkov je vseskozi potrebno upoštevati tudi načelo sorazmernosti, ki določa, da se osebne podatke obdeluje v najmanjšem možnem obsegu kot je to potrebno za dosego cilja. Če je cilj vaše aplikacije predvsem postavitev platforme, kjer bodo strokovnjaki lahko svetovali uporabnikom drog, je nesorazmerno osebne podatke o teh uporabnikih posredovati še tretjim organizacijam. Za zapisan namen zadostuje začasen dostop strokovnjakov/svetovalcev do podatkov, ki jih uporabnik hrani v svojem profilu, pri čemer je ključno, da tak dostop odobri/zavrne uporabnik sam, pomembno pa je tudi to, da je uporabnik v profilu anonimiziran, t.j. da izkazuje svojo identiteto zgolj z uporabniškim imenom in da strokovnjak/svetovalec iz podatkov ne more neposredno ugotoviti identitete uporabnika. Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026