Orodje za optično prepoznavo besedila (OCR) - IPRS

Orodje za optično prepoznavo besedila (OCR) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.07.2021 Številka: 07120-1/2021/388 Kategorije: --> Kategorije: Moderne tehnologije, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer ste pojasnili, da v vašem zdravstvenem domu s strani zaposlenih zdravnikov prejemate prošnje po vzpostavitvi sodobne računalniške opreme, ki bi lahko pospešila in olajšala administrativno delo v ambulantah. Eno takšnih računalniških orodij je npr. IRIScan Mouse - posebna miška, ki deluje tako, da uporabnik drži gumb in z miško povleče čez želeno območje katerega koli natisnjenega dokumenta. Skenirane informacije se zatem prikažejo na računalniškem monitorju. Posebna programska oprema proizvajalca, ki omogoča IRIS-u, da prepozna besedilo, je v več kot 130 jezikih. Da lahko sliko pretvorite v tekst je potrebno OCR - optično prepoznavanje besedila, ki pa je zelo zahtevno in za slednje sistem uporablja Google storitve, kar pomeni, da se skenirana slika pošlje na Googlove strežnike in se tam predela vsebina ter preoblikuje v tekst v enega izmed 130 jezikov, ki jih ima program naloženega. Izvajanje tovrstnih prenosov vsekakor pomeni obdelavo osebnih podatkov, ki pa je po vašem mnenju precej tvegana. Glede na to, da gre pri tem za občutljive osebne podatke, nas prosimo za mnenje v zvezi z upravičenostjo vzpostavitve tovrstne opreme. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da v okviru podaje nezavezujočih mnenj ne more ocenjevati ali presojati zakonitosti posredovanja osebnih podatkov, do katerega pride v primeru uporabe specifične programske opreme, storitve ali aplikacije, temveč bi to lahko preveril lahko le v okviru uradnega inšpekcijskega postopka, kjer si bi se pridobilo podrobne informacije o obsegu in načinu delovanja zadevne rešitve, pravnih podlagah za obdelavo osebnih podatkov pri njenem delovanju, predvidenih tehničnih in organizacijskih ukrepih za varnost podatkov in upoštevanju drugih temeljnih načel varstva osebnih podatkov ter dolžnosti upravljavca osebnih podatkov. V okviru mnenja vas lahko opozorimo na to, na katere elemente zakonodaje morate biti pozorni pri odločanju o selitvi osebnih podatkov v oblak ter napotimo na gradiva, ki so vam lahko pri tem v pomoč. Glede uporabe rešitev računalništva v oblaku, med katere gleda na podani opis sodi tudi preučevana OCR rešitve, smo izdali Smernice za varstvu osebnih podatkov in računalništvo v oblaku, ki so na voljo na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_Varstvo_osebnih_podatkov_in_racunalnistvo_v_oblaku_2016.pdf Kot opozarjamo v smernicah so ključna področja, na katera morate biti pazljivi pri uporabe storitev računalništva v oblaku: pogodbena obdelava osebnih podatkov, zavarovanje (oz. varnost) osebnih podatkov in prenos osebnih podatkov v tretje države. IP je glede vseh teh tem izdal ločene smernice, ki so vam lahko v pomoč, dostopne so na spletni strani: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/ Priporočamo vam tudi infografiko IP o prenosu podatkov v tretje države: https://www.ip-rs.si/fileadmin/user_upload/png/infografike/Prenos_osebnih_podatkov_po_Uredbi_v_dveh_korakih-1.png Posebej želimo še opozoriti na odločitev Sodišča Evropske unije (SEU) v primeru Schrems II (DPC Ireland v. Facebook Ireland and Schrems) iz leta 2020, s katero je SEU razglasilo za neveljavno odločbo Evropske komisije 2016/1250 o ustrezni ravni varstva osebnih podatkov v okviru EU-ZDA dogovora o zasebnostnem ščitu. SEU je hkrati potrdilo veljavnost standardnih pogodbenih klavzul, ki se še vedno lahko uporabljajo za prenose podatkov v tretje države, ki ne zagotavljajo ustreznega varstva osebnih podatkov. Organizacije lahko prenašajo osebne podatke iz EU v tretje države, tudi v ZDA, na različnih podlagah. Bodisi država zagotavlja ustrezno raven varstva osebnih podatkov in je to ugotovila Evropska komisija s svojim sklepom – to je bila situacija v primeru »zasebnostnega ščita«, za katerega je Evropske komisija ugotovila, da nudi ustrezno varstvo podatkov. Lahko pa se podatki prenašajo tudi v okviru drugih mehanizmov po členu 46 Splošne uredbe o varstvu podatkov, predvsem na podlagi standardnih pogodbenih klavzul (tipske pogodbe, ki jih je prav tako sprejela Evropska komisija) in zavezujočih poslovnih pravil (ki jih sprejme organizacija in potrdijo nadzorni organi v EU) iz člena 47 ali pa v primeru izjem iz člena 49 Splošne uredbe o varstvu podatkov, pri prenosih, ki niso množični ali ponavljajoči, npr. na podlagi privolitve posameznika. Sodišče EU je razveljavilo t. i. zasebnostni ščit, organizacijam pa ostanejo na voljo drugi našteti mehanizmi za prenose podatkov, za katere morajo čim prej poskrbeti. Iznosi osebnih podatkov so še vedno mogoči pod pogojem, da upravljavec osebnih podatkov sam zagotovi ustrezne zaščitne ukrepe, ki zagotavljajo varovanje zasebnosti ter temeljnih pravic in svoboščin posameznikov. Evropska podjetja, ki iznašajo osebne podatke, se morajo zavedati, da sama nosijo odgovornost za oceno zakonitosti iznosa in nadaljnje obdelave ter da morajo poskrbeti, da so pri vsakokratnem iznosu osebnih podatkov zajeta in spoštovana vsa načela evropskega varstva osebnih podatkov. Organizacije, ki iznašajo podatke v ZDA in so se do sedaj zanašale na to, da gre pri prejemniku za podjetje, ki ga je mogoče najti na t. i. seznamu Privacy Shield, morajo čim prej poskrbeti za to, da prenose utemeljijo na drugi podlagi (npr. standardne pogodbene klavzule, zavezujoča poslovna pravila, izjeme). V nasprotnem primeru se podatki v ZDA ne smejo prenašati. V zelo podobni situaciji leta 2015, ko je bil s strani Sodišča Evropske unije razveljavljen predhodnik zasebnostnega ščita, t.j. dogovor varnega pristana, so organizacije prenose podatkov v ZDA pogosto utemeljile na standardnih pogodbenih klavzulah, ki so jih sklenile s partnerskimi organizacijami. Sodišče EU je svojo argumentacijo za razveljavitev zasebnostnega ščita utemeljilo na ugotovitvi, da varstvo osebnih podatkov, kot ga zagotavlja zakonodaja v ZDA ni na ekvivalentni ravni kot v EU. Predvsem je opozorilo na premalo omejena pooblastila ameriških organov za dostope do prenesenih podatkov in na neučinkovito varstvo preko Ombudsmana, ki naj bi v ZDA zagotavljal izvajanje pravic posameznikov. V tem kontekstu naj bi drugi mehanizmi za prenos podatkov, ki jih bodo morale uporabiti organizacije iz EU, npr. standardne pogodbene klavzule ali zavezujoča poslovna pravila, zagotavljali višjo raven varstva pravic posameznikov. Odločba SEU je dostopna na: http://curia.europa.eu/juris/document/document.jsf;jsessionid=93A4164B11548C6349307CAAFB9860AC?text=&docid=228677&pageIndex=0&doclang=sl&mode=lst&dir=&occ=first&part=1&cid=9823840 Pojasnjujemo še, da je Evropska komisija sprejela nove standardne pogodbene klavzule, ki služijo kot podlaga za prenos osebnih podatkov v tretje države (države, ki niso članice EU oz. nimajo sklepa EK o ustreznosti). Standardne pogodbene klavzule so bile objavljene v Uradnem listu EU in začnejo veljati
10. Več informacij najdete na spletni strani Evropske komisije: https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en Glede na vse navedeno je treba biti pri uporabi storitev računalništva v oblaku, zlasti ko gre za ponudnike rešitev iz tretjih držav in ko gre za obdelavo posebnih vrst osebnih podatkov, kot so zdravstveni podatki, zelo pozoren, po drugi strani pa se lahko obrnete tudi na ponudnika storitev, da sam pojasni, kako zagotavlja skladnost svojih rešitev z evropsko zakonodajo o varstvo osebnih podatkov. Alternativno lahko preučite tudi druge možnosti za izvedbo OCR prepoznave besedila, ki ne terjajo prenosa osebnih podatkov v tretje države. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026