Presoja skladnosti raziskave z vidika posegov v pravice otrok in mladostnikov do zasebnosti in varstva osebnih podatkov - IPRS

Presoja skladnosti raziskave z vidika posegov v pravice otrok in mladostnikov do zasebnosti in varstva osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 22.07.2021 Številka: 07120-1/2021/373 Kategorije: --> Kategorije: Zdravstveni osebni podatki, Moderne tehnologije, Ocene učinkov v zvezi z varstvom podatkov Informacijski pooblaščenec je prejel gradiva, ki ste jih prejeli od Svetovne zdravstvene organizacije (glede na pojasnila gre za pojasnila podjetja Reality Mine) v zvezi z mnenjem Informacijskega pooblaščenca št. 07120-1/2021/120 z dne
4. 2021 in vaše zaprosilo za dodatno mnenje ter presojo skladnosti raziskave »Izpostavljenost digitalnemu trženju nezdrave hrane, brezalkoholnih in alkoholnih pijač pri otrocih in mladostnikih, z uporabo CLICK orodja Svetovne zdravstvene organizacije« s slovensko in evropsko zakonodajo in morebitne predloge za izboljšanje varnosti osebnih podatkov in zasebnosti vključenih oseb. Informacijski pooblaščenec (v nadaljevanju IP) na podlagi
5. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
6. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov oz. Uredba),
7. točke prvega odstavka
8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
9. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) in priloženega gradiva ugotavlja, da se podana pojasnila nanašajo zgolj na vidik zavarovanja in obdelave osebnih podatkov s strani pogodbenega obdelovalca podatkov t.j. podjetje RealityMine, ni pa podanih nobenih pojasnil glede drugih vidikov obdelave. V priloženih pojasnilih so pojasnjeni le različni vidiki vloge pogodbenika (podjetje RealityMine), za ostalo pa se uporablja pojem 'national research team', pri čemer ni jasno, kdo bo to (MZ, NIJZ ali še kdo), niti niso pojasnjeni drugi vidiki njihove vloge in obdelave osebnih podatkov. Gradivo, ki smo ga prejeli, ne vsebuje nobenih informacij o tem: kdo so upravljavci osebnih podatkov, ali so to skupaj Nacionalni inštitut za javno zdravje (NIJZ), nacionalna pisarna Svetovne Zdravstvene organizacije (SZO) v Sloveniji in Pisarna Evropskega urada SZO za preprečevanje in obvladovanje nenalezljivih bolezni v Moskvi, ali zgolj NIJZ? Kako naj bi bile v zvezi s tem med njimi razdeljene naloge in vloge glede opisanega množičnega zbiranja in obdelave osebnih podatkov otrok. Kako naj bi potekale poti pridobivanja soglasja za obdelavo osebnih podatkov mladoletnih in druge poti obdelave ter nadaljnje hrambe osebnih podatkov. Soglasje namreč pridobiva upravljavec in četudi tehnično to nalogo morda s pogodbo prenese na pogodbenega obdelovalca, je odgovornost za ustrezen način pridobivanja soglasja (torej npr. navodilo pogodbeniki, kako naj zasnuje posamezne elemente aplikacije) in vsebino soglasja odgovornost upravljavca. Kakšne bodo posledice morebitnega umika soglasja med potekom raziskave in kdo bo poskrbel za izločitev zbranih podatkov v tem primeru? Če razloge za skrbi IP plastično orišemo, npr. ni jasno, komu bo posameznik dal soglasje za zbiranje osebnih podatkov (NIJZ?), na koga bi se posameznik lahko obrnil v zvezi z uveljavljanjem svojih pravic, kot je pravica do seznanitve, pravica do izbrisa, kdo bo v primeru zahteve za izbris odločil o izbrisu podatkov, kdo bo hranil tako zbrane podatke, koliko časa, kdo bo odločil in poskrbel za izbris tako zbrane množice podatkov, po poteku roka hrambe? Bo to NIJZ, ali vsi sodelujoči? V mnenju zato IP težko poda dodatno presojo skladnosti raziskave z vidika varstva podatkov, vsekakor pa glede na vsa prejeta pojasnila ni nobenega dvoma, da bi morali pred začetkom zbiranja in drugih obdelav podatkov v opisani raziskavi izvesti oceno učinkov v zvezi z varstvom podatkov, kot to zahteva
10. člen Splošne uredbe, saj gre za obdelavo posebnih vrst osebnih podatkov, brez dvoma gre za množično obdelavo osebnih podatkov z uporabo novih tehnologij, pri čemer bo opisana aplikacija omogočala popoln nadzor nad vsemi vsebinami in uporabo mobilnih naprav otrok ter zajem podatkov otrok, verjetno pa posredno tudi podatkov njihovih staršev oz. zakonitih zastopnikov, morda celo tretjih oseb. Kadar je iz ocene učinka v zvezi z varstvom podatkov iz člena 35 razvidno, da bi obdelava povzročila veliko tveganje, če upravljavec ne bi sprejel ukrepov za ublažitev tveganja, se je upravljavec v skladu s
11. členom Splošne uredbe dolžan tudi posvetovati z IP. Priložena dodatna pojasnila podjetja RealityMine glede na vsebino ne predstavljajo takšne ocene učinka. Brez izvedene ocene učinkov IP ne more podati podrobnejše ocene oz. mnenja. Vse informacije o ocenah učinka so na voljo na tej povezavi: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/ocena-ucinka-v-zvezi-z-varstvom-podatkov/ Prav tako pa je Evropski odbor za varstvo podatkov pripravil smernice na temo zagotavljanja vseh standardov vgrajenega in privzetega varstva podatkov pri snovanju aplikacij, ki so dostopne na spletni strani (https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-42019-article-25-data-protection-design-and_en). V okviru Evropskega odbora za varstvo podatkov IP doslej ni prejel informacij, da bi bili drugi evropski nadzorni organi za varstvo podatkov seznanjeni s tovrstno raziskavo oz. z navedeno aplikacijo. V kolikor imate v zvezi z opisanim morebitna dodatna vprašanja, smo na voljo za pojasnila. Lepo vas pozdravljamo, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Alenka Jerše, univ. dipl. prav. namestnica informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026