Stališče Informacijskega pooblaščenca glede uvajanja nove opredelitve psevdonimnih podatkov v predlagani reformi varstva osebnih podatkov v EU - IPRS

Stališče Informacijskega pooblaščenca glede uvajanja nove opredelitve psevdonimnih podatkov v predlagani reformi varstva osebnih podatkov v EU + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.03.2013 Številka: 007-17/2013 Kategorije:Svetovni splet, Zavarovanje osebnih podatkov --> Kategorije: Zavarovanje osebnih podaktov, Svetovni splet Zadeva: Stališče Informacijskega pooblaščenca glede uvajanja nove opredelitve psevdonimnih podatkov v predlagani reformi varstva osebnih podatkov v EU Informacijski pooblaščenec zastopa stališče, da so v reformi zakonodajnega okvira o varstvu osebnih podatkov poskusi oblikovanja novih definicij osebnih podatkov, kot so psevdonimni podatki, za katere naj bi veljali milejši pogoji za obdelavo in varovanje, nepremišljeni, izrazito naravnani k varstvu interesov zasebnega sektorja in brez jasnih prednosti za varstvo osebnih podatkov posameznikov oziroma kot taki vodijo v jasno zmanjšanje pravic posameznikov. Poleg tega konkretni predlogi definicij in opredelitev, ki se trenutno pojavljajo v različnih dokumentih , prinašajo veliko nejasnosti, ki bi lahko, v primeru, da so nepremišljeni predlogi sprejeti, pomenile nazadovanje pri urejanju pravice do varstva osebnih podatkov. Podatki, na katere ciljajo predlagane spremembe so predvsem podatki, ki jih obdelujejo ponudniki storitev informacijske družbe, ki običajno sicer ne morejo neposredno identificirati posameznika, a imajo hkrati o njem na voljo nepredstavljivo izpopolnjene profile, ki nastajajo za namen trženja ter izboljšav storitev. Hkrati so ti podrobni podatki vedno na voljo tretjim stranem, ki imajo temelj za njihovo obdelavo in potencialno identifikacijo posameznikov (npr. organi pregona, obdelava v okviru sodnih postopkov, ipd.), prav tako pa so zaradi svoje velike vrednosti izpostavljeni tveganjem z vidika zavarovanja. Taka ekstenzivna obdelava osebnih podatkov pomeni zelo velik poseg v pravice posameznika, kar je zaznala tudi Evropska komisija in prav z namenom večjega varovanja pravic posameznikov je nastala reforma. Vključitev pojma psevdonimnih podatkov in zmanjšanje obveznosti upravljavcev v zvezi z njimi lahko poseže v samo bistvo reforme in popolnoma izpodje njen potencial za zaščito posameznikov pri uporabi storitev informacijske družbe. Pooblaščenec izraža bojazen, da so poskusi definiranja psevdonimnih podatkov in postavljanja lažjih pogojev za njihovo obdelavo, kot veljajo sicer za osebne podatke, predvsem poskusi industrije, da spreobrne sprejeto in veljavno Direktivo o zasebnosti v elektronskih komunikacijah , predvsem glede ureditve t.i. piškotkov. Omenjena direktiva od ponudnikov storitev, ki s pomočjo piškotkov in podobnih tehnologij obdelujejo podatke posameznikov, zahteva, da pred tako obdelavo pridobijo soglasje posameznikov. To za industrijo, kjer večina obdelave podatkov poteka brez vednosti posameznikov, pomeni veliko in neželeno spremembo in skladno s tem so v zadnjem času vloženi veliki napori k spremembam zakonodaje v EU na način, da bi se olajšali pogoji za obdelavo podatkov uporabnikov elektronskih komunikacij. Pri tem se bojimo, da gre zelo očitno le za interese velikih multinacionalk, ki nudijo storitve informacijske družbe, in ki so, kot ponudniki spletnih iskalnikov, družabnih omrežij in drugih storitev informacijske družbe prevzeli vlogo enih največjih upravljavcev osebnih podatkov v informacijski družbi. Večinoma gre poleg tega za upravljavce, ki so izven neposrednega nadzora in dosega evropskih nadzornih organov, ponujajo pa storitve, ki so v informacijski družbi postale del vsakdanjika (npr. spletni iskalniki in družbena omrežja). Predlog, da bi pravna podlaga za obdelavo psevdonimnih podatkov postali standardi, določeni s strani Evropske komisije , ki naj bi veljali za ustrezno privolitev v elektronski obliki (kot je npr. do-not-track), se zato zdi zelo nepremišljen, ozko zastavljen in z nepredvidenimi posledicami, usmerjen pa predvsem v implementacijo Direktive zasebnosti v elektronskih komunikacijah. Pri tem se pozablja, da se morebitni psevdonimi ne nanašajo zgolj na enolične identifikatorje v on-line svetu, pač pa lahko v tak okvir sodi marsikateri podatek, ki ga glede na razvoj koncepta osebnih podatkov, skladno s stališči Delovne skupine iz člena 29 iz mnenja o konceptu osebnih podatkov ter obstoječimi definicijami, trenutno štejemo za osebni podatek, za katerega velja polno varstvo. Trenutno uporabljene dikcije, ki izhajajo iz besedila osnutka poročila poročevalca odbora LIBE, celo omogočajo napačne zaključke, da so psevdonimi neka samosvoja kategorija osebnih podatkov in da niso osebni podatki, kar seveda ne drži. V kolikor bi reforma zakonodaje na področju varstva osebnih podatkov vzpostavila novo kategorijo psevdonimnih podatkov, bi morala biti zelo jasna v tem, da so psevdonimni podatki prav tako osebni podatki (kot izhaja iz definicije osebnega podatka), za katere veljajo vse relevantne določbe in pri obdelavi katerih ne sme priti do manjšega varstva pravic posameznikov. Tako stališče je zavzela tudi Delovna skupina iz člena 29 v zadnji izjavi, kjer je poudarila, da psevdonimizacija pomeni zgolj zakritje identitete, kar pa ni nepovratno. Kadar je mogoče znova določiti posameznika, pri čemer se upošteva tudi sredstva, znanja in zmožnosti tretjih oseb, je tudi pri psevdonimnih podatkih treba v celoti upoštevati zakonodajo s področja varstva osebnih podatkov . Iz trenutnih predlaganih dikcij glede psevdonimnih podatkov ni mogoče jasno razmejiti, kateri podatki naj bi uživali prednosti omiljenega režima. Iz konteksta debate o psevdonimnih podatkih je sicer razbrati, da naj bi v to kategorijo spadali predvsem identifikatorji, ki jih hranijo ponudniki storitev elektronske družbe, a iz same definicije, ki poudarja le par komponent (da posameznika ni mogoče neposredno določiti brez dodatnih informacij, ki so hranjene ločeno), to ni jasno razvidno. V tako široko definicijo psevdonimnih podatkov lahko umestimo še marsikateri osebni podatek pri katerem je povsem neumestno razmišljati o znižanju standarda za varovanje takega podatka ali o »kalibriranju« odgovornosti upravljavca. Sem lahko prištejemo vse številske identifikatorje, ki jih uporabljamo, od enotne matične številke občana, davčne številke, številke zdravstvenega zavarovanja, itd. Če se hkrati s tako številčno oznako ne bi obdeloval še podatek o imenu in priimku osebe, kar je ob upoštevanju načela sorazmernosti pogosto dejansko stanje, bi taki podatki lahko prešli pod režim zmanjšanih obveznosti. V tem kontekstu je vredno opozoriti tudi na obdelavo npr. identifikacijske številke mobilnih naprav, ki jih obdelujejo praktično vse aplikacije (mobilne naprave pa so izrazito vezane na zasebnost posameznika) in pa na nov standard dodeljevanja IP naslovov IPv6, kjer bo posameznik dobil svoj IP naslov, ki se ne bo več tako dinamično spreminjal, kot se sedaj in bo posameznik posledično veliko lažje določljiv z IPv6 naslovom, ki bo dodeljen samo njemu. To sta dva številska identifikatorja, ki služita natančnemu razlikovanju med posamezniki s potencialno zelo podrobnimi profili. V takih primerih omilitev pogojev za obdelavo osebnih podatkov ne more voditi drugam kot v zmanjšanje varnosti in pravic posameznikov. Psevdonimov, če bi jih že morali opredeliti, je torej neprimerno več, kot samo tisti, na katere cilja industrija, zato bi lajšanje pogojev za njihovo obdelavo (npr. sprememba iz režima vnaprejšnje privolitve (opt-in) v režim naknadnega preklica (opt-out) imelo široke in nepredvidene posledice. Razumljivo je, da marsikateremu upravljavcu iz zasebnega sektorja ni bistveno ime in priimek posameznika in da mu zadostujejo neki enolični identifikatorji, ki posameznika ločijo od drugih (piškotki, uporabniška imena, e-naslovi…), a posledice za posameznika niso dosti manjše, če upravljavcu manjka le še poimenska identifikacija, saj imajo za posameznika bistveno večjo težo drugi podatki (nakupovalne navade, zgodovina uporabe spletnih strani, preference, statusi ipd.), na podlagi katerih se ga profilira in odloča o temu, kakšno storitev bo dobil. Njihov namen je ravno v tem, da omogočajo razločevanje med posamezniki, čeravno ne njihove identifikacije z imenom in priimkom. Ob tem velja opozoriti, da so ravno omenjeni upravljavci zaradi samega obsega osebnih podatkov, ki jih posedujejo po posameznikih, in natančnosti profilov najbolj dojemljivi za napade, s tem pa predstavljajo večje tveganja za varstvo osebnih podatkov, ki jih zbirajo. V tej luči Pooblaščenec svari pred olajšanjem zahtev po zavarovanju osebnih podatkov v primerih, ko se obdelujejo psevdonimni podatki. Tudi iz psevdonimnih podatkov je mogoče določiti posameznika, posebej, kadar so za to na voljo drugi viri in informacije, ki lahko omogočajo določljivost . Zato zahteve po zavarovanju psevdonimnih podatkov nikakor ne smejo biti manj stroge. Pooblaščenec svari tudi pred tem, da upravljavcem pri psevdonimnih podatkih ne bi bilo treba izvajati določb o obveznem poročanju o kršitvah varstva osebnih podatkov. Le ustrezno zavarovanje psevdonimnih podatkov zagotavlja, da iz njih ni mogoče neposredno določiti posameznika; vsak nepooblaščen poseg v psevdonimne podatke pa lahko pomeni, da je posameznike mogoče neposredno določiti in tako podatki izgubijo privilegij psevdonimnosti. Pooblaščenec zato meni, da je enačenje psevdonimizacije s šifriranjem , ki ga je treba obravnavati kot le enega od ukrepov, nikakor pa ne samozadostnega ukrepa za zavarovanje osebnih podatkov, v smislu varnega pristana pred poročanjem o kršitvi, zelo nevarno. Pooblaščenec ob koncu izpostavlja še problematiko olajšanja pogojev glede informacij, ki jih mora upravljavec zagotoviti posamezniku v primeru obdelave psevdonimnih podatkov. Informiranost posameznika glede obdelave njegovih osebnih podatkov je tradicionalni temelj njegove pravice do tega, da ima nadzor nad obdelavo svojih osebnih podatkov. Okrepiti posameznikov nadzor nad svojimi osebnimi podatki naj bi bilo eno od bistev reforme. Če posameznika o obdelavi psevdonimnih podatkov (ki lahko v resnici pomenijo njegov ekstenzivni profil vedenja, nakupov, tudi občutljivih podatkov o zdravju, itd – a brez njegovega imena in priimka) ne bo treba obvestiti, kot to velja pri osebnih podatkih, to pomeni velik korak nazaj pri urejanju pravice do varstva osebnih podatkov. Hkrati pa v kontekstu industrije, ki trenutno velike količine podatkov in profilov obdeluje brez vednosti posameznikov taka olajšava pogojev ne more biti dojeta kot delovanje v korist pravic posameznikov, pač pa predvsem v korist ponudnikov storitev informacijske družbe. Pooblaščenec glede na navedeno torej močno dvomi, da imajo predlagane spremembe zakonodaje pozitivne posledice za posameznike in meni, da je treba pri iskanju morebitnih novih rešitev vztrajati pri vprašanju, ali je opredeljevanje psevdonimnih podatkov in pogojev za obdelavo teh nujno ter kakšne koristi prinaša za vidika varstva pravic posameznika. Če te koristi ne bodo jasno identificirane in argumentirano podprte, Pooblaščenec zastopa stališče, da poskusi oblikovanja novih definicij osebnih podatkov, kot so psevdonimni podatki, za katere naj bi veljali milejši pogoji za obdelavo in varovanje, predvsem naravnani k varstvu interesov upravljavcev in taki vodijo v zmanjšanje pravic posameznikov, katere naj bi reforma zakonodaje okrepila, ne pa oslabila. Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026