Kaj je osebni podatek?

Definicija osebnega podatka je namenoma široka. Po določbi prve točke 4. člena GDPR pomeni katero koli informacijo v zvezi z določenim ali določljivim posameznikom; določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Torej kateri koli podatek, ki določa fizično osebo oziroma na podlagi katerega je ta določljiva. Upoštevati je treba, da tako med osebne podatke ne sodijo zgolj identifikacijski podatki (npr. ime in priimek, EMŠO, davčna številka) ter kontaktni podatki (npr. naslov prebivališča, telefonska številka, naslov elektronske pošte) temveč tudi statusni podatki posameznikov (npr., izobrazba, poklic, delovno mesto, različna članstva, vera, narodnost, zdravstveno stanje, ocene itd.) in tudi njihovi transakcijski podatki[1] (t.j. podatki u uporabi storitev, o nakupih, branju knjig, gledanju filmov, športnih in drugih rezultatih različnih udeležbah itd.). Zgovoren prikaz navedenega podaja infografika Informacijskega pooblaščenca:

Vir: https://www.ip-rs.si/fileadmin/user_upload/Pdf/infografike/Infografika%20-%20osebni%20podatki.pdf.

Tako sta osebni podatek tudi enotna matična številka občana (EMŠO) in davčna številka (DŠ), saj je posameznik na podlagi obeh enostavno določljiv. Prav tako je osebni podatek telefonska številka. Pri stacionarnem telefonu je ta osebni podatek naročnika, pri mobilnem telefonu pa osebni podatek naročnika oziroma uporabnika. Zadnje je posebej pomembno pri službenih mobilnih telefonih. Naročnik je resda delodajalec, vendar je telefonska številka osebni podatek delavca, ki telefon uporablja. Nanaša se namreč nanj in ga kot posameznika določa. Osebni podatek je tudi registrska številka avtomobila, saj določa lastnika, lahko tudi najemnika avtomobila. Osebni podatek je lahko tudi posameznikov elektronski naslov, ni pa vsak elektronski naslov osebni podatek (npr. info@podjetje.com). Za osebni podatek štejemo tudi naslov internetnega protokola (IP), ki označuje uporabnika na spletu. Prav tako ni potrebno, da je poleg podatka tudi ime in priimek posameznika – davčna številka posameznika je npr. osebni podatek sam po sebi, saj je namenjana ločevanju med posamezniki in enolični identifikaciji posameznika. Med osebne podatke sodijo tudi psevdonimi in psevdonimizirani osebni podatki, kot so nadimki, vzdevki, uporabniška imena, kode, šifrirani ali kodirani osebni podatki, različne oznake posameznikov in drugi podatki, ki enolično pripadajo posamezni osebi – nenazadnje sta tudi EMŠO in davčna številka psevdonimna podatka – na prvi pogled ni jasno, komu pripadata, vsekakor pa se to da ugotoviti. Anonimni podatki po drugi strani pa so takšni, da iz njih ni možno ugotoviti, na koda se nanašajo – to so predvsem agregati, trendi, povprečja, deleži in drugi statistični podatki ter podatki, ki so tako preoblikovani, da praktično nihče več ne more ugotoviti, na katerega posameznika se nanašajo.

Razumevanje pojma »osebni podatek« ni statično. Spreminja se glede na tehnološki razvoj, ki omogoča vse bolj enostavno določljivost posameznika – na primer tudi že na podlagi fotografije, ki ne vsebuje nobenih drugih posameznikovih podatkov razen njegove podobe. Prepoznava podatka kot varovanega osebnega podatka pa je zelo pomembna, ker je od tega odvisna tako izhodiščna dopustnost njegove obdelave kot tudi potreba po spoštovanju ukrepov za njegovo zavarovanje, kot jih določata GDPR in ZVOP-2.

Kateri podatki niso osebni podatki?

Od osebnega podatka je treba ločiti podatke, ki se nanašajo na pravne osebe, ti se seveda ne nanašajo na fizično osebo, in podatke, ki se nanašajo na fizične osebe, ki na trgu opravljajo gospodarsko dejavnost. Tako podatki samostojnega podjetnika, ki so del njegove firme (osebno ime in sedež opravljanja dejavnosti, ki je lahko tudi enak naslovu njegovega prebivališča) ali so povezani z opravljanjem njegove dejavnosti (na primer matična in davčna številka samostojnega podjetnika), ne štejejo za osebne podatke, saj pravimo, da se ne nanašajo na posameznika. Podobno velja za kmete, odvetnike, zdravnike koncesionarje in druge, ki opravljajo poklic kot samostojno dejavnost (na primer samostojne kulturne delavce, novinarje). Navedeni podatki niso osebni podatki (podobno velja za zgoraj opisane anonimne podatke) v smislu GDPR in ZVOP-2, njihovih določb se torej zanje ne uporablja.

Na to razlikovanje je opozorilo tudi Ustavno sodišče Republike Slovenije, ki je v odločbi št. U-I-298/04 med drugim zapisalo, da podatkov v registru transakcijskih računov zasebnika ni mogoče šteti za osebne podatke, saj se ne nanašajo na fizično osebo kot posameznika, temveč na fizično osebo kot osebo, ki opravlja dejavnost v skladu z veljavnimi predpisi. Podobno je Ustavno sodišče Republike Slovenije v odločbi št. U-I-84/03-15 zapisalo, da podatkov v letnem poročilu, ki ga zaradi njegove javne objave na podlagi izpodbijane določbe predložijo podjetniki, na splošno ni mogoče obravnavati kot osebnih podatkov, saj se ne nanašajo na fizično osebo kot posameznika, temveč na fizično osebo kot podjetnika. Nanašajo se torej na eno od oblik, ki jih Zakon o gospodarskih družbah predvideva za opravljanje pridobitne dejavnosti. Čeprav podjetnik lahko nastopa tudi kot fizična oseba (v smislu posameznika po GDPR in ZVOP-2), pri opravljanju pridobitne dejavnosti obeh vlog ni mogoče enačiti. Gre za dve samostojni in neodvisni vlogi.

Kateri osebni podatki niso varovani?

Tudi kadar gre za osebne podatke, ti vselej ne uživajo varstva po GDPR in ZVOP-2, ker drug (specialni oz. področni) zakon določa njihovo javnost ali prosto dostopnost.

Tako so na primer na podlagi določb Zakona o zemljiški knjigi[2] vsi vpisani (tudi osebni) podatki v glavni knjigi zemljiške knjige javni in jih sme vsakdo pregledovati, prepisovati ali zahtevati, da mu zemljiškoknjižno sodišče izda overjeni izpisek iz zemljiške knjige. Prav tako so javni osebni podatki v registrih, ki jih vodi geodetska uprava; v zemljiškem katastru in katastru stavb[3]. Zakon o evidentiranju nepremičnin določa, da ima vsakdo pravico vpogledati v podatke in pridobiti podatke o posameznih parcelah, stavbah in delih stavb ali o posamezni nepremičnini, ki so ob vpogledu vpisani kot zadnji vpisani podatki, pri čemer pa lahko glede lastnika pridobi le podatke o imenu in priimku, naslovu stalnega prebivališča ter o letnici rojstva. Javni so tudi nekateri osebni podatki družbenikov in zastopnikov gospodarskih družb, ki se po zakonu o gospodarskih družbah objavijo v sodnem registru oziroma na spletni strani AJPES[4].

Poleg osebnih podatkov, katerih javnost določa zakon, pa varstva po GDPR in ZVOP-2 ne uživajo tudi podatki, ki so na zahtevo prosilca prosto dostopna informacija javnega značaja po Zakonu o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – uradno prečiščeno besedilo, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odl. US, 102/15, 7/18 in 141/22); ZDIJZ). ZDIJZ državne organe, organe lokalnih skupnosti, javne agencije, javne sklade in druge osebe javnega prava, nosilce javnih pooblastil in izvajalce javnih služb zavezuje k omogočanju dostopa do informacij javnega značaja – informacij, ki izvirajo iz delovnega področja organa, nahajajo pa se v obliki dokumenta, zadeve, dosjeja, registra, evidence ali drugega dokumentarnega gradiva, ki ga je organ izdelal sam, v sodelovanju z drugim organom, ali pridobil od drugih oseb. Osebni podatki so sicer opredeljeni kot ena od izjem od prostega dostopa in je organ praviloma dolžan osebne podatke prekriti – omogočiti delni dostop do informacije javnega značaja ali ga zavrniti, kadar bi bil posameznik določljiv ne glede na prekritje njegovih osebnih podatkov. Ne glede na navedeno pa se po izrecni določbi ZDIJZ dostop do informacije javnega značaja v neokrnjeni vsebini dovoli, če gre za podatke o porabi javnih sredstev ali podatke, povezane z opravljanjem javne funkcije ali delovnega razmerja javnega uslužbenca[5].

Informacijski pooblaščenec se do vprašanj s področja dostopa do informacij javnega značaja ne more in ne sme vnaprej konkretno opredeliti, saj je po Zakonu o informacijskem pooblaščencu (Uradni list RS, št. 13/05; ZInfP) pritožbeni organ. Ravnatelj se za vprašanja s področja varstva osebnih podatkov vselej lahko obrne na Informacijskega pooblaščenca in zaprosi za mnenje, ko pa prejme zahtevo za dostop do informacije javnega značaja, mora kot zavezanec sam sprejeti odločitev. Pomaga si lahko s prakso Informacijskega pooblaščenca na področju dostopa do informacij javnega značaja, ki je objavljena na spletni strani: http://www.ip-rs.si/informacije-javnega-znacaja/iskalnik-po-odlocbah/odlocbe-informacije-javnega-znacaja/, kjer bo našel tudi nekaj odgovorov na vprašanja o javni dostopnosti določenih osebnih podatkov.

Kaj so posebne vrste osebnih podatkov?

Posebne vrste osebnih podatkov (ZVOP-1 jih je obravnaval kot občutljive osebne podatke) so podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v kazensko evidenco ali evidence, ki se vodijo na podlagi zakona, ki ureja prekrške, ali iz njih ter genski podatki in biometrični podatki za namene edinstvene identifikacije posameznika.

Razlikovanje med osebnimi in občutljivimi osebnimi podatki je pomembno, saj so z GDPR in ZVOP-2 predpisani strožji pogoji za obdelavo (glej 9. člen GDPR) in varnost posebnih vrst osebnih podatkov. Na področju vzgoje in izobraževanja bodo posebne vrste osebnih podatkov najpogosteje podatki o zdravstvenem stanju otrok. Na eni strani so to zdravstveni podatki otrok s posebnimi potrebami, na katere so vezana posebna upravičenja teh otrok[6]. Na drugi strani pa gre za zdravstvene posebnosti otrok, ki sicer niso takšne narave, da bi otrok potreboval prilagojeno izvajanje programov vzgoje in izobraževanja z dodatno strokovno pomočjo ali prilagojene programe vzgoje in izobraževanja oziroma posebne programe vzgoje in izobraževanja, je pa za delo z otrokom nujno, da za takšne zdravstvene posebnosti ve otrokov učitelj (na primer, da ima otrok epilepsijo). Končno gre lahko tudi za zdravstvene podatke otroka, na podlagi katerih bo oproščen sodelovanja pri posameznih oblikah vzgojno-izobraževalnega dela v šoli[7], ali pa bo na podlagi občutljivih osebnih podatkov uveljavljal pravico do ponavljanja letnika[8]. Vendar pa vzgojno-izobraževalni zavod nima neposrednega zakonskega temelja za obdelavo zdravstvenih osebnih podatkov in jih sme ob pogoju njihove nujnosti in potrebnosti za obravnavo otroka pridobiti in nadalje obdelovati le na podlagi osebne privolitve staršev ali skrbnikov oziroma samega dijaka.

Posebej je treba poudariti, da vzgojno-izobraževalni zavod nad otroki ne sme izvajati biometrijskih ukrepov. Eventualno in pod pogojem zakonske podlage ter vnaprejšnje odločbe o dovolitvi izvajanja biometrijskih ukrepov s strani Informacijskega pooblaščenca se smejo ti uvesti za namen nadzora vstopa v stavbo ali dele stavbe vendar v praksi kvečjemu nad zaposlenimi[9].

[1] Gre za neformalna poimenovanja različnih kategorij podatkov za lažje razumevanje, zakonodaja ne uporablja teh izrazov.

[2] Tako določa prvi odstavek 195. člena Zakona o zemljiški knjigi (Uradni list RS, št. 58/03, 45/08 in 28/09).

[3] Tako določa drugi odstavek 114. člena Zakona o evidentiranju nepremičnin (Uradni list RS, št. 47/06).

[4] Glej na primer 58. člen Zakona o gospodarskih družbah (Uradni list RS, št. 42/06, 10/08, 68/08, 42/09 s spremembami in dopolnitvami).

[5] Tako določa prva alinea 3. odstavka 6. člena ZDIJZ.

[6] Po 2. členu ZUOPP-1 so otroci s posebnimi potrebami otroci z motnjami v duševnem razvoju, slepi in slabovidni otroci oziroma otroci z okvaro vidne funkcije, gluhi in naglušni otroci, otroci z govorno-jezikovnimi motnjami, gibalno ovirani otroci, dolgotrajno bolni otroci, otroci s primanjkljaji na posameznih področjih učenja, otroci z avtističnimi motnjami ter otroci s čustvenimi in vedenjskimi motnjami, ki potrebujejo prilagojeno izvajanje programov vzgoje in izobraževanja z dodatno strokovno pomočjo ali prilagojene programe vzgoje in izobraževanja oziroma posebne programe vzgoje in izobraževanja.

[7] Tako določa 52. člen ZOsn.

[8] Tako določata 20. člen ZGim in 53. člen ZPSI-1.

[9] Tako določa 82. člen ZVOP-2.