204 O delu Arhivskega društva Slovenije || Activities of the Archival Society of Slovenia Seminar Arhivskega društva Slovenije o novostih Zakona o varstvu osebnih podatkov (ZVOP-2)1 za arhivsko dejavnost Na pobudo članov društva je Arhivsko društvo Slovenije 15. marca 2023 v prostorih Zgodovinskega arhiva Ljubljana pripravilo seminar o novostih, ki jih uvaja Zakon o varstvu osebnih podatkov (dalje ZVOP-2) – ta je začel veljati 26. januarja 2023. Na seminarju so sodelovali mag. Urban Brulc, samostojni sveto- valec Informacijskega pooblaščenca, ki je predstavil novosti, ki jih na področju arhivske dejavnosti prinaša ZVOP-2, mag. Nada Čibej, direktorica Pokrajinskega arhiva Koper, in Luka Zupanc, podsekretar v Arhivu Republike Slovenije. Dogodka, podprtega s strani arhivov, ki opravljajo javno arhivsko službo, se je udeležilo približno sto posameznikov, kar kaže na velik interes arhivskih delavcev po dodatnih izobraževanjih – tokrat s področja varstva osebnih podat- kov. Udeleženci so se dejavno vključili v izvedbo seminarja. Vprašanja o ZVOP-2 so lahko pripravili vnaprej, precej so jih zastavili tudi neposredno na seminarju. Vprašanja so se nanašala predvsem na področja, kjer se ZVOP-2 prepleta z arhi- vskima Zakonom o varstvu dokumentarnega in arhivskega gradiva ter arhivih (dalje ZVDAGA) in Zakonom o arhivskem gradivu, ki vsebuje osebne podatke o zdravljenju pacienta (dalje ZAGOPP). V uvodu je mag. Brulc pojasnil splošno zakonodajno ureditev varstva osebnih podatkov. Na evropski ravni v celoti velja Splošna uredba (EU) o var- stvu podatkov (dalje GDPR), ki zavezuje vse; na državni ravni velja ZVOP-2, ki prav tako zavezuje vse; medtem ko v arhivski dejavnosti velja tudi področna zakonodaja, in sicer ZVDAGA, ZAGOPP ter Uredba o varstvu dokumentarnega in arhivskega gradiva (UVDAG). V želji po poenotenju dejavnosti slovenske arhivske stroke so v nadaljeva- nju prispevka povzeti ključni poudarki seminarja o novostih ZVOP-2, ki vplivajo na izvajanje arhivske dejavnosti, predvsem na dokumentarno gradivo arhivov, pojasnjeno je tudi izvajanje določb novega zakona v razmerju do ZVDAGA in ZAGOPP. V prvem delu so povzeti poudarki ZVOP-2, ki so po mnenju mag. Brulca pomembni za arhivsko dejavnost, nato sledijo odgovori na vprašanja, zastavlje- na na seminarju. *** Videonadzor (ZVOP-2, 76.– 80. člen) Izvajanje videonadzora v javnih in zasebnih ustanovah določata tako GDPR (splošna načela in splošne podlage) kot ZVOP-2 (specialne določbe). Usta- nova, ki opravlja videonadzor, mora posameznika seznaniti z več informacijami, kot jih je predpisoval ZVOP-1. Navesti mora podatke o upravljavcu sistema, po- datke o izvajanju nadzora (telefon ali e-pošta ali www), podatke o pooblaščeni osebi za varstvo osebnih podatkov (telefon ali e-pošta), zapisati namen izvaja- nja videonadzora (npr. nadzor vstopa in izstopa zaradi varovanja ljudi in pre- moženja), pravno podlago (npr. 77. člen ZVOP-2), navesti uporabnike videonad- zora (npr. policija, pogodbeni obdelovalec ...), pooblaščeno osebo (oseba, ki je pooblaščena za dostop do video posnetkov, telefon ali e-pošta), posebne vplive obdelave (to sicer za arhivske ustanove praviloma ne pride v poštev, zato lahko 1 Zakon o varstvu osebnih podatkov. V: Uradni list RS, št. 163/2022. 205 Letnik 46 (2023), št. 1 zapišejo, da slednjega ni) in neobičajne nadaljnje obdelave (prenos v tretje dr- žave/spremljanje žive slike/zvočna intervencija/pametna analitika). V skladu z GDPR je treba navesti še obdobje hrambe, pravice posameznika in obveznost zagotovitve podatkov, česar ZVOP-2 ni predvidel. ZVOP-2 omogoča za te določbe skrajšano obvestilo, za katero je dovolj, da se navedejo podatki o upravljavcu, pooblaščeni osebi (kontakt) in namen izvajanja videonadzora, medtem ko se za ostale informacije zabeleži povezava na spletno stran, kjer lahko zainteresirana oseba sama poišče informacije. Obvestilo o izvajanju videonadzora mora biti po ZVOP-2 nameščeno, še preden ga doseže nadzorna naprava (če objektivne okoliščine to dopuščajo). Če to ni mogoče, lahko institucija pripravi večje obvestilo in na temelju velikosti argumentira, da je takšno obvestilo vidno z večje razdalje. Najdaljši možni rok hrambe posnetkov videonadzora je leto dni. Vodena mora biti evidenca o spre- mljanju oziroma dostopu do teh posnetkov s podatki o času, razlogu oziroma podlagi, subjektu, ki je to izvedel, in predmetu dostopa. Nov zakon dovoljuje tudi spremljanje »žive slike« na posamezni nadzorni enoti, toda to lahko izva- ja le pooblaščena oseba, ne vodstvo za spremljanje zaposlenih. V primeru, da se snemajo zaposleni na delovnih mestih, se je treba predhodno posvetovati s sindikatom ali z delavskim svetom ali delavskim zaupnikom. ZVOP-2 omogoča snemanje javnih površin, ki sicer niso v lasti ustanove, ampak ima tam najete prostore ali tam opravlja zakonito dejavnost. Za snemanje zunanjih javnih po- vršin po ZVOP-2 veljajo novi, strožji pogoji, ki jih je treba dobro utemeljiti, rok hrambe posnetkov je šest mesecev. Za ostale vrste videonadzora so pogoji za njegovo uvedbo podobni kot po ZVOP-1, kar pomeni, da če je bil videonadzor, ki se še izvaja, zakonit po starem, bo verjetno tudi po novem. Javna objava kontaktnih podatkov in vpogled v osebni dokument (ZVOP-2, 92. in 94. člen) Javna ustanova (arhiv) se lahko odloči za objavo osebnih imen zaposlenih. Objavijo se lahko imena in priimki ter funkcije vseh zaposlenih, saj gre za javne uslužbence. Javna ustanova sme z namenom identifikacije zahtevati vpogled v identifikacijske dokumente osebe in jih evidentirati. Posebna uporaba osebnih podatkov (ZVOP-2, 93. člen) Javna ustanova (arhiv) lahko uporabi kontaktne podatke posameznikov, ki jih je zbrala iz javno dostopnih virov ali v okviru izvrševanja svojih javnih nalog ali so dali privolitev, za namene organiziranja uradnih srečanj, izobraže- vanj, usposabljanj ipd. Uporabi kontaktnih podatkov za zgornje namene skupaj s trženjem brez privolitve posameznika se je treba izogibati. V primeru, da javna ustanova pripravi javni dogodek, na katerem se fo- tografira, se lahko fotografije obiskovalcev objavijo na spletni strani arhiva z namenom obveščanja javnosti, prav tako se lahko pripišejo funkcije oseb na fo- tografijah. Enako velja za videoposnetke. Možna je celo objava osebnih imen udeležencev. Nič od tega ni dovoljeno, če vpletena oseba izrecno prepove ob- javo, kar lahko stori pred ali po objavi. Če posameznik izreče prepoved šele po javni objavi fotografije, se mora le-ta anonimizirati oziroma odstraniti. Posredovanje podatkov zunanjim uporabnikom (ZVOP-2, 39. – 41. člen) ZVOP-2 predpisuje, da mora javnopravna oseba utemeljiti zahtevo po iz- daji določenega dokumenta. Navesti mora zlasti zakonsko podlago zahtevka, v kakšen namen in v kateri konkretni zadevi pravna oseba potrebuje ta doku- ment. Če pravne podlage ni, se lahko zahteva zavrne z odločbo. To velja le v primerih, če se zahtevani podatki ne nanašajo na arhivsko gradivo, ampak na dokumentarno gradivo arhiva (npr. videoposnetki, kadrovske evidence, eviden- 206 O delu Arhivskega društva Slovenije || Activities of the Archival Society of Slovenia ca uporabnikov), pri čemer je treba upoštevati določbe ZVOP-2. Za zahtevke po arhivskem gradivu se upoštevajo določbe ZVDAGA in ZAGOPP. Pravne osebe pravni interes najlažje izkažejo z ustrezno listino oziroma dokumentom, med- tem ko za fizične osebe ni nujno, da bodo na takšen način utemeljile pravni in- teres. ZVDAGA namreč ne zahteva predložitve stoodstotnega dokaza o pravnem interesu za pridobitev arhivskih dokumentov, dovolj je že, da se pravni interes izkaže z obrazložitvijo. Vendar UVDAG v 86. členu določa, da mora oseba, ki želi vpogledati v arhivsko gradivo, ki vsebuje varovane podatke, zaradi uvedbe ali udeležbe v uradnih postopkih izkazati pravni interes z ustrezno listino. Sledljivost posredovanja osebnih podatkov zunanjim uporabnikom (ZVOP-2, 22. člen in šesti odstavek 41. člena; ZVDAGA, 63. – 64. člen) Osebni podatki iz evidence uporabnikov arhivskega gradiva, ki jo morajo voditi arhivi, se lahko na temelju poizvedbe posredujejo zunanjim uporabni- kom in jih ni treba dopolnjevati ali spreminjati, saj je ZVDAGA v tem segmentu skladen z ZVOP-2. Zakona se dopolnjujeta (zagotovljena je sledljivost, vpisuje se namen uporabe). Stranka ima pravico do seznanitve z lastnimi osebnimi po- datki in sme izvedeti, kdo vse je pregledoval arhivsko gradivo, ki se navezuje nanjo (GDPR, 15. člen), vendar te pravice nima, če jo zanimajo splošne zadeve, ki nje osebno ne vključujejo. Če sta za takšno poizvedbo potrebna nesorazme- ren napor in čas, ki bi od arhiva zahtevala veliko kadrovskih in finančnih virov, se lahko takšna vloga zavrne. Enako velja, če bi posameznik zahteval določeno ali celotno arhivsko gradivo, ki vsebuje njegove osebne podatke, in bi se pri tem izrecno skliceval na pravico do seznanitve z lastnimi osebnimi podatki in ne na ZVDAGA. Uporaba podatkov za znanstvenoraziskovalno delo (ZVOP-2, 68. do 70. člen in prvi odstavek 69. člena) ZVOP-2 dovoljuje obdelavo osebnih podatkov za znanstvenoraziskoval- no delo organizacijam in posameznikom, ki pri svojem delovanju uporabljajo etična načela in metodologijo s področja raziskovanja ter pravila glede varstva osebnih podatkov iz tega poglavja. V primeru, da se raziskovalec v arhivu skli- cuje na to določbo ZVOP-2 in želi dostop do javnih arhivskih podatkov, se obrav- nava kot redni uporabnik ter zanj veljata ZVDAGA in ZAGOPP. Prav tako se ravna po ZVDAGA in ZAGOPP, če želi raziskovalec ali raziskovalna institucija dostopati do varovanih arhivskih podatkov. V praksi to lahko pomeni, da so na primer zdravstveni podatki, ki so po- trebni za raziskovalno dejavnost, dostopnejši v hrambi pri ustvarjalcu arhivske- ga gradiva, pri čemer za dostop do osebnih podatkov velja Zakon o pacientovih pravicah (ZPacP), kot v hrambi v arhivu, kjer so varovani po ZVDAGA in ZAGOPP. Obdelava podatkov za namene arhivskega delovanja (ZVOP-2, 71. člen) Posameznik lahko dostopa do svojih osebnih podatkov v arhivskem gra- divu, razen v primeru, če bi dajanje informacij ali kopij osebnih podatkov zahte- valo nesorazmeren napor s strani arhiva. Ker ZVDAGA tega področja ne predpi- suje, se subsidiarno uporabljata ZVOP-2 in Splošna uredba EU (12. in 15. člen). Ustvarjalec arhivskega gradiva mora pri svojem poslovanju in hrambi gradiva upoštevati določbe ZVOP-2, vse dokler niso izdana pisna strokovna navodila (tudi če obstaja domneva, da bo gradivo razglašeno za arhivsko), s katerimi se razglasi arhivsko gradivo. Šele ko je arhivsko gradivo predano arhivu, postane dostopno po ZVDAGA in ZAGOPP. Vse do tega trenutka, tudi če je ustvarjalec odbral arhivsko gradivo in ga hrani v svoji stalni zbirki, veljajo določbe ZVOP-2 in druge področne nearhivske zakonodaje (npr. s področja delovanja policije, upravnih organov in sodišč). Medtem ko pri ustanovah, ki imajo dovoljenje za lastno hrambo arhivskega gradiva, veljavnost ZVOP-2 preneha, ko se gradivo 207 Letnik 46 (2023), št. 1 prenese v arhivsko zbirko in preide pod določbe ZVDAGA in ZAGOPP. Ko je gra- divo izročeno v arhiv, je javno dostopno; izjema sta gradivo, ki vsebuje občutlji- ve osebne podatke po 65. členu ZVDAGA, in gradivo, ki vsebuje osebne podatke o zdravljenju pacienta (ZAGOPP). V primeru, da je ustvarjalec zbiral in obdeloval osebne podatke na neza- konit način, jih mora uničiti, saj takšni podatki ne bi smeli obstajati. (Na primer, če je šola zbirala podatke o izobrazbi ali zaposlitvi staršev svojih učencev, česar ne predpisuje nobena zakonska podlaga, jih mora uničiti, saj so zbrani neza- konito.) Če je takšno gradivo že pridobilo status arhivskega, se ne sme uničiti zaradi siceršnjega poteka roka hrambe oziroma se lahko izjemoma uniči, če so izpolnjeni strogi pogoji za uničenje zaradi dokazane nezakonitosti podatkov. *** Vprašanja o ZVOP-2 v arhivski dejavnosti Kako dolgo se morajo hraniti vloge o izdaji dokumentov za tiste stran- ke, ki so za dostop do arhivskega gradiva izrazile pravni interes? V našem arhivu jih v elektronski obliki hranimo 10 let, medtem ko jim imamo v ana- logni obliki že od leta 2012, saj je včasih za katero stranko treba za več let nazal preveriti, katero gradivo je bilo izdano. Je tu kaj spornega? ZVDAGA v 63. členu določi nabor podatkov, ki jih arhivi hranijo, in pogoje uporabe. Za pravne osebe in za zagotavljanje pravne varnosti se takšne vloge hranijo 10 let in ni potrebe, da bi se hranile dlje. Večkrat se na naš arhiv obrnejo nekdanji učenci osnovnih ali srednjih šol, ki organizirajo obletnice valete/mature. Zaprosijo za ime, priimek in Na seminarju Arhivskega društva Slovenije o novostih Zakona o varstvu osebnih podatkov (ZVOP-2) mag. Urban Brulc odgovarja na vprašanja arhivistov (Foto: Tina Arh) 208 O delu Arhivskega društva Slovenije || Activities of the Archival Society of Slovenia naslov svojih sošolcev. Takšno vlogo večinoma rešimo tako, da naredimo prepis iz arhivskega gradiva (predvsem osebnih/matičnih listov učencev). Ali lahko izpis vsebuje vse prej omenjene podatke, torej imena, priimke in naslove sošolcev, ali s tovrstnim izpisom kar koli kršimo? Včasih zaprosijo samo za seznam sošolcev, torej samo ime in priimek. ZVDAGA v 65. členu jasno pove, kateri podatki so občutljivi in za katere velja poseben režim dostopnosti. Če med naborom podatkov iz zgornjega pri- mera obstajajo tudi občutljivi osebni podatki (po 65. členu ZVDAGA), moramo sami pripraviti izpis in ne moremo dovoliti prostega dostopa do arhivskega gra- diva s strani uporabnikov. Univerza v Ljubljani ima na temelju odločbe ministra, pristojnega za arhive, dovoljenje za zagotavljanje varstva lastnega javnega arhivskega gradiva in arhivskega gradiva, za katerega opravljamo naloge varstva ar- hivskega gradiva. Ali Univerza v Ljubljani v razmerju do Arhiva RS nastopa kot upravljavec ali obdelovalec osebnih podatkov oziroma katera organiza- cija je dolžna skladno z določbo iz prvega odstavka 71. člena ZVOP-2 določiti ukrepe in kateri ukrepi konkretno naj bi to bili? ZVDAGA v 65. členu (6. odstavek) določa dostop in uporabo gradiva do izročitve v arhiv, medtem ko pogoje za javnopravne osebe z lastnim varstvom in hrambo arhivskega gradiva določa 62. člen ZVDAGA. Glede na 71. člen ZVOP-2 Univerza v Ljubljani nastopa kot samostojni upravljavec arhivskega gradiva z lastnim varstvom in predstavlja javni arhiv; arhiv univerze je torej javni arhiv in zanj veljajo enaki predpisi kot za druge arhive. To pomeni, da ZVOP-2 velja do trenutka, ko univerza prenese gradivo v svoj arhiv oziroma do takrat, ko je dokumentarno gradivo razglašeno za arhivsko. Do predaje pa velja ZVOP-2. V drugem odstavku 65. člena ZVDAGA zadnji stavek določa, da arhi- vsko gradivo postane dostopno za javno uporabo 75 let po nastanku ali 10 let po smrti posameznika, na katerega se podatki nanašajo, če je datum smrti znan oziroma če ni z drugimi predpisi drugače določeno. V zvezi s tem prosim za mnenje, kateri rok je pravilen v primeru posredovanja arhivske- ga gradiva, ki vsebuje podatke, naštete v drugem odstavku 65. člena ZVDA- GA. V povezavi s tem me zanima tudi korelacija šestega odstavka 9. člena ZVOP-2 in drugega odstavka 65. člena ZVDAGA glede posredovanja osebnih podatkov umrlih oziroma kateri rok je pravilen z vidika dostopnosti oseb- nih podatkov umrlih. V vseh naštetih primerih se mora upoštevati ZVDAGA, saj kot specialni zakon »preglasi« splošnega. Na rektoratu Univerze v Ljubljani in članicah imamo stalne zbirke dokumentarnega gradiva, ki jih upravljajo glavna pisarna na rektoratu in članice, ter ločeno zbirko arhivskega gradiva rektorata in članic, s katero upravlja Arhivsko muzejska služba Univerze v Ljubljani. 65. člen ZVDAGA, ki obravnava roke nedostopnosti arhivskega gradiva, v šestem odstavku pra- vi, da »se do izročitve javnega arhivskega gradiva pristojnemu arhivu glede dostopa in uporabe arhivskega gradiva, ne glede na čas nastanka gradi- va, uporabljajo predpisi, ki urejajo dostop do informacij javnega značaja, varstvo tajnih podatkov, varstvo osebnih podatkov, poslovnih in davčnih skrivnosti in drugi predpisi, razen za arhivsko gradivo javnopravnih oseb, ki v skladu z 62. členom tega zakona same zagotavljajo lastno varstvo arhi- vskega gradiva«. Vljudno prosimo za tolmačenje te izjeme za javnopravne osebe, ki zagotavljajo lastno varstvo arhivskega gradiva. Če ima pravna oseba pravico do lastne hrambe, jo zavezujejo enaka dolo- čila kot druge javnopravne osebe z izjemo tistega dela zakonodaje, ki se nanaša na izročitev. Dokler se gradivo ne prenese v stalno zbirko za dolgoročno hram- 209 Letnik 46 (2023), št. 1 bo (arhiv), se uporablja ZVOP-2, vendar ko je gradivo uradno preneseno, začne veljati ZVDAGA. Do predaje arhivskega gradiva bo ustvarjalec z njim deloval po področni zakonodaji. Ali se skupna vzajemna podatkovna baza (VAČ) obravnava po ZVOP-2 ali ZVDAGA? Po zakonu se mora vzajemna podatkovna baza obravnavati po ZVOP-2. Ustvarjeni arhivski popisi niso zakonsko vprašljivi, saj so bili izdelani na temelju prevzetega arhivskega gradiva, ki je javno dostopno v skladu z ZVDAGA. Vendar je nekoliko v nasprotju s splošnimi načeli varstva osebnih podatkov, če omo- gočimo poenostavljen dostop do osebnih podatkov, npr. če z vpisom osebnega imena spletna informacijska rešitev uporabniku ponudi vso razpoložljivo doku- mentacijo (identifikacijo zbirke ali dokumenta oziroma njun opis ali celo samo vsebino dokumenta), ki vsebuje posameznikove osebne podatke, ne glede na to, da so dokumenti javni. Če so podatki prosto dostopni po ZVOP-2 in ZVDAGA, jih lahko objavljamo, težavo predstavljajo tisti občutljivi osebni podatki, ki jih je treba varovati. Težava z uporabo ZVDAGA nastopi pri zadevah, ki jih specialni zakon ne obravnava, kljub temu da so lahko etično sporne (npr. ZVDAGA ne pre- poveduje objave gradiva centrov za socialno delo o zanemarjanju otrok ipd.). V takšnih primerih se lahko navežemo na ZVOP-2, ki to področje obravnava in varuje. Pomembno je, da smo pri ustvarjanju popisov, ki so lahko etično sporni, pozorni in omejimo navajanje identifikatorjev oziroma lahko samo opozorimo na obstoj dokumentov in jih ne povežemo z osebnimi podatki. Generalno bi bila dobra rešitev, da bi moral vsak, ki bi želel dostopati do virtualne čitalnice, izpol- niti matični list o nadaljnji uporabi arhivskega gradiva. Kako je z dostopnostjo do porodnih zapisnikov, ki se hranijo med ar- hivskim gradivom? Za tovrstno gradivo velja ZAGOPP in ni dostopno. Edina izjema je, če želi do gradiva dostopati oseba, na katero se gradivo nanaša (v primeru porodnih zapisnikov je to mati/porodnica). Tudi otrok potrebuje materino dovoljenje za dostop do gradiva, če je mati še živa. *** V zaključku seminarja so prisotni ugotovili, da ZVOP-2 ne prinaša bistve- nih sprememb v arhivsko dejavnost, na področje dostopnosti in uporabe ar- hivskega gradiva, vendar ga je smiselno upoštevati v situacijah, ko ZVDAGA ni dovolj jasen oziroma ne pokriva določenega področja dela. V večini primerov (zlasti glede dostopa do arhivskega gradiva) se priporoča, da se arhivi sklicujejo in vztrajajo pri specialnosti arhivske zakonodaje v razmerju do ZVOP-2. To se- veda velja le za tista področja, ki se prekrivajo, vendar ne za specialne določbe, ki jih najdemo le v ZVOP-2 in v Splošni uredbi EU (npr. videonadzor, nadzorni postopki, splošna načela varstva osebnih podatkov, ocene učinkov, sporočanje pomembnih varnostnih dogodkov Informacijskemu pooblaščencu). Zapisala Aleš Jambrek in Tanja Žohar