Pridobitev osebnih podatkov iz registra raka za raziskave - IPRS

Pridobitev osebnih podatkov iz registra raka za raziskave + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 12.03.2019 Številka: 0712-1/2019/580 Kategorije:Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki Pri Informacijskem pooblaščencu (IP) smo 25. 2. 2019 prejeli vaše zaprosilo za mnenje, v katerem pojasnjujete, da na kliničnem inštitutu izvajate zdravstveno analizo delovnih mest, za katere je obvezna vključitev v poklicno zavarovanje (ZPIZ-2, člen 201.b). Analizo izvajate za več poklicnih skupin na podlagi podatkov, ki ji upravljajo NIJZ, KAD in ZPIZ. NIJZ na podlagi EMŠO podatke zbere, združi in anonimizira ter jih posreduje vam v statistično obdelavo. Ugotovili ste, da bi bilo nujno treba, da se osnovne podatke dopolni še s podatki o incidenci raka iz Registra raka, ki ga upravlja Onkološki inštitut (OI). Ta bi lahko na podlagi prejetih EMŠO (poslal bi jih NIJZ) oblikoval podatkovno bazo s pripisanimi raki za izbrane poklicne skupine in podatke poslal NIJZ, ta pa bi podatke anonimizirano posredoval vam v nadaljnjo analizo. To v ZPIZ-2 izrecno ni zapisano. Zaradi pomena teh podatkov menite, da gre tudi za javni interes. Zato vas zanima, ali bi bil opisan način pridobitve podatkov dopusten. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Po mnenju IP je v konkretnem primeru dopustno, da NIJZ od OI – na podlagi posredovanih EMŠO ciljne skupine oseb – pridobi za raziskavo neizogibno potrebne podatke glede pojavnosti raka za te osebe, ter jih v naslednji fazi v popolnoma anonimizirani obliki posreduje izvajalcu raziskave (kliničnemu inštitutu). O b r a z l o ž i t e v: Osnovno pravilo glede uporabe osebnih podatkov za namen znanstveno-raziskovalnega, statističnega ali zgodovinskega dela je, da lahko izvajalec raziskave osebne podatke pridobiva od drugih upravljavcev: če jih pridobiva v anonimizirani obliki ali če je za to podana privolitev posameznikov ali če tako dopušča zakon (npr. ZVOP-1 v 17. členu, ki se nanaša na umrle osebe ali področni zakon). V konkretnem primeru problem varstva osebnih podatkov ni le v pridobivanju podatkov od OI, temveč tudi v dajanju podatkov (EMŠO + dejstvo, da gre za določeno poklicno skupino) OI za tiste osebe, ki jih ta nima evidentiranih v Registru raka. Točka (

1. e)prvega odstavka člena 6 Splošne uredbe o varstvu podatkov določa, da se osebni podatki lahko obdelujejo, če je obdelava potrebna za opravljanje naloge v javnem interesu. Vendar mora biti v skladu s tretjim odstavkom istega člena za uresničevanje te določbe podana (bolj) konkretna EU ali nacionalna zakonska podlaga. V konkretnem primeru 201.b člen ZPIZ-2 izrecne podlage za obravnavani primer ne ponuja. Primerna zakonska podlaga - v smislu točke (
2. e)prvega odstavka člena 6 Splošne uredbe o varstvu podatkov - bi v konkretnem primeru lahko bil 6. člen Zakona o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ), ki določa, da »ima NIJZ za statistične namene pravico zahtevati podatke, opredeljene v Prilogi 1, od upravljavcev vseh zbirk podatkov iz tega zakona«. Okoliščine, ki v konkretnem primeru opravičujejo sklicevanje na omenjeni 6. člen ZZPPZ so zlasti: 6. člen ZZPPZ ne govori o pridobivanju statističnih podatkov, temveč o statističnih namenih. To pomeni, da pogojno omogoča pridobivanje osebnih in ne le »statističnih« podatkov. Poleg tega se navezuje na vse možne podatke iz vseh zbirk iz Priloge 1 ZZPPZ, kamor spadajo tudi podatki iz zbirke Register raka (pod št. NIJZ 25); Poizvedovanje po podatkih bi v prvi fazi (pri NIJZ) in drugi fazi (pri nosilcu raziskave) služilo le raziskovalnemu in statističnemu namenu; Uporaba podatkov iz Registra raka bi bila skladna z namenom vodenja Registra raka, ki je v »obdelovanju podatkov o incidenci in preživetju bolnikov z rakom, ter spremljanju, načrtovanju in vrednotenju onkološkega varstva, in v podlagi za epidemiološke in klinične raziskave«; Poizvedovalni podatki (tj. EMŠO) sami po sebi ne spadajo med posebne kategorije podatkov, enako velja za zvezo med temi in dejstvom, da gre za posebne poklicne skupine; OI bi prejete presežne podatke o EMŠO (tj. za tiste osebe, ki ne bodo imeli zadetkov v Registru raka) po uparjanju izbrisal oziroma jih ne bi več vodil ali vključeval v druge zbirke; Za osebe, pri katerih bodo ugotovljeni zadetki, OI že razpolaga z njihovo EMŠO ter s podatki o zaposlitvi v skladu z ZZPPZ – v tem delu torej OI praktično ne bo prejel novih ali dodatnih podatkov; Del podatkov se bo nanašal na umrle osebe, za pridobivanje katerih je podana tudi ločena pravna podlaga v 23. členu ZVOP-1; Del podatkov o raku NIJZ že ima, ker jih lahko za nekatere zakonske zbirke redoma pridobiva od izvajalcev zdravstvene dejavnosti, poleg tega NIJZ, glede dela podatkov, nastopa kot vir podatkov za vodenje Registra raka; Tudi stroka očitno ocenjuje, da so v konkretnem primeru poleg podatkov iz ZPIZ-2, za doseganje ciljev raziskave po ZPIZ-2, zelo pomembni tudi podatki o incidenci raka za ciljno skupino oseb; Izvajalec raziskave v zadnji fazi ne bo prejel osebnih podatkov, temveč le statistične oziroma agregirane ali kako drugače obdelane podatke, na podlagi katerih identiteta posameznikov naj ne bi bila ugotovljiva; Predvidena pot podatkov (tj. nosilec raziskave pridobi podatke prek NIJZ) je skladna s tretjim odstavkom 201.b člena ZPIZ-2 oziroma povedano drugače, pot podatkov je enaka kot za preostale osebne podatke, za obdelavo katerih je sicer podana podlaga v samem 201.b členu ZPIZ-2; Za konkretno raziskavo je očitno podan javni interes, saj je izvedba raziskave izrecno določena z zakonom (celotni 201.b člen ZPIZ-2). IP še opozarja: da je treba glede vprašanja o konkretni vrsti oziroma obsegu podatkov, ki naj bi se pridobivali od OI, paziti na načelo najmanjšega obsega podatkov, ki ga določa (
3. c)točka prvega odstavka člena 5 Splošne uredbe (EU) o varstvu podatkov; da so v konkretnem primeru najverjetneje izpolnjeni pogoji za izvedbo predhodne ocene učinkov, kot jo zahteva člen 35 Splošne uredbe (EU) o varstvu podatkov. To mora pripraviti NIJZ ali nosilec raziskave; da je treba pri končnem posredovanju podatkov nosilcu raziskave zagotoviti, da gre za resnično oziroma popolnoma anonimizirane podatke; da sklicevanje na 6. člen ZZPPZ velja le za konkretni primer, saj ta ne predstavlja splošne in brezpogojne podlage za neomejeno pridobivanje podatkov s strani NIJZ. Prijazen pozdrav, Pripravil: mag. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
4. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026