Pošiljanje podatkov iz registra izvajalcev dejavnosti zdravsteve ali babiške nege po e-pošti - IPRS

Pošiljanje podatkov iz registra izvajalcev dejavnosti zdravsteve ali babiške nege po e-pošti + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.06.2019 Številka: 0712-1/2019/1400 Kategorije:Uradni postopki , Zavarovanje osebnih podatkov --> Kategorije: Uradni postopki, Zavarovanje osebnih podatkov Obrnili ste se na Informacijskega pooblaščenca RS (v nadaljevanju IP) s svojim zaprosilom za mnenje. Pojasnjujete, da Zbornica zdravstvene in babiške nege - Zveza strokovnih društev medicinskih sester, babic in zdravstvenih tehnikov Slovenije (v nadaljevanju: Zbornica - Zveza) po zakonu vodi register izvajalcev dejavnosti zdravstvene ali babiške nege (v nadaljevanju: register) ter izdaja, podaljšuje in odvzema licence izvajalcem zdravstvene in babiške nege. Podatke za izvajanje svojih zakonskih pooblastil pridobiva v okviru upravnega postopka od Ministrstva za zdravje (MZ) in drugih pristojnih organov. V zvezi s tem pridobiva osebne podatke o opravljenem strokovnem izpitu kandidatov za vpis v register oziroma za podelitev licence za samostojno opravljanje dejavnosti. Zanima vas, ali lahko Zbornica – Zveza od MZ in drugih pristojnih organov pridobiva navedene osebne podatke (podatke o opravljenem strokovnem izpitu kandidata za vpis v register in podelitev licence) po elektronski pošti brez uporabe kriptografskih metod? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP uvodoma pojasnjuje, da se vprašanje glede načina posredovanja osebnih podatkov (ali mora biti prenos po elektronski poti kriptiran ali

1. ne)nanaša na vprašanje varnosti osebnih podatkov zato se IP v tem mnenju ne opredeljuje do vprašanja pravne podlage za pridobivanje navedenih podatkov. Glede varnosti osebnih podatkov Splošna uredba v členu 32 določa, da ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno: (
2. a)psevdonimizacijo in šifriranjem osebnih podatkov; (
3. b)zmožnostjo zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov in storitev za obdelavo; (
4. c)zmožnostjo pravočasno povrniti razpoložljivost in dostop do osebnih podatkov v primeru fizičnega ali tehničnega incidenta; (
5. d)postopkom rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotavljanje varnostni obdelave. Pri določanju ustrezne ravni varnosti se upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani. Navedeni pogoji veljajo splošno za vse vrste osebnih podatkov in za vse oblike posredovanj oziroma obdelav. Dodatno pa le v zvezi s prenosom občutljivih osebnih podatkov (t.i. posebnimi vrstami osebnih podatkov po Splošni uredbi) ZVOP-1 v drugem odstavku 14. člena določa: »Pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom«. Občutljivi osebni oz. po Splošni uredbi posebne vrste osebni podatki, pa so podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju in navadah posameznika, itd. Iz opisane ureditve torej izhaja, da mora upravljavec glede na konkretne okoliščine obdelave oceniti tveganje za pravice in svoboščine posameznikov, katerih osebni podatki se obdelujejo in v skladu s tem sprejeti ustrezne ukrepe za varno obdelavo osebnih podatkov (eden od možnih ukrepov varnosti je tudi uporaba kriptografskih metod). Posebej pa glede elektronskega prenosa osebnih podatkov posebne vrste oziroma občutljivih osebnih podatkov, ZVOP-1 vzpostavlja zahtevo po višji ravni varnosti (uporaba kriptografskih metod in elektronskega podpisa). Ker osebni podatki o tem ali je določen kandidat za vpis v register ali pridobitev licence, opravil strokovni izpit, ne sodijo med posebne vrste osebne podatke oz. občutljive osebne podatke, za prenos teh podatkov po elektronski poti ne obstaja izrecna zakonska določba, ki bi narekovala uporabo kriptografskih metod. Kljub temu pa je ocena tveganja in ustrezna določitev varnostnih ukrepov za varno obdelavo osebnih podatkov, stvar individualne presoje vsakega upravljavca. IP poudarja, da je skladno z varstvom osebnih podatkov, če upravljavec zagotavlja višjo raven varnosti, kot jo minimalno predpisuje zakonodaja. Iz navedenega torej izhaja, da četudi uporaba kriptografskih metod za elektronsko posredovanje (običajnih) osebnih podatkov ni zakonska zahteva, je upravljavec upravičen postaviti tak standard za svoje obdelave, če presodi, da je to potrebno za zagotovitev varnosti obdelave osebnih podatkov v konkretnem primeru. Upamo, da smo vam z našimi pojasnili uspeli odgovoriti na vprašanje. Lep pozdrav, Pripravil: Anže Novak, univ. dipl. prav. Svetovalec Pooblaščenca za preventivo Mojca Prelesnik informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
6. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026