Beleženje PCT pogoja v fitnesu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 19.11.2021 Številka: 07121-1/2021/2310 Kategorije: --> Kategorije: Privolitev, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da v vašem fitnesu v skladu z veljavnim odlokom preverjate, ali stranke izpolnjujejo pogoj PCT. Zato, da strankam ne bi bilo potrebno vsakič znova kazati dokazila o izpolnjevanju pogoja PCT, bi si to zabeležili, tako da bi se stranki, za katero je zabeleženo, da izpolnjuje pogoj, vrata v fitnes avtomatsko odprla. Zanima vas, ali bi bila taka obdelava podatkov skladna z zakonodajo s področja varstva podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Uvodoma pojasnjujemo, da bi lahko konkretno presojo glede vašega vprašanja IP opravil zgolj v okviru inšpekcijskega ali drugega upravnega postopka. IP namreč ne sme in ne more prevzeti odgovornosti posameznih subjektov za njihovo poslovanje, podobno kot to velja za druge inšpekcijske organe. Iz tega razloga v nadaljevanju podajamo zgolj splošna pojasnila ter izpostavljamo relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določena obdelava osebnih podatkov zakonita. Konkretno presojo pa mora opraviti izključno upravljavec osebnih podatkov. Glede na številne vsakodnevne spremembe predpisov v zvezi z ukrepi za zamejevanje širjenja virusa COVID-19 pa IP še opozarja, da je bilo mnenje pripravljeno glede na predpise, ki so veljali v času priprave mnenja. Vsak zavezanec pa je dolžan sproti preverjati konkretne obveznosti, ki veljajo zanj. Upravljavec osebnih podatkov mora pred vsako obdelavo podatkov zagotoviti, da za obdelavo podatkov obstaja ena izmed pravnih podlag, ki jih Splošna uredba določa v členu 6
(1), in sicer (za zasebni sektor): privolitev (točka (a)), sklenitev ali izvajanje pogodbe (točka (b)), zakon (točka (c)), zaščita življenjskih interesov posameznika (točka (d)) ali zakoniti interesi, za katere si prizadeva upravljavec (točka (f)). Ker dokazila glede izpolnjevanja PCT pogoja po svoji naravi vsebujejo podatke o zdravju posameznika in s tem posebne vrste osebnih podatkov, je v primeru obdelave takšnih dokazil oz. podatkov (npr. beleženje podatka) potrebno upoštevati tudi določbe člen 9 Splošne uredbe. Člen 9
(1)načeloma prepoveduje obdelavo podatkov v zvezi z zdravjem posameznika. Izjemoma je taka obdelava dopusta, če je izpolnjen kateri izmed pogojem iz člena 9
(2). Ena izmed takšnih izjem, ki bi v konkretnem primeru morda lahko prišla v poštev, je izrecna privolitev posameznikov. To pomeni, da bi vaš fitnes načeloma lahko podatek o izpolnjevanju pogoja PCT stranke zabeležil, če bi ta posameznik v takšno obdelavo izrecno privolil. IP ob tem opozarja, da je bistveno, da upravljavec, ki podatke obdeluje na podlagi izrecne privolitve, zagotovi, da je ta privolitev prostovoljna, konkretna, informirana in nedvoumna, in sicer v obliki izjave ali jasnega pritrdilnega dejanja, iz katerega je mogoče sklepati na želje posameznika, s katerim izrazi strinjanje z obdelavo osebnih podatkov, ki se nanašajo nanj (za več informacij glede veljavne privolitve vas IP napotuje na svojo spletno stran: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev). Zelo pomemben je element prostovoljnosti, to pomeni, da je privolitev dana svobodno in da ima posameznik resnično izbiro in nadzor nad svojimi osebnimi podatki. Posameznik ne sme čutiti prisile ali negativnih posledic, če privolitve ne poda. To v praksi pomeni, da se mora posameznik prostovoljno odločati o tem, s katerim dokazilom bo izkazoval izpolnjevanje pogojev PCT ter ali bo izpolnjevanje pogojev PCT izkazoval vsakokrat ali pa se bo prostovoljno, na bazi izrecne privolitve, pri upravljavcu vpisal na seznam glede izpolnjevanja pogojev ter se s tem izognil vsakokratnemu preverjanju. Privolitev mora biti tudi informirana, to pomeni, da mora posameznik razumeti vsebino privolitve (s čim soglaša) in tudi način, kako lahko privolitev enostavno umakne. Da bo posameznik ustrezno informiran mu mora upravljavec zagotoviti vse informacije glede upravljavca in obdelave podatkov, kot mu to nalagata člena 13 in 14 Splošne uredbe (več o tem: https://upravljavec.si/obvescanje-posameznikov/). V skladu z načelom najmanjšega obsega podatkov lahko takšna evidenca oziroma zabeležka glede izpolnjevanja PCT pogoja za posamezne stranke obsega le tiste podatke, ki so nujno potrebni za namen njihovega zbiranja - ime in priimek ter do kdaj posameznik izpolnjuje pogoj PCT (brez beleženja drugih podatkov, ki niso ključni, npr. ali je posameznik prebolevnik, ali je cepljen, vrsta cepiva in izvajalec cepljenja). Hkrati pa se te podatke lahko hrani le toliko časa, kot je to nujno potrebno za namen njihovega zbiranja in dokler za to obstaja pravna podlaga. IP sicer nima nobenih informacij v zvezi s CRM sistemom oz. sistemom, ki ga uporabljate za avtomatsko odpiranje vrat, vendar ne glede na to, vam svetuje, da zdravstvenih podatkov posameznikov ne vnašate v CRM sistem, temveč, če rešitev to dopušča, le označite, da se posamezniku, ki pogoj izpolnjuje, vrata odprejo (torej brez vnosa osebnih podatkov). Namreč treba se je zavedati, da večji ponudniki CRM sistemov podatke pogosto prenašajo v tretje države (npr. v ZDA), kot upravljavec podatkov pa morate zagotoviti, da so podatki ustrezno varovani tudi v tretjih državah (še toliko bolj zdravstveni podatki). IP je na temo preverjanja PCT pogojev prejel večje število vprašanj, zato je v ta namen pripravil več smernic (namenjene posameznikom, šolam in delodajalcem). Smernice za posameznike so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/smernice-o-preverjanju-pct-pogojev-za-posameznike. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: Neja Domnik, mag. prav., asistentka svetovalca pri IP O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026