Dopustnost obdelave osebnih podatkov za potrebe priprave mreže na primarni ravni - IPRS

(901)Kategorije:Zbirke osebnih podatkov --> Kategorije: Zbirke osebnih podatkov Spoštovani,na Inšpektorat za varstvo osebnih podatkov pri Ministrstvu za pravosodje ste naslovili zgoraj navedeni dopis, s katerim nas prosite za mnenje o tem, ali je in pod katerimi pogoji je dopustno zbiranje v dopisu navedenih osebnih podatkov ter, ali je in pod katerimi pogoji je takšne osebne podatke dovoljeno povezati v novo bazo (zbirko osebnih podatkov), ki se bo osveževala sproti, skupaj z osveževanjem podatkov vira, to je ostalih zbirk (zbirke, ki jih vodijo __________________ itd.).Ker lahko obvezno razlago posameznih določb zakona daje le zakonodajalec, neobvezno pa predlagatelj zakona, Vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi

1. točke prvega odstavka
2. člena Zakona o varstvu osebnih podatkov (ZVOP-1; Uradni list RS, št. 86/04) posredujemo naše neobvezno mnenje v zvezi z Vašimi zgoraj navedenimi vprašanji. Naše mnenje je pripravljeno izključno z vidika varstva osebnih podatkov. I.Ustava Republike Slovenije (Uradni list RS, št. 33/91, 42/97, 60/00, 24/03 in 69/04) v
3. členu (varstvo osebnih podatkov) prepoveduje uporabo osebnih podatkov v nasprotju z namenom njihovega zbiranja ter določa, da zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov določa zakon. Določeno je tudi, da ima vsakdo pravico seznaniti se z osebnimi podatki, ki se nanašajo nanj in pravico do sodnega varstva ob njihovi zlorabi.Iz zgoraj citiranega
4. člena Ustave Republike Slovenije izhaja, da se je ustavodajalec odločil za t.i. "obdelovalni model" in ne za t.i. "model zlorabe ", saj je določil predvsem pravila za urejanje dopustne obdelave osebnih podatkov na zakonski ravni in ne načelne svobode obdelave osebnih podatkov, ki je lahko le izjemoma izrecno omejena z zakonom. Takšen model preprosto pomeni, da je na področju obdelave osebnih podatkov prepovedano vse, razen tistega, kar je z zakonom izrecno dovoljeno. Vsaka obdelava osebnih podatkov namreč pomeni poseg v z ustavo varovano človekovo pravico do varstva osebnih podatkov, zaradi česar je takšen poseg dopusten, če je v zakonu določno opredeljeno, kateri osebni podatki se smejo obdelovali, jasno pa mora biti določen tudi namen obdelave osebnih podatkov ter zagotovljeno ustrezno zavarovanje. Namen obdelave osebnih podatkov mora biti ustavno dopusten, obdelovati pa se smejo le tisti osebni podatki, ki so primerni in po obsegu primerni glede na namene za katere se zbirajo in nadalje obdelujejo (načelo sorazmernosti –
5. člen ZVOP-1).Pravice, obveznosti, načela in ukrepi, s katerimi se preprečujejo neustavni, nezakoniti in neupravičeni posegi v zasebnost in dostojanstvo posameznika pri obdelavi osebnih podatkov, so podrobneje določene v ZVOP-1.Po določbah
6. člena ZVOP-1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika. Namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov.Pravne podlage za obdelavo osebnih podatkov v javnem sektorju so natančneje določene v spodaj citiranem
7. členu ZVOP-1: Pravne podlage v javnem sektorju
8. člen

(1)Osebni podatki v javnem sektorju se lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika.

(2)Nosilci javnih pooblastil lahko obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil. Zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil.

(3)Ne glede na prvi odstavek tega člena se lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe.

(4)Ne glede na prvi odstavek tega člena se lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.Obdelava osebnih podatkov je v

1. točki prvega odstavka kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).V primeru, da se osebni podatki v podatki iz večih uradnih evidenc ali javnih knjig povezujejo v novo zbirko osebnih podatkov, je potrebno izpolniti tudi pogoje, ki jih v zvezi s tem določa
2. člen ZVOP-1:Povezovanje zbirk osebnih podatkovUradne evidence in javne knjige
3. člen

(1)Zbirke osebnih podatkov iz uradnih evidenc in javnih knjig je dovoljeno povezovati, če tako določa zakon.

(2)Upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, so dolžni o tem predhodno pisno obvestiti državninadzorni organ.

(3)Če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezalo, vsebuje občutljive podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja državnega nadzornega organa.

(4)Državni nadzorni organ dovoli povezavo iz prejšnjega odstavka na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov.

(5)Zoper odločbo iz prejšnjega odstavka ni pritožbe, dovoljen pa je upravni spor.II.Glede na to, da predvidevate vzpostavitev nove zbirke, ki bi vsebovala osebne podatke o zdravnikih izvajalcih zdravstvene dejavnosti ter drugih zdravstvenih delavcih na primarnem nivoju, ter glede na to, da bi bila takšna nova zbirka povezana tudi z drugimi zbirkami osebnih podatkov, je mogoče kot pravno podlago za vzpostavitev takšne zbirke uporabiti le podlago iz prvega odstavka

1. člena ZVOP-
2. To pomeni, da se lahko takšno novo zbirko osebnih podatkov vzpostavi in vodi oziroma se v takšni zbirki lahko obdelujejo osebni podatki le v primeru, če takšno obdelavo in vrste osebnih podatkov, ki se obdelujejo, določa kateri od področnih zakonov (npr. Zakon o zdravstveni dejavnosti, Zakon o zdravniški službi, Zakon o zbirkah podatkov s področja zdravstvenega varstva).Da bi zadostili zahtevam 8.,
3. in
4. člena ZVOP-1, mora biti v področnem zakonu jasno določeno predvsem sledeče:• namen obdelave osebnih podatkov;• naziv zbirke osebnih podatkov;• naziv upravljavca zbirke osebnih podatkov;• vrste osebnih podatkov, ki se bodo obdelovale (npr.: šifra občine, osebno ime, datum rojstva, spol, poklic, itd.), pri čemer je potrebno paziti, da so osebni podatki ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo (načelo sorazmernosti); • način zbiranja osebnih podatkov oziroma iz katerih zbirk osebnih podatkov se bodo pridobivale posamezne vrste osebnih podatkov; • s katerimi zbirkami osebnih podatkov se bo zbirka povezovala;• čas shranjevanja osebnih podatkov v zbirki.Če bi bilo glede na namene vzpostavitve nove zbirke osebnih podatkov potrebno zagotoviti, da so določene vrste osebnih podatkov dostopne tudi uporabnikom storitev, bi bilo to potrebno v zakonu jasno določiti, pri čemer bi bilo potrebno najprej pretehtati, ali je posredovanje osebnih podatkov sploh nujo oz., ali ne bi bilo dovolj, da se uporabnikom posredujejo podatki na način, ki ne omogoča identifikacije posameznikov. V primeru, da posredovanje podatkov v anonimizirani obliki ni primerno glede na namene, za katere se podatki posredujejo, je z vidika načela sorazmernosti v zakonu potrebno določiti, katere vrste osebnih podatkov, ki se obdelujejo v zbirki, je glede na namene obdelave nujno posredovati uporabnikom ter na kakšen način in pod kakšnimi pogoji se bodo podatki posredovali uporabnikom.V primeru, da se bo nova zbirka osebnih podatkov za namene zagotavljanja točnosti in ažurnosti podatkov povezovala z drugimi zbirkami osebnih podatkov, bo moral upravljavec takšne zbirke osebnih podatkov o povezovanju predhodno obvestiti državni nadzorni organ za varstvo osebnih podatkov. Če bo za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka (npr. EMŠO ali št. zdravstvenega zavarovanja), bo potrebno za takšno povezovanje predhodno pridobiti tudi dovoljenje državnega nadzornega organa za varstvo osebnih podatkov, kot to določa zgoraj citirani
5. člen ZVOP-
6. K zgoraj navedenemu dodajamo, da si lahko delovna skupina za namene načrtovanja potrebnega obsega zdravstvene dejavnosti od upravljavcev osebnih podatkov pridobi potrebne podatke predvsem v anonimizirani obliki. Na podlagi takšnih podatkov bo delovna skupina po našem mnenju lahko predvidela potreben obseg zdravstvene dejavnosti, pri čemer pa za pridobivanje in obdelavo takšnih podatkov sploh ne potrebuje posebne zakonske podlage.Za dodatna pojasnila smo Vam na voljo.Lep pozdrav,Jože BOGATAJv.d. glavnega inšpektorjaza varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026