Hramba zdravstvenih podatkov v oblaku - IPRS

Hramba zdravstvenih podatkov v oblaku + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 24.06.2022 Številka: 07121-1/2022/707 Kategorije: --> Kategorije: Posebne vrste, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Svetovni splet, Zdravstveni osebni podatki Pri Informacijskem pooblaščencu (IP) smo dne
4. 2022 prejeli vaše zaprosilo za mnenje glede izvažanja posebej občutljivih osebnih podatkov (medicinskih podatkov) v Oblak multinacionalk kot so Google, Microsoft (Azur), Amazon. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
5. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
6. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
7. točko prvega odstavka
8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 in 177/20, v nadaljevanju ZVOP-1) ter
9. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem, pri čemer pojasnjujemo, da IP izven konkretnega inšpekcijskega postopka posameznim poslovnim subjektom ne more in ne sme svetovati, kako organizirati konkretne poslovne procese in v tem okviru obdelovati osebne podatke, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti s Splošno uredbo o varstvu podatkov. Pri uporabi storitev računalništva v oblaku je z vidika varstva osebnih podatkov treba upoštevati zlasti naslednje vidike: da gre pri tem najverjetneje za pogodbeno obdelavo osebnih podatkov, ki zahteva sklenitev pogodbe po členu 28 Splošne uredbe o varstvu podatkov, da mora upravljavec poskrbeti, da bo osebnim podatkom, ki jih bo hranil v oblaku, zagotovljena ustrezna varnost (člen 32 Splošne uredbe o varstvu podatkov), da gre pri hrambi podatkov v oblaku, ki jih ponujajo veliki ameriški ponudniki, za prenos osebnih podatkov v ZDA, pri čemer IP glede na trenutni razvoj tehnologij ustreznih dopolnilnih ukrepov, ki bi trenutno omogočali zakonit prenos osebnih podatkov takim ponudnikom, ni sposoben predvideti. O b r a z l o ž i t e v: IP o uporabi oblačnih storitev za namene hrambe posebnih vrst osebnih podatkov piše že v mnenju št. 07121-1/2020/472, ki je dostopno na tej povezavi: https://www.ip-rs.si/mnenja-gdpr/6048a487a
10. Ker v svojem zaprosilu izrecno navajate, da bi želeli posebne vrste osebnih podatkov hraniti v oblaku multinacionalk kot so Google, Microsoft oziroma Amazon (vse družbe so ustanovljene v ZDA), na tem mestu dodajamo zgolj nekaj dodatnih pojasnil v zvezi z možnostmi zakonitega prenosa osebnih podatkov v tretje države. Osebni podatki se smejo upravljavcu ali pogodbenemu obdelovalcu v tretji državi (državi izven Evropskega gospodarskega prostora) prenesti zgolj pod pogoji, ki jih ureja V. Poglavje Splošne uredbe o varstvu podatkov, in sicer: če Evropska komisija odloči, da država, ozemlje, določen sektor v državi ali mednarodna organizacija, v katero se podatki prenašajo, zagotavlja ustrezno raven varstva osebnih podatkov (člen 45 Splošne uredbe o varstvu podatkov); če izvoznik podatkov zagotovi ustrezne zaščitne ukrepe ter posameznikom zagotovi izvršljive pravice in učinkovita pravna sredstva na podlagi členov 46 in 47 Splošne uredbe o varstvu podatkov; če gre za posebne primere, ki so določeni v členu 49 Splošne uredbe o varstvu podatkov, v katerih so mogoča odstopanja (več o odstopanjih po členu 49 si lahko preberete v Smernicah EDPB št. 2/2018: https://edpb.europa.eu/our-work-tools/ourdocuments/guidelines/guidelines-22018-derogations-article-49-underregulation_sl). Ker so vsi v vašem zaprosilu navedeni ponudniki oblačnih storitev ustanovljeni v ZDA, se v nadaljevanju osredotočamo zgolj na možnosti zakonitega prenosa osebnih podatkov v to tretjo državo. ZDA trenutno ni na spisku držav, za katere je Evropska komisija odločila, da zagotavlja ustrezno raven varstva osebnih podatkov, zato podlaga po členu 45 Splošne uredbe o varstvu podatkov odpade. Ob neobstoju podlage iz člena 45 se lahko osebni podatki v ZDA prenašajo na podlagi ustreznih zaščitnih ukrepov iz člena 46 Splošne uredbe o varstvu podatkov. Enega najpogosteje uporabljenih mehanizmov za zagotovitev zakonitega prenosa osebnih podatkov v tretje države predstavlja sprejem ustreznih zaščitnih ukrepov po členu 46