Izvajanje 36. člena ZNUNBZ - IPRS

Izvajanje

1. člena ZNUNBZ + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
3. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 29.12.2022 Številka: 07120-1/2022/461 Kategorije: --> Kategorije: Posebne vrste, Pravne podlage, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede izvajanja
4. člena ZNUNBZ. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
5. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
6. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
7. točko prvega odstavka
8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20; v nadaljevanju: ZVOP-1) ter
9. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Določba
10. člena ZNUNBZ po mnenju IP določa, da mora biti evidenca obolelih, obravnavanih po posameznih dnevih in deloviščih, preverljiva z zdravstveno dokumentacijo obolelega, ki je vnesena v Centralni register podatkov o pacientu (v nadaljevanju: CRPP). IP omenjene določbe ne vidi kot pravne podlage za povezovanje zbirk osebnih podatkov. IP svetuje, da glede na zasledovane cilje in v tem mnenju podana pojasnila natančno opredelite posamezne podatkovne tokove za predvidene oblike obdelav osebnih podatkov v okviru informacijskih sistemov vključenih upravljavcev. O b r a z l o ž i t e v: IP uvodoma poudarja, da v okviru nezavezujočega mnenja ne more podajati celovite ocene predvidenih dejanj obdelave osebnih podatkov v konkretnem primeru. Dokončno presojo zakonitosti obdelave osebnih podatkov lahko IP poda le v konkretnem inšpekcijskem ali drugem upravnem postopku. IP uvodoma ugotavlja, da Zakon o nujnih ukrepih za zajezitev širjenja in blaženja posledic nalezljive bolezni COVID-19 na področju zdravstva (Uradni list RS, št. 141/22; v nadaljevanju: ZNUNBZ) v četrtem odstavku
11. člena določa, da izvajalec v javni mreži za namen izvajanja nadzora iz osmega odstavka tega člena mesečno vodi evidenco obolelih, obravnavanih po posameznih dnevih in deloviščih, v povezavi s prejemniki dodatka COVID-
12. Evidenca mora bili preverljiva z zdravstveno dokumentacijo obolelega, ki je vnesena v Centralni register podatkov o pacientu. Izvajalec zahtevku iz sedmega odstavka tega člena na način in v obliki, ki onemogoča, da bi se ugotovila identiteta obolelega, priloži naslednje podatke: – številko kartice zdravstvenega zavarovanja obolelega, – datum potrjene okužbe z virusom SARS-CoV-2 obolelega, – ime in priimek ter poklic zaposlenega, ki je obolelega obravnaval. Omenjena določba ZNUNBZ po mnenju IP tako določa, da mora biti evidenca obolelih, obravnavanih po posameznih dnevih in deloviščih, preverljiva z zdravstveno dokumentacijo obolelega, ki je vnesena v Centralni register podatkov o pacientu (v nadaljevanju: CRPP). IP omenjene določbe ne vidi kot pravne podlage za povezovanje zbirk osebnih podatkov. IP nadalje pojasnjuje, da Zakon o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 - ZZUOOP, 175/20 - ZIUOPDVE, 203/20 - ZIUPOPDVE, 112/21 - ZNUPZ, 196/21 – ZDOsk, 206/21 – ZDUPSOP, 141/22 - ZNUNBZ; v nadaljevanju: ZZPPZ) v četrtem odstavku 14.č člena določa, da se Centralni register podatkov o pacientih (CRPP) brez plačila stroškov povezuje z zbirkami podatkov in pridobiva zdravstveno dokumentacijo iz 1.a člena tega zakona iz zbirk Osnovna zdravstvena dokumentacija, zbirk iz Priloge 1 tega zakona (Priloga zbirk podatkov s področja zdravstvenega varstva) in zbirk upravljavca ZZZS, kot jih določa zakon, ki ureja zdravstveno varstvo in zdravstveno zavarovanje. Za podatke iz prvega in drugega odstavka tega člena se CRPP povezuje z zbirkami podatkov zavezancev za njihovo posredovanje. NIJZ z zavezanci iz prvega in drugega odstavka tega člena dogovori postopek izmenjave podatkov. Za potrebe nadzora nad evidentiranjem in obračunavanjem zdravstvenih storitev se lahko s CRPP povezuje evidenca o zavarovanih osebah obveznega zdravstvenega zavarovanja, kot jo določa zakon, ki ureja zdravstveno varstvo in zdravstveno zavarovanje. Navedena določba ZZPPZ po mnenju IP lahko predstavlja pravno podlago za povezovanje CRPP z zbirkami osebnih podatkov, ki jih navaja določba (Osnovna zdravstvena dokumentacija, zbirke iz Priloge 1 ZZPPZ ter zbirke upravljavca ZZZS), ne pa tudi za obratno povezovanje. IP ob tem pojasnjuje, da Priloga 1 za vsako zbirko podatkov točno določa njeno vsebino (nabor podatkov) ter kdo, kdaj in kako mora dati na voljo oziroma posredovati podatke. IP dodaja, da bi po njegovem mnenju za povezovanje podatkov v obratni smeri (torej povezovanje posameznih zbirk iz Priloge 1 s CRPP) morala obstajati posebna pravna podlaga, ki bi določala tovrstno možnost (kot npr. za povezovanje evidence o zavarovanih osebah obveznega zdravstvenega zavarovanja s CRPP). Podobno po mnenju IP velja tudi za povezovanje evidence iz
13. člena ZNUNBZ. Za njeno povezovanje s CRPP bi torej morala obstajati posebna pravna podlaga, ki bi določala tovrstno možnost, poleg tega pa bi morala biti natančno določena tudi vsebina same zbirke oziroma nabor osebnih podatkov, ki se v njej vodijo, rok hrambe, način zagotavljanja oziroma posredovanja podatkov za samo zbirko ter druga vprašanja v zvezi z varstvom in zavarovanjem osebnih podatkov. ZNUNBZ tovrstne določbe oziroma določb ne vsebuje niti v
14. niti v kakem drugem členu, zato po mnenju IP, kot navedeno zgoraj, ne predstavlja pravne podlage za povezovanje zbirk osebnih podatkov. Ob tem IP opozarja, da se šteje za povezovanje zbirk osebnih podatkov avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. IP splošno pojasnjuje tudi, da je pri pridobivanju osebnih podatkov iz že obstoječih zbirk osebnih podatkov v praksi pogosto težko ločiti zlasti med pridobivanjem oziroma posredovanjem osebnih podatkov, ki se izvede preko telekomunikacijskega sredstva ali omrežja, ter med povezavo zbirk osebnih podatkov na zahtevo (povezljivost v širšem smislu). Bistveni element takšnega razlikovanja je v tem, da se mora pooblaščena oseba upravljavca osebnih podatkov v primerih posredovanja oziroma pridobivanja podatkov po
15. členu ZVOP-1 z ustrezno identifikacijo posebej prijaviti in vstopiti v vsako zbirko posebej, medtem ko se mora v primeru povezovanja zbirk osebnih podatkov z ustrezno identifikacijo prijaviti in vstopiti le v eno zbirko, sistem pa ji za tem samodejno pridobi določene osebne podatke iz vseh povezanih zbirk podatkov. V primeru, ko so zbirke povezane na način, da upravljavec komunicira z eno zbirko osebnih podatkov, ta pa je v ozadju neposredno povezana z drugimi zbirkami podatkov (znotraj enega ali več upravljavcev), se to torej šteje za povezovanje zbirk podatkov, ne glede na to, da se podatki ne ažurirajo hkrati v vseh povezanih zbirkah. Tudi v takšnih primerih lahko namreč uporabnik osebnih podatkov pri delu s svojo zbirko osebnih podatkov hkrati pridobi tudi določene podatke iz (vseh) povezanih zbirk in jih neposredno vključi v svojo zbirko, ne da bi za to moral vstopati v vsako zbirko posebej. Za povezovanje v širšem smislu gre po mnenju IP tudi takrat, ko uporabnik v svojo zbirko vnese določene osebne podatke posameznika, sistem pa za tem zbirko samodejno ali na zahtevo uporabnika dopolni še z določenimi podatki iz drugih povezanih zbirk. Takšno povezovanje ima seveda določene prednosti (hitrejša in enostavnejša pridobitev podatkov, odprava neskladja virov, večja ažurnost, točnost, popolnost ter zanesljivost podatkov), po drugi strani pa takšna povezava lahko pomeni tudi nezakonit in prekomeren poseg v zasebnost posameznika, saj upravljavec osebnih podatkov na takšen način na enem mestu lahko pridobi in združi podatke iz večjega števila zbirk, ki se vodijo za podobne ali različne namene. Glede pridobivanja osebnih podatkov po
16. členu ZVOP-1 pa IP pojasnjuje, da mora pooblaščena oseba upravljavca, ki želi osebne podatke pridobiti iz druge, že obstoječe zbirke osebnih podatkov, z ustrezno identifikacijo posebej vstopiti v to drugo zbirko ter za tem v tej zbirki z vnosom iskalnega kriterija pridobiti potrebne osebne podatke, pri čemer pa se tako pridobljeni osebni podatki v drugo zbirko ne vključijo samodejno, pač pa mora to storiti pooblaščena oseba ročno, npr. s prepisom, kopiranjem ali pa s sprožitvijo posebnega ukaza. Na drugi strani pa pri povezavi zbirk osebnih podatkov v širšem smislu pooblaščena oseba upravljavca pri delu s svojo zbirko v iskalnik enostavno vpiše iskalni kriterij (npr. EMŠO), sistem pa ji za tem iz povezanih zbirk samodejno prikliče in pridobi še ostale osebne podatke (npr. osebno ime, naslov prebivališča, ipd.), ki se jih zatem lahko vključi v zbirko, iz katere je bil opravljen priklic podatkov. Pri takšnem povezovanju se podatki ažurirajo samo v zbirki, v katero pooblaščena oseba neposredno dostopa, ne pa tudi v drugih povezanih zbirkah. Podatki se pri takšnem povezovanju ažurirajo samo v času poizvedbe, kasnejša sprememba podatkov v izvorni zbirki pa se ne odrazi s spremembo podatkov v povezanih zbirkah. Ob tem IP pojasnjuje, da je za razumevanje izraza »povezovanje zbirk osebnih podatkov« v smislu določb
17. poglavja VI. dela ZVOP-1 v času čedalje širše uporabe informacijsko-komunikacijskih tehnologij potrebno precejšnje poznavanje teorije podatkovnih komunikacij, računalniških omrežij, baz podatkov in standardnih modelov povezovanja sistemov. Kot je IP opisal v smernicah »Varstvo osebnih podatkov pri povezovanju zbirk osebnih podatkov v javni upravi«, se šteje za povezovanje zbirk osebnih podatkov avtomatsko in elektronsko povezovanje zbirk osebnih podatkov, ki jih vodijo upravljavci za različne namene, in sicer tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko. Glede povezovanja zbirk osebnih podatkov IP splošno pojasnjuje, da povezovanje zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov in se zato z vidika določb Splošne uredbe o varstvu podatkov in ZVOP-1 šteje za zakonito le in kolikor je za takšno ravnanje izpolnjen vsaj eden od pogojev, določenih v členu 6