Pošiljanje podatkov NIJZ s strani šole za odreditev karantene - IPRS

Pošiljanje podatkov NIJZ s strani šole za odreditev karantene + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 13.10.2021 Številka: 07121-1/2021/2058 Kategorije: --> Kategorije: Šolstvo, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je bil sošolec vaše hčere pozitiven na testu za covid-19 in je šola posredovala Nacionalnemu inštitutu za javno zdravje (NIJZ) vaše in otrokove podatke zaradi odredbe karantene. Zanima vas, ali za to obstaja kakšna zakonska podlaga, saj menite, da se brez soglasja osebni podatki ne morejo pošiljati tretjim osebam. Prosite nas za pojasnilo, ali je šola ravnala pravilno ali lahko v prihodnje od šole zahtevate, da osebnih podatkov otroka in staršev ne pošilja tretjim osebam. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V
8. členu Splošne uredbe so tako določene dopustne pravne podlage; med drugim je obdelava zakonita, če je podana privolitev posameznika, če je obdelava potrebna za izvajanje pogodbe, za izpolnitev zakonske obveznosti upravljavca, za zaščito življenjskih interesov posameznika, zaradi javnega interesa ali zakonitih interesov upravljavca (vse pod določenimi strogimi pogoji). Privolitev posameznika je tako samo ena od možnih pravnih podlag za obdelavo osebnih podatkov. V primeru rizičnega stika, kot ga opisujete, bi lahko določeni podatki šteli tudi osebne podatke v zvezi z zdravjem, ki sodijo med posebne kategorije osebnih podatkov, za katere je na mestu posebna zaščita in tudi druge pravne podlage. Prvi odstavek
9. člena Splošne uredbe tako določa, da je obdelava takšnih osebnih podatkov praviloma prepovedana. Drugi odstavek
10. člena Splošne uredbe pa določa izjeme od načelne prepovedi, med drugim denimo, če je obdelava potrebna: iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki; iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti; za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ipd. NIJZ je sicer pripravil Navodila vzgojno-izobraževalnim zavodom (VIZ) in dijaškim domovom (DD) ob sumu ali potrjenem primeru okužbe s SARS-CoV-2 v zavodu, ki so začela veljati
12. 2021 (dostopna na https://www.nijz.si/sites/www.nijz.si/files/uploaded/navodilo_vodstvu_viz_ob_sumu_ali_potrjenem_primeru_v_zavodu_v.1.pdf). Pripravljen je tudi obrazec za poročanje o visoko rizičnih stikih, ki ga mora uporabiti VIZ v primeru zaznane okužbe s covid-
13. Omenjena navodila sicer ne predstavljajo pravne podlage za obdelavo osebnih podatkov, vendar IP na tem mestu ne more špekulirati, ali se za pravo podlago uporabljajo določene določbe zakona ali obdelava morebiti poteka na kateri od drugih podlag iz drugega odstavka
14. člena Splošne uredbe (npr. iz razlogov javnega interesa na področju javnega zdravja). V primeru morebitnega inšpekcijskega postopka bi se o tem lahko prepričali tako na šoli kot pri NIJZ. Vsak upravljavec osebnih podatkov je zavezan obdelovati osebne podatke na zakoniti pravni podlagi, jo mora znati utemeljiti in za obdelavo osebnih podatkov tudi odgovarja. Informacijski pooblaščenec v neobveznem mnenju ne more presojati zakonitosti obdelave osebnih podatkov, saj je temu po izvedenem celotnem ugotovitvenem postopku namenjen inšpekcijski postopek. Glede na to, da je vaše osebne podatke in osebne podatke vaše hčere šola posredovala NIJZ, vam predlagamo, da se po pojasnila obrnete na šolo, lahko pa tudi na NIJZ, ki je vaše podatke prejel. Posameznik ima namreč skladno z določbami Splošne uredbe pravico, da se njegovi osebni podatki obdelujejo pošteno in transparentno, kar pomeni, da ste upravičeni do določenih informacij o obdelavi vaših osebnih podatkov. Posameznik ima tako skladno s členom 15