Pogodbena obdelava občutljivih osebnih podatkov - IPRS

Pogodbena obdelava občutljivih osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.03.2022 Številka: 07120-1/2022/69 Kategorije: --> Kategorije: Pogodbena obdelava podatkov, Posebne vrste, Zavarovanje osebnih podatkov, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše sporočilo, v katerem nas prosite za mnenje. Kot ste pojasnili želite za namene zdravstvenega varstva prebivalstva in posameznikov ter vodenja oz. opravljanja zdravstvenih služb digitalizirati že obstoječo zdravstveno dokumentacijo, ki vsebuje tudi pacientove zdravstvene in druge osebne podatke (občutljivi osebni podatki). Zaradi obsežnosti dokumentacije bi navedeno želeli izvesti z zunanjim izvajalcem, s katerim bi sklenili pogodbo o pogodbeni obdelavi osebnih podatkov v smislu določil Zakona o varstvu osebnih podatkov (ZVOP-1). Pogodbeni obdelovalec bi izvajal obdelavo navedenih občutljivih osebnih podatkov opredeljeno z Zakonom o varstvu dokumentarnega in arhivskega gradiva ter arhivih (ZVDAGA) , to je: zajem gradiva, ki je izvirno nastalo v fizični obliki, pretvorbo zajetega gradiva v digitalno obliko za dolgoročno hrambo, za kar bi pogodbeni obdelovalec uporabljal svojo strojno oziroma programsko opremo ter bi izvedel tudi spremljevalne storitve (npr. pretvorba, urejanje, zagotavljanje varnih prostorov) in bi zaključno izvedel tudi prenos tako obdelanih digitaliziranih občutljivih osebnih podatkov v vaš elektronski sistem. Varstvo osebnih podatkov pacientov ureja tudi Zakon o pacientovih pravicah (ZPacP), ki v
3. odstavku
4. člena izrecno določa, da je uporaba ali druga obdelava pacientovih zdravstvenih in drugih osebnih podatkov izven postopkov zdravstvene obravnave dovoljena le s pacientovo privolitvijo ali privolitvijo oseb, ki imajo pravico do privolitve v medicinski poseg ali zdravstveno obravnavo, če pacient ni sposoben odločanja o sebi. Ob tem vaša organizacija glede relevantne obstoječe zdravstvene dokumentacije nima pisnega soglasja pacientov za zgoraj opisano obdelavo njihovih občutljivih osebnih podatkov. V zvezi z opisanim se vam zastavlja vprašanje, ali je v primeru neobstoja pacientove privolitve v obdelavo njegovih občutljivih osebnih podatkov pravno dopustno skleniti pogodbo o obdelavi osebnih podatkov z zunanjim pogodbenim obdelovalcem; oziroma, ali v primeru neobstoja privolitve pacienta v obdelavo njegovih občutljivih osebnih podatkov s strani tretje osebe (zunanji pogodbeni obdelovalec), določila Zakona o pacientovih pravicah ovirajo oz. prepovedujejo sklenitev pogodbe o obdelavi občutljivih osebnih podatkov z zunanjim pogodbenim obdelovalcem? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
5. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
6. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
7. točke prvega odstavka
8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
9. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da določbe ZVOP-1 ter Splošne uredbe dopuščajo obdelavo osebnih podatkov s strani obdelovalca tudi ko gre za občutljive osebne podatke oziroma posebne vrste osebnih podatkov. Številni izvajalci zdravstvenih storitev v praksi uporabljajo storitve obdelave osebnih podatkov, tudi posebnih vrst, s strani zunanjih izvajalcev, saj je razumno pričakovati, da niso zmožni vseh dejanj nad osebnimi podatka opravljati sami, oziroma za to nimajo ustrezne tehnologije, rešitev ali znanja, kot npr. na področju tehničnih vidikov obdelave, kot je vzdrževanje podatkovnih baz, varnostno kopiranje, digitalno arhiviranje ipd. Tudi Zakon o pacientovih pravicah ne vsebuje prepovedi najemanja storitev zunanjih izvajalcev, soglasje pacienta pa se nanaša na soglasje upravljavcu za obdelavo osebnih podatkov in ne na soglasje za uporabo storitev pogodbenega obdelovalca. Upravljavec mora za obdelavo podatkov o pacientu razpolagati s pravno podlago za to, da sme obdelovati osebne podatke, to pa lahko počne sam ali pa določena opravila zaupa pogodbenemu obdelovalcu, seveda pa je pomembno, da so pri tem izpolnjene vse zahteve Splošne uredbe, zlasti določbe členov 28 in 32 Splošne uredbe, kakor tudi določbe ZVOP-1 (posebej opozarjamo na zagotovitev ustreznih tehničnih in organizacijskih ukrepov za varnost podatkov ter na ustrezno varovanje občutljivih osebnih podatkov pri prenosu po omrežjih, kot to ureja
10. člen ZVOP-1). Pogodbeni obdelovalec osebnih podatkov ne sme uporabljati za svoje namene, obdelava pa mora potekati v okviru pooblastil upravljavca (naročnika). Več o ustrezni ureditvi pogodbene obdelave si lahko preberete na napi spletni podstrani, kjer najdete tudi primer vzorčne pogodbe: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/pogodbena-obdelava. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026