Posredovanje digitalnih zelenih potrdil posameznikom + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.07.2021 Številka: 07120-1/2021/344 Kategorije:Pravne podlage, Zavarovanje osebnih podatkov, Zdravstveni osebni podatki --> Kategorije: Zavarovanje osebnih podatkov, Zdravstveni osebni podatki, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da je Evropska komisija predstavila predlog za uvedbo digitalnih zelenih potrdil (v nadaljevanju: DGC; Digital Green Certificate). Vaše vprašanje se nanaša na možnost pošiljanja potrdil o cepljenju (ne pa tudi izvidov) po fizični pošti, in sicer nas sprašujete glede pravne podlage za takšno pošiljanje potrdil. NIJZ namreč upravlja zbirko Centralni register podatkov o pacientih (v nadaljevanju: CRPP), kjer je zaveden tudi podatek o bivališčih posameznikov, pravno podlago za posredovanje DGC pa vidite v 14.b členu Zakona o zbirkah s področja zdravstvenega varstva. Pri tem vas zanima tudi, ali lahko NIJZ po predlagani pravni podlagi pošilja potrdila posameznikom, ki so zanj zaprosili, in tudi tistim, ki zanj še niso zaprosili, a izpolnjujejo pogoje za pridobitev (npr. dvakrat cepljeni). Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Pri digitalnem zelenem potrdilu je treba uvodoma ugotoviti, da gre za zdravstveno dokumentacijo v smislu 1.a člena Zakona o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, s sprem. in dop.; v nadaljevanju ZZPPZ), saj gre za izvirno in reproducirano (pisano, risano, tiskano, fotografirano, filmano, fonografirano, magnetno, optično ali kako drugače zapisano) dokumentarno gradivo, ne glede na obliko zapisa in nosilec zapisa podatkov: ki nastane ali je prejeto pri zdravstveni oskrbi, ki je opredeljeno v Osnovni zdravstveni dokumentaciji v Prilogi 1 ali ki je povezano z zdravstvenim stanjem in je nujno potrebno za izvajanje pravic ali obveznosti, priznanih ali določenih z zakonom. Zaradi navedenega je treba šteti, da gre pri DGC za posebno vrsto osebnih podatkov, za katere Splošna uredba določa posebne pogoje (pravne podlage) za obdelavo in zahteva posebne zaščitne ukrepe za varnost takšnih podatkov. V principu je obdelava posebnih vrst podatkov, kamor sodi tudi podatek v zvezi z zdravjem posameznika, prepovedana (prvi odstavek
- člena Splošne uredbe). Pri tem pa se za pojasnilo glede dopustnosti obdelave posebnih vrst osebnih podatkov lahko naslonimo na uvodno izjavo 52 in 53 Splošne uredbe, ki navajata:
(52)Odstopanje od prepovedi obdelave posebnih vrst osebnih podatkov bi moralo biti dovoljeno tudi, kadar je določeno v pravu Unije ali pravu držav članic in so vzpostavljeni ustrezni zaščitni ukrepi, da se zaščitijo osebni podatki in druge temeljne pravice, kadar je to v javnem interesu, zlasti pri obdelavi osebnih podatkov na področju delovnega prava, prava socialnega varstva, vključno s pokojninami, ter v namene zdravstvene varnosti, spremljanja in opozarjanja, pri preprečevanju ali nadziranju nalezljivih bolezni in drugih resnih nevarnosti za zdravje. Tako odstopanje se lahko izvede v zdravstvene namene, vključno z javnim zdravjem in upravljanjem storitev zdravstvenega varstva, predvsem za zagotavljanje kakovosti in stroškovne učinkovitosti postopkov, ki se uporabljajo za reševanje zahtevkov za dajatve in storitve v sistemu zdravstvenega varstva (…).
(53)Posebne vrste osebnih podatkov, ki potrebujejo višjo zaščito, bi se lahko obdelovale v namene, povezane z zdravjem, le kadar je to potrebno za doseganje teh namenov v korist posameznikov in družbe kot celote, zlasti v okviru upravljanja storitev in sistemov zdravstvenega ali socialnega varstva, vključno z obdelavo takšnih podatkov s strani uprave in osrednjih nacionalnih zdravstvenih organov zaradi nadzora kakovosti, upravljanja informacij ter splošnega nacionalnega in lokalnega nadzora sistema zdravstvenega ali socialnega varstva, ter zagotavljanja neprekinjenosti zdravstvenega ali socialnega varstva in čezmejnega zdravstvenega varstva ali zaradi zdravstvene varnosti, spremljanja in opozarjanja (…) Zato bi bilo treba v tej uredbi ob upoštevanju posebnih potreb določiti usklajene pogoje za obdelavo posebnih vrst osebnih podatkov v zvezi z zdravjem, zlasti kadar take podatke v določene namene v zvezi z zdravjem obdelujejo osebe, za katere velja pravna obveznost varovanja poklicne skrivnosti. V pravu Unije ali pravu držav članic bi bilo treba določiti posebne in ustrezne ukrepe za zaščito temeljnih pravic in osebnih podatkov posameznikov. Države članice bi morale imeti možnost, da ohranijo ali uvedejo dodatne pogoje, tudi omejitve, glede obdelave genetskih podatkov, biometričnih podatkov ali podatkov o zdravstvenem stanju. (…) Odstopanje od prepovedi obdelave osebnih podatkov v kontekstu vašega vprašanja je treba iskati v točki (
- h)drugega odstavka 9. člena Splošne uredbe, ki določa, da se prepoved obdelave posebnih vrst osebnih podatkov ne uporablja, če je obdelava potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3. Omenjeni tretji odstavek 9. člena določa, da se lahko osebni podatki iz odstavka 1 obdelujejo v namene iz točke (
- h)odstavka 2, kadar jih obdeluje ali je za njihovo obdelavo odgovoren strokovnjak, za katerega velja obveznost varovanja poklicne skrivnosti v skladu s pravom Unije ali pravom države članice ali pravili, ki jih določijo pristojni nacionalni organi, ali druga oseba, za katero tudi velja obveznost varovanja skrivnosti v skladu s pravom Unije ali pravom države članice ali pravili, ki jih določijo pristojni nacionalni organi. 14.b člen ZZPPZ v prvem odstavku opredeljuje, da je CRPP zbirka podatkov eZdravja o pacientih s stalnim ali začasnim prebivališčem v Republiki Sloveniji in o drugih pacientih, ki v Republiki Sloveniji prejmejo zdravstveno oskrbo. Namene obdelave osebnih podatkov iz CRPP je opredeljen v tretjem odstavku 14.b člena ZZPPZ, glede kontaktnih podatkov pacienta iz CRPP je določeno, da jih lahko izvajalci in NIJZ uporabijo za obveščanje pacienta o spremembah podatkov v CRPP in drugih zbirkah eZdravja, posredovanje ključev za elektronsko identifikacijo pacienta, izvedbo stikov s pacientom pred načrtovano zdravstveno storitvijo, posredovanje informacij in navodil v povezavi z načrtovano zdravstveno storitvijo, vabilo pacienta na izvedbo zdravstvene storitve, izvajanje zdravstvene storitve na daljavo ter spremljanje izkušenj pacienta in izidov zdravstvene obravnave po izvedbi zdravstvene storitve, pri čemer je treba upoštevati predpise s področja varstva osebnih podatkov glede tehničnih ukrepov za zagotavljanje varnosti podatkov pri komunikaciji. Kljub temu, da pri digitalnem zelenem potrdilu ne gre za posredovanje samega izvida, pa gre za obveščanje o podatkih, povezanih z izvedbo zdravstvene storitve, zato načeloma pri obdelavi kontaktnih podatkov pacienta, ki bo prejel DGC, ne vidimo ovir. Vseeno pa opozarjamo, da gre pri tem za splošno, neobvezujoče mnenje Informacijskega pooblaščenca, ki v nobenem smislu ne prejudicira ugotovitev v morebitnem inšpekcijskem postopku, ki sledijo popolni in celoviti ugotovitvi dejstev in dejanskega stanja v konkretnem primeru. V vsakem primeru je treba na tem mestu opozoriti na določbo 179. člena ZUP, ki govori o izdaji potrdil o dejstvih iz uradnih evidenc. Prvi odstavek omenjenega člena ZUP določa, da državni organi, organi samoupravnih lokalnih skupnosti in nosilci javnih pooblastil izdajajo potrdila in druge listine (izpiske, certifikate itd.) o dejstvih, o katerih vodijo uradno evidenco. Za uradno evidenco se šteje evidenca, ki je bila vzpostavljena na podlagi zakona, podzakonskega predpisa ali splošnega akta, izdanega za izvrševanje javnih pooblastil. Četrti odstavek 179. člena ZUP določa, da se potrdilo in druge listine o dejstvih, o katerih se vodi uradna evidenca, izdajo stranki na ustno zahtevo praviloma istega dne, ko je stranka potrdilo oziroma drugo listino zahtevala, najpozneje pa v 15 dneh, če ni v predpisu, s katerim je bila vzpostavljena uradna evidenca, drugače določeno. Podlaga glede izdaje potrdil po ZUP seveda velja le za osebe, ki izdajo digitalnega zelenega potrdila zahtevajo. V vašem dopisu pa izpostavljate tudi vprašanje, ali bi pravna podlaga iz 14.b člena ZZPPZ veljala le za pošiljanje potrdil posameznikom, ki so zanje prosili, ali pa bi lahko veljala tudi za vse posameznike, ki izpolnjujejo pogoj za izdajo (npr. dvakrat cepljeni). Drugi odstavek 14.c ZZPPZ sicer govori o izvajalcih, ko določa, da je obdelava podatkov iz CRPP pri izvajalcih v Republiki Sloveniji dopustna brez privolitve pacienta, NIJZ pa pri tem ni omenjen. Vendar je treba pri tem poudariti, da v kolikor obstaja pravna podlaga za uporabo kontaktnih podatkov za namene pošiljanja potrdil po 14.b členu ZZPPZ, privolitev oziroma zahtevek za izdajo potrdila z vidika varstva osebnih podatkov nista potrebna. Za konec se želimo dotakniti še vprašanja zavarovanja osebnih podatkov, oziroma tehničnih in organizacijskih ukrepov glede pošiljanja po fizični pošti. 32. člen Splošne uredbe, ki je posvečen varnosti obdelave, v prvem odstavku določa, da upravljavec in obdelovalec ob upoštevanju najnovejšega tehnološkega razvoja in stroškov izvajanja ter narave, obsega, okoliščin in namenov obdelave, pa tudi tveganj za pravice in svoboščine posameznikov, ki se razlikujejo po verjetnosti in resnosti, upravljavec in obdelovalec z izvajanjem ustreznih tehničnih in organizacijskimi ukrepov zagotovita ustrezno raven varnosti glede na tveganje, vključno med drugim z naslednjimi ukrepi, kot je ustrezno: psevdonimizacijo in šifriranjem osebnih podatkov; zmožnostjo zagotoviti stalno zaupnost, celovitost, dostopnost in odpornost sistemov in storitev za obdelavo; zmožnostjo pravočasno povrniti razpoložljivost in dostop do osebnih podatkov v primeru fizičnega ali tehničnega incidenta; postopkom rednega testiranja, ocenjevanja in vrednotenja učinkovitosti tehničnih in organizacijskih ukrepov za zagotavljanje varnostni obdelave. Drugi odstavek določa, da se pri določanju ustrezne ravni varnosti upoštevajo zlasti tveganja, ki jih pomeni obdelava, zlasti zaradi nenamernega ali nezakonitega uničenja, izgube, spremembe, nepooblaščenega razkritja ali dostopa do osebnih podatkov, ki so poslani, shranjeni ali kako drugače obdelani. Navedeno morate upoštevati tudi pri pošiljanju potrdil po fizični pošti. Pri pošiljanju originalne zdravstvene dokumentacije kot tudi pri pošiljanju potrdil, ki niso originalna zdravstvena dokumentacija, vendar vsebujejo posebne vrste osebnih podatkov, je tako nujno, da pa po načelih iz 32. člena Splošne uredbe kot upravljavec sami najdete ustrezen način, ki ob upoštevanju tveganj nepooblaščenega razkritja ali dostopa do osebnih podatkov zagotavlja ustrezno varnost osebnih podatkov. Kot upravljavec morate torej pri pošiljanju potrdil po klasični pošti sprejeti ukrepe, s katerimi boste s primerno zavarovano in označeno ovojnico preprečili nepooblaščen dostop do osebnih podatkov na potrdilu v času prenosa in zagotovili, da bo poslano potrdilo dejansko prejela oseba, na katero se potrdilo in na njem zapisani osebni podatki nanašajo. IP ob tem opozarja še na pomen in vlogo pooblaščene osebe za varstvo podatkov, za katero mora upravljavec zagotoviti, da bo ustrezno in pravočasno vključena v vse zadeve v zvezi varstvom in obdelavo osebnih podatkov, s čimer se zagotovi, da bo lahko pooblaščena oseba za varstvo podatkov v zvezi z nameravano obdelavo osebnih podatkov uspešno opravila svoje svetovalne in nadzorne naloge ter svetovala glede obveznosti upravljavca v skladu s Splošno uredbo in drugimi predpisi, ki urejajo področje varstva osebnih podatkov. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026