Posredovanje ZZZS številke zavarovancev dobavitelju + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 18.12.2020 Številka: 07121-1/2020/2289 Kategorije:Definicija OP, Posredovanje OP med upravljavci, Pravne podlage, Zdravstveni osebni podatki --> Kategorije: Pravne podlage, Zdravstveni osebni podatki, Posredovanje OP med upravljavci, Definicija OP, Anonimizacija/psevdonimizacija Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje glede ustreznosti predvidene ureditve, vezane na varstvo osebnih podatkov vaših strank. Navajate, da kot pogodbeni dobavitelj medicinskih pripomočkov za ZZZS v vaših prodajalnah zavarovancem na podlagi predložene naročilnice izdajate tudi merilnike sladkorja v krvi. Naštevate, katere podatke ste do sedaj posredovali vašemu pogodbenemu dobavitelju teh pripomočkov ter pojasnjujete, da od vas sedaj zahteva še dodatni podatek o številki posameznega zavarovanca, ki je navedena na naročilnicah ZZZS in ki jo zavarovancem dodeli ZZZS. Pojasnjujete, da bi te številke anonimizirali – jih spremenili s pomočjo posebej za ta namen ustvarjenega algoritma, ki ga bodo definirali v IT-ju vaše družbe in bo znan samo ozkemu krogu ljudi. Na takšen način dobavitelj ne bi imel nikakršnega načina za dostopanje do dejanskih številk strank oz. zavarovancev, bi pa imel orodje za preverjanje frekvence vračanja zavarovancev oz. njihovega ponovnega prevzema predmetnih pripomočkov na podlagi nove naročilnice ZZZS-ja. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da v okviru nezavezujočega mnenja ne more vnaprej potrjevati posameznih rešitev ali konkretnih dejanj obdelave z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov vaših strank, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov. IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, torej med drugim tudi za njihovo razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, zakonito in ustrezno pravno podlago. Te so določene v členu 6
(1)Splošne uredbe, v primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi podatki v zvezi z zdravjem, pa mora bili izpolnjen še eden izmed pogojev iz člena 9
(2)Splošne uredbe. Skladno z uvodno izjavo 35 Splošne uredbe obsegajo osebni podatki v zvezi z zdravjem tudi številko, znak ali posebno oznako, dodeljeno posamezniku za njegovo edinstveno identifikacijo v zdravstvene namene. ZZZS številka torej sodi med osebne podatke posebne vrste. Med izjemami od prepovedi obdelave posebnih vrst osebnih podatkov, ki so določene v členu 9
(2)Splošne uredbe, izvajanje pogodbe ni predvideno. Obdelava posebnih vrst osebnih podatkov je na primer dopustna po točki (h) člena 9
(2)Splošne uredbe, če je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3, po točki i) istega člena pa, če je potrebna iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti. Iz navedenih določb torej izhaja, da bi bilo posredovanje ZZZS številke zavarovancev dobavitelju medicinskega pripomočka lahko zakonito, če bi bilo to predvideno v evropski ali nacionalni zakonodaji. Glede na vaše pojasnilo, da bi ZZZS številke spremenili s pomočjo posebnega algoritma, IP pojasnjuje še, da zgolj anonimizirani podatki ne predstavljajo osebnih podatkov, ne pa tudi zgolj psevdonimizirani podatko. Le za resnično anonimizirane podatke se določbe Splošne uredbe ne uporabljajo. Anonimizacija pomeni, da je določen podatek nemogoče pripisati določljivemu ali določenemu posamezniku. Med anonimizacijske metode in tehnike kot rezultati sodijo npr. povprečja, agregati, trendi in druge statistične metode, ter metode, kot so dodajanje šumov, generalizacije ter združevanja podatkov v razrede in podobno. Zgolj psevdonimizacija, torej predrugačenje osebnih podatkov, pa ne pomeni, da so podatki anonimizirani. Osebne podatke, ki so bili psevdonimizirani in ki jih je mogoče z uporabo dodatnih informacij še vedno pripisati posamezniku, se torej še vedno obravnava kot osebne podatke (člen 4
(5)Splošne uredbe). IP vam priporoča tudi pregled mnenja Delovne skupine za varstvo podatkov iz člena 29 glede anonimizacijskih tehnik, kjer so opisana vsa tveganja v zvezi z določljivostjo posameznikov: https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_sl.pdf. IP v mnenju ne more dokončno presoditi, ali so v konkretnem primeru, ki ga opisujete, osebni podatki o ZZZS številki ustrezno anonimizirani, vendar pa se zdi, da gre zgolj za psevdonimizacijo in torej še vedno za osebne podatke zavarovancev. V takem primeru morate upoštevati določbe Splošne uredbe in dobavitelju posredovati osebne podatke le, če je za to podana ustrezna pravna podlaga, ki pa iz vaših navedb ni razvidna. Prav tako je treba vedno upoštevati načelo najmanjšega obsega podatkov, po katerem morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo (člen 5
(1)(
- c)člen Splošne uredbe). Ker se IP v mnenju ne more opredeliti do zakonitosti posredovanja osebnih podatkov v konkretnem primeru, vam predlagamo, da se za pojasnilo glede pravne podlage, namena obdelave in utemeljitev potrebnosti zahtevanih številk ZZZS zavarovancev obrnete neposredno na vašega dobavitelja. Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026