Preverjanje PCT pogojev + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 02.02.2022 Številka: 07120-1/2022/26 Kategorije: --> Kategorije: Moderne tehnologije, Pogodbena obdelava podatkov Informacijski pooblaščenec (v nadaljevanju: IP) je dne 26.1.2022 prejel vaše elektronsko sporočilo, v katerem postavljate vprašanja glede preverjanja izpolnjevanja PCT pogojev s pomočjo mobilne aplikacije in s tem povezanimi vlogami upravljavcev in obdelovalcev. Pri tem navajate vsebino Splošnih pogojev uporabe mobilne aplikacije Preverjanje EU DCP (www.ezdrav.si/Terms_of_use_Privacy_policy_Preverjanje_EU_DCP_slv_2021-11-19.html), ki jo zagotavlja in daje v uporabo Nacionalni inštitut za javno zdravje (NIJZ) in ugotavljate, da NIJZ z nudenjem aplikacije določa namene in sredstva obdelave osebnih podatkov, torej je NIJZ v tem primeru upravljavec osebnih podatkov. Nadalje ugotavljate, da uporabniki z aplikacijo lahko preverijo potrdilo s skeniranjem pripadajoče QR-kode. Aplikacija preveri pristnost, celovitost, pretečenost in veljavnost potrdila, skladno s pravili, ki veljajo v Republiki Sloveniji. Torej uporabniki navedene aplikacije, ki to aplikacijo uporabljajo za namene preverjanja PCT pogojev, so vsi tako imenovani kontrolorji PCT pogojev v Sloveniji (študenti, varnostniki, prodajalci, …..). Uporabnik z aplikacijo lahko preveri potrdilo s skeniranjem pripadajoče QR-kode. Aplikacija preveri pristnost, celovitost, pretečenost in veljavnost potrdila, skladno s pravili, ki veljajo v Republiki Sloveniji. Če je skeniranje uspešno, aplikacija po obdelavi podatkov potrdila prikaže izid preverjanja veljavnosti potrdila (veljavno/neveljavno) ter osebno ime in letnico rojstva osebe, ki ji je bilo potrdilo izdano. Torej so uporabniki (kontrolorji PCT pogojev) obdelovalci osebnih podatkov, saj pri njihovem delu pride do obdelave osebnih podatkov državljanov R. Slovenije. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s točko
- b)tretjega odstavka 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 - v nadaljevanju ZVOP-1; v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZustS-A, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da lahko podaja le nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov presojati posameznih primerov obdelave osebnih podatkov. Vaše vprašanje se nanaša na določitev vlog (upravljavec in obdelovalec), ki jih imajo v zvezi z varstvom osebnih podatkov različni akterji (NIJZ, osebe, ki preverjajo izpolnjevanje PCT pogojev itd.), ki so vključeni v preverjanje izpolnjevanja PCT pogojev. Z določitvijo ustreznih vlog so povezane predvsem obveznosti, ki jih morajo izpolnjevati akterji v zvezi z varstvom osebnih podatkov. Splošna uredba v členu 4 podaja definicije posameznih vlog, in sicer: »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice; »obdelovalec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca; »uporabnik« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Vendar pa se javni orani, ki lahko prejmejo osebne podatke v okviru posamezne poizvedbe v skladu s pravom Unije ali pravom države članice, ne štejejo za uporabnike; obdelava teh podatkov s strani teh javnih organov poteka v skladu z veljavnimi pravili o varstvu podatkov glede na namene obdelave. Glede na opredelitve vlog kot so določene v členu 4 Splošne uredbe je pri obdelavi osebnih podatkov pri izkazovanju izpolnjevanja PCT pogojev NIJZ brez dvoma moč šteti za upravljavca osebnih podatkov tako v fazi obdelave osebnih podatkov, ki poteka v zalednem sistemu, na katerem sloni aplikacija za preverjanje PCT pogojev kot tudi v delu delovanja aplikacije, ki določa kateri podatki bodo po branju QR kode izpisani na zaslonu mobilne naprave. Od tehničnih nastavitev delovanja aplikacije je namreč odvisno, katere podatke bo aplikacija uporabniku prikazala ter, da bodo ti podatki točni in verodostojni – namen uporabe aplikacije je v preverjanju veljavnosti digitalnega EU COVID potrdila. Da je NIJZ moč šteti za upravljavca izhaja tudi iz prvega odstavka 2. člena Odloka o načinu ugotavljanja izpolnjevanja pogojev PCT, ki kot edino možno aplikacijo za preverjanje izpolnjevanja PCT pogojev določa aplikacijo »ki jo zagotavlja in z njo upravlja Nacionalni inštitut za javno zdravje« - NIJZ je torej kot upravljavec določen z nacionalnim pravom (odlokom). Po mnenju IP pa se vloga NIJZ kot upravljavca konča v trenutku, ko aplikacija prikaže osebne podatke uporabniku. V tem trenutku uporabnik (oseba, ki preverja izpolnjevanje PCT pogojev) postane »uporabnik« v smislu določb Splošne uredbe – »fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne« in hkrati »upravljavec« osebnih podatkov o imenu, priimku, letnici rojstva in veljavnosti digitalnega EU COVID potrdila, pri čemer so namen in sredstva obdelave določena tako z Odlokom o načinu ugotavljanja izpolnjevanja pogojev prebolevnosti, cepljenosti in testiranja v zvezi z nalezljivo boleznijo COVID-19 kot tudi z Odlokom o začasnih ukrepih za preprečevanje in obvladovanje okužb z nalezljivo boleznijo COVID-19. Namen, za katerega t.i. kontrolorji obdelujejo podatke o izpolnjevanju PCT pogojev posameznikov, je omejevanje dostopa do storitev posameznikom, ki ne izpolnjujejo pogojev PCT v okviru širšega namena preprečevanja širjenja bolezni, podatke pa lahko preverijo bodisi z aplikacijo bodisi z vpogledom v eno izmed dokazil brez uporabe aplikacije. V tem oziru so samostojni pri izbiri sredstev obdelave, tj. odločitvi ali bodo uporabili aplikacijo za preverjane izpolnjevanja PCT pogojev ali ne. Oseb, ki preverjajo izpolnjevanje PCT pogojev z aplikacijo pa ni moč šteti kot obdelovalcev osebnih podatkov, saj podatkov ne obdelujejo »v imenu« NIJZ, temveč v svojem imenu, za svoj namen in s sredstvi, ki jih sami določijo. Kot obdelovalca osebnih podatkov se namreč ne šteje »oseba, ki obdeluje osebne podatke« (to je posledica izpeljave besede »obdelovalec« iz besede »obdelava«), temveč »oseba, ki osebne podatke obdeluje v imenu upravljavca«, tj. v skladu z natančnimi navodili upravljavca, kako naj obdelovalec obdeluje osebne podatke, katere osebne podatke sme obdelovati, kako jih mora varovati itd. Obdelovalca osebnih podatkov običajno poimenujemo tudi »podaljšana roka upravljavca«. Glede na vse zgoraj navedeno NIJZ ni moč šteti kot upravljavca, ki bi osebam, ki preverjajo PCT pogoje dal natančna navodila na nakakšne način smejo obdelovati osebne podatke, saj je to določeno v samem odloku. NIJZ zgolj skrbi za izdajo aplikacije za preverjanje PCT pogojev in njeno delovanje, da je skladno z evropskimi in nacionalnimi predpisi. IP v kontekstu vaših razmišljanj dodaja le še to, da v zvezi z vlogo NIJZ glede obdelave osebnih podatkov v okviru aplikacije za preverjanje izpolnjevanja PCT pogojev vodi tudi inšpekcijski postopek, ki ga je dne 17.8.2021 prekinil iz razloga vložitve zahteve za presojo ustavnosti in zakonitosti odlokov, ki določajo preverjanje PCT pogojev. Inšpekcijski postopek se bo nadaljeval po odločitvi Ustavnega sodišča. V upanju, da vam naš odgovor zadostuje, vas lepo pozdravljamo. Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka Pripravila: mag. Polona Štrekelj, univ. dipl. prav. državna nadzornica za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026