Preverjanje pogoja PCT + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.08.2021 Številka: 07121-1/2021/1415 Kategorije:Pravne podlage, Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki, Pravne podlage Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da gostincem in organizatorjem kulturnih dogodkov, ki so se obrnili na vas, ni povsem jasno, kako naj preverjajo izpolnjevanje pogoja PCT, ne da bi kršili varstvo osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Časovna analiza regulacije (preverjanja) izpolnjevanja pogoja PCT od vašega zaprosila za mnenje do danes kaže, da se podzakonski predpisi sprejemajo, spreminjajo in dopolnjujejo z veliko dinamiko, zaradi česar je zelo težko podati ažurno in relevantno mnenje, saj se v času pisanja pripravlja in nato sprejme že nov odlok. Tudi aplikacija, ki jo razvija NIJZ na podlagi najnovejšega odloka Vlade RS, je trenutno že tretja. IP nobene od teh ni prejel v predhodno posvetovanje, vendar kot smo že večkrat javno poudarili, bi moral NIJZ pri zasnovi aplikacije izdelati predhodno oceno učinkov v zvezi z varstvom osebnih podatkov, ustrezno nasloviti vsa tveganja in poskrbeti zlasti za to, da bo obdelava osebnih podatkov na podlagi te aplikacije potekala zakonito. Kot je znano, je Vlada RS v Uradnem listu RS št. 126/2021 z dne
- 2021 objavila Odlok o načinu ugotavljanja izpolnjevanja pogojev prebolevnosti, cepljenosti in testiranja v zvezi z nalezljivo boleznijo COVID-19 (v nadaljevanju Odlok). Vlada naj bi s sprejemom navedenega odloka zagotovila pravno podlago za delovanje aplikacije za preverjanje izpolnjevanja pogoja PCT. Informacijski pooblaščenec je v sporočilu za javnost z dne
- 2021 sporočil, da je se je ob sprejemu omenjenega odloka odločil, da inšpekcijski postopek, v okviru katerega preverja zakonitost obdelave osebnih podatkov v okviru izkazovanja in preverjanja pogojev PCT, prekine in na Ustavno sodišče RS poda predlog za presojo ustavnosti in zakonitosti odloka. Ustava RS namreč v
- členu določa, da obdelavo osebnih podatkov določa le zakon, preverjanje izpolnjevanja pogoja PCT pa je predpisano zgolj z vladnim odlokom. Ker pa vsaka obdelava podatkov pomeni poseg v z ustavo zagotovljeno človekovo pravico, v Sloveniji obdelav podatkov zaradi zagotavljanja pravne varnosti državljanov ni dopustno urejati z vladnimi odloki. Pri sprejemanju podzakonskih predpisov (omenjeni odlok temelji na
- členu Zakona o nalezljivih boleznih) namreč ni mogoče dosegati take stopnje demokratičnega procesa odločanja kot v Državnem zboru, saj odražajo le odločitev vsakokratne izvršilne veje oblasti. Posegi v pravico do zasebnosti pa morajo biti predpisani z zakonom, nujni v demokratični družbi in zasledovati legitimen cilj (gl.
- člen Evropske konvencije o varstvu človekovih pravic). Ureditev obdelave posebnih vrst osebnih podatkov, med drugim podatkov v zvezi z zdravjem, je v evropskem in slovenskem pravnem redu izjemno restriktivna, saj prvi odstavek
- člena Splošne uredbe določa celo, da je obdelava takšnih osebnih podatkov praviloma prepovedana. Šele drugi odstavek
- člena Splošne uredbe določa izjeme od načelne prepovedi, med drugim denimo, če je obdelava potrebna: iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki; iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti; za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ipd. Kot omenjeno Ustava RS določa, da lahko v Sloveniji obdelavo osebnih podatkov določa le zakon, torej je »pravo države članice« treba razumeti kot zakon in ne podzakonski akt. Ugotovitev ustavnosti odloka pa je v konkretnem primeru še toliko bolj pomembna, saj gre pri obdelavi podatkov v okviru ugotavljanja izpolnjevanja pogojev PCT za množično obdelavo in obdelavo podatkov v zvezi z zdravjem. Pri tem naj navedemo, da obstaja nedvomna pravna podlaga za uporabo EU COVID potrdil trenutno le za namene prehajanja meje. Uredba (EU) 2021/953 Evropskega parlamenta in Sveta z dne
- junija 2021 o digitalnem COVID potrdilu EU za olajšanje prostega gibanja med pandemijo COVID-19 namreč jasno določa, da morajo države članice, če tega želijo uporabljati tudi za druge namene, sprejeti ustrezno nacionalno pravno podlago, ki mora biti skladna s pravom EU o varstvu podatkov ter z načeli učinkovitosti, nujnosti in sorazmernosti ter mora vsebovati določbe, s katerimi jasno določa področje uporabe, obseg in namen obdelave, kdo lahko preverja potrdilo ter ustrezne zaščitne ukrepe za preprečevanje diskriminacije in zlorab. Za ugotovitev ustavnosti odloka bo torej treba počakati Ustavno sodišče, a sprejeti Odlok v tem trenutku velja, dokler o njem drugače ne odloči Ustavno sodišče. Dejstvo, da se je IP odločil prekiniti inšpekcijski postopek in podati zahtevo za oceno ustavnosti, ne vpliva na veljavnost Odloka, saj IP nima pristojnosti za razveljavljanje podzakonskih aktov. IP pa lahko v nadaljevanju le opozori na nekatere problematične dele Odloka, ki bodo povzročali še dodatne težave pri izvrševanju, a rešitev zanje bi morala ponuditi Vlada RS. Prvi odstavek
- člena Odloka določa kot edino ustrezno aplikacijo tisto, ki jo zagotavlja in z njo upravlja NIJZ. Druge aplikacije, ki bi jih razvili posamezniki ali organizacije zasebnega sektorja, so torej izključene. NIJZ je doslej izdal oziroma napovedal izdajo kar treh različic aplikacije, dve od tega pred sprejemom Odloka; kaj bo prinesel nadaljnji razvoj pa ni mogoče napovedati. V zvezi z naborom osebnih podatkov, ki naj bi se obdelovali, prvi odstavek
- člena Odloka določa, da aplikacija z odčitavanjem kode QR izpiše podatek o izpolnjevanju pogoja PCT tako, da iz podatka ni razvidno, katerega od pogojev PCT izpolnjuje oseba, za katero se preverja izpolnjevanje pogoja PCT, ter njeno osebno ime in letnico rojstva. Tudi NIJZ je za tretjo različico napovedal, da naj bi izpisala osebno ime in letnico rojstva (pri čemer naj bi bila druga različica »popolnoma anonimna«, kar pa ni bilo ne izvedljivo in ne smiselno, glede na pravno podlago za preverjanje osebne identitete z vpogledom v osebni dokument). Pri tem velja opozoriti, da torej Odlok in tretja različica aplikacije predvidevata izpis osebnega imena in letnice rojstva, ne pa tudi datuma rojstva (kot se nahaja na prvi strani osebne izkaznice) ali naslova prebivališča (kot se nahaja na drugi strani osebne izkaznice ter v potnem listu). Glede na to, da je IP že večkrat poudaril, da obstaja pravna podlaga za preverjanje istovetnosti z vpogledom v osebno izkaznico (četrti odstavek
- člena Zakona o osebni izkaznici (Uradni list RS, št. 35/11 in 41/21; v nadaljevanju ZOIzk-1)), se na tem mestu postavlja vprašanje, ali bodo poleg obdelave osebnih podatkov, ki jih predvideva Odlok (ime, priimek, leto rojstva in izpolnjevanje pogoja PCT), osebe, ki bodo pogoj PCT preverjale, vpogledale tudi v druge osebne podatke, torej najmanj še v celoten datum rojstva (ne samo letnico), fotografijo, spol in podpis osebe. Tudi sporni Odlok v tretjem odstavku
- člena določa, da oseba, za katero se preverja izpolnjevanje pogoja PCT, dokazuje svojo istovetnost z javno listino, s katero se dokazuje istovetnost oseb. Gre za kombinacijo pravnih podlag, zaradi česar je obdelava osebnih podatkov pri preverjanju izpolnjevanja pogoja PCT še toliko bolj široka in množična. Nadaljnji problem Odloka je, da povsem nepotrebno in zavajajoče uvede »privolitev v vpogled v svoje osebne podatke« v drugem odstavku
- člena, saj pri obveznem preverjanju izpolnjevanja pogoja PCT nikakor ne moremo govoriti o privolitvi, ki bi izpolnjevala vsaj osnovne pogoje za to, da bi sploh lahko govorili o privolitvi. Vsaka privolitev mora biti namreč prostovoljna izjava volje, prostovoljnost oziroma svobodnost izjavljene volje pa se presoja tudi po tem, ali lahko posameznik brez posledic takšno privolitev zavrne. V primeru spornega Odloka se zavrnitev privolitve konča z zavrnitvijo vstopa v prostore, za katere je obvezen pogoj PCT, oziroma zavrnitev nudenja ustrezne storitve. Na več področjih je namreč pogoj PCT obvezen za možnost koriščenja storitev in nakupa blaga. Glede vprašanja hrambe osebnih podatkov je jasno, da oseba, ki preverja izpolnjevanje pogoja PCT, ne sme hraniti nobenih osebnih podatkov, kar je navedeno tudi v drugem odstavku
- člena Odloka (»[a]plikacija ne sme omogočati hrambe ali druge obdelave osebnih podatkov iz prejšnjega odstavka in se ne sme povezovati z nobeno zbirko osebnih podatkov.«). Informacijski pooblaščenec je v pričujočem mnenju zapisal vse, kar je glede na okoliščine v tem trenutku lahko zapiše. IP namreč ne more podrobneje komentirati Odloka, za katerega verjamemo, da predstavlja neustrezno, nepopolno in protislovno podlago za obdelavo osebnih podatkov v zvezi z zdravjem. Nadaljnja vsebinska pojasnila lahko poda le Vlada RS, ki je sprejela Odlok, prav tako lahko le Vlada RS odgovori na dileme, ki se bodo pojavile glede veljavnosti in izvršljivosti odloka. Kot rečeno pa do odločitve Ustavnega sodišča sprejeti Odlok Vlade velja, saj ga IP nima pristojnosti razveljaviti. V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo. Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravila: mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026