Seznam delavcev za cepljenje - IPRS

(1)Splošne uredbe, za posebne vrste osebnih podatkov, ki so bolj občutljive narave in med katere sodijo podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen tudi eden izmed posebnih pogojev, ki so predpisani v členu 9

(2)Splošne uredbe. Skladno s členom 4

(15)Splošne uredbe pomeni pojem »podatki o zdravstvenem stanju« osebne podatke, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju. Po mnenju IP med tovrstne podatke spada tudi prijava interesa za cepljenje, saj posredno sporoča najmanj dejstvo, da posameznik še ni bil cepljen in da verjetno nima kontraindikacij za cepljenje. Upravljavec lahko torej podatke o tem, ali se določen delavec želi cepiti ali ne, zakonito obdeluje (zbira, ureja, hrani, razkriva, razširja ipd.) le, če ima za to ustrezno pravno podlago iz člena 6

(1)in 9

(2)Splošne uredbe. Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca. V konkretnem primeru bi lahko prišla v poštev: privolitev zaposlenih, ki jo dajo delodajalcu, po členu 6

(1)(a) v zvezi s členom 9

(2)(a) Splošne uredbe (načeloma gre za prostovoljno odločitev zaposlenega izven pravic in obveznosti iz delovnega razmerja, odklonitev privolitve pa ne sme imeti nobenih neposrednih ali posrednih posledic na pravice in obveznosti iz delovnega razmerja) ali člen 6

(1)(c) v zvezi s členom 9

(2)(h) Splošne uredbe, ki določa, da je obdelava osebnih podatkov zakonita, če je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka

1. Poimenski seznam je lahko namreč potreben zaradi priprav oziroma organizacije cepljenja, preverjanja upravičenosti do prioritetnega cepljenja, izvedbe cepljenja in podobno. Relevantno pravo države članice predstavlja vladna Nacionalna strategija cepljenja proti COVID-19 z dne
3. 2021, ki v
4. točki določa, da morajo cepilni centri obvezno voditi seznam posameznikov, predvidenih za cepljenje, na podlagi katerega izvajalec preko portala zVEM sporoča količino potrebnih odmerkov cepiva na NIJZ. Poleg tega je relevantno pravo tudi Zakon o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 – ZZUOOP, 175/20 – ZIUOPDVE in 203/20 – ZIUPOPDVE, v nadaljevanju ZZPPZ), ki izvajalcem omogoča, da vodijo tovrstne podatke o pacientih (npr. priloga zakona pod št. NIJZ 1) in da podatke o izvedenih cepljenjih obvezno poročajo v eRCO. Cepljenje je lahko le storitev za znanega pacienta in ne anonimna storitev. Če je cepljenje omejeno na prioritetne skupine (torej ga lahko prejmejo le osebe, ki izpolnjujejo določen pogoj) ali je zanj vzpostavljena čakalna doba in v drugih posebnih okoliščinah (npr. obvezna cepljenja, cepljenje na klic), je za izvajalca nujno, da še pred cepljenjem pridobi oziroma vzpostavi poimenski seznam oseb za cepljenje. Glede roka hrambe pa IP pojasnjuje, da lahko upravljavec skladno s členom 5

(1)(e) Splošne uredbe hrani podatke v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; osebni podatki se lahko hranijo za daljše obdobje, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89

(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Uvodna izjava 39 Splošne uredbe pojasnjuje še, da bi bilo treba zlasti zagotoviti, da je obdobje hrambe osebnih podatkov omejeno na najkrajše mogoče obdobje, za zagotovitev, da se osebni podatki hranijo le toliko časa, kolikor je potrebno, pa bi moral upravljavec določiti roke za izbris ali občasno preverjanje. Kakšen bi bil primeren rok hrambe v konkretnem primeru pod pogojem, da je podana pravna podlaga za hrambo, IP v okviru mnenja ne more presojati. Prav tako vam IP v mnenju ne more dokončno odgovoriti na vprašanje, komu znotraj upravljavca so lahko dostopni osebni podatki zaposlenih, povezani s cepljenjem. V zvezi s tem je treba upoštevati določbo še veljavnega drugega odstavka 25. člena ZVOP-1, skladno s katero je upravljavec osebnih podatkov dolžan v svojih internih aktih predpisati postopke in ukrepe za zavarovanje osebnih podatkov ter določiti osebe, ki so odgovorne za določene zbirke osebnih podatkov in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke. Bistveno je torej, da lahko znotraj upravljavca z osebnimi podatki zaposlenih praviloma razpolagajo le za to določene oziroma pooblaščene osebe v okviru svojih pristojnosti. IP ob tem še izpostavlja, da morajo biti zaposlenim že pri zbiranju osebnih podatkov na voljo ustrezne informacije o obdelavi njihovih osebnih podatkov, kot to določa člen 13 Splošne uredbe, na primer komu se podatki pošiljajo, za kakšen konkretni namen, na kateri podlagi, kakšen je rok hrambe seznama, kdo je upravljavec seznama, kakšne pravice ima posameznik v zvezi z njegovimi podatki ali je zagotovitev podatkov obvezna in podobno. Na pomembnost informacij pri zbiranju podatkov o interesu za cepljenje je IP že opozoril v sporočilu za javnost: https://www.ip-rs.si/novice/zaupanje-ljudi-v-cepljenje-je-odvisno-tudi-od-jasnih-in-nedvoumnih-informacij-o-poteku-prijav-na-cepljenje-ter-zakonitega-zbiranja-kakr%C5%A1nihkoli-podatkov. Predlagamo vam, da se za pojasnilo glede pravne podlage v konkretnem primeru obrnete neposredno na delodajalca. Če boste na podlagi obrazloženega in odgovora delodajalca menili, da slednji vaše podatke obdeluje nezakonito, lahko pri IP podate prijavo kršitve varstva osebnih podatkov. Priporočamo, da se prijava poda na obrazcu »Obrazec ZIN PRIJAVA«, ki je dostopen na povezavi https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. Prijavo se lahko pošlje po elektronski pošti na naslov gp.ip@ip-rs.si oziroma po navadni pošti na naslov Dunajska cesta 22, 1000 Ljubljana. Takšna prijava ima naravo pobude za uvedbo inšpekcijskega nadzora, IP pa inšpekcijski postopek uvede po uradni dolžnosti, in sicer v primeru, če iz prijave izhaja utemeljen sum kršitve določb Splošne uredbe oziroma drugih predpisov s področja varstva osebnih podatkov. Več o vložitvi prijave in inšpekcijskem nadzoru IP si lahko preberete na spletni strani: https://www.ip-rs.si/varstvo-osebnih-podatkov/. Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026