Skeniranje QR kod - IPRS

Skeniranje QR kod + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.11.2021 Številka: 07121-1/2021/2332 Kategorije: --> Kategorije: Moderne tehnologije, Zavarovanje osebnih podatkov, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju: IP) je dne 5.11.2021 prejel vaše elektronsko sporočilo, v katerem vas zanima na kakšen način je urejeno nadziranje skeniranih QR kod s strani uslužbencev v podjetjih (npr. bencinski servis). Uslužbenec namreč podatke pridobi s skeniranjem z zasebnim telefonom. Zanima vas, kako dolgo se podatki hranijo, kje se hranijo (npr. iphone in ostali nimajo strežnikov v Republiki Sloveniji) in če pride do zlorabe podatkov, ki jih je npr. na bencinskem servisu pridobil njihov zaposleni, je odgovornost na vaši strani ter, v kolikor pride do zlorabe vaših podatkov (kraje identitete), kdo nadzira hrambo podatkov? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s točko

1. b)tretjega odstavka 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 - v nadaljevanju ZVOP-1; v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZustS-A, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da lahko podaja le nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov presojati posameznih primerov obdelave osebnih podatkov. V zvezi z vašimi vprašanji vam želimo uvodoma pojasniti, da IP v zvezi z zakonitostjo obdelave osebnih podatkov s pomočjo aplikacije za preverjanje izpolnjevanja pogojev o prebolelosti, cepljenosti ali testiranju zoper bolezen COVID-19 (v nadaljevanju: aplikacija za preverjanje izpolnjevanja PCT pogojev) že vodi postopek inšpekcijskega nadzora št. 0610-198/2021, ki ga je uvedel zoper Nacionalni inštitut za javno zdravje. Inšpekcijski postopek vključuje vse vidike obdelave osebnih podatkov, ki jih navajate. Med tekom postopka pa se je pojavilo vprašanje ustavnosti in zakonitosti samega predpisa (tj. Odloka o načinu ugotavljanja izpolnjevanja pogojev prebolevnosti, cepljenosti in testiranja v zvezi z nalezljivo boleznijo COVID-19 (Uradni list RS, št. 126/21)), ki nalaga odgovornim osebam, da na vstopnih mestih preverjajo izpolnjevanje PCT pogojev (bodisi s pomočjo aplikacije bodisi z vpogledom v dokazilo), zato je IP vložil zahtevo za presojo ustavnosti in zakonitosti odloka, predmetni postopek inšpekcijskega nadzora pa do odločitve Ustavnega sodišča RS prekinil. Stališče IP je, da so predmetni odloki Vlade RS, ki nalagajo obveznost preverjanja izpolnjevanja PCT pogojev (ki pomeni obdelavo osebnih podatkov), neustavni in nezakoniti, saj bi smel takšno obdelavo v skladu z 38. členom Ustave RS določiti le zakonodajalec z zakonom. Kljub vloženi zahtevi za presojo ustavnosti in zakonitosti odlokov le ti do odločitve Ustavnega sodišča RS veljajo, ne glede na njihovo morebitno neustavnost oz. nezakonitost in so ga dolžni spoštovati vsi, na katere se odloki nanašajo. Glede na dejstvo, da je inšpekcijski postopek št. 0610-198/2021 do odločitve Ustavnega sodišča prekinjen in se bo nadaljeval šele po izdani odločitvi (postopek je torej še v teku) in v katerem bo IP ugotavljal vse okoliščine predmetne obdelave osebnih podatkov (vključno s tehničnimi vidiki hrambe in zavarovanja podatkov v aplikaciji oz. na mobilnem telefonu), vam v tem trenutku na vaša vprašanja žal še ne moremo odgovoriti, saj bi bili kakršnikoli zaključki oz. podajanje informacij preuranjeno in kot tako nestrokovno, posledično pa tudi zavajajoče. V upanju, da vam naš odgovor zadostuje, vas lepo pozdravljamo. Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026