Status ZZZS in upravičenosti do nadaljnje obdelave osebnih podatkov za interne razvojno - raziskovalne namene + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 11.08.2021 Številka: 07120-1/2021/397 Kategorije:Posebne vrste, Posredovanje OP med upravljavci, Statistika in raziskovanje , Zbirke osebnih podatkov, Zdravstveni osebni podatki --> Kategorije: Posebne vrste, Posredovanje OP med upravljavci, Statistika in raziskovanje, Zbirke osebnih podatkov, Zdravstveni osebni podatki, Anonimizacija/psevdonimizacija Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Opisujete naslednji primer: Podatke o zdravilih, izdanih na recept, skladno z Zakonom o zbirkah podatkov s področja zdravstvenega varstva lekarne pošiljajo ZZZS, ki te podatke nadalje obdeluje v svojem informacijskem sistemu z namenom izvajanja obveznega zdravstvenega zavarovanja v skladu z Zakonom o zdravstvenem varstvu in zdravstvenem zavarovanju in ki te podatke tudi pošilja Nacionalnemu inštitutu za javno zdravje (NIJZ), ki je upravljavec zbirke teh podatkov, določen v prilogi Zakona v zbirkah s področja zdravstvenega varstva (zbirka NIJZ 64 - Evidenca porabe zdravil izdanih na recept). Zanima vas, kakšen status glede na Splošno uredbo o varstvu podatkov (upravljavec, uporabnik ...) ima ZZZS v primeru teh podatkov ter ali lahko ZZZS te podatke nadalje obdeluje za interne razvojno - raziskovalne z namenom oziroma v okviru izvajanja obveznega zdravstvenega zavarovanja. Sprašujete še, kako je s statusom v primerih osebnih podatkov, ki jih določena inštitucija "zbira" (na zakonski osnovi) in jih potem (na zakonski osnovi) posreduje z zakonom določenemu upravljavcu, sama pa nekaterih podatkov (ki jih zbira na z zakonom določenem zbirnem obrazcu) neposredno ne "potrebuje" za izvajanje svojih z zakonom določenih pooblastil (npr. podatek o izobrazbi osebe), bi pa tovrstne podatke vseeno bilo smiselno (potrebno) nadalje obdelovati z namenom internih razvojno - raziskovalnih aktivnosti te inštitucije. Prav tako vas zanima, ali lahko osebne podatke (posebne vrste), katerih upravljavec (določen v prilogi Zakona o zbirkah s področja zdravstvenega varstva) ni ZZZS (npr. naveden primer podatkov o izdanih zdravilih) v popolnoma anonimizirani obliki posredujete zunanjim prosilcem (npr. fakultetam), ki bi te podatke želeli za znanstveno - raziskovalne namene ter ali sme tovrstno posredovanje (in predhodno pripravo anonimiziranih podatkov) izvesti samo z zakonom določen upravljavec teh podatkov (torej v gornjem konkretnem primeru samo NIJZ) oziroma se sme tovrstno posredovanje izvesti samo ob pisni odobritvi upravljavca. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP najprej pojasnjuje pomen osnovnih pojmov. Upravljavec pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice (člen 4
(7)Splošne uredbe). Dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, so skupni upravljavci (člen 26 Splošne uredbe). Vloga upravljavca je opredeljena bodisi z zakonom bodisi izhaja iz analize dejanskih elementov ali okoliščin primera. Že zakonodaja lahko torej neposredno določi enega ali več upravljavcev, lahko pa zgolj posredno predpiše nalogo organa, za katero je potrebna obdelava določenih osebnih podatkov, oziroma posameznemu subjektu naloži dolžnost zbiranja, hrambe ali posredovanja določenih osebnih podatkov. Te subjekte se običajno obravnava kot upravljavce glede obdelave, ki je potrebna za izvajanje teh obveznosti. Pojem obdelovalec pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca (člen 4
(8)Splošne uredbe). Obdelovalci so torej tisti subjekti, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke. Osebnih podatkov obdelovalec tako ne sme obdelovati za svoje namene, kar pomeni, da tudi za znanstveno-raziskovalne namene ne. Uporabnik pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Vendar pa se javni organi, ki lahko prejmejo osebne podatke v okviru posamezne poizvedbe v skladu s pravom Unije ali pravom države članice, ne štejejo za uporabnike; obdelava teh podatkov s strani teh javnih organov poteka v skladu z veljavnimi pravili o varstvu podatkov glede na namene obdelave (člen 4
(9)Splošne uredbe). V nasprotju s pojmi upravljavca in obdelovalca Splošna uredba ne določa posebnih obveznosti ali odgovornosti za uporabnike. Gre za relativen pojem v smislu, da opisuje odnos do upravljavca ali obdelovalca iz posebne perspektive, tj. glede na razkritje podatkov. Opredelitev uporabnika tako zajema vsakogar, ki prejme osebne podatke, ne glede na to, ali je tretja oseba ali ne. Če torej upravljavec posreduje osebne podatke drugemu subjektu, bodisi obdelovalcu ali tretji osebi, ta šteje za uporabnika. Uporabnik pa nastopa v vlogi samostojnega upravljavca katerekoli obdelave, ki jo po prejemu podatkov izvede za lastne namene. IP poudarja, da mora imeti za zakonito obdelavo osebnih podatkov, torej med drugim tudi za njihovo zbiranje, shranjevanje, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, vsak upravljavec ustrezno pravno podlago. Te so določene v členu 6
(1)Splošne uredbe, za posebne vrste osebnih podatkov pa mora biti obenem izpolnjen še eden izmed posebnih pogojev, ki so določeni v členu 9
(2)Splošne uredbe. Upravljavci si med seboj torej ne smejo izmenjavati osebnih podatkov brez pravne podlage; vsak lahko namreč zbira, posreduje ali drugače obdeluje le tiste podatke, za katere je podana ustrezna pravna podlaga. Zakon o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 – ZZUOOP, 175/20 – ZIUOPDVE, 203/20 – ZIUPOPDVE in 112/21 – ZNUPZ; v nadaljevanju ZZPPZ) v Prilogi 1 določa vrste in vsebino posameznih zbirk podatkov s področja zdravstvenega varstva, njihov namen, obdobna poročila, kdo mora posredovati podatke in kdaj, upravljavca zbirke, način dajanja podatkov in čas hranjenja podatkov (
- člen ZZPPZ). Glede zbirke zap. št. NIJZ 64, to je Evidence porabe zdravil, izdanih na recept, je določeno, da naštete podatke o izdanih zdravilih, predpisanih na recept, pošiljajo lekarne in lekarniške podružnice do
- v tekočem mesecu za pretekli mesec na ZZZS, ZZZS pa na NIJZ za tromesečje do 20.4.,
- 7.,
- in 20.
- Iz teh zakonskih določb ter razpoložljivih informacij ni povsem jasno razvidno, v kakšni vlogi nastopa ZZZS, prav tako IP v okviru mnenja ter izven postopka inšpekcijskega nadzora tega ne more dokončno presoditi. Odgovornost za to presojo je na vas. IP pa izpostavlja, da lahko isti subjekt nastopa hkrati kot samostojni upravljavec glede določenih dejavnosti obdelave ter kot skupni upravljavec ali obdelovalec za druge. ZZPPZ v Prilogi 1 sicer izrecno določa, da je upravljavec zbirke zap. št. NIJZ 64, to je Evidence porabe zdravil izdanih na recept, NIJZ. To pa še ne pomeni, da ZZZS ni upravljavec tistih podatkov, ki jih zbira na ustrezni zakonski podlagi in obdeluje za lastne namene. Prav tako IP pojasnjuje, da je ZZZS glede na opredelitev iz člena 4
(9)Splošne uredbe najverjetneje uporabnik tistih podatkov, ki so mu razkriti, kar pa še nič ne pove o tem, ali nastopa tudi v vlogi upravljavca. Za lažje razumevanje pojmov upravljavca in obdelovalca vam priporočamo, da si preberete tudi mnenje, ki ga je izdal Evropski odbor za varstvo podatkov (zaenkrat le v angleščini): https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_en. Glede obdelave v znanstveno-raziskovalne namene pa IP pojasnjuje, da Splošna uredba natančno ne določa, kaj se šteje za takšne namene. V uvodni izjavi 159 Splošne uredbe pa je zapisano, da bi bilo treba obdelavo osebnih podatkov v znanstveno-raziskovalne namene razlagati široko, tako da vključuje tudi na primer tehnološki razvoj, predstavitvene dejavnosti, temeljne raziskave, uporabne raziskave in zasebno financirane raziskave ter upoštevati cilje Unije glede oblikovanja evropskega raziskovalnega prostora. Po 5. členu Zakona o raziskovalni in razvojni dejavnosti (Uradni list RS, št. 22/06 – uradno prečiščeno besedilo, 61/06 – ZDru-1, 112/07, 9/11, 57/12 – ZPOP-1A, 21/18 – ZNOrg in 9/19) obsegata raziskovalna in razvojna dejavnost temeljno in uporabno raziskovanje ter predkonkurenčne raziskave, industrijske raziskave in prenos znanja. Navedeno je treba upoštevati pri presoji, ali bi šlo v konkretnem primeru za obdelavo v znanstveno-raziskovalne namene. Obdelava v znanstveno-raziskovalne namene ima v Splošni uredbi poseben režim in pogosto predstavlja primer nadaljnje obdelave osebnih podatkov, ki po namenu ni enaka prvotni obdelavi. Skladno s členom 5
(1)(b) Splošne uredbe, ki ureja načelo omejitve namena, morajo biti vsi osebni podatki zbrani za določene, izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni; nadaljnja obdelava v namene arhiviranja v javnem interesu, v znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89
(1)pa ne velja za nezdružljivo s prvotnimi nameni. Domneva združljivosti torej velja pod pogojem, da se pri takšni nadaljnji obdelavi upoštevajo ustrezni zaščitni ukrepi za pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, kot jih zahteva člen 89
(1)Splošne uredbe (npr. psevdonimizacija). Upravljavčeva pravna podlaga je v primeru podane domneve združljivosti namena lahko načeloma enaka tisti, na podlagi katere so bili osebni podatki zbrani (tako uvodna izjava 50 Splošne uredbe). Ob tem IP izpostavlja, da Evropski odbor za varstvo podatkov trenutno pripravlja smernice za obdelavo osebnih podatkov za namene znanstvenih raziskav, ki bodo podrobneje naslovile vprašanja s tega področja. Prvi odstavek še veljavnega
- člena ZVOP-1 sicer določa podobno, to je, da se ne glede na prvotni namen zbiranja lahko osebni podatki nadalje obdelujejo za zgodovinsko, statistično in znanstveno-raziskovalne namene. Praviloma pa se rezultati raziskave posredujejo uporabniku in objavijo v anonimizirani obliki, razen če zakon določa drugače ali če je posameznik, na katerega se nanašajo osebni podatki, za obdelavo brez anonimiziranja oziroma za objavo v neanonimizirani obliki podal pisno privolitev ali če je za objavo podano pisno soglasje dedičev umrle osebe po tem zakonu (drugi in četrti odstavek
- člena ZVOP-1). Ker tudi anonimizacija podatkov pomeni obdelavo osebnih podatkov, mora biti opravljena skladno z določbami Splošne uredbe. Izvrši jo lahko upravljavec podatkov oziroma obdelovalec v njegovem imenu. Ker pa je anonimiziran podatek nemogoče pripisati določljivemu ali določenemu posamezniku, tak podatek ne šteje več za osebni podatek ter posledično ne spada v področje uporabe Splošne uredbe. Zato IP ne vidi ovire, da anonimizirate podatke, katerih upravljavec ste (oziroma v imenu ter v okviru navodil upravljavca), in nato resnično anonimizirane podatke posredujete zunanjim prosilcem. Vendar pa IP opozarja, da pri tem ne sme iti zgolj za psevdonimizirane podatke. Psevdonimizacija namreč pomeni obdelavo osebnih podatkov na tak način, da osebnih podatkov brez dodatnih informacij ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku (člen 4
(5)Splošne uredbe). Takšni podatki pa niso »razosebljeni« in jih je še vedno mogoče pripisati določljivemu posamezniku, zato veljajo za osebne podatke in so podvrženi določbam Splošne uredbe. Kot že pojasnjeno, pa mora imeti upravljavec za vsako obdelavo, tudi za posredovanje osebnih podatkov, ustrezno pravno podlago. Izven inšpekcijskega postopka vam IP konkretnejših odgovorov ne more podati. Presoja zakonitosti posameznih obdelav oziroma spoštovanje izvajanja zakonodaje s področja varstva osebnih podatkov se namreč opravlja v postopku inšpekcijskega nadzora, v katerem so zagotovljene tudi vse varovalke in procesne pravice udeležencem postopka. Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026