Uporaba oblačnih rešitev za hrambo zdravstvenih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.06.2021 Številka: 07121-1/2021/1099 Kategorije:Moderne tehnologije, Pogodbena obdelava podatkov, Posebne vrste, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Zavarovanje osebnih podatkov, Zdravstveni osebni podatki --> Kategorije: Moderne tehnologije, Posebne vrste, Zavarovanje osebnih podatkov, Zdravstveni osebni podatki, Pogodbena obdelava podatkov, Prenos osebnih podatkov v tretje države ali mednarodne organizacije Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje in sicer ste pojasnili, da za zobozdravstveno ordinacijo urejate IT zadeve in imate vprašanje glede selitve podatkov v oblak in sicer, ali je skladno z GDPR uporaba storitve Microsoft One Drive? Zaradi varnosti pred izgubo podatkov bi le te preselili v One Drive. Gre se predvsem za rentgenske slike pacientov, ki so občutljivi osebni podatki. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Informacijski pooblaščenec (v nadaljevanju IP) uvodoma pojasnjuje, da v okviru podaje nezavezujočih mnenj ne more ocenjevati ali presojati zakonitosti posredovanja osebnih podatkov, do katerega pride v primeru uporabe specifične programske opreme, storitve ali aplikacije, temveč bi to lahko preveril lahko le v okviru uradnega inšpekcijskega postopka, kjer si bi se pridobilo podrobne informacije o obsegu in načinu delovanja zadevne rešitve, pravnih podlagah za obdelavo osebnih podatkov pri njenem delovanju, predvidenih tehničnih in organizacijskih ukrepih za varnost podatkov in upoštevanju drugih temeljnih načel varstva osebnih podatkov ter dolžnosti upravljavca osebnih podatkov. V okviru mnenja vas lahko opozorimo na to, na katere elemente zakonodaje morate biti pozorni pri odločanju o selitvi osebnih podatkov v oblak ter napotimo na gradiva, ki so vam lahko pri tem v pomoč. Glede uporabe rešitev računalništva v oblaku smo izdali Smernice za varstvu osebnih podatkov in računalništvo v oblaku, ki so na voljo na povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_Varstvo_osebnih_podatkov_in_racunalnistvo_v_oblaku_2016.pdf Kot opozarjamo v smernicah so ključna področja, na katera morate biti pazljivi pri uporabe storitev računalništva v oblaku: pogodbena obdelava osebnih podatkov, zavarovanje osebnih podatkov in prenos osebnih podatkov v tretje države. IP je glede vseh teh tem izdal ločene smernice, ki so vam lahko v pomoč, dostopne so na spletni strani: https://www.ip-rs.si/publikacije/prirocniki-in-smernice/ Priporočamo vam tudi infografiko IP o prenosu podatkov v tretje države: https://www.ip-rs.si/fileadmin/user_upload/png/infografike/Prenos_osebnih_podatkov_po_Uredbi_v_dveh_korakih-1.png Posebej želimo še opozoriti na odločitev Sodišča Evropske unije (SEU) v primeru Schrems II (DPC Ireland v. Facebook Ireland and Schrems) iz leta 2020, s katero je SEU razglasilo za neveljavno odločbo Evropske komisije 2016/1250 o ustrezni ravni varstva osebnih podatkov v okviru EU-ZDA dogovora o zasebnostnem ščitu. SEU je hkrati potrdilo veljavnost standardnih pogodbenih klavzul, ki se še vedno lahko uporabljajo za prenose podatkov v tretje države, ki ne zagotavljajo ustreznega varstva osebnih podatkov. Organizacije lahko prenašajo osebne podatke iz EU v tretje države, tudi v ZDA, na različnih podlagah. Bodisi država zagotavlja ustrezno raven varstva osebnih podatkov in je to ugotovila Evropska komisija s svojim sklepom – to je bila situacija v primeru »zasebnostnega ščita«, za katerega je Evropske komisija ugotovila, da nudi ustrezno varstvo podatkov. Lahko pa se podatki prenašajo tudi v okviru drugih mehanizmov po členu 46 Splošne uredbe o varstvu podatkov, predvsem na podlagi standardnih pogodbenih klavzul (tipske pogodbe, ki jih je prav tako sprejela Evropska komisija) in zavezujočih poslovnih pravil (ki jih sprejme organizacija in potrdijo nadzorni organi v EU) iz člena 47 ali pa v primeru izjem iz člena 49 Splošne uredbe o varstvu podatkov, pri prenosih, ki niso množični ali ponavljajoči, npr. na podlagi privolitve posameznika. Sodišče EU je razveljavilo t. i. zasebnostni ščit, organizacijam pa ostanejo na voljo drugi našteti mehanizmi za prenose podatkov, za katere morajo čim prej poskrbeti. Iznosi osebnih podatkov so še vedno mogoči pod pogojem, da upravljavec osebnih podatkov sam zagotovi ustrezne zaščitne ukrepe, ki zagotavljajo varovanje zasebnosti ter temeljnih pravic in svoboščin posameznikov. Evropska podjetja, ki iznašajo osebne podatke, se morajo zavedati, da sama nosijo odgovornost za oceno zakonitosti iznosa in nadaljnje obdelave ter da morajo poskrbeti, da so pri vsakokratnem iznosu osebnih podatkov zajeta in spoštovana vsa načela evropskega varstva osebnih podatkov. Organizacije, ki iznašajo podatke v ZDA in so se do sedaj zanašale na to, da gre pri prejemniku za podjetje, ki ga je mogoče najti na t. i. seznamu Privacy Shield, morajo čim prej poskrbeti za to, da prenose utemeljijo na drugi podlagi (npr. standardne pogodbene klavzule, zavezujoča poslovna pravila, izjeme). V nasprotnem primeru se podatki v ZDA ne smejo prenašati. V zelo podobni situaciji leta 2015, ko je bil s strani Sodišča Evropske unije razveljavljen predhodnik zasebnostnega ščita, t.j. dogovor varnega pristana, so organizacije prenose podatkov v ZDA pogosto utemeljile na standardnih pogodbenih klavzulah, ki so jih sklenile s partnerskimi organizacijami. Sodišče EU je svojo argumentacijo za razveljavitev zasebnostnega ščita utemeljilo na ugotovitvi, da varstvo osebnih podatkov, kot ga zagotavlja zakonodaja v ZDA ni na ekvivalentni ravni kot v EU. Predvsem je opozorilo na premalo omejena pooblastila ameriških organov za dostope do prenesenih podatkov in na neučinkovito varstvo preko Ombudsmana, ki naj bi v ZDA zagotavljal izvajanje pravic posameznikov. V tem kontekstu naj bi drugi mehanizmi za prenos podatkov, ki jih bodo morale uporabiti organizacije iz EU, npr. standardne pogodbene klavzule ali zavezujoča poslovna pravila, zagotavljali višjo raven varstva pravic posameznikov. Odločba SEU je dostopna na: http://curia.europa.eu/juris/document/document.jsf;jsessionid=93A4164B11548C6349307CAAFB9860AC?text=&docid=228677&pageIndex=0&doclang=sl&mode=lst&dir=&occ=first&part=1&cid=9823840 Pojasnjujemo še, da je Evropska komisija je sprejela nove standardne pogodbene klavzule, ki služijo kot podlaga za prenos osebnih podatkov v tretje države (države, ki niso članice EU oz. nimajo sklepa EK o ustreznosti). Standardne pogodbene klavzule so bile objavljene v Uradnem listu EU in začnejo veljati
- Več informacij najdete na spletni strani Evropske komisije: https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc/standard-contractual-clauses-international-transfers_en Glede na vse navedeno je treba biti pri uporabi storitev računalništva v oblaku, zlasti ko gre za ponudnike rešitev iz tretjih držav in ko gre za obdelavo posebnih vrst osebnih podatkov, kot so zdravstveni podatki, zelo pozoren, po drugi strani pa se lahko obrnete tudi na ponudnika storitev, da sam pojasni, kako zagotavlja skladnost svojih rešitev z evropsko zakonodajo o varstvo osebnih podatkov. S spoštovanjem, Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka Pripravil: mag. Andrej Tomšič, namestnik informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026