Vpogled občine v CRP z namenom pošiljanja vabil - IPRS

Vpogled občine v CRP z namenom pošiljanja vabil + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 13.12.2021 Številka: 07120-1/2021/613 Kategorije: --> Kategorije: Občine, Pridobivanje OP iz zbirk Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem nas sprašujete, ali lahko kot občina na podlagi podatkov, ki bi jih pridobili iz CRP pošljete vabila na cepljenje občanom, starejšim od 50 let. Z Ministrstva za zdravje so vas povabili, da kot lokalne skupnosti aktivno pristopimo k obveščanju in nagovarjanju k cepljenju čim širše populacije, pri čemer so izpostavili populacijo starejših od 50 let. Tudi vaša občina bi v okviru cepilnega tedna želela nagovoriti starejšo populacijo in jih v ta namen spodbudila k cepljenju. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
3. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba),
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati. Obdelava osebnih podatkov je dopustna le, če zanjo obstaja ustrezna pravna podlaga. V
8. členu Splošne uredbe so tako določene pravne podlage, in sicer: posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov; obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe; obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca; obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe; obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu; obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok. Zakon o lokalni samoupravi (Uradni list RS, št. 94/07 – UPB, s sprem. in dop.; v nadaljnjem besedilu ZLS) glede obdelave osebnih podatkov ZLS v 21.a členu določa, da občina pridobiva in obdeluje podatke, ki jih potrebuje za opravljanje nalog iz svoje pristojnosti. V drugem odstavku navedenega člena so primeroma določeni osebni podatki, ki jih občina pridobiva in obdeluje, in sicer: Občina pridobiva in obdeluje o posameznikih naslednje osebne podatke: - enotno matično številko občana; - osebno ime; - naslov stalnega ali začasnega prebivališča; - datum in kraj rojstva oziroma datum smrti; - podatke o osebnih vozilih; - podatke o nepremičninah ter - druge osebne podatke v skladu z zakonom. Tretji odstavek 21.a člena ZLS pa določa, da lahko občina osebne podatke pridobi tudi od upravljavca centralnega registra prebivalstva, matičnega registra, zemljiškega katastra ali drugega upravljavca, če tako določa zakon. V kolikor štejemo pošiljanje vabil na cepljenje za opravljanje nalog iz pristojnosti občine, ima občina podlago za pridobivanje zgoraj navedenih podatkov (tudi naslova in datuma rojstva, iz katerega izhaja starost občana) iz CRP. Kot že sami navajate Zakon o zdravstveni dejavnosti (Uradni list RS, št. 23/05 – UPB; s sprem. in dop., v nadaljevanju ZZDej) v
9. členu določa, da mrežo javne zdravstvene službe na primarni ravni določa in zagotavlja občina oziroma mesto. Skladno s
10. členom ZZDej zdravstvena dejavnost na primarni ravni obsega osnovno zdravstveno dejavnost, ki pomeni tudi: spremljanje zdravstvenega stanja prebivalcev in predlaganje ukrepov za varovanje, krepitev in zboljšanje zdravja ter preprečevanje, odkrivanje, zdravljenje in rehabilitacijo bolnikov in poškodovancev; preventivno zdravstveno varstvo rizičnih skupin in drugih prebivalcev v skladu s programom preventivnega zdravstvenega varstva in z mednarodnimi konvencijami; zdravstveno vzgojo ter svetovanje za ohranitev in krepitev zdravja;… Preventivno delovanje in skrb za zdravje občanov je torej ena od nalog občine, zaradi katere ste se med drugim pridružili tudi projektu oziroma pobudi Ministrstva za zdravje z nazivom cepilni teden. Zaradi navedenega IP meni, da lahko na podlagi 21.a člena ZLS vpogledate v CRP in na podlagi tega pošljete vabilo občanom, starejšim od 50 let. To seveda velja le za natančno opisan namen, brez uparjanja teh podatkov z morebitnimi drugimi evidencami in registri, na primer s centralnim registrom podatkov o pacientih ipd. Vabimo vas tudi, da si ogledate Smernice IP o obdelavi osebnih podatkov iz centralnega registra prebivalstva, ki so dostopne na tej povezavi: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_CRP_web.pdf. Nadalje pa vas želimo opozoriti na pomembno obveznost, ki jo morate izpolniti ob obdelavi omenjenih osebnih podatkov iz CRP in pošiljanju vabil na cepljenje. Gre namreč za dolžnost informiranja posameznikov o obdelavi njihovih osebnih podatkov, torej obveznost zagotavljanja transparentne obdelave osebnih podatkov.
11. člen Splošne uredbe v prvem odstavku določa, da kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo, upravljavec posamezniku, na katerega se nanašajo osebni podatki, zagotovi naslednje informacije: identiteto in kontaktne podatke upravljavca in njegovega predstavnika, kadar ta obstaja; kontaktne podatke pooblaščene osebe za varstvo podatkov, kadar ta obstaja; namene, za katere se osebni podatki obdelujejo, kakor tudi pravno podlago za njihovo obdelavo; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnikov osebnih podatkov, kadar obstajajo; kadar je ustrezno, informacije o tem, da namerava upravljavec prenesti osebne podatke uporabniku v tretji državi ali mednarodni organizaciji, ter o obstoju ali neobstoju sklepa Komisije o ustreznosti ali v primeru prenosov iz člena 46 ali 47 ali drugega pododstavka člena 49