Vprašanja s področja varstva osebnih podatkov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.03.2022 Številka: 07120-1/2022/84 Kategorije: --> Kategorije: Anonimizacija/psevdonimizacija, Evidence dejavnosti obdelave Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede vprašanj s področja varstva osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma poudarja, da v okviru mnenja ne more presojati ustreznosti določene rešitve, niti ne more vnaprej potrjevati posameznih rešitev z vidika skladnosti z obstoječimi predpisi s področja varstva osebnih podatkov. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega postopka. Zakonitost obdelav osebnih podatkov pri delovanju konkretne rešitve se torej lahko ugotovi le v okviru konkretnega inšpekcijskega postopka. IP tako ne nudi storitve pregleda ali vnaprejšnje odobritve različnih storitev, aplikacij ali drugih sistemov, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi. IP namreč za to ni pristojen. IP tako v okviru mnenja ne more presojati ustreznosti rešitve, ki jo nameravate vzpostaviti, ter njene skladnosti s predpisi s področja varstva osebnih podatkov. Glede vašega prvega vprašanja IP splošno pojasnjuje, da Splošna uredba o varstvu podatkov v
- členu predpisuje vsebino evidence dejavnosti obdelave, ki se mora voditi v pisni (vključno z elektronsko) obliki ter mora biti dostopna nadzornemu organu na zahtevo. Evidenca dejavnosti obdelave vsebuje elemente iz prvega odstavka
- člena Splošne uredbe o varstvu podatkov: · naziv ali ime in kontaktne podatke upravljavca in, kadar obstajajo, skupnega upravljavca, predstavnika upravljavca in pooblaščene osebe za varstvo podatkov; · namene obdelave; · opis kategorij posameznikov, na katere se nanašajo osebni podatki, in vrst osebnih podatkov; · kategorije uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, vključno z uporabniki v tretjih državah ali mednarodnih organizacijah; · kadar je ustrezno, prenose osebnih podatkov v tretjo državo ali mednarodno organizacijo, vključno z navedbo te tretje države ali mednarodne organizacije, v primeru prenosov iz drugega pododstavka člena 49
(1)pa tudi dokumentacijo o ustreznih zaščitnih ukrepih; · kadar je mogoče. predvidene roke za izbris različnih vrst podatkov; · kadar je mogoče, splošni opis tehničnih in organizacijskih varnostnih ukrepov iz člena 32
(1). Obveznosti upravljavcev in obdelovalcev v zvezi z vodenjem evidenc dejavnosti obdelav, ki izhajajo iz Splošne uredbe o varstvu podatkov, je IP podrobno opisal na svoji spletni strani: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/evidenca-dejavnosti-obdelave/. IP nadalje pojasnjuje, da v skladu s
- točko
- člena Splošne uredbe o varstvu podatkov psevdonimizacija pomeni obdelavo osebnih podatkov na tak način, da osebnih podatkov brez dodatnih informacij ni več mogoče pripisati specifičnemu posamezniku, na katerega se nanašajo osebni podatki, če se take dodatne informacije hranijo ločeno ter zanje veljajo tehnični in organizacijski ukrepi za zagotavljanje, da se osebni podatki ne pripišejo določenemu ali določljivemu posamezniku. V skladu s Splošno uredbo o varstvu podatkov torej tudi obdelava psevdonimiziranih osebnih podatkov še vedno predstavlja obdelavo osebnih podatkov in je tako podvržena določbam Splošne uredbe o varstvu podatkov, med drugimi tudi določbam o evidenci dejavnosti obdelave in zagotavljanju varnosti obdelave. Glede vašega drugega vprašanja IP pojasnjuje, da najverjetneje ne gre primarno za vprašanje pravne podlage za obdelavo osebnih podatkov, ampak za vprašanje podaje vašega soglasja izvajalcem zdravstvene dejavnosti za uporabo profesionalne kartice v njihovem informacijskem sistemu za druge potrebe. Pravilnik o kartici zdravstvenega zavarovanja, profesionalni kartici in pooblastilih za branje in zapisovanje podatkov v zalednem sistemu (Uradni list RS, št. 12/17, 57/18, 43/19, 79/19, 179/20; v nadaljevanju: pravilnik) v petem odstavku
- člena jasno določa, da se kartica zdravstvenega zavarovanja in profesionalna kartica lahko s pisnim soglasjem ZZZS uporabljata v eZdravju in informacijskih sistemih izvajalcev zdravstvenih storitev za potrebe drugih storitev. Omenjena določba torej predvideva uporabo profesionalne kartice za potrebe drugih storitev ob podanem soglasju ZZZS, obenem pa ne določa kakih posebnih pogojev za njegovo podajo. Pravilnik torej daje podlago za podajo soglasja, ob tem pa IP predvideva, da najverjetneje podaja soglasja ne terja kakršnekoli dodatne obdelave osebnih podatkov o imetniku profesionalne kartice, ki jih ZZZS že ima na podlagi 79.b člena Zakona o zdravstvenem varstvu in zdravstvenem zavarovanju (ZZVZZ; Uradni list RS, št. 72/06 - UPB, s spremembami in dopolnitvami). Po mnenju IP bi tako verjetno bila možna tudi uporaba za namen podpisovanja dokumentov v informacijskem sistemu drugega izvajalca zdravstvenih dejavnosti, seveda pa je treba poskrbeti za kompatibilnost oziroma namestitev ustreznih komponent, ki bodo to podpisovanje omogočale, izvajalec zdravstvene dejavnosti pa je po Splošni uredbi o varstvu podatkov zavezan in odgovoren za zagotovitev ustreznih organizacijskih in tehničnih ukrepov, da pri uporabi profesionalne kartice v njegovem sistemu ne bi bila kršena zaupnost in celovitost podatkov, ki se na njej nahajajo. S spoštovanjem. Pripravil: Matej Sironič, Svetovalec pooblaščenca za varstvo osebnih podatkov Mojca Prelesnik, univ. dipl. prav., Informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026