Zakonitost obdelave + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023

prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.11.2021 Številka: 07120-1/2021/2335 Kategorije: --> Kategorije: Moderne tehnologije, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju: IP) je dne 7.11.2021 prejel vaše elektronsko sporočilo, v katerem navajate, da posodobljena aplikacija skupaj s QR kodo pokaže še ime, priimek, datum rojstva in vrsto potrdila - v vašem primeru prebolelost. Kot dokaz ste priložili posnetek zaslona. Zanima vas, ali je v skladu z zakonom, da morate te informacije vsakodnevno deliti z osebjem trgovin, ustanov itd.? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s točko

1. b)tretjega odstavka 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 - v nadaljevanju ZVOP-1; v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZustS-A, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. IP uvodoma pojasnjuje, da lahko podaja le nezavezujoča mnenja in pojasnila, ne more pa izven konkretnih inšpekcijskih postopkov presojati posameznih primerov obdelave osebnih podatkov. V povezavi z vašim vprašanjem vam želimo uvodoma pojasniti, da IP v zvezi z zakonitostjo obdelave osebnih podatkov s pomočjo aplikacije za preverjanje izpolnjevanja pogojev o prebolelosti, cepljenosti ali testiranju zoper bolezen COVID-19 (v nadaljevanju: aplikacija za preverjanje izpolnjevanja PCT pogojev) že vodi postopek inšpekcijskega nadzora št. 0610-198/2021, ki ga je uvedel zoper Nacionalni inštitut za javno zdravje. Med tekom postopka pa se je pojavilo vprašanje ustavnosti in zakonitosti samega predpisa (tj. Odloka o načinu ugotavljanja izpolnjevanja pogojev prebolevnosti, cepljenosti in testiranja v zvezi z nalezljivo boleznijo COVID-19 (Uradni list RS, št. 126/21)), ki nalaga odgovornim osebam, da na vstopnih mestih preverjajo izpolnjevanje PCT pogojev (bodisi s pomočjo aplikacije bodisi z vpogledom v dokazilo), zato je IP vložil zahtevo za presojo ustavnosti in zakonitosti odloka, predmetni postopek inšpekcijskega nadzora pa do odločitve Ustavnega sodišča RS prekinil. Stališče IP je, da so predmetni odloki Vlade RS, ki nalagajo obveznost preverjanja izpolnjevanja PCT pogojev (ki pomeni obdelavo osebnih podatkov), neustavni in nezakoniti, saj bi smel takšno obdelavo v skladu z 38. členom Ustave RS določiti le zakonodajalec z zakonom. Kljub vloženi zahtevi za presojo ustavnosti in zakonitosti odlokov le ti do odločitve Ustavnega sodišča RS veljajo, ne glede na njihovo morebitno neustavnost oz. nezakonitost in so ga dolžni spoštovati vsi, na katere se odloki nanašajo. Predmetni inšpekcijski postopek se torej nanaša na preverjanje zakonitosti obdelave osebnih podatkov s pomočjo aplikacije za preverjanje izpolnjevanja pogojev in ne na zakonitost obdelave osebnih podatkov v okviru aplikacije zVem (in na katero je vezano vaše vprašanje). Aplikacija zVem je namenjena hitremu in preprostemu dostopu do izvidov, receptov in drugih dokumentov znotraj sistema eZdravje in omogoča tudi izdajo in shranjevanje digitalnega COVID potrdila EU. V okviru preverjanja izpolnjevanja PCT pogojev na podlagi (ustavno spornega) Odloka o načinu ugotavljanja izpolnjevanja pogojev prebolevnosti, cepljenosti in testiranja v zvezi z nalezljivo boleznijo COVID-19 posamezniki digitalno COVID potrdilo EU lahko predložijo bodisi v digitalni bodisi v papirnati obliki. Če ga predložijo v digitalni obliki, je predpogoj, da si ga predhodno naložijo v svojo mobilno napravo s pomočjo aplikacije zVEM. Razlikovanje med digitalno ali papirnato obliko digitalnega COVID potrdila EU ni bistveno, bistveno je namreč dejstvo, da se na obeh oblikah potrdil nahaja QR koda ali črtna koda[1], ki pomeni metodo shranjevanja in predstavitve podatkov v vizualni, strojno berljivi obliki, ki temelji na infrastrukturi javnih ključev ter omogoča zanesljivo in varno izdajanje in preverjanje verodostojnosti, veljavnosti in celovitosti digitalnih COVID potrdil EU (za razliko od drugih dokazil, ki so sicer prav tako določeni kot veljavno dokazilo o izpolnjevanju PCT pogojev). Sama vsebina digitalnih in papirnatih COVID potrdil EU (torej, kateri podatki se nahajajo na potrdilu) pa je enotna v vseh državah članicah EU in je določena z Uredbo (EU) 2021/953 in v primeru prebolelosti določa, da so osebni podatki, ki se nahajajo na potrdilu naslednji: priimek, ime, datum rojstva, ciljna bolezen ali povzročitelj (COVID-19), izdajatelja potrdila in edinstveno oznako potrdila, datum prvega pozitivnega rezultata testa NAAT, ki ga je opravil imetnik, državi članici ali tretji državi, v kateri je bil opravljen test, veljavnosti potrdila od in veljavnost potrdila do (največ 180 dni po datumu prvega pozitivnega rezultata NAAT testa). Če povzamemo, z vidika zakonitosti obdelave osebnih podatkov v okviru preverjanja izpolnjevanja PCT pogojev ni sporno kateri osebni podatki se nahajajo na samem potrdilu temveč, ali je obdelava osebnih podatkov, ki se nahajajo na potrdilu, zakonita v naslednji fazi, tj. v fazi preverjanja teh podatkov. Kot že navedeno, je stališče IP, da obdelava v fazi preverjanja izpolnjevanja PCT pogojev ni zakonita, saj so predmetni odloki Vlade RS, ki nalagajo obveznost preverjanja izpolnjevanja PCT pogojev (ki pomeni obdelavo osebnih podatkov), neustavni in nezakoniti, saj bi smel takšno obdelavo v skladu z 38. členom Ustave RS določiti le zakonodajalec z zakonom. Vendar pa do odločitve Ustavnega sodišča RS sprejeti odloki veljajo, ne glede na njihovo morebitno neustavnost oz. nezakonitost in so ga dolžni spoštovati vsi, na katere se odloki nanašajo. V pravni teoriji in praksi Ustavnega sodišča RS namreč velja osnovno pravno načelo, da predpisi veljajo (naslovniki pa so jih dolžni upoštevati in jih spoštovati) vse do njihove izrecne razveljavitve z novim predpisom ali odločbo Ustavnega sodišča RS. To načelo preprečuje nastanek okoliščin, da si veljavnost predpisov razlaga vsak po svoje, kar bi lahko vodilo v anarhijo in nastanek še večje škode na področju, ki ga sicer neustaven in nezakonit predpis ureja. Poleg tega ima tudi Ustavno sodišče RS možnost, da odloči, da je predpis sicer neustaven, da pa kljub temu velja, dokler vlada ali zakonodajalec ne sprejmeta ustreznega predpisa, saj bi lahko v primeru gole (in ne izrecne) razveljavitve prišlo do nastanka pravne praznine na področju, ki ureja ustavno zagotovljene pravice vseh državljanov RS, tj. pravico do življenja, pravico do telesne in duševne celovitosti in pravico do zdravstvenega varstva. V upanju, da vam naš odgovor zadostuje, vas lepo pozdravljamo. Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026