Zbiranje izjav o cepljenju proti okužbi s HPV - IPRS

Zbiranje izjav o cepljenju proti okužbi s HPV + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 01.12.2015 Številka: 0712-1/2015/3046 Kategorije:Občutljivi OP, Šolstvo, Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki, Šolstvo, Občutljivi OP na Informacijskega pooblaščenca (v nadaljevanju IP) ste naslovili prošnjo za mnenje v zvezi z zbiranjem informacij s strani šol glede cepljenja otrok proti okužbi s HPV (v nadaljevanje cepljenje). Navajate, da so učenke ene izmed osnovnih šol v osrednjeslovenski regiji pred časom prinesle domov „Informacijo o cepljenju proti okužbi s HPV“, ki vsebuje tudi „Izjavo o cepljenju proti okužbi s HPV“, ki so jo prejele od šolskih pedagogov. Način osveščanja staršev z osnovnimi informacijami o HPV virusu in cepljenju se vam ne zdi sporen, izredno sporna pa se vam zdi izjava, ki naj bi jo namreč starši izpolnili, učenke pa prinesle nazaj v šolo in izročile svojim razrednikom. Navajate tudi vprašanja, na katera naj bi odgovorili, če zakoniti zastopniki otrok soglašajo s cepljenjem (Ali vaša deklica trenutno preboleva kakšno bolezen? Katero?; Ali jemlje kakšna zdravila? Katera?; Ali je imela kdaj hujšo alergijo na hrano? Na katero?; Ali je imela kdaj hujšo alergijo na zdravila? Na katera?; Ali je imela kdaj hujšo reakcijo po cepljenju? Katerem?; Ali nam želite še kaj sporočiti?). Menite, da šola razen osebnih podatkov o otroku (ime, priimek in datum rojstva) ter zakonitem zastopniku (ime in priimek) v tej izjavi od staršev neupravičeno zahteva informacije o tem, ali je deklica cepljena ali ne, oziroma kakšna je glede tega opredelitev zakonitih zastopnikov, ter informacije o bolezni, alergijah in reakcijah na cepljenja – cepljenje je namreč prostovoljno, zato šola nima upravičenega interesa oziroma ne gre za informacije, ki jih šola potrebuje za zagotavljanje zdravja in varnosti otrok. Sporna se vam zdi tudi zahteva o brezpogojnem izpolnjevanju izjave in postopek ter način izročitve, saj so učenke v šoli prejele navodilo, da morate starši izjavo izpolniti v vsakem primeru (ali soglašate ali ne soglašate s cepljenjem); izpolnjeno izjavo, za katero pa ni treba, da je v pisemski ovojnici ali kako drugače zaščitena, naj bi učenke izročile razredniku. Zaključujete, da želite problematiko izpostaviti na eni izmed sej organov šole. Na podlagi
3. točke prvega odstavka
4. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; v nadaljevanju ZVOP–1) vam glede na informacije, ki ste nam jih posredovali, pošiljamo naše neobvezno mnenje. Izjava o cepljenju proti okužbi s HPV, ki vsebuje tudi nekatere občutljive osebne podatke učenk o njihovem zdravstvenem stanju, sama po sebi ni sporna (npr. z vidika, kateri podatki bi se lahko upravičeno zbirali pri takšnem cepljenju), sporno pa je to, da te občutljive osebne podatke učenk zbira oziroma obdeluje osnovna šola, saj ni razvidno, da bi bila podana zakonska podlaga za to.V kolikor osnovna šola v tem primeru nastopa v vlogi 'posrednika' informacij o cepljenju, ki bi ga izvajala zdravstvena institucija (kar iz vašega vprašanja ni razvidno) in ki bi bila do navedenih podatkov v tem okviru upravičena, bi morali zdravstveni delavci na ustrezen drugačen način izvesti zbiranje osebnih podatkov otrok (in ne preko šole), ki jih potrebujejo za izvedbo prostovoljnega cepljenja. Zdravstvena institucija pa bi preko šole (če to šola dopušča) starše lahko zgolj obvestila z letaki ali brošurami o možnostih cepljenja in o tem, kako lahko otroka, če se odločijo, vključijo v prostovoljno cepljenje ter katere podatke morajo v zvezi s tem posredovati zdravstveni instituciji (in ne šoli). Obrazložitev:IP najprej navaja, da iz vaše prošnje ni razvidno, ali gre pri predmetnem informativnem gradivu in predmetni izjavi za gradivo osnovne šole ali druge osebe, institucije ipd. (npr. izvajalca cepljenja), ker pa se vam takšen način informiranja ne zdi sporen oziroma se vaša vprašanja v ničemer ne nanašajo na to, se IP do tega ne opredeljuje posebej. Nedvomno pa gre pri podatkih, ki jih navajate za osebne podatke v smislu ZVOP–1[1], z zbiranjem katerih verjetno nastaja tudi zbirka osebnih podatkov v smislu ZVOP–1[2], tako da ti osebni podatki uživajo zaščito po ZVOP–
5. Za obdelavo osebnih podatkov (torej tudi zbiranje, pridobivanje, shranjevanje, sporočanje ali drugo delovanje po
6. točki
7. člena ZVOP–1[3]) po ZVOP–1 je treba imeti ustrezno podlago. ZVOP–1 razlikuje pravne podlage glede na to, ali gre obdelavo osebnih podatkov v javnem (
8. člen ZVOP–1) ali zasebnem (
9. člen ZVOP–1) sektorju. Ker je osnovna šola javni zavod in torej del javnega sektorja po ZVOP–1 (
10. točka
11. člena ZVOP–1[4]), to praviloma pomeni, da mora imeti za zbiranje oziroma obdelavo katerihkoli osebnih podatkov izrecno podlago v zakonu, z zakonom pa se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika (prvi odstavek
12. člena ZVOP–1). V nadaljnjih odstavkih
13. člena ZVOP–1 so predvidene izjeme od tega splošnega pravila o nujnosti določitve obdelave z zakonom. Na podlagi drugega odstavka tega člena lahko nosilci javnih pooblastil obdelujejo osebne podatke tudi na podlagi osebne privolitve posameznika brez podlage v zakonu, kadar ne gre za izvrševanje njihovih nalog kot nosilcev javnih pooblastil; zbirke osebnih podatkov, ki nastanejo na tej podlagi, morajo biti ločene od zbirk osebnih podatkov, ki nastanejo na podlagi izvrševanja nalog nosilca javnih pooblastil. Tretji odstavek določa, da se ne glede na prvi odstavek tega člena lahko v javnem sektorju obdelujejo osebni podatki posameznikov, ki so z javnim sektorjem sklenili pogodbo ali pa so na podlagi pobude posameznika z njim v fazi pogajanj za sklenitev pogodbe, če je obdelava osebnih podatkov potrebna in primerna za izvedbo pogajanj za sklenitev pogodbe ali za izpolnjevanje pogodbe. Na podlagi četrtega odstavka navedenega člena pa se lahko ne glede na prvi odstavek tega člena v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Če pa gre za občutljive osebne podatke, torej tudi zdravstvene, ki so občutljivi osebni podatki po
14. točki
15. člena ZVOP–1[5], ti zaradi svoje subtilnosti potrebujejo posebno varstvo in zaščito. ZVOP–1 tako v
16. členu[6] taksativno določa osem pravnih podlag, na podlagi katerih se lahko obdelujejo občutljivi osebni podatki, kar pomeni, da se le-ti lahko obdelujejo torej zgolj samo v teh osmih predpisanih primerih. ZVOP–1 v
17. členu določa tudi strožje pogoje zavarovanja oziroma so v tem členu predpisani postopki in ukrepi za še posebej skrbno ravnanje z občutljivimi osebnimi podatki, saj morajo biti le-ti v skladu s prvim odstavkom slednjega člena pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen v primeru iz
18. točke
19. člena ZVOP–1 (če je občutljive osebne podatke posameznik javno objavil brez očitnega ali izrecnega namena, da omeji namen njihove uporabe – v vašem primeru za to očitno ne gre).V obravnavani zadevi ni razvidno, da bi šlo za izjeme, predvidene v drugem, tretjem ali četrtem odstavku
20. člena ZVOP–1, oziroma da bi bila podana katera izmed taksativno naštetih podlag iz
21. člena ZVOP–1, upoštevajoč okoliščine konkretnega primera zlasti npr. po
22. ali
23. in morebiti
24. točki slednjega člena: v skladu s
25. točko bi morala biti osebna privolitev za obdelavo teh zdravstvenih podatkov s strani šole določena z zakonom, kar pa upoštevajoč tudi navedbe v nadaljevanju temu očitno ni tako; ne gre tudi za primer iz
26. točke tega člena, saj ne gre za obdelavo, ki bi jo izvajali zdravstveni delavci ali sodelavci v skladu z zakonom; niti IP ni poznano, da bi takšno obdelavo določal drug zakon zaradi izvrševanja kakšnega javnega interesa po
27. točki tega člena, upoštevajoč pri tem tudi to, da gre za prostovoljno in ne obvezno cepljenje.Zakon o osnovni šoli (Uradni list RS, št. 81/06 – ZOsn-UPB3, 102/07, 107/10, 87/11, 40/12 – ZUJF in 63/13; v nadaljevanju ZOsn), ki zbiranje in varstvo osebnih podatkov ureja v IX. poglavju, kot področni zakon pa ne daje osnovnim šolam neposredne pravne podlage za zbiranje v vaši prošnji navedenih podatkov o zdravstvenem stanju učenk, čeprav bi glede na vse prej navedene določbe osnovna šola za zbiranje teh podatkov morala imeti podlago v zakonu. Na podlagi
28. člena ZOsn osnovna šola zbira, obdeluje, shranjuje, posreduje in uporablja podatke, vsebovane v zbirkah podatkov, ki jih vodi v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni drugače določeno.V prvem odstavku
29. člena ZOsn so določene naslednje zbirke podatke, ki jih vodi osnovna šola:
30. zbirko podatkov o učencih, vpisanih v osnovno šolo, in njihovih starših,
31. zbirko podatkov o napredovanju učencev, izdanih spričevalih, vzgojnih opominih in drugih listinah,
32. zbirko podatkov o gibalnih sposobnostih in morfoloških značilnostih učencev,
33. zbirko podatkov o učencih, ki potrebujejo pomoč oziroma svetovanje,pri čemer zbirka podatkov iz
34. točke, edino v okviru katere bi se po vsebini verjetno zbirali sporni podatki, obsega naslednje podatke o učencu: ime in priimek ter EMŠO, spol, datum, kraj in državo rojstva, prebivališče in državljanstvo, zdravstvene posebnosti, katerih poznavanje je nujno za učenčevo varnost in za delo z učencem, ter naslednje podatke o starših: ime in priimek, naslov prebivališča, telefonska številka, na katero je mogoče posredovati nujna sporočila v času, ko je učenec v šoli. Na podlagi prvega odstavka
35. člena ZOsn se osebni podatki iz
36. člena tega zakona pridobivajo iz obstoječih zbirk pristojnih upravljavcev; če se teh podatkov ne da pridobiti iz obstoječih zbirk, se podatki pridobijo neposredno od posameznika, na katerega se nanašajo, oziroma od staršev učenca. Glede namena in uporabe zbirk podatkov pa
37. člen določa, da se osebni podatki učencev iz zbirk podatkov iz
38. člena zbirajo, obdelujejo, shranjujejo in uporabljajo za potrebe obveznega izobraževanja in posredujejo ministrstvu, pristojnemu za šolstvo, za izvajanje z zakonom določenih nalog ter Državnemu izpitnemu centru za izvajanje nacionalnega preverjanja znanja.Na podlagi
39. člena ZVOP–1 se lahko osebni podatki zbirajo le za določene in zakonite namene ter se ne smejo nadalje obdelovati tako, da bi bila njihova obdelava v neskladju s temi nameni, če zakon ne določa drugače. Torej smejo osnovne šole obdelovati osebne podatke učencev le za potrebe obveznega izobraževanja in torej ne morebiti tudi za namene zdravstvenega varstva, za kar v bistvu gre v obravnavanem primeru. V zvezi s podatki o zdravstvenem stanju učencev lahko torej osnovne šole obdelujejo le podatke, katerih poznavanje je nujno za učenčevo varnost in za delo z učencem, za kar pa pri spornih podatkih ni razvidno, da bi šlo.IP še dodaja, čeprav podzakonski predpis sicer ne more predstavljati neposredne podlage za obdelavo osebnih podatkov (lahko le zakon), da področje obdelave osebnih podatkov v osnovni šoli ureja tudi Pravilnik o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04 in 76/08), ki v
40. členu[7] predvideva tudi zbiranje osebnih podatkov na podlagi soglasja staršev, vendar v drugih primerih, kot je obravnavani, zato tudi sicer ne bi mogel priti v poštev (v navedenem členu gre za podatke, potrebne za uveljavljanje oziroma priznavanje posameznih pravic učencu glede subvencionirane šolske prehrane, šole v naravi ipd. oziroma za javno dostopnost podatkov v zvezi s fotografiranjem, snemanjem učencev ipd.). Iz navedenega IP zaključuje, da verjetno omenjena izjava sama po sebi ni toliko sporna (npr. z vidika, kateri podatki bi se upravičeno zbirali pri takšnem cepljenju), kot je sporno to, da te občutljive osebne podatke učenk zbira oziroma obdeluje osnova šola in ne zdravstvena institucija, ki izvaja cepljenje, saj ni razvidno, da bi bila podana zakonska podlaga za to. Četudi pa bi bila le-ta podana, se glede na vaše informacije o nezaščiteni izročitvi predmetne izjave razredniku zastavlja vprašanje zavarovanja teh občutljivih osebnih podatkov v smislu 24.[8] in
41. člena ZVOP–1[9]. Vendar v obravnavanem primeru ni razvidno, ali oziroma komu razrednik posreduje tako zbrane izjave in na kakšni podlagi jih posreduje oziroma komu in zakaj naj bi bile predmetne izjave sploh namenjene, zato natančnejšega odgovora glede tega ni mogoče podati. Lepo vas pozdravljamo, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Jelka Kovačič, univ. dipl. prav., svetovalka Informacijskega pooblaščenca [1] Na podlagi
42. točke
43. člena ZVOP–1 je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, pri čemer je posameznik po
44. točki navedenega člena določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. [2] Zbirka osebnih podatkov po
45. točki
46. člena ZVOP–1 je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.[3] Po tej določbi obdelava osebnih podatkov pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani, ali ki so pri ročni obdelavi del zbirke osebnih podatkov, ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave). [4] Po navedeni določbi so javni sektor državni organi, organi samoupravnih lokalnih skupnosti, nosilci javnih pooblastil, javne agencije, javni skladi, javni zavodi, univerze, samostojni visokošolski zavodi in samoupravne narodne skupnosti. [5] Občutljivi osebni podatki po tej določbi so podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške; občutljivi podatki so tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin.[6]
47. člen ZVOP–1 (Obdelava občutljivih osebnih podatkov) določa:Občutljivi osebni podatki se lahko obdelujejo le v naslednjih primerih:
48. če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom;
49. če je obdelava potrebna zaradi izpolnjevanja obveznosti in posebnih pravic upravljavca osebnih podatkov na področju zaposlovanja v skladu z zakonom, ki določa tudi ustrezna jamstva pravic posameznika;
50. če je obdelava nujno potrebna za varovanje življenja ali telesa posameznika, na katerega se osebni podatki nanašajo, ali druge osebe, kadar posameznik, na katerega se osebni podatki nanašajo, fizično ali poslovno ni sposoben dati svoje privolitve iz
51. točke tega člena;
52. če jih za namene zakonitih dejavnosti obdelujejo ustanove, združenja, društva, verske skupnosti, sindikati ali druge nepridobitne organizacije s političnim, filozofskim, verskim ali sindikalnim ciljem, vendar le, če se obdelava nanaša na njihove člane ali na posameznike, ki so v zvezi s temi cilji z njimi v rednem stiku, ter če se ti podatki ne posredujejo drugim posameznikom ali osebam javnega ali zasebnega sektorja brez pisne privolitve posameznika, na katerega se nanašajo;
53. če je posameznik, na katerega se nanašajo občutljivi osebni podatki, te javno objavil brez očitnega ali izrecnega namena, da omeji namen njihove uporabe;
54. če jih za namene zdravstvenega varstva prebivalstva in posameznikov ter vodenja ali opravljanja zdravstvenih služb obdelujejo zdravstveni delavci in zdravstveni sodelavci v skladu z zakonom;
55. če je to potrebno zaradi uveljavljanja ali nasprotovanja pravnemu zahtevku;
56. če tako določa drug zakon zaradi izvrševanja javnega interesa.[7]
57. člen navedenega pravilnika (zbiranje osebnih podatkov na podlagi soglasja staršev) določa: