Zbiranje osebnih podatkov v zvezi z zdravjem preko spletnega obrazca - IPRS

Zbiranje osebnih podatkov v zvezi z zdravjem preko spletnega obrazca + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.06.2022 Številka: 07121-1/2022/690 Kategorije: --> Kategorije: Informiranje posameznika, Prenos osebnih podatkov v tretje države ali mednarodne organizacije, Svetovni splet, Zdravstveni osebni podatki Zahvaljujemo se vam za dopis, v katerem zaprošate za mnenje Informacijskega pooblaščenca o ustreznosti obrazcev, preko katerih za namene izvedbe analize možnih oblik ukrepanja in pomoči ljudem, ki nimajo osebnega zdravnika, zbirate od posameznikov osebne podatke, tudi podatke v zvezi zdravjem. Kot navajate, se podatki posameznikov zbirajo na podlagi njihove osebne privolitve in je obrazec zastavljen tako, da svojih osebnih podatkov posamezniki ne morejo vpisovati, dokler ne kliknejo na besedilo, s katerim podajo privolitev. Informacijski pooblaščenec (v nadaljevanju IP) na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) uvodoma pojasnjuje, da kot nadzorni organ za varstvo podatkov ne more in ne sme v mnenju izvajati dokončnih presoj posameznih obrazcev oziroma zakonitosti posameznih obdelav osebnih podatkov, zato v nadaljevanju podajamo nekatere bistvene elemente, ki so pomembni in jih je treba upoštevati v zvezi z zbiranjem in obdelavo osebnih podatkov, ki jo opisujete. Pri obdelavi osebnih podatkov v zvezi z zdravjem na podlagi privolitve mora biti ta izrecna, hkrati pa mora biti prostovoljna, specifična, informirana in nedvoumna. Drug pomemben element pri zbiranju osebnih podatkov od posameznikov je skrb, da je posameznik ob zbiranju natančno obveščen o obdelavi. Tretji vidik pa je ustrezna ureditev morebitnih prenosov osebnih podatkov v tretje države preko obrazcev. O b r a z l o ž i t e v: Pri zbiranju osebnih podatkov v zvezi z zdravjem je bistveno upoštevanje 9. člena Splošne uredbe o varstvu podatkov, ki med drugim določa, da je obdelava osebnih podatkov v zvezi z zdravjem dopustna: - če je posameznik, na katerega se nanašajo osebni podatki, dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov (izjema so primeri kadar pravo EU ali države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi); ali - če je obdelava povezana z osebnimi podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, sam objavi. V kolikor gre torej za obdelavo osebnih podatkov v zvezi z zdravjem na podlagi privolitve mora biti ta izrecna, hkrati pa mora zadostiti vsem zahtevam, kot so opredeljene v Splošni uredbi, zlasti mora biti prostovoljna, specifična, informirana in nedvoumna. Bistveno je torej, da preverite, ali so ustrezno navedeni vsi nameni, za katere se bodo zbrani osebni podatki obdelovali (npr. izvedba analize, morebitno naknadno kontaktiranje posameznikov v zvezi z analizo in/ali nudenjem pomoči). Če se osebne podatke zbira za več različnih namenov, mora imeti posameznik možnost podajati soglasje za vsak posamezni namen. Več o tem na spletni strani IP (https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/privolitev). Drug pomemben element pri zbiranju osebnih podatkov od posameznikov je podaja vseh informacij po 13. členu Splošne uredbe. Posameznik mora biti natančno obveščen o tem, v za kateri namen, v kakšnem obsegu poteka obdelava osebnih podatkov pri upravljavcu in kakšne so posledice te obdelave. V primeru zbiranja osebnih podatkov preko spletnih obrazcev lahko podaja teh informacij poteka na več ravneh (npr. tako da so najbolj bistvene informacije v osnovnem obrazcu, dodatne pa zlahka dostopne z dodatnimi ‘kliki’). Tako mora posameznik ob zbiranju dobiti: - informacije o upravljavcu (s kontaktnimi podatki upravljavca in njegovega predstavnika, če obstaja) ter kontakt pooblaščene osebe za varstvo podatkov (če je imenovana); - informacije o namenih, za katere se osebni podatki obdelujejo in pravno podlago za njihovo obdelavo. Kadar namerava upravljavec nadalje obdelovati osebne podatke za drug namen, mora posamezniku pred nadaljnjo obdelavo njegovih podatkov zagotoviti informacije o tem drugem namenu; - kadar poteka obdelava osebnih podatkov na podlagi zakonitih interesov (točka (

1. f)1. odstavka 6. člena Splošne uredbe), je treba navesti zakonite interese, za uveljavljanje katerih si prizadeva upravljavec ali tretja oseba; - kadar obdelava temelji na privolitvi, (točka (
2. a)1. odstavka 6. člena ali točka (
3. a)2. odstavka 9. člena Splošne uredbe), obstoj pravice, da se lahko privolitev kadar koli prekliče; - informacije o uporabnikih ali kategorijah uporabnikov osebnih podatkov (če obstajajo); - informacije o morebitnem prenosu osebnih podatkov v tretjo državo ali mednarodno organizacijo; - informacijo o obdobju hrambe osebnih podatkov (če to ni mogoče je treba navesti merila, ki se uporabijo za določitev obdobja hrambe); - informacije glede obstoja pravic posameznika skladno s Splošno uredbo: pravica do dostopa, popravka, izbrisa, omejitve obdelave, ugovora obdelavi in do prenosljivosti podatkov; - informacijo glede pravice do vložitve pritožbe pri nadzornem organu (Informacijskemu pooblaščencu); - če je to relevantno – informacijo o tem, ali je zagotovitev osebnih podatkov zakonska ali pogodbena obveznost ali pa obveznost, ki je potrebna za sklenitev pogodbe ter ali mora posameznik zagotoviti osebne podatke ter kakšne so morebitne posledice, če tega ne stori in - če je to relevantno – informacije o obstoju avtomatiziranega sprejemanja odločitev, (vključno z oblikovanjem profilov) vsaj smiselne informacije o razlogih zanj, ter pomen in predvidene posledice take obdelave za posameznika. Več o tem in primere obrazcev za podajo informacij po 13. členu najdete na spletni strani IP (https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/obve%C5%A1%C4%8Danje-posameznikov-o-obdelavi-osebnih-podatkov). Uporaba 'Google forms' obrazcev za zbiranje osebnih podatkov: tretji pomemben element pri zbiranju osebnih podatkov preko spletnih obrazcev je vprašanje, ali se pri tem osebne podatke prenaša v tretje države. Če gre za tak primer, mora biti ustrezno poskrbljeno za njihovo zavarovanje ter ustrezno varstvo podatkov v teh državah oziroma za varovalne ukrepe, ki so predvideni v Splošni uredbi, kadar se osebni podatki prenašajo v države, za katere Evropska komisija ni sprejela sklepa o ustreznosti varovanja osebnih podatkov. V primeru uporabe obrazcev 'Google forms' je IP v več inšpekcijskih postopkih ugotovil, da njihova uporaba ni ustrezna, saj gre pri tem za prenos osebnih podatkov v tretjo državo (ZDA), ki ga ne more pokriti katera od točk iz 49. člena Splošne uredbe (ta določa uporabo izjem). Kolikor je seznanjen IP pa standardne pogodbene klavzule, kot jih ponuja Google, ne ustrezajo zahtevam opredeljenim v t.i. Schrems II sodbi Sodišča EU:(https://curia.europa.eu/juris/document/document.jsf;jsessionid=F502921A28D8B641521C6237B7023799?text=&docid=228677&pageIndex=0&doclang=SL&mode=lst&dir=&occ=first&part=1&cid=4501093). Predlagamo, da vaš spletni obrazec preverite v skladu z zgoraj navedenim in ustrezno prilagodite. Lepo vas pozdravljamo, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Alenka Jerše, univ. dipl. prav. namestnica informacijske pooblaščenke O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
4. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026