Zdravstvene in socialno varstvene storitve na domu + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.07.2021 Številka: 07120-1/2021/367 Kategorije:Pravne podlage, Privolitev, Zbirke osebnih podatkov, Zdravstveni osebni podatki --> Kategorije: Zbirke osebnih podatkov, Zdravstveni osebni podatki, Privolitev, Pravne podlage Informacijski pooblaščenec RS (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da Ministrstvo za zdravje prek javnega razpisa financira izvedbo projekta, ki bo omogočil starejšim osebam, ki potrebujejo socialno-varstvene storitve, te storitve na domu (podobno, kot smo vam že izdali mnenje št. 07120-1/2021/336). Aktivnosti oskrbe bodo v predmetnem projektu izvajali domovi starejših občanov (v nadaljevanju: DSO) s konzorcijskimi partnerji, ministrstvo bi v zvezi s projektom pridobilo agregirane in anonimizirane podatke, za namen evalvacije projekta, pa bi osebne podatke obdelovali tudi pri Inštitutu RS za socialno varstvo (IRSSV). Pri izvajanju projekta izpostavljate zlasti naslednje aktivnosti, pri katerih pride do obdelave osebnih podatkov: sprejem vlog oseb za vstop v projekt, ocenjevanje le-teh s pomočjo ocenjevalnega orodja, v primeru doseganja praga na podlagi izdelane ocene, pa nudenje zdravstvenih in socialnih storitev v projektu na njihovem domu. Za obdelavo osebnih podatkov nameravate zagotoviti privolitev posameznikov. Zanima vas, ali je to ustrezna pravna podlaga za zbiranje navadnih osebnih podatkov in osebnih podatkov posebne vrste? Dalje, razmišljate, da ministrstvo skupaj z DSO-ji nastopa kot skupni upravljavec osebnih podatkov, Inštitut RS za socialno varstvo pa kot obdelovalec. Zanima vas, če so navedena razmerja med ministrstvom, upravičenci (DSO-
- ji)in evalvatorjem projekta ustrezno definirana? Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. IP uvodoma poudarja, da ne more izven konkretnih inšpekcijskih postopkov vnaprej potrjevati posameznih dokumentov ali presojati skladnosti posameznih ukrepov z zahtevami varstva osebnih podatkov. Obdelava osebnih podatkov v javnem sektorju (kamor sodijo tudi DSO-ji, IRSSV in ministrstvo) je praviloma dopustna, ko namene in osebne podatke, ki se obdelujejo določa zakon (prvi odstavek 9. člena ZVOP-1). Izjemoma se lahko v javnem sektorju obdelujejo tudi tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Kot je bilo pojasnjeno že v mnenju št. 07120-1/2021/336, lahko privolitev v javnem sektorju pride v poštev le, kadar upravljavec ne deluje oblastno ali ko privolitev za obdelavo osebnih podatkov izrecno predvideva poseben zakon. Domovi starejših občanov izvajajo dejavnosti na podlagi Zakona o socialnem varstvu (Uradni list RS, št. 3/07 – uradno prečiščeno besedilo, 23/07 – popr., 41/07 – popr., 61/10 – ZSVarPre, 62/10 – ZUPJS, 57/12, 39/16, 52/16 – ZPPreb-1, 15/17 – DZ, 29/17, 54/17, 21/18 – ZNOrg, 31/18 – ZOA-A, 28/19 in 189/20 – ZFRO; v nadaljevanju: ZSV). Po 110. členu ZSV se za potrebe izvajanja socialno varstvene dejavnosti določene z zakonom, za načrtovanje politike socialnega varstva, spremljanje stanja ter za znanstveno raziskovalne in statistične namene, na področju socialnega varstva vodijo zbirke podatkov, ki zajemajo celotni nacionalni sistem socialnega varstva. Zbirke podatkov vsebujejo podatke o: - storitvah, - drugih pomočeh posamezniku po tem zakonu, - oprostitvah pri plačilu storitev, - izvajalcih socialno varstvene dejavnosti, - financiranju socialno varstvene dejavnosti, - izvajanju drugih nalog, ki so izvajalcem dejavnosti z zakonom poverjene kot javna pooblastila ter nalog, ki jih izvajalcem dejavnosti nalagajo drugi predpisi. člen ZSV določa, da zbirke podatkov iz prve, druge, tretje in četrte alinee drugega odstavka prejšnjega člena vsebujejo naslednje podatke posameznika, na katerega se nanaša pravica ali obveznost po tem zakonu, in njegovega zakonitega zastopnika: - ime in priimek, - rojstne podatke, - spol, - enotno matično številko občana, - podatke o državljanstvu, - podatke o dovoljenju za prebivanje tujca, - podatke o prebivališču, - podatke, ki se nanašajo na družinska razmerja (število družinskih članov, tip družine, razmerje do vlagatelja), - podatke o gospodinjstvu, - podatke, ki se nanašajo na vrsto življenjske skupnosti (zakonska zveza ali zunajzakonska skupnost), - podatke o statusu (podatke o šolanju, o zaposlitvi, o upokojitvi, drugo), - podatke o izobrazbi, - podatke o zdravstvenem stanju in invalidnosti, - podatke o plačah in drugih dohodkih in prejemkih, - podatke o premoženju, - podatke o socialnih stiskah in težavah posameznikov, družin in skupin prebivalstva, - podatke o oprostitvi pri plačilu storitev, - davčno številko, - številko tekočega oziroma drugega računa, - podatke, ki se nanašajo na stanovanjske in bivalne pogoje. Posamezne zbirke podatkov lahko vsebujejo tudi podatke, ki niso osebni, ki so potrebni za dosego namena iz prvega odstavka prejšnjega člena. ZSV v prvem odstavku 112. člena določa, da zbirke podatkov iz 110. člena tega zakona vodijo in vzdržujejo socialno varstveni zavodi in druge pravne in fizične osebe, ki opravljajo socialno varstveno dejavnost po tem zakonu in inštitut iz 7. člena tega zakona (upravljavci zbirk podatkov) in upravljavci centralnih zbirk podatkov, določeni s tem zakonom. V manjšem delu so Domovi starejših občanov tudi izvajalci zdravstvenih dejavnosti. V tem delu veljajo podlage, ki izvirajo iz Zakona o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 – ZZUOOP, 175/20 – ZIUOPDVE in 203/20 – ZIUPOPDVE; v nadaljevanju ZZPPZ). IP meni, da kolikor izvajanje projektnih storitev sodi na področje dejavnosti, ki so zakonsko regulirane, potem za izvajanje teh storitev privolitev ni ustrezna pravna podlaga. Podlaga za izvajanje navedenih storitev bi se morala razlagati v okviru določb področne zakonodaje (zlasti omenjena ZSV in ZZPPZ). V svojem dopisu omenjate, da bi ministrstvo nastopilo kot (so)upravljavec, pridobivalo pa naj bi zgolj agregirane in anonimizirane podatke. Najprej velja pojasniti, da Splošna uredba pojma »(so)upravljavec« ne definira. Če ste imeli v mislih institut »skupnih upravljavcev«, pojasnjujemo, da tega ureja člen 26 Splošne uredbe, ki določa, da dva ali več upravljavcev, ki skupaj določijo namene in načine obdelave, so skupni upravljavci. Skupni upravljavci na pregleden način z medsebojnim dogovorom določijo dolžnosti vsakega od njih z namenom izpolnjevanja obveznosti v skladu s to uredbo, zlasti v zvezi z uresničevanjem pravic posameznika, na katerega se nanašajo osebni podatki, in nalogami vsakega od njih glede zagotavljanja informacij iz členov 13 in 14, razen če in kolikor so dolžnosti vsakega od upravljavcev določene s pravom Unije ali pravom države članice, ki velja za upravljavce. Z dogovorom se lahko določi kontaktna točka za posameznike, na katere se nanašajo osebni podatki. Kot izhaja iz vašega dopisa, bi ministrstvo dostopalo do agregiranih in anonimiziranih podatkov. Če so podatki dejansko anonimizirani tako, da ne omogočajo določljivosti posameznika, potem ne gre za osebne podatke in zato ministrstvo tudi ne bi nastopalo kot upravljavec osebnih podatkov (ne kot skupni in ne kot samostojni). Kolikor ne gre za anonimizirane podatke (in bi posredovali osebne podatke), potem je treba za posredovanje zagotoviti ustrezno pravno podlago in izpolniti druge obveznosti po Splošni uredbi. V svojem dopisu niste opredelili za kakšen namen bi ministrstvo podatke zbiralo, niti niste navedli, kateri namen obdelave je skupno določen med ministrstvom in DSO-ji s konzorcijskimi partnerji. Če namen in načini obdelave niso določeni skupno, potem ne gre za skupne upravljavce v smislu člena 26 Splošne uredbe. Glede sodelovanja IRSSV zaradi evalvacije projekta pojasnjujemo, da je IRSSV opredeljen v ZSV kot eden izmed upravljavcev osebnih podatkov, ki je upravičen obdelovati osebne podatke po navedenem zakonu tudi za znanstveno raziskovalne in statistične namene. Po 7. členu ZSV, informacijske, analitične, strokovno-dokumentacijske in programske dejavnosti za področje socialnega varstva ter izvajanje temeljnega, aplikativnega in razvojno raziskovalnega dela na tem področju opravlja inštitut, ki ga ustanovi država kot javni zavod (to je IRSSV). Ker je IRSSV ustanovljen prav za namen izvajanja tovrstnih aktivnosti, lahko podatke za izvedbo evalvacije pridobi tudi kot upravljavec osebnih podatkov (in ne nujno kot obdelovalec) – pod pogojem, da ima IRSSV podlago za obdelavo osebnih podatkov zagotovljeno v ZSV. Če podlage za zbiranje osebnih podatkov ZSV ne zagotavlja IRSSV ne more pridobivati podatkov kot upravljavec, lahko pa na podlagi pogodbe o obdelavi osebnih podatkov kot obdelovalec. V zadnjem primeru DSO-ji s konzorcijem pogodbenih partnerjev z IRSSV sklenejo ustrezno pogodbo o obdelavi osebnih podatkov v skladu s členom 28 Splošne uredbe (Več o pogodbeni obdelavi: Pogodbena obdelava). Dodati še velja, da morajo glede obdelave osebnih podatkov ustrezno urediti razmerja tudi posamezni DSO-ji s konzorcijskimi partnerji. Odvisno od konkretnih načinov in namenov obdelave in podlag za obdelavo, morajo preveriti, ali je bolj ustrezno, da sodelujejo kot skupni upravljavci v smislu 26. člena Splošne uredbe ali kot upravljavci in pogodbeni obdelovalci. IP v okviru mnenja ne more podati dokončnega odgovora glede ureditve razmerij, saj je to odvisno od konkretnih namenov in načinov obdelave ter vloge posameznega deležnika pri tem. S spoštovanjem, Pripravil: Anže Novak, univ. dipl. prav. Svetovalec pooblaščenca za preventivo Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026