prosilec - Nacionalni inštitut za javno zdravje

POVZETEK:

Prosilec je od organa zahteval dostop do dnevnih poročil o okužbah v DSO-jih. Organ je zahtevo zavrnil zaradi varstva osebnih podatkov. IP je v pritožbenem postopku ugotovil, da organ ni navedel, katere podatke šteje za osebne podatke (vrsta osebnega podatka), zakaj jih šteje za osebne (kako jih je mogoče povezati z določenim ali določljivim posameznikom) in katere od teh osebnih podatkov šteje za varovane, ker zakonodaja ne omogoča njihovega razkritja. Zato njegovemu stališču, da gre pri zahtevanih dokumentih za varovane osebne podatke, IP ni mogel slediti. Z vidika obdelave zdravstvenih podatkov, sama informacija o tem, da je določeno število zaposlenih (oz. oskrbovanih) v nekem organu ali drugi organizaciji okuženo (brez drugih podatkov) ne pomeni obdelave osebnih podatkov, saj brez drugih dodatnih podatkov tak posameznik ni določljiv. Pri posredovanju statističnih podatkov sploh ne gre za obdelavo osebnih podatkov. Zato je IP izpodbijano odločbo odpravil in jo vrnil organu v ponovno odločanje, da dopolni postopek in skladno z navodili IP, ki so podani v tej odločbi, ugotovi, ali so zahtevani dokumenti prosto dostopni in v katerih delih.

ODLOČBA:

Številka: 090-37/2021/6

Datum: 24. 2. 2021

Informacijski pooblaščenec po informacijski pooblaščenki Mojci Prelesnik (v nadaljnjem besedilu IP) izdaja na podlagi 2. člena Zakona o Informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A, v nadaljnjem besedilu ZInfP), tretjega odstavka 27. člena Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – UPB, 117/06 – ZDavP-2, 23/14, 50/14, 19/15 – odločba US, 102/15 in 7/18; v nadaljnjem besedilu ZDIJZ) ter tretjega odstavka 251. člena Zakona o splošnem upravnem postopku (Uradni list RS, št. 24/06 – UPB, 105/06 – ZUS-1, 126/07, 65/08, 8/10 in 82/13; v nadaljnjem besedilu ZUP), o pritožbi … (v nadaljnjem besedilu prosilec) z dne 21. 1. 2021, zoper odločbo Nacionalnega inštituta za javno zdravje, Trubarjeva cesta 2, 1000 Ljubljana (v nadaljnjem besedilu organ), št. 090-5/2021-2 (272) z dne 19. 1. 2021, v zadevi dostopa do informacij javnega značaja, naslednjo

O D L O Č B O:

1. Pritožbi prosilca z dne 21. 1. 2021 se ugodi in se odločba Nacionalnega inštituta za javno zdravje, št. 090-5/2021-2 (272) z dne 19. 1. 2021, odpravi ter se zadeva vrne organu prve stopnje v ponovni postopek. Organ mora o zadevi odločiti najpozneje v 30 (tridesetih) dneh od prejema te odločbe.

1. V postopku reševanja te pritožbe posebni stroški niso nastali.

O b r a z l o ž i t e v:

Prosilec je v zahtevi z dne 10. 1. 2021 organ zaprosil, da mu posreduje vsa do sedaj izdelana dnevna poročila o stanju okužb pri izvajalcih institucionalnega varstva, ki so nastala po 10. 10. 2020. Podatke je želel prejeti v elektronski obliki na e-naslov. Prosilec je želel tudi, da mu organ omogoči ponovno uporabo navedenih dnevnih poročil na način, da datoteke s temi poročili naredi prosto dosegljive na svoji spletni strani. V zahtevi je še izpostavil, da naj mu organ vsa morebitna pisanja po ZUP vroči v njegov varni elektronski naslov na vladnem portalu e-Uprava.

Organ je zahtevo prosilca z odločbo, št. 090-5/2021-2 (272) z dne 19. 1. 2021, v celoti zavrnil, s sklicevanjem na varstvo osebnih podatkov po 3. točki prvega odstavka 6. člena ZDIJZ. Organ je ob citiranju obsežnih zakonskih določb (4., 5. in 6. člen ZDIJZ, členi 4, 6 in 86 Splošne uredbe o varstvu podatkov ter 8. in 9. člen ZVOP), v obrazložitvi zapisal zgolj, da gre pri zahtevi za dostop do informacij javnega značaja za zelo podroben podatek oz. za število okuženih pri izvajalcih institucionalnega varstva, kjer so števila izredno nizka (pod 5) in tako obstaja možnost razkritja posameznikov oz. poročevalskih enot. Zato je zahtevo zavrnil.

Prosilec se je 21. 1. 2021 zoper odločbo organa, št. 090-5/2021-2 (272) z dne 19. 1. 2021 (v nadaljnjem besedilu izpodbijana odločba), pritožil, ker je menil, da statistični podatki o okužbah v tako velikih institucijah, kot so domovi za starejše občane (DSO), ne morejo predstavljati osebnih podatkov. V pritožbi je izpostavil, da sklicevanje na izjemo varstva osebnih podatkov predstavlja napačno uporabo relevantnega materialnega prava (ZVOP-1, Splošna uredba o varstvu podatkov, ZDIJZ), pri čemer organ v izpodbijani odločbi ni podrobneje opisal vsebine zahtevanih informacij, zato je pritožbene navedbe izvajal na podlagi občasno javno dostopnih izsekov zadevnih EPIDSO poročil. V teh poročilih ni nobenih poimenskih podatkov o oskrbovancih oz. zaposlenih v DSO-jih, ampak zgolj dnevno osveženi statistični podatki o trenutnem številu oskrbovancev oz. zaposlenih, o številu opravljenih testov na določen dan, potrjenih okužb, premestitev v bolnišnice ter smrti. Prosilec je oporekal trditvi organa, da je z razkritjem zahtevanih podatkov mogoče enoznačno določiti, kateri stanovalci oz. zaposleni so bili testirani, kateri so bili pozitivni itd. Podatki v teh tabelah torej niso informacije, ki bi jih bilo mogoče povezati z določenim ali določljivih posameznikom. Tudi navedba organa, da bi z objavo poročil prišlo do razkritja poročevalskih enot, ni utemeljena, saj je dejstvo, da DSO-ji poročajo o okužbah, javno znano. Prosilec je dodal, da organ že objavlja podatke, ki so enake vrste in enakih podrobnosti, kot so zahtevani podatki in so jih v svoji tabeli »COVID-19 v dnevnih številkah« za prve dneve spomladanske oz. jesenske epidemije, ko je bilo število testiranih še zelo nizko, brez težav tudi objavili. Prosilec je zapisal, da bi se z razkritjem zahtevanih podatkov zainteresirani javnosti omogočilo vpogled v stanje epidemije COVID-19 v posameznih DSO-jih, s tem pa bi se dalo tudi oceniti uspešnost ukrepov za zajezitev okužb v DSO-jih, oceniti uspešnost cepljenja ter kolikšen delež okužb se pojavlja izven DSO-jev. Razkritje teh podatkov je po mnenju prosilca tudi v javnem interesu. Prosilec je v pritožbi oporekal ravnanju organa, ker se ni opredelil do možnosti delnega dostopa, če je ocenil, da bi zaradi nizkih številk obstajal riziko identifikacije posameznikov. V zaključku je opozoril na odločbo IP, št. 090-111/2020, v kateri je IP zavzel stališče, da je podatke o številu okužb v DSO-jih treba posredovati prosilcu.

Organ po prejemu pritožbe odločbe ni nadomestil z novo, zato jo je z dopisom, št. 090-5/2021-5 (272) z dne 2. 2. 2021, odstopil v reševanje IP kot dovoljeno, pravočasno in vloženo s strani upravičene osebe.

Pritožba je utemeljena.

IP je pritožbo prosilca kot pravočasno, dovoljeno in vloženo po upravičeni osebi vzel v obravnavo. Kot organ druge stopnje je skladno z 247. členom ZUP izpodbijano odločbo organa preizkusil v delu, v katerem jo je prosilec izpodbijal, in v mejah njegovih pritožbenih navedb. Po uradni dolžnosti je preizkusil, ali ni v postopku na prvi stopnji prišlo do bistvenih kršitev postopka in ali ni bil prekršen materialni zakon.

IP je ugotovil, da je organ storil bistveno kršitev pravil upravnega postopka po 7. točki drugega odstavka 237. člena ZUP, saj se odločbe ne dá preizkusiti. Razlogi za zavrnitev dostopa do zahtevanih dokumentov v obrazložitvi izpodbijane odločbe so navedeni splošno, ni pa razvidno, na katera dejstva in izvedene dokaze je organ oprl svojo odločitev in kakšen ugotovitveni postopek ga je pripeljal do zaključka, da je treba zahtevo prosilca v celoti zavrniti. 

Organ je dostop do zahtevanih dokumentov zavrnil sklicujoč se na 3. točko prvega odstavka 6. člena ZDIJZ, vendar je organ izjemo zatrjeval zgolj z splošnim sklicevanjem na zakonska določila. Zgolj z navedbo predpisa, ki opravičuje izjemo, brez navedbe vseh elementov dejanskega stanja, ki jih zahteva zakonski dejanski stan, obrazložitev ni popolna in odločba zato ne more biti preizkušena. Dokazno breme, da so določene informacije izvzete iz prostega dostopa, nosi organ. Po 3. točki prvega odstavka 6. člena ZDIJZ (varstvo osebnih podatkov) organ prosilcu zavrne dostop do zahtevane informacije, če se zahteva nanaša na osebni podatek, katerega razkritje bi pomenilo kršitev varstva osebnih podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov.

Za obstoj opisane izjeme morata biti izpolnjena dva pogoja, in sicer:

1. podatek mora ustrezati definiciji osebnega podatka,
2. za razkritje osebnega podatka ne obstaja pravna podlaga (tj. da gre za varovan osebni podatek).

Uredba (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Uradni list Evropske unije, št. L 119 z dne 4. 5. 2106; v nadaljnjem besedilu Splošna uredba o varstvu podatkov)^[1], ki se v Republiki Sloveniji uporablja neposredno, v členu 4(1) določa, da je osebni podatek katera koli informacija v zvezi z določenim ali določljivim posameznikom (v nadaljnjem besedilu: posameznik, na katerega se nanašajo osebni podatki); določljiv posameznik je tisti, ki ga je mogoče neposredno ali posredno določiti, zlasti z navedbo identifikatorja, kot je ime, identifikacijska številka, podatki o lokaciji, spletni identifikator, ali z navedbo enega ali več dejavnikov, ki so značilni za fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto tega posameznika. Čeprav je organ v izpodbijani odločbi zapisal pravno dikcijo osebnega podatka, izkazovanja ni izpeljal do konca in ni navedel, katere podatke šteje za osebne podatke (vrsta osebnega podatka), zakaj jih šteje za osebne (kako jih je mogoče povezati z določenim ali določljivim posameznikom) in katere od teh osebnih podatkov šteje za varovane, ker zakonodaja ne omogoča njihovega razkritja. Zato njegovemu stališču, da gre pri zahtevanih dokumentih za varovane osebne podatke, IP ni mogel slediti.

Z vidika obdelave zdravstvenih podatkov, sama informacija o tem, da je določeno število zaposlenih (oz. oskrbovanih) v nekem organu ali drugi organizaciji okuženo (brez drugih podatkov) ne pomeni obdelave osebnih podatkov, saj brez drugih dodatnih podatkov tak posameznik ni določljiv. IP je tudi sicer že večkrat v svojih mnenjih (npr. mnenje, št. 07120-1/2020/223 z dne 23. 3. 2020) izrazil stališče, da če gre za posredovanje statističnih podatkov (npr. širša lokacija, šola, organ, organizacija), na podlagi katerih posameznika ni mogoče enoznačno določiti, torej brez razkrivanja drugih podatkov o obolelih (npr. spol, starost, naslov, ulica, delovno mesto ipd.), potem sploh ne gre za obdelavo osebnih podatkov. Tudi glede varovanja statističnih podatkov oz. podatkov o aktivno okuženih v domovih za ostarele, je IP že odločal (npr. odločba, št. 090-111/2020/7 z dne 15. 7. 2020) in ugotovil, da pri dokumentih, ki vsebujejo statistične, številčne podatke o številu okuženih, ki ob izostanku drugih podatkov ne določajo posameznika, to pomeni, da ne ustrezajo definiciji osebnega podatka iz Splošne uredbe o varstvu podatkov. Podobno stališče je zavzel IP tudi v mnenju, št. 07121-1/2020/540 z dne 7. 4. 2020. [2]

Če bi tovrstni dokumenti kljub vsemu le vsebovali varovan podatek, pa se le ta izloči iz zahtevanega dokumenta in nato posreduje prosilcu, kot to zahteva 7. člen ZDIJZ, ki se glasi: »Če dokument ali njegov del le delno vsebuje informacije iz 5.a ali 6. člena tega zakona in jih je mogoče izločiti iz dokumenta, ne da bi to ogrozilo njihovo zaupnost, pooblaščena oseba organa izloči te informacije iz dokumenta ter seznani prosilca z vsebino oziroma mu omogoči ponovno uporabo preostalega dela dokumenta«. O tem, ali je informacije mogoče izločiti iz dokumenta ali ne, se organ ni opredelil, zato izpodbijane odločbe ni bilo mogoče preizkusiti. Če je organ ocenil, da bi bila z razkritjem podatkov, ki se nanašajo na 5 ali manj oseb, ogrožena njihova zaupnost, bi moral pojasniti tudi, zakaj ob prekritju teh delov zahtevanih dokumentov prosilca ne bi bilo mogoče seznaniti z vsebino preostalega dela dokumenta. Hkrati bi moral bolj določno pojasniti tudi, kako bi dostop do zahtevanih podatkov kazal na točno oz. določljivo osebo. Osebni podatek (npr. zdravstveno stanje) namreč ne more biti varovan že zgolj zaradi samega sebe, temveč le zato, ker je iz njega mogoče razbrati tudi identiteto posameznika ali posameznikovo lastnost, ki ga dela določljivega. Kako bi dostop do teh podatkov kazal na točno oz. določljivo osebo, organ ni pojasnil.

Ob sklicevanju na navedeno izjemo je treba upoštevati tudi, da zahtevanih informacij organ ne more odtegniti javnosti, če je javni interes glede njihovega razkritja močnejši od javnega interesa ali interesa drugih oseb za omejitev dostopa do zahtevane informacije (drugi odstavek 6. člena ZDIJZ). Organ v ničemer ni pojasnil svoje odločitve, zakaj je zavzel stališče, da zahtevani podatki niso podatki, ki bi bili v javnem interesu, na kar je v pritožbi opozoril tudi prosilec.

Ob skopi navedbi v izpodbijani odločbi, da s posredovanjem zahtevanih podatkov, obstaja možnost, razkritja poročevalskih enot, IP pripominja, da obravnavana zadeva ne zapade pod izjemo iz 4. točke prvega odstavka 6. člena ZDIJZ. Ta določa, da organ prosilcu zavrne dostop do zahtevane informacije, če se zahteva nanaša na podatek, katerega razkritje bi pomenilo kršitev zaupnosti individualnih podatkov o poročevalskih enotah skladno z zakonom, ki ureja dejavnost državne statistike. Varovanje informacij v sistemu državne statistike je urejeno v Zakonu o državni statistiki (ZDSta; Uradni list RS, št. 45/95 in 9/01). Bistvo izjeme varstva poročevalskih enot je zagotavljanje zaupnosti individualnih podatkov o poročevalskih enotah, kadar gre za opravljanje statističnega raziskovanja skladno z določbami ZDSta. Predmetna izjema se torej nanaša na poročevalske enote, ki so, skladno z 4. členom ZDSta, nosilci uradnih in drugih administrativnih zbirk podatkov (evidence, registri, baze podatkov itd.) ter fizične in pravne osebe, ki so s programom statističnih raziskovanj določeni kot dajalci podatkov Statističnemu uradu RS. Tako pridobljenih podatkov Statistični urad ne sme posredovati drugim uporabnikom podatkov v obliki oz. na način, ki omogoča identifikacijo poročevalske enote, na katero se podatki nanašajo. V obravnavani zadevi zahtevani podatki ne predstavljajo podatkov poročevalskih enot Statističnemu uradu, ampak gre za podatke, ki jih zbira organ in jih kot take posreduje na splet oziroma drugim organom (npr. Vladi RS). Pogoji za obstoj izjeme po 4. točki prvega odstavka 6. člena ZDIJZ tako niso bili izkazani.

Ker pomanjkljiva obrazložitev, ki ostane zgolj na deklaratorni ravni in ne omogoča preizkusa, predstavlja bistveno kršitev postopka po 7. točki drugega odstavka 237. člena ZUP, je IP na podlagi tretjega odstavka 251. člena ZUP izpodbijano odločbo odpravil in zadevo vrnil prvostopenjskemu organu v ponovni postopek. IP je dolžan spoštovati temeljna načela upravnega postopka, zato mora upoštevati tudi načelo ekonomičnosti postopka iz 14. člena ZUP in postopek voditi hitro, kar pomeni s čim manjšo zamudo za stranke in druge udeležence v postopku, vendar tako, da se preskrbi vse, kar je potrebno, da se lahko ugotovi dejansko stanje, zavarujejo pravice in pravne koristi stranke ter izda zakonita in pravilna odločba. To pa bo najlažje dosegel prav prvostopenjski organ, ker se zahteva prosilca nanaša na podatke, ki so del dokumentacije organa.

Skladno s tretjim odstavkom 251. člena ZUP mora organ druge stopnje, kadar odpravi izpodbijano odločbo in zadevo vrne organu prve stopnje v ponovni postopek, s svojo odločbo opozoriti organ prve stopnje, glede česa je treba dopolniti postopek. V ponovljenem postopku mora organ izvesti celovit ugotovitveni postopek, v katerem mora za konkretno zahtevane dokumente ugotoviti, ali lahko dostop do njih zavrne zaradi obstoja izjem po 5.a in 6. členu ZDIJZ in v katerih delih. Ob sklicevanju na obstoj izjem po ZDIJZ IP opozarja, da mora organ pri tem v celoti upoštevati pogoje, ki morajo biti za posamezno izjemo izpolnjeni ter zatrjevano izjemo in concreto izkazati. Če bo organ ugotovil, da zahtevani dokument vsebuje katero od izjem po določbah 5.a in 6. člena ZDIJZ, mora nujno oceniti, ali je mogoče uporabiti institut delnega dostopa po 7. členu ZDIJZ in prosilcu, če je to mogoče, omogočiti delni dostop do zahtevanih dokumentov oz. pojasniti, zakaj delni dostop ni izvedljiv. Določba 7. člena ZDIJZ določa, da če dokument ali njegov del le delno vsebuje varovane informacije in jih je mogoče izločiti iz dokumenta, ne da bi to ogrozilo njegovo zaupnost, pooblaščena oseba organa izloči te informacije iz dokumenta ter seznani prosilca z vsebino preostalega dela dokumenta. To v povezavi z načelom odprtosti delovanja javnih organov, ki je opredeljen v 2. členu ZDIJZ, pomeni, da je dolžnost organa, da institut delnega dostopa uporabi vedno, razen če to po kriterijih iz 19. člena Uredbe o posredovanju in ponovni uporabi informacij javnega značaja (Uradni list RS, št. 24/16; v nadaljnjem besedilu Uredba) ne bi bilo izvedljivo, oz. ko (in če) delno razkritje ne bi ogrozilo zaupnosti varovanih informacij. Določba 19. člena Uredbe namreč določa, da če dokument ali njegov del le delno vsebuje informacije iz 5.a in 6. člena ZDIJZ, se šteje, da jih je mogoče izločiti iz dokumenta, ne da bi to ogrozilo njegovo zaupnost, če jih je mogoče fizično odstraniti, prečrtati, trajno prekriti ali drugače napraviti nedostopne, če gre za dokument v fizični obliki; zbrisati kodirati, blokirati, omejiti oziroma drugače napraviti nedostopne, če gre za dokument v elektronski obliki (prvi odstavek). Ne glede na zapisano se šteje, da informacije iz dokumenta ni mogoče izločiti, če bi bilo tako izločeno informacijo mogoče razbrati iz drugih informacij v dokumentu (drugi odstavek). V izreku odločbe morajo biti jasno navedeni dokumenti, ki so predmet presoje, in navedbe, v katerem delu se prekrijejo informacije, ki predstavljajo izjemo od prostega dostopa po ZDIJZ. Takšen izrek omogoča določljivost in izvršljivost, ki zadosti zakonskim normam in pravni varnosti, do katere je prosilec upravičen.

Na podlagi vsega navedenega je IP zaključil, da je pritožba utemeljena, ker je organ storil bistveno kršitev pravil postopka. Ker je IP ocenil, da bo pomanjkljivosti postopka hitreje in bolj ekonomično odpravil organ prve stopnje, je na podlagi tretjega odstavka 251. člena ZUP, skladno z razlogi, navedenimi v obrazložitvi te odločbe, izpodbijano odločbo odpravil in zadevo vrnil v ponovno odločanje prvostopenjskemu organu, kot izhaja iz 1. točke izreka te odločbe. Organ mora o zadevi odločiti najpozneje v tridesetih (30) dneh od prejema te odločbe, pri čemer mora upoštevati napotke IP, ki so podani v tej odločbi.

Posebni stroški v tem postopku niso nastali. Ta odločba je skladno s 30. točko 28. člena Zakona o upravnih taksah (Uradni list RS, št. 106/10 – UPB, 14/15 – ZUUJFO, 84/15 – ZZelP-J, 32/16 in 30/18 – ZKZaš) oproščena plačila upravne takse.

Pouk o pravnem sredstvu:

Zoper to odločbo ni dovoljena pritožba, niti upravni spor.

Postopek vodila:

Karolina Kušević, univ. dipl. prav.,

svetovalka IP

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka

[1] Glej tudi Popravek Splošne uredbe o varstvu podatkov (Uradni list EU, št. L 127 z dne 23. 5. 2018).

[2] Vse odločbe in mnenja IP so dostopni na spletni strani IP https://www.ip-rs.si/ z iskalnikom po odločbah oz. mnenjih.