Hramba dokumentacije v zvezi s COVID-19

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede hrambe dokumentacije o obdelavi osebnih podatkov posameznikov v zvezi s COVID-19.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa izven konkretnih inšpekcijskih postopkov presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Glede na številne vsakodnevne spremembe predpisov v zvezi z ukrepi za zamejevanje širjenja virusa COVID-19 IP opozarja, da je mnenje pripravljeno glede na predpise, ki so veljali v času priprave mnenja. Vsak zavezanec pa je dolžan sproti preverjati konkretne obveznosti, ki veljajo zanj.

IP uvodoma pojasnjuje, da je že večkrat poudaril, da lahko zbiranje, obdelovanje, namen uporabe, nadzor in varstvo tajnosti osebnih podatkov glede na določbe Ustave RS določa le zakon. Ker obdelava osebnih podatkov v zvezi s COVID-19 pomeni poseg v pravico do zasebnosti, te ni dopustno urejati s podzakonskim aktom (npr. vladnim odlokom), kot je to trenutno urejeno v praksi. Odloka Vlade RS, ki seveda ni zakon, torej ni mogoče šteti za pravno podlago za obdelavo posebnih vrst osebnih podatkov, zaradi česar IP sploh ne more komentirati načina izvrševanja takšnega odloka.

Glede roka hrambe dokumentacije, ki jo opisujete v vašem zaprosilu za mnenje, tako IP splošno pojasnjuje, da je pri njegovi določitvi treba upoštevati določila Splošne uredbe o varstvu podatkov, zlasti določbo (e) točke prvega odstavka 5. člena, ki določa, da morajo biti osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo. Navedeno je treba razlagati skupaj s (c) točko prvega odstavka 5. člena (načelo najmanjšega obsega podatkov), ki določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Rok hrambe je torej odvisen od namena obdelave. Ko se namen izpolni, takrat hramba podatkov ni več dopustna, če ni za to druge izrecne zakonske podlage.

IP sklepno ponavlja, da v okviru mnenja ne more presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Presoja glede zakonitosti obdelave oziroma obstoja pravne podlage za posamezno obdelavo in odgovornost zanjo je vedno na upravljavcu osebnih podatkov.

S spoštovanjem.

Pripravil:

Matej Sironič,                                                   

Svetovalec pooblaščenca

za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka