Obdelava osebnih podatkov pri HAG testiranju

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 16. 11. 2021 s strani TIRS prejeli vaša vprašanja:

1. ali drži, da mora vsak izvajalec HAG testiranja pacientu zagotoviti potrdilo o rezultatu s QR kodo. Tako naj bi bilo določeno v Odloku o začasnih ukrepih za preprečevanje in obvladovanje okužb z nalezljivo boleznijo COVID-19, vam pa se je zgodilo, da ste pri enem od izvajalecv prejeli le navadno potrdilo;
2. ali je dovoljeno, da izvajalec testiranja fotografira vašo zdravstveno izkaznico, saj vam niso ponudili privolitve;
3. ali je prav, da ste prejeli potrdilo tudi po elektronski pošti, in sicer nešifrirano.

Vaš dopis je bil, poleg IP, odstopljen tudi Ministrstvu za zdravje.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Pri tem še pojasnjujemo, da se lahko do konkretnih primerov obdelave osebnih podatkov dokončno opredelimo le v morebitnem inšpekcijskem postopku. 

1. Vaše prvo vprašanje se ne nanaša na področje varstva osebnih podatkov, zato za odgovor na to vprašanje žal nismo pristojni.

2. Dopustnost fotografiranja zdravstvene izkaznice s strani izvajalca testiranja je odvisna od konkretnega namena oziroma razlogov za to. Taka praksa sama po sebi in v vseh primerih ni nedopustna, ker je izvajalec upravičen do seznanitve z nekaterimi osebnimi podatki pacienta (brez posebne privolitve), eden od pogojev za zakonitost pa je takojšnje uničenje fotografij po dosegu namena uporabe ter nasploh tehnično varno upravljanje s fotografijami. Zato vam predlagamo, da se – s sklicevanjem na pravico do seznanitve z lastnimi osebnimi podatki iz 15. člena Splošne uredbe o varstvu podatkov – najprej obrnete na izvajalca z zahtevo za pridobitev informacije o tem, kateri osebni podatki iz vidnega dela kartice se obdelujejo, o konkretnem namenu fotografiranja oziroma uporabi fotografij, o uporabnikih podatkov in o roku hrambe fotografij. V primeru suma na neustrezno obdelavo fotografij, lahko pri IP vložite inšpekcijsko prijavo.

3. Za posredovanje podatkov o zdravstvenem stanju (kamor spada tudi pozitiven ali negativen rezulat testa) po e-pošti še vedno velja zahteva po kriptiranju vsebine, kot to določa drugi odstavek 14. člena ZVOP-1.

O b r a z l o ž i t e v:

Sklicujemo se na vrsto že objavljenih mnenj (spletna stran IP) s področja kriptiranja e-sporočil, zagotavljanja varnosti podatkov, pridobivanja in uporabe osebnih podatkov v zdravstvu in privolitve. Glede uporabe kartice ZZ pa si lahko ogledate tudi mnenje št. 07121-1/2021/2046. O pravici do seznanitve z lastnimi osebnimi podatki so prav tako na voljo pojasnila: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka