Rok za arhiviranje kartic prve pomoči

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Navajate, da Rdeči križ Slovenije (RKS) vsem kandidatom, ki uspešno opravijo izpit prve pomoči za voznika, pošlje kartico, ki velja trajno. Kartico pošlje priporočeno po pošti, o čemer so vsi kandidati, ki uspešno zaključijo izpit, tudi obveščeni, prav tako so naknadno pisno obveščeni z obvestilom Pošte Slovenije o priporočeni pošiljki. Dogaja pa se, da nekateri kandidati, ki so uspešno zaključili izpit iz prve pomoči, pošiljke ne dvignejo in se ta posledično vrne izdajatelju, torej Območnemu združenju RKS. Ker v Pravilniku o usposabljanju in izpitu iz prve pomoči za kandidate za voznike motornih vozil ter pogojih, ki jih mora izpolnjevati pooblaščena organizacija v primeru izvajanja usposabljanj iz prve pomoči (Uradni list RS, št. 61/18), ni določeno arhiviranje kartic, sprašujete, kako ravnati s posameznimi primeri in kako arhivirati te kartice (rok arhiviranja) prve pomoči.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Rdeči križ Slovenije vodi evidenco vseh oseb, ki so opravile izpit iz prve pomoči. Ta evidenca vsebuje naslednje podatke: ime in priimek kandidata, datum in kraj rojstva kandidata, datum opravljanja izpita, številka in datum potrdila in podpis predsednika komisije.

IP ni pristojen presojati, ali obstaja dolžnost arhiviranja kartic prve pomoči oziroma kako ravnati v primeru, da posameznikom le-te niso vročene.

O b r a z l o ž i t e v:

IP poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. V okviru tega mnenja vam zato ne moremo svetovati, kako ste v konkretnem primeru dolžni ravnati, temveč vam z vidika varstva osebnih podatkov pojasnjujemo, kakšne obveznosti imate po Splošni uredbi o varstvu podatkov.

IP pojasnjuje, da Splošna uredba o varstvu podatkov v zvezi s shranjevanjem osebnih podatkov v točki (e) člena 5(1) opredeljuje t.i. načelo omejitve shranjevanja osebnih podatkov. Skladno s tem načelom so osebni podatki hranjeni v obliki, ki dopušča identifikacijo posameznikov, na katere se nanašajo osebni podatki, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo; za daljše obdobje pa se lahko shranjujejo le, če bodo obdelani zgolj za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinsko-raziskovalne namene ali statistične namene v skladu s členom 89(1), pri čemer je treba izvajati ustrezne tehnične in organizacijske ukrepe iz te uredbe, da se zaščitijo pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki. Navedeno je treba razlagati skupaj s (c) točko člena 5(1) Splošne uredbe o varstvu podatkov (načelo najmanjšega obsega podatkov), ki določa, da morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Zakon o Rdečem križu Slovenije (Uradni list RS, št. 7/93 in 79/10; v nadaljevanju ZRKS) v 11. členu določa, da Rdeči križ Slovenije vodi med drugim zbirko podatkov o osebah, ki opravljajo izpit iz prve pomoči. Iz 12. člena ZRKS izhaja, da Rdeči križ Slovenije te podatke shranjuje in uporablja le toliko časa, kot je to potrebno za dosego namena, zaradi katerega so bili zbrani. Po izpolnitvi namena obdelave se morajo torej osebni podatki izbrisati, uničiti, blokirati ali anonimizirati, če niso na podlagi zakona, ki ureja arhivsko gradivo in arhive, opredeljeni kot arhivsko gradivo, oziroma če zakon za posamezne vrste osebnih podatkov ne določa drugače. IP ob tem poudarja, da je dolžnost vsakega upravljavca, da sam presodi, kdaj je namen obdelave osebnih podatkov izpolnjen oziroma ali mora določene podatke tudi po izteku prvotnega namena morda hraniti na kateri drugi pravni podlagi, kot je bila prvotna

Pravilnik o usposabljanju in izpitu iz prve pomoči za kandidate za voznike motornih vozil ter pogojih, ki jih mora izpolnjevati pooblaščena organizacija v primeru izvajanja usposabljanj iz prve pomoči (Uradni list RS, št. 61/18; v nadaljevanju Pravilnik) v tretjem odstavku 7. člena določa, da o opravljenem izpitu iz prve pomoči območna organizacija Rdečega križa ali drugi izvajalec usposabljanja iz četrtega odstavka 2. člena tega pravilnika izda potrdilo. Skladno s četrtim odstavkom istega člena takšno potrdilo vsebuje:

-       ime in priimek kandidata,

-       datum in kraj rojstva kandidata,

-       datum opravljanja izpita,

-       številka in datum potrdila in

-       podpis predsednika komisije.

Skladno z 8. členom Pravilnika Rdeči križ Slovenije vodi evidenco vseh oseb, ki so opravile izpit iz prve pomoči. Ta evidenca vsebuje podatke iz četrtega odstavka prejšnjega člena.

IP pojasnjuje, da hramba ter arhiviranje potrdil oziroma kartic o uspešno opravljenem izpitu iz prve pomoči, ki jih posamezniki ne prevzamejo, predstavlja obdelavo osebnih podatkov, za kar se uporabljajo pravila varstva osebnih podatkov. Pravna podlaga za obdelavo osebnih podatkov, ki jih vsebuje evidenca oseb, ki so opravile izpit iz prve pomoči, ter tudi potrdilo oziroma kartica prve pomoči, izhaja iz zgoraj navedenih določb ZRKS in Pravilnika. Vendar pa IP ni pristojen za podajanje konkretnih navodil o tem, kako z njimi ravnati v primeru, da posameznikom niso vročene in so vrnjene izdajatelju (npr. poskus ponovne vročitve, nadaljnja hramba, uničenje in izdaja dvojnika na zahtevo, arhiviranje). Varstvo dokumentarnega in arhivskega gradiva je urejeno v Zakonu o varstvu dokumentarnega in arhivskega gradiva ter arhivih (Uradni list RS, št. 30/06 in 51/14), ki ne spada v pristojnost IP. Zato vam svetujemo, da na Arhivu RS preverite vaše dolžnosti glede morebitnega arhiviranja izdanih kartic prve pomoči.

Ob tem IP opozarja še na dolžnosti, ki jih ima upravljavec osebnih podatkov v zvezi z varnostjo obdelave iz člena 32 Splošne uredbe oziroma zavarovanjem osebnih podatkov iz 24. in 25. člena ZVOP-1. Upravljavec mora namreč sprejeti in izvajati ustrezne postopke in ukrepe varnosti oziroma zavarovanja osebnih podatkov, ki jih predvidevajo določbe navedenih členov. Več o tem si lahko preberete v smernicah IP o zavarovanju osebnih podatkov, ki so dostopne na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenk