Uporabniki zbirke podatkov eRCO

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 18. 10. 2022 prejeli vaše vprašanje o tem, kdo vse je upravičen do vpogleda v bazo cepljenih, razen NIJZ. Zanimajo vas institucije in osebe.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Pojasnjujemo še, da se lahko IP dokončno opredeli do konkretnih primerov obdelave osebnih podatkov le v morebitnem inšpekcijskem postopku.

IP ne more izčrpno našteti vseh možnih zunanjih uporabnikov zbirke podatkov eRCO (elektronski register cepljenih oseb), ker so to vsi, ki imajo podlago v področnih zakonih. Primer rednih zunanjih uporabnikov so vsi izvajalci zdravstvene dejavnosti, ki podatke potrebujejo za zagotavljanje zdravstvene oskrbe pacientov. Primeri izrednih zunanjih uporabnikov so policija, sodišča, državna tožilstva ter izvajalci strokovnega in drugih oblik nadzora v zdravstvu, če v posamičnih primerih podatke potrebujejo za izvajanje njihovih pristojnosti, kar se presoja v vsakem primeru posebej.

Informacije o uporabnikih bi moral pacientom proaktivno zagotavljati NIJZ v skladu z določbami 13. in 14. člena Splošne uredbe o varstvu podatkov.

Če NIJZ teh informacij ne zagotavlja ali če zagotavlja le informacije o splošnih kategorijah uporabnikov, lahko pri NIJZ vložite zahtevo za seznanitev s konkretnimi uporabniki osebnih  podatkov pod pogojem, da se v eRCO nahajajo tudi vaši osebni podatki.

O b r a z l o ž i t e v:

Zakon o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ) v prilogi I pod št. NIJZ 49 (»register obveznikov za cepljenje in izvajanja cepljenja«) ter pod št. 51 (»register stranskih pojavov po cepljenju«) ne določa zunanjih uporabnikov osebnih podatkov. Zato so to lahko vsi tisti, ki imajo podlago v nekem področnem zakonu. Za izvajalce zdravstvene dejavnosti je podlaga v četrti alineji šestega odstavka 44. člena ZPacP (ta določa splošno podlago za uporabo zdravstvenih podatkov) in v tretjem odstavku 14.b člena ZZPPZ (ta določa namene uporabe podatkov v CRPP). Izvajalci zdravstvene dejavnosti namreč do podatkov v eRCO praviloma dostopajo prek Centralnega registra podatkov o pacientih (CRPP).

Kot izredni uporabniki lahko nastopajo različni državni organi in druge organizacije, ki izvajajo določene oblastne funkcije, saj imajo v področnih zakonih praviloma določeno podlago za dostop do podatkov, ki so v posamičnih primerih potrebni za izvajanje zakonitih pristojnosti, kar lahko vključuje tudi podatke iz eRCO. Gre za posamične dostope do podatkov na zahtevo, torej ne z neposrednim elektronskim dostopom do eRCO.

Seznam konkretnih oseb – posameznikov npr. zaposlenih, ki v imenu zakonitega uporabnika dostopajo do podatkov, ni javen in ga upravljavec ni dolžan zagotavljati pacientom. Te posameznike lahko IP identificira le v okviru inšpekcijskega postopka, če bi se postopek vodil npr. zaradi suma nezakonite uporabe podatkov.

Splošna uredba o varstvu podatkov vsem upravljavcem nalaga, da posameznike, katerih osebne podatke obdeluje, informira o pomembnih vidikih obdelave njihovih osebnih podatkov. Sem spadajo tudi informacije o »uporabnikih ali kategorijah uporabnikov« po (e) točki prvega odstavka 13. člena in po (e) točki prvega odstavka 14. člena.

Če teh informacij ni na voljo ali če javno objavljeni podatki o uporabnikih ne zadoščajo, lahko pri NIJZ vložite zahtevo za seznanitev z lastnimi osebnimi podatki iz 15. člena Splošne uredbe o varstvu podatkov. Ta pravica vključuje tudi pravico do pridobitve informacij o konkretnih zunanjih uporabnikih. Zahtevo lahko vložite tudi na obrazcu, ki je odstopen na spletni strani IP pod zavihkom »obrazci«. V primeru upravljavčevega molka ali zavrnitve lahko pri IP vložite pritožbo.  

Prijazen pozdrav,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka