Vodenje zbirk podatkov v zvezi s preverjanjem pogoja PCT v bolnišnici

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je dne 6. 9. 2021 po elektronski pošti prejel vaše vprašanje o vodenju treh zbirk osebnih podatkov (za cepljene, testirane in prebolele) v zvezi z novim Odlokom o načinu izpolnjevanja pogoja prebolelosti, cepljenja in testiranja za zajezitev širjenja okužb z virusom SARS-CoV-2 (Ur. l. RS št. 142/21), po katerem morate v bolnišnici preverjati pogoje PCT. Priložili ste evidenco dejavnosti obdelave za zbirko cepljenih zaposlenih in zbirko podatkov za pripravo poročila za sledenje testiranju za covid -19. Zanima vas, ali je so te zbirke v redu in kako je z zbirko prebolelih. Zanima vas tudi, kako zadostiti 13. členu Splošne uredbe o varstvu podatkov (obveščanje posameznikov o obdelavi podatkov).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP ni pristojen za presojanje internih aktov upravljavcev izven inšpekcijskega postopka. 

Zgolj načelno in informativno ugotavljamo, da je pri zbirki cepljenih lahko vprašljiva navedena pravna podlaga (ni določen člen ZNB, ni določenega ustreznega zakona s področja delovnih razmerij, ni povezave na ustrezen predpis, ki zahteva preverjanje pogojev PCT, ZZPPZ pa velja le za paciente), rok hrambe (ta naj ne bi bil odvisen od formalno razglašene epidemije) in veliko število enakovrstnih podatkov, ki se zbirajo (EMŠO, KZZ in ID zaposlenega). Podobno velja za zbirko o testiranju, razen glede roka hrambe.

Poleg tega ni jasno, ali boste vodili vse planirane zbirke le za zaposlene, ali tudi za obiskovalce (svojce, poslovne partnerje itd.) in paciente. Možno je, da ločene zbirke za vse kategorije oseb niso smiselne. Vsebina zbirk in s tem evidence dejavnosti obdelave je odvisna tudi od tega, kako boste preverjali izpolnjevanje pogoja PCT (izjava, vpogled v EU potrdilo, vpogled v kakšen drug dokaz ...) in od odgovora na vprašanje, ali je res za vse kategorije oseb potrebno vedeti natančno oz. konkretno, kateri od pogojev je izpolnjen. 

Obveščanje po 13. in 14. členu Splošne uredbe ni del evidence dejavnosti obdelave oz. je z njo posredno povezano, konkretnega vprašanja pa niste postavili. Odločitev o tem, kako bodo posamezniki obveščeni, je v rokah upravljavca (npr. spletne strani, oglasna deska, informativni letaki, pojasnila na sporočilih, vabilih in drugih dokumentih, ki jih posamezniki redoma prejemajo od bolnišnice ali jih izpolnjujejo, ali opozorila iz drugega odstavka 7. člena Odloka). Vsebina obvestil pa mora biti skladna z evidenco dejavnosti obdelave.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

                                                                                               Mojca Prelesnik, univ. dipl. prav.                                                 

                                                                                                    informacijska pooblaščenka