Ultrazvočne slike za namen izdelave presonaliziranih spominkov

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede načrtovane obdelave fotografij oziroma skenov natisnjenih ultrazvočnih slik za namen izdelave personaliziranih 3D-tiskanih spominkov. Storitev bi tržili v Sloveniji in drugih državah članicah EU.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1 in 10/26 – ZP-1L, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP pojasnjuje, da ultrazvočna slika, ki jo je mogoče povezati z določenim ali določljivim posameznikom, predstavlja osebni podatek, pri čemer gre zaradi informacij o zdravstvenem stanju za posebno vrsto osebnih podatkov. Za njeno obdelavo je zato treba zagotoviti ustrezno pravno podlago po 6. členu Splošne uredbe in izpolniti enega od pogojev iz 9. člena Splošne uredbe. V konkretnem primeru bi bila ob izpolnjenih vseh pogojih lahko ustrezna kombinacija pravne podlage za izvajanje pogodbe in izrecne privolitve za obdelavo podatka o zdravju.

Glede na opisano obdelavo IP ocenjuje, da izvedba ocene učinka v zvezi z varstvom osebnih podatkov pred začetkom obdelave verjetno ni potrebna. Upravljavec mora zagotoviti opisano zakonitost obdelave, ustrezno obveščanje posameznikov, varnost obdelave ter upoštevati načelo omejitve hrambe osebnih podatkov.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven nadzornih ali drugih postopkov presojati konkretnih obdelav osebnih podatkov. Prav tako presoja oziroma vnaprejšnja odobritev storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi, ne sodi v pristojnost IP. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti predvidene storitve in z njo povezane obdelave osebnih podatkov, ki ste jo na kratko opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

Pojem osebnega podatka

IP najprej pojasnjuje, da osebni podatek v skladu s 4. členom Splošne uredbe pomeni katerokoli informacijo v zvezi z določenim ali določljivim posameznikom. Določljiv posameznik je oseba, ki jo je mogoče neposredno ali posredno identificirati, zlasti z navedbo imena, identifikacijske številke, podatkov o lokaciji, spletnega identifikatorja ali enega ali več dejavnikov, značilnih za njeno fizično, fiziološko, genetsko, duševno, gospodarsko, kulturno ali družbeno identiteto. V skladu s členom 4(15) Splošne uredbe pa so »podatki o zdravstvenem stanju« osebni podatki, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju. Uvodna izjava 35 Splošne uredbe pojem osebnih podatkov v zvezi z zdravjem dodatno opredeljuje in med drugim zajema informacije, pridobljene s preiskavo dela telesa ali telesne snovi, ne glede na njihov vir. Pri presoji ni odločilno, ali gre za izvorni zdravstveni zapis, sliko ali njegovo reprodukcijo. Odločilna je vsebina informacije in možnost povezave z določenim posameznikom. Če razkriva informacije o zdravstvenem stanju določenega oziroma določljivega posameznika (npr. nosečnost), predstavlja podatek o zdravju v smislu člena 4(15) Splošne uredbe.

Odstranitev imena, datuma rojstva in drugih neposrednih identifikatorjev z ultrazvočne slike lahko zmanjša možnost identifikacije, vendar samo po sebi še ne pomeni nujno, da je podatek anonimiziran. Če je mogoče sliko povezati z naročilom, naročnikom ali drugimi informacijami, s katerimi razpolaga upravljavec, bo še vedno šlo za osebni podatek.

Pravne podlage za obdelavo osebnih podatkov

IP splošno pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov (npr. privolitev, izvajanje pogodbe, zakonska obveznost). V primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi podatki o zdravstvenem stanju, pa mora biti izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe.

Da bi v vašem zaprosilu za mnenje opisana obdelava osebnih podatkov dopustna, bi morali tako zagotoviti ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe (za obdelavo osebnih podatkov za izvedbo storitve se zdi najprimernejša podlaga iz 6(1)(b) Splošne uredbe (izvajanje pogodbe), za nadaljnjo hrambo določenih osebnih podatkov zaradi zahtev davčne zakonodaje podlaga iz 6(1)(c) Splošne uredbe (zakonska obveznost) ter za nadaljnjo hrambo potrebnih osebnih podatkov zaradi morebitnih reklamacij ali sodnih postopkov podlaga iz 6(1)(f) Splošne uredbe (zakoniti interes upravljavca)). Za obdelavo posebnih vrst osebnih podatkov, kot so podatki v zvezi z zdravjem (ultrazvok nerojenega otroka), pa mora biti hkrati izpolnjen eden izmed posebnih pogojev iz drugega odstavka 9. člena Splošne uredbe.

V zvezi z obdelavo osebnih podatkov posameznika za izvajanje pogodbe je potrebno poudariti, da mora obdelava biti potrebna za izvajanje pogodbe. To v praksi pomeni, da vaše podjetje ne more nadaljevati izvajanje pogodbe ali storitve brez zadevnih osebnih podatkov. Ta pravna podlaga se lahko uporablja tudi za nekatera dejanja, povezana s pogodbeno garancijo in za nekatera dejanja, ki jih je mogoče razumno predvideti in so potrebna v običajnem pogodbenem razmerju, kot so pošiljanje uradnih opominov o neporavnanih plačilih ali popravljanje napak ali zamud pri izvajanju pogodbe. Za obdelavo ultrazvočne slike oziroma njene reprodukcije pa, kot omenjeno zgoraj, ni dovolj, da je obdelava objektivno potrebna za izvedbo pogodbe v smislu člena 6(1)(b) Splošne uredbe, temveč morate zagotoviti tudi ustrezno podlago za obdelavo posebnih kategorij osebnih podatkov iz 9(2) člena Splošne uredbe. To izrecno izhaja tudi iz Smernic Evropskega odbora o varstvu podatkov o obdelavi osebnih podatkov (EDPB) na podlagi člena 6(1)(b) Splošne uredbe v okviru zagotavljanja spletnih storitev¹. V točki 21 Smernic EDPB opozarja na prejšnje stališče Delovne skupine 29, da člen 9(2) Splošne uredbe med izjemami od prepovedi ne priznava obdelave »potrebne za izvajanje pogodbe« in da je zato treba v takšnih primerih iskati ustrezno izjemo iz člena 9(2)(b) do (j). Če se ne uporablja nobena od izjem iz točk od (b) do (j), pridobitev izrecne privolitve v skladu s pogoji za veljavno privolitev v Splošni uredbi ostaja edina mogoča zakonita izjema za obdelavo takih podatkov. Iz smernic EDPB torej izhaja, da je v določenih primerih lahko tudi izrecna privolitev primerna podlaga za obdelavo občutljivih osebnih podatkov, ko ni mogoče uporabiti nobene od izjem iz točk (b) do (j), njihova obdelava pa je potrebna za izvajanje pogodbe. Pri tem pa je potrebno posebno pozornost nameniti pogojem za veljavnost privolitve iz 7. člena Splošne uredbe. Privolitev mora biti prostovoljna, konkretna, informirana in nedvoumna, pri obdelavi posebnih vrst osebnih podatkov (torej tudi zdravstvenih osebnih podatkov) pa tudi izrecna. Izraz izrecen se nanaša na način, kako posameznik, na katerega se nanašajo osebni podatki, izrazi privolitev. To pomeni, da mora posameznik, na katerega se nanašajo osebni podatki, dati izrecno izjavo o privolitvi. Podrobnejša pojasnila o veljavnosti privolitve kot podlage za obdelavo osebnih podatkov so na voljo v smernicah EDPB². Dodatna pojasnila o obdelavi osebnih podatkov na podlagi člena 6(1)(f) Splošne uredbe pa lahko najdete v Smernicah Evropskega odbora o varstvu podatkov o obdelavi osebnih podatkov na podlagi člena 6(1)(f) Splošne uredbe (različica za javno posvetovanje)³.

V opisanem primeru je pomembna okoliščina, da je fotografija oziroma sken ultrazvočne slike po vaših navedbah objektivno potreben za izdelavo naročenega izdelka. Zato dejstvo, da brez slike storitve ni mogoče izvesti, samo po sebi še ne pomeni, da je privolitev nujno neprostovoljna. Odločilno je, ali je zahtevana obdelava dejansko potrebna za izvedbo konkretne storitve. Glede na navedeno bi bila predlagana kombinacija člena 6(1)(b) in člena 9(2)(a) Splošne uredbe načeloma lahko ustrezna, če so izpolnjeni vsi pogoji iz navedenih določb in če se izrecna privolitev nanaša samo na konkretno opredeljeno obdelavo, ki je za izvedbo storitve potrebna. Privolitev mora biti mogoče kadar koli preklicati, pri čemer mora biti posamezniku pojasnjeno, kakšne so posledice preklica glede že sklenjene oziroma še neizvedene pogodbe.

Ocena učinka v zvezi z varstvom podatkov

IP pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena. Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po četrtem odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani. IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama.

Več informacij o sami izdelavi ocene učinka je na voljo v smernicah, ki jih je pripravil IP in so dostopne na spletni strani IP.

Na podlagi opisa, ki ste ga posredovali, IP meni, da v konkretnem primeru verjetno ne gre za obdelavo, ki bi imela pomembne posledice na varstvo osebnih podatkov in glede katere bi bilo glede na določbe Splošne uredbe potrebno, da se pred obdelavo podatkov opravi ocena učinka na varstvo osebnih podatkov. Iz vašega opisa izhaja, da gre za posameznega ponudnika, omejeno število posameznikov, kratko obdobje hrambe, lokalno obdelavo, brez sistematičnega profiliranja, povezovanja zbirk ali posredovanja podatkov tretjim osebam. IP sicer poudarja, da je presoja potrebe po oceni učinka odgovornost upravljavca.

Obveščanje posameznikov

IP posebej opozarja, da pomemben in pogosto zapostavljen vidik predstavlja tudi obveščanje posameznikov o obdelavi osebnih podatkov. Zadevnim posameznikom morate ob zbiranju njihovih osebnih podatkov zagotoviti informacije v skladu z zahtevami 13. in 14. člena Splošne uredbe. Navedene informacije morajo biti čim bolj jasne, pregledne in posameznikom razumljive ter lahko dostopne. IP je za pomoč upravljavcem pri obveščanju posameznikov glede obdelave osebnih podatkov pripravil vzorca obvestila posameznikom po 13. (kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki) oziroma 14. členu (kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo) Splošne uredbe, ki ju lahko najdete na https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Varnost obdelave

Ob tem mora upravljavec poskrbeti tudi za ustrezno varnost obdelave in zavarovanje samih zbirk osebnih podatkov. Gre za organizacijske in tehnične ukrepe, ki jih določa Splošna uredba v 24., 25. in 32. členu.

23. člen ZVOP-2 se uporablja za določene posebej opredeljene informacijske sisteme, med drugim za sisteme, v katerih se izvajajo obdelave osebnih podatkov na področjih, posebej navedenih v zakonu, za določene obsežne obdelave oziroma kadar upravljavec ali obdelovalec kot temeljno dejavnost izvaja obsežne obdelave posebnih vrst osebnih podatkov oziroma se obdelujejo posebne vrste osebnih podatkov več kot 10.000 posameznikov. Iz opisa načrtovane obdelave ne izhaja, da bi bili izpolnjeni navedeni pogoji za uporabo posebnega režima iz 23. člena ZVOP-2.

Dodatne informacije v zvezi z zavarovanjem osebnih podatkov so na voljo v smernicah IP, ki so dostopne na spletni strani IP.

Roki hrambe

Načelo omejitve shranjevanja iz člena 5(1)(e) Splošne uredbe zahteva, da so osebni podatki shranjeni v obliki, ki dopušča določitev posameznikov, na katere se nanašajo, le toliko časa, kolikor je potrebno za namene, za katere se osebni podatki obdelujejo.

Predlagani 30-dnevni rok hrambe ultrazvočne slike in iz nje izdelanih vmesnih datotek je glede na opis namena – možnost ponovne izdelave izdelka v okviru reševanja reklamacije – načeloma lahko združljiv z načelom omejitve shranjevanja. Enako velja glede petletnega roka hrambe podatkov o naročilu (ime, naslov, vsebina naročila, korespondenca). Če je določene podatke treba hraniti zaradi izpolnjevanja zakonske obveznosti, se njihova hramba presoja na podlagi te zakonske obveznosti. Pri računovodskih oziroma davčnih podatkih je zato treba upoštevati roke, ki jih določajo davčni in računovodski predpisi.

Lepo vas pozdravljamo.

Pripravila:
Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, 
informacijska pooblaščenka

¹ Smernice 2/2019 o obdelavi osebnih podatkov na podlagi člena 6(1)(b) Splošne uredbe o varstvu podatkov v okviru zagotavljanja spletnih storitev posameznikom, na katere se nanašajo osebni podatki, različica 2.0, 8. Oktober 2019, dostopne na spletni strani.

² Smernice št. 05/2020 o privolitvi na podlagi Uredbe 2016/679, različica 1.1, 4. maj 2020, dostopne na spletni strani.

³ Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, verzija 1.0, 8. oktober 2024, dostopne na spletni strani.