Pridobivanje soglasja staršev za posredovanje podatkov otrok zdravstvenemu zavodu

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za odgovor na vprašanje, ali je potrebno, da zavod (v konkretnem primeru  …) od staršev pridobiva soglasje za posredovanje osebnih podatkov otrok zdravstvenemu zavodu za namen izvajanja sistematičnih pregledov in obveznih cepljenj glede na to, da šolska zakonodaja tega ne predpisuje. Med drugim navajate, da je bila na ………… podana pobuda za OŠ … iz katere izhaja, da vodstvo osnovne šole zdravstvenemu zavodu ne sporoča popolnega seznama otrok, ki bi morali biti pregledani (sistematični pregled in obvezna cepljenja).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Za vsako obdelavo osebnih podatkov je treba imeti zakonito in ustrezno pravno podlago (tako po ZVOP-1 kot po Splošni uredbi o varstvu podatkov). Splošna uredba o varstvu podatkov določa pravne podlage v prvem odstavku člena 6:

»Obdelava je zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a) posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b) obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c) obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d) obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e) obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f) obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«

Izbira ustrezne pravne podlage za obdelavo osebnih podatkov, upoštevajoč konkretne okoliščine in namen obdelave, je obveznost upravljavca (v konkretnem primeru zavoda oziroma osnovne šole ………). IP poudarja, da je za zakonitost obdelave dovolj, da je izpolnjena ena od samostojnih pravnih podlag, ki jih določa člen 6 Splošne uredbe.

Privolitev je zgolj ena od pravnih podlag za zakonito obdelavo osebnih podatkov in če upravljavec osebnih podatkov razpolaga s katerokoli drugo pravno podlago za zakonito obdelavo osebnih podatkov za določen namen, npr. če je obdelava potrebna za izpolnitev zakonske obveznosti ali za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu, od posameznikov ne potrebuje še privolitve (npr. v obliki podpisanega obrazca – soglasja za posredovanje podatkov). 

IP na podlagi navedenega zato na splošno pojasnjuje, da bi primeru, kot ga opisujete, pravno podlago za obdelavo osebnih podatkov eventualno lahko predstavljala točka (c) ali točka (e) člena 6(1) Splošne uredbe varstvu podatkov.

Zakon o osnovni šoli (Uradni list RS, št. 81/06 – uradno prečiščeno besedilo, 102/07, 107/10, 87/11, 40/12 – ZUJF, 63/13 in 46/16 – ZOFVI-L) v 13. členu določa, da mora osnovna šola sodelovati z zdravstvenimi zavodi pri izvajanju zdravstvenega varstva učencev, zlasti pri izvedbi obveznih zdravniških pregledov za otroke, vpisane v prvi razred, rednih sistematičnih zdravstvenih pregledov v času šolanja in cepljenj.

Pravilnik o zbiranju in varstvu osebnih podatkov na področju osnovnošolskega izobraževanja (Uradni list RS, št. 80/04 in 76/08) v 26. členu določa, da sme šola osebne podatke o vpisanih oziroma vključenih učencih posredovati drugim uporabnikom (npr. centrom za socialno delo, organizacijskim enotam Zavoda Republike Slovenije za šolstvo, sodiščem, zdravstvenim zavodom, svetovalnim centrom) le takrat in za namen, ki ga določa zakon. Uporabnik, ki želi pridobiti osebne podatke, je dolžan navesti pravno podlago za pridobitev osebnih podatkov. Pridobljene podatke sme uporabiti samo za namen, za katerega jim je podatek posredovan. Če nameravajo uporabniki uporabljati osebne podatke za statistične, znanstveno-raziskovalne, izobraževalne ali druge podobne namene, se lahko osebni podatki posredujejo le na način in v obliki, ki ne omogočata identifikacije posameznika, na katerega se podatki nanašajo. Šola mora vsako posredovanje osebnih podatkov iz zbirk podatkov označiti, in sicer tako, da se navede, kateri osebni podatki so bili posredovani, komu in na kakšni podlagi ter kdaj in za kakšne namene so bili posredovani.

Pravilnik za izvajanje preventivnega zdravstvenega varstva na primarni ravni (Uradni list RS, št. 19/98, 47/98, 26/00, 67/01, 33/02, 37/03, 117/04, 31/05, 83/07, 22/09, 17/15, 47/18, 57/18 in 57/18) v tretjem poglavju z naslovom »Zdravstveno varstvo šolskih otrok in mladine do dopolnjenega 19. leta«, med drugim določa, da je preventivno zdravstveno varstvo šolskih otrok in mladine organizirano skupinsko za posamezne šole oziroma razrede in ni vezano na izbranega osebnega zdravnika. Zdravnik, ki opravi preventivno storitev, ne potrebuje pooblastila izbranega osebnega zdravnika zavarovane osebe. Preventivne aktivnosti izvajajo specialisti šolske medicine ali pediatrije ali zdravniki z opravljenim podiplomskim študijem iz zdravstvenega varstva žensk, otrok in mladine. Izjemoma v krajih, kjer še ni specialista šolske medicine, javni zavod kako drugače zagotovi ustrezno preventivno zdravstveno varstvo za otroke in mladino. Zdravnik, ki bo izvajal to delo, ne bo potreboval pooblastila izbranega osebnega zdravnika zavarovane osebe.

Vsaka šola mora imeti imenovanega zdravnika šole s pripadajočim timom (medicinska sestra in zdravstveni tehnik), ki je odgovoren za izvedbo obveznega programa preventivnega zdravstvenega varstva in programirane zdravstvene vzgoje. Imenovanega zdravnika določi po posvetu z direktorjem javnega zdravstvenega zavoda oziroma zasebne ordinacije odgovorni zdravnik (vodja) za pripadajoče zdravstveno območje.

Na osnovi poimenskih seznamov učencev (ime in priimek učenca, naslov in razred), ki jih dispanzerjem in ordinacijam posredujejo šole, tim organizira in opravi sistematične preglede po razredih. Opravi cepljenja, ki jih določa republiški program […] in potrebne namenske preglede ter medicinsko svetovanje šolskemu novincu in njegovim staršem in medicinsko poklicno svetovanje učencu in njegovim staršem na timskih obravnavah, organiziranih s strani šole, ter pripravi za to potrebno zdravniško mnenje. Opravi programirane zdravstveno vzgojne aktivnosti za zavarovane osebe svoje šole.

Na podlagi zgoraj navedene zakonodaje v povezavi s Splošno uredbo o varstvu podatkov, posamezni zavod oziroma šola ni dolžna od staršev pridobivati soglasja za posredovanje osebnih podatkov otroka zdravstvenemu zavodu na predpisanem obrazcu za namen izvajanja sistematičnih pregledov in obveznih cepljenj. Pravno podlago za pravilno sporočanje (s strani šol oz. zavodov) popolnega seznama otrok, ki bi morali biti pregledani (sistematični pregled in obvezna cepljenja), predstavlja že zgoraj navedena zakonodaja, in sicer ZOsn ter oba zgoraj navedena podzakonska akta (točka (c) člena 6(1) Splošne uredbe varstvu podatkov), prav tako pa gre v konkretnem primeru posredovanja osebnih podatkov otrok za namen izvajanja sistematičnih pregledov in obveznih cepljenj, za obdelavo, ki  je potrebna za opravljanje naloge v javnem interesu (točka (e) člena 6(1) Splošne uredbe varstvu podatkov).

Ne da bi IP presegal svoje pristojnosti in se spuščal v pristojnosti zavodov, zgolj pripominjamo, da Zakon o organizaciji in financiranju vzgoje in izobraževanja Uradni list RS, št. 12/1996, 23/1996 - popr., 64/2001, 108/2002, 79/2003, 34/2003, 65/2005, 129/2006, 36/2008, 58/2009, 64/2009 - popr., 65/2009 - popr., 20/2011, 47/2015, 46/2016, 49/2016 - popr.) v 49. členu med drugim določa, da ravnatelj kot pedagoški vodja in poslovodni organ javnega vrtca oziroma šole skrbi za sodelovanje šole s šolsko zdravstveno službo. Pravilnik za izvajanje preventivnega zdravstvenega varstva na primarni ravni pa opredeljuje v kakšni obliki šole posredujejo podatke o učencih posameznim zdravstvenim zavodom, in sicer v obliki poimenskih seznamov učencev (ime in priimek učenca, naslov in razred).

Vsekakor pa je pri pošiljanju navedenih seznamov potrebno upoštevati načelo, da so osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo („najmanjši obseg podatkov“), ki je opredeljeno v točki (c) člena 5 Splošne uredbe.

Na koncu je potrebno še pojasniti, da IP ni pristojen za interpretacijo zakonodaje s področij drugih ministrstev oziroma drugih pristojnih institucij. Zato vam svetujemo, da vaš dopis in vprašanja v zvezi s pošiljanjem popolnega seznama otrok, ki bi morali biti pregledani (sistematični pregled in obvezna cepljenja) naslovite na ministrstva, ki so pristojna za urejanje te materije (predvsem Ministrstvo za izobraževanje, znanost in šport ter Ministrstvo za zdravje).

                                                                                                 Mojca Prelesnik, univ. dipl. prav.,

                                                                                                 informacijska pooblaščenka

Pripravila:

Tanja Suša, univ. dipl. prav.,

državna nadzornica za varstvo osebnih podatkov