Razkrivanje identitete okužene osebe s covid-19

Informacijski pooblaščenec (v nadaljnjem besedilu IP) je prejel vaše zaprosilo za mnenje glede razkrivanja identitete okužene oseb s COVID-19. Zanima vas, kako je z varovanjem osebnih podatkov učiteljev, ki so zboleli za korona virusom, saj kljub temu, da ni objavljenega njihovega imena, se ob pogledu na javno objavljen urnik vidi, kdo od učiteljev manjka. Bolezen pa sedaj predstavlja tudi stigmo.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno pravno podlago. Te določa člen 6 Splošne uredbe o varstvu podatkov. Kadar gre za posebne vrste osebnih podatkov, kamor štejemo tudi podatke v zvezi z zdravjem, je njihova obdelava dovoljena, če so izpolnjeni pogoji iz člena 9(2) Splošne uredbe o varstvu podatkov.

Če je objava urnika in učitelja, ki izvaja učno uro, nujna z vidika delovne organizacije in izpolnjevanja delovnih obveznosti, potem je tovrstna obdelava osebnih podatkov dopustna na podlagi 48. člena Zakona o delovnih razmerjih.

Za vsako obdelavo osebnih podatkov je treba imeti ustrezno in zakonito pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov in so za javni sektor, kamor sodijo tudi šole kot javni zavodi, naslednje:

• privolitev, kadar ne gre za izvajanje javnih nalog (točka (a)),
• sklenitev ali izvajanje pogodbe (točka (b)),
• zakon (točka (c)),
• zaščita življenjskih interesov (točka (d)),
• izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1).

Podatki v zvezi z zdravjem posameznika (npr. podatek o okužbi) štejejo za t.i. posebne vrste osebnih podatkov. Njihova obdelava, kamor sodi tudi razkrivanje drugim, je načeloma prepovedana, razen v točno določenih primerih in sicer:

1. posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev,
2. gre za izpolnjevanje obveznosti upravljavca na področju delovnega prava ter prava socialne varnosti in socialnega varstva,
3. da se zaščitijo življenjski interesi posameznika, na katerega se nanašajo osebni podatki,
4. to stori ustanova, združenje ali katero koli drugo neprofitno telo s političnim, filozofskim, verskim ali sindikalnim ciljem, v okviru svojih zakonitih dejavnosti in se nanaša na njihove člane, ki so za to tudi dali privolitev,
5. posameznik podatke objavi sam,
6. gre za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov ali kadar koli sodišča izvajajo svojo sodno pristojnost,
7. obstajajo razlogi bistvenega javnega interesa,
8. gre za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja,
9. obstajajo razlogi javnega interesa na področju javnega zdravja,
10. gre za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene.

Z vidika obdelave zdravstvenih podatkov sama informacija o tem, da je eden od učiteljev v šoli obolel za virusom (brez drugih podatkov) načeloma ne pomeni obdelave osebnih podatkov, saj brez drugih dodatnih podatkov tak posameznik ni določljiv. Splošno obveščanje o dejstvu obstoja okužbe v organizaciji brez dodatnih podatkov (npr. imena, spola, drugih informacij, ki delajo posameznika določljivega) torej ni sporno. Če gre za posredovanje statističnih podatkov na podlagi, katerih posameznika ni mogoče enoznačno določiti, torej brez razkrivanja drugih podatkov o obolelem (npr. spol, starost, naslov, ulica, delovno mesto ipd.), potem sploh ne gre za obdelavo osebnih podatkov in je posredovanje dopustno.

Povzeto po obvestilu IP za javnost Obveščanje v primeru pojava virusa med učenci, zaposlenimi v šolah in vrtcih zakon izrecno ne določa, kdaj konkretno in od koga bi v nastalih razmerah posameznik lahko ali moral pridobiti osebne podatke o tem, kdo so okuženi posamezniki npr. na šoli, saj so primeri in okoliščine lahko izredno raznolike in v zakonu vseh enoznačno niti ne bi bilo mogoče zajeti. V posameznih primerih se obdelava podatkov, ko je ta nujna za zaščito življenjskih interesov posameznika, izvaja neposredno na podlagi točke (d) člena 6(1) Splošne uredbe o varstvu podatkov, če pa gre za občutljive osebne podatke (kamor podatki v zvezi z zdravjem vsekakor sodijo), pa na podlagi točke (c) člena 9(2). Druga možnost je v posameznih primerih npr., ko gre za delovno razmerje obdelava na podlagi področnih predpisov, če je to v posameznem primeru potrebno (npr. ZDR-1 v povezavi z navodili delodajalca). Posebna privolitev posameznika v tovrstnih situacijah ni potrebna. To pomeni, da morajo pristojni v sodelovanju z zdravstveno stroko (NIJZ) presojati od primera do primera in ugotavljati, kateri podatki so potrebni za zaščito življenjskih interesov ljudi ali v zvezi z zagotavljanjem zdravja in varstva pri delu ali na drugih pravnih podlagah.

Prav tako je IP v zvezi z obdelavo osebnih podatkov zaradi COVID-19 izdal že več neobvezujočih mnenj. Npr. mnenje, št. 07121-1/2020/449 z dne 30. 3. 2020, kjer je zavzel stališče, da lahko upravljavec, kadar meni, da je obdelava potrebna za zaščito življenjskih interesov posameznika, osebni podatek posreduje neposredno na podlagi določbe 6(1(d)) Splošne uredbe o varstvu podatkov, če pa gre za občutljive osebne podatke (kamor podatki v zvezi z zdravjem vsekakor sodijo), pa na podlagi določbe 9(2(c)). V delovnem razmerju pa je obdelava dopustna tudi na podlagi področnih predpisov, če je to v posameznem primeru potrebno (npr. 48. člen ZDR-1 v povezavi z navodili delodajalca). IP se je v mnenju, št. 07121-1/2020/387 z dne 20. 3. 2020, opredelil tudi do (ne)upravičenosti obveznosti samih zaposlenih, da sporočijo, če so se okužili z virusom. Upravičenost te obveznosti je odvisna od tega za kakšno vrsto dela gre, kako je to uredil delodajalec in kakšna je narava dela (npr. tveganja okužbe in posledično ukrepi so drugačni v primeru dela z ljudmi, zdravstvenih delavcev, učiteljev, dela, ki vključuje tesne stike).

Če je objava urnika in učitelja, ki izvaja učno uro, nujna z vidika delovne organizacije in izpolnjevanja delovnih obveznosti, IP v tovrstno organiziranost in obveščanje ne more posegati. Delodajalec je namreč upravičen do obdelave osebnih podatkov zaposlenega, če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem (tako 48. člen Zakona o delovnih razmerjih).Tako je IP npr. v mnenju, št. 07120-1/2020/337 z dne 5. 5. 2020, zavzel stališče, da je splošno obveščanje delodajalca o nekonkretiziranih zdravstvenih razlogih za neprihod na delo dopustno, ni pa z vidika varstva osebnih podatkov dopustno, da je delavec dolžan obveščati delodajalca o konkretnih zdravstvenih težavah (tj. o zdravstvenem stanju) in o konkretnem zdravljenju. Tudi vsaka odsotnost z delovnega mesta še ne pomeni avtomatične okužbe z virusom, niti ni mogoče zaradi odsotnosti učitelja od pouka verodostojno sklepati tudi na razlog njegove odsotnosti. Zakonita obdelava osebnih podatkov je v prvi vrsti naloga in odgovornost vsakokratnega upravljavca, IP pa izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Svetujemo, da si več o pravicah posameznika glede varstva podatkov preberete na naši spletni strani www.tiodlocas.si.

Vsa mnenja IP so objavljena in dostopna na naši spletni strani https://www.ip-rs.si/vop/.

Prav tako so vsa ključna področja, ki jih ureja Splošna uredba o varstvu podatkov, predstavljena na https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/kljucna-podrocja-uredbe/. Tu lahko najdete veliko koristnih nasvetov glede bistvenih obveznosti podjetij in drugih organizacij za pravilno izvajanje ukrepov varstva osebnih podatkov.

Lep pozdrav,

                                                                                               Mojca Prelesnik,

                                                                                               informacijska pooblaščenka

Pripravila:

Karolina Kušević, univ. dipl. prav.,

svetovalka IP

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.