Obdelava osebnih podatkov pri testih za virus SARS-Cov-2 in inšpekcijski nadzor

Pri Informacijskem pooblaščencu (IP) smo dne 25. 1. 2021 prejeli vaše vprašanje o tem, ali bo IP izvedel inšpekcijski nadzor nad tem, kako se ravna z genetskimi podatki po opravljenem testiranju na COVID-19. Bili ste na testiranju in se vam zdi sporno jemanje podatkov. Zanima vas tudi, ali je določeno, kaj morajo po pregledu narediti z vzorci in testerji.

V zvezi z vašim vprašanjem najprej pojasnjujemo, da lahko – če ste pri izvedbi testiranja ali po njem zaznali neustrezno ravnanje z vašimi ali tujimi osebnimi podatki (npr. razkrivanje osebnih podatkov drugim osebam brez pravne podlage, neustrezni ukrepi za preprečitev izgube, uničenja in spreminjanja podatkov ter neustrezni ukrepi za preprečitev nepooblaščenega dostopanja do podatkov, uporaba podatkov ali vzorcev v nezakonite namene) – pri IP vložite inšpekcijsko prijavo. Pri tem si lahko pomagate z obrazcem »ZIN PRIJAVA«, ki je dostopen na naši spletni strani pod zavihkom »obrazci«. Prijava mora po možnosti vsebovati konkretna pojasnila o času in kraju dogodka, udeleženih osebah, podatke o upravljavcu podatkov (enemu ali več) in informacije o spornem ravnanju (npr. kateri osebni podatki ali dokumenti so predmet kršitve in kako so se neustrezno obdelovali).

Nadalje pojasnjujemo, da smo uvedli oziroma, da je v teku že sedem inšpekcijskih postopkov v zvezi z domnevnimi nepravilnostmi, ki se nanašajo na tovrstno testiranje, vendar se zatrjevane nepravilnosti ne nanašajo na ravnanje z biološkim materialom po izvedbi testiranja.

Glede vašega drugega vprašanja pojasnjujemo, da vam informacije o ravnanju z vzorci in pripomočki lahko nudi izvajalec testiranja ali morda druge pristojne institucije (morda Ministrstvo za zdravje, prisojni inšpektorati, NIJZ ipd.), ravnanje z njimi pa ne spada v našo pristojnost vse dokler ne pride do obdelave osebnih podatkov. Če vas zanimajo informacije o obdelavi osebnih podatkov v zvezi s testiranjem, jih mora upravljavec (izvajalec odvzema, pristojni laboratorij in druge udeležene osebe) razkriti posamezniku na njegovo zahtevo, in sicer na podlagi 13. in 14. člena Splošne uredbe o varstvu podatkov.

Glede ravnanja z »genetskimi podatki« (o tem, kaj se zgodi z DNK posameznika po COVID-19 testu oziroma, kaj se zgodi s testom po zaključku testiranja) smo že izdali neobvezujoče mnenje št. 07121-1/2020/2345. V zvezi s tem pojasnjujemo naslednje:

1.    Glede vprašanja, kako izvajalec testiranja ravna z odvzetimi vzorci po zaključku PCR testiranja, se mora pacient obrniti na pooblaščeni laboratorij (IMI ali NLZOH), pri AGT testih pa na neposrednega izvajalca testiranja. Ravnanje s samimi vzorci ne spada na področje varstva osebnih podatkov. Tudi, če se ti obdelujejo s spremljajočimi osebnimi podatki pacienta, IP nima informacij o ravnanju z njimi, ker gre za strokovne interne postopke oziroma protokole;  

2.    Vsak odvzet biološki material v diagnostične namene (npr. biopsijski vzorci tkiv, likvor, kri, brisi različnih sluznic) praviloma vsebuje tudi genetski material, zato je njegova usoda odvisna od usode odvzetega biološkega materiala. Biološki in v njem vsebovani genetski material sam po sebi ni osebni podatek ali zbir osebnih podatkov. O osebnih podatkih je moč govoriti šele takrat, ko se na podlagi analiz ustvarijo surovi ali interpretirani podatki oziroma informacije o posamezniku;  

3.    Ker pri odvzetem testnem materialu kot takem ne gre za osebne podatke, IP o usodi tega materiala ne more dajati mnenj ali voditi uradnih postopkov; 

4.    Pri PCR testih za virus SARS-Cov-19 se ne preiskuje DNK pacienta, pač pa le RNK virusa, zato se podatki o DNK pacienta pri tem testiranju sploh ne ustvarjajo. Pri teh testih ne gre za genetske preiskave pacienta, zato do obdelave pacientovih genetskih osebnih podatkov sploh ne pride. To pomeni, da tudi ni nevarnosti za nadaljnjo nezakonito uporabo pacientovih genetskih podatkov. Na teoretični ravni pa ni mogoče izključiti zlorabe neuničenega genetskega materiala. Smiselno enako velja za AGT teste; 

5.    Nadaljnja uporaba neanonimiziranih surovih ali interpretiranih rezultatov testa in samega vzorca ni dovoljena, če za to ni na voljo zakonske podlage ali privolitve pacienta;
 

Lepo vas pozdravljamo,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka