Obdelava podatkov o izpolnjevanju pogoja PCT

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Zanima vas, ali lahko ob sprejemu v nastanitveni obrat od gosta pridobite sledeče podatke (brez dokazil):

• opravljen test HAG/PCR ter datum opravljanja testa,
• cepljenje (DA/NE), vrsta cepiva, odmerek (1 oz. 2) ter datum cepljenja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Skladno z Odlokom o začasni prepovedi ponujanja in prodajanja blaga in storitev potrošnikom v Republiki Sloveniji (Uradni list RS, št. 73/21, v nadaljevanju Odlok), ki je trenutno v veljavi, lahko v nastanitvenih obratih bivajo le osebe, ki izpolnjujejo t. i. pogoj PCT (pogoj prebolelosti, cepljenja ali testiranja). Iz Odloka pa ne izhaja, na kakšen način se izvaja preverjanje izpolnjevanja tega pogoja niti, katere konkretne osebne podatke lahko oziroma mora ponudnik nastanitvenih storitev v zvezi s tem obdelovati.

IP poudarja, da kot nadzorni organ za varstvo osebnih podatkov ni pristojen za podajanje konkretnih navodil o tem, kako naj ponudniki nastanitvenih storitev izvajajo zahteve iz Odloka. Prav tako IP ne sme prevzemati odgovornosti predlagatelja predpisov niti ne more podajati navodil glede izvajanja epidemioloških ukrepov ali presojati, kateri od teh ukrepov so sorazmerni, nujni in potrebni ali kateri ukrepi so v praksi izvršljivi in kako. Z vidika varstva osebnih podatkov predstavlja obdelava podatkov v zvezi z zdravjem posameznikov enega najbolj resnih in tveganih posegov v zasebnost. Zato terja veliko mero skrbnosti in premišljenega tehtanja glede tega, katere podatke se obdeluje in na kakšen način, kdo jih obdeluje, kako dolgo se hranijo in zlasti, kaj vse so potrebni ukrepi za zagotavljanje čim višje ravni varstva, zaščito pravic in svoboščin posameznika ter zmanjševanje tveganj zlorab. To mora v skladu z 38. členom Ustave RS urejati zakon.

Nadalje IP izpostavlja, da mora imeti upravljavec za zakonito obdelavo osebnih podatkov ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe o varstvu podatkov, za posebne vrste osebnih podatkov, med katere spadajo tudi podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen eden izmed posebnih pogojev, ki so določeni v členu 9(2) Splošne uredbe o varstvu podatkov. Obdelava zdravstvenih podatkov je tako izjemoma dopustna npr. na podlagi izrecne privolitve posameznika ali če je obdelava potrebna:

• iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;
• iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti ipd.

Vse možne izjeme od prepovedi obdelave posebnih vrst osebnih podatkov so predpisane v določbah 9(2)(a)-(j) Splošne uredbe o varstvu podatkov.

Iz določb Odloka, ki je trenutno v veljavi, ne izhaja, da bi bili ponudniki nastanitvenih storitev dolžni ali upravičeni zahtevati na vpogled, zbirati oziroma hraniti dokazila gostov o izpolnjevanju pogoja PCT. Glede na to, da Odlok predpisuje zgolj, da morajo gostje imeti dokazila oziroma potrdila, ki jih določa sedmi odstavek 4. člena Odloka, pa IP meni, da bi načeloma morala zadostovati že izjava gosta ponudniku storitve, da takšno dokazilo/potrdilo ima oziroma da izpolnjuje pogoj PCT.

Tudi na vladni spletni strani (https://www.gov.si/teme/koronavirus-sars-cov-2/omejitve-prodaje-blaga-in-storitev/) je zapisano, da naj ponudniki nastanitvenih storitev ob prijavi v nastanitveni obrat gosta seznanijo oziroma opozorijo, da je za koriščenje navedenih storitev potreben pogoj PCT. V kolikor se gost ne želi izjasniti glede izpolnjevanja pogoja PCT, lahko ponudnik nastanitvenih storitev gosta zavrne. Gostinski in nastanitveni obrati lahko z obvestili ob vhodu goste opozorijo na obveznost izpolnjevanja pogoja PCT. Izrecno je pojasnjeno, da je v skladu z Odlokom preverjanje izpolnjevanja pogoja PCT s strani potrošnikov na ponudniku blaga in storitev, ki pa svojo obveznost izpolni, če goste opozori glede pogoja PCT (na primer izobesi vidno obvestilo, gosta pred nudenjem storitev vpraša, ali izpolnjuje pogoj PCT, gost podpiše izjavo, da izpolnjuje pogoj PCT).

IP tako meni, da Odlok ponudniku nastanitvenih storitev ne daje pravne podlage, da od gosta zahteva predložitev dokazil oziroma potrdil iz sedmega odstavka 4. člena Odloka ali da pridobiva in hrani njegove zdravstvene podatke glede prebolelosti, cepljenja ali testiranja, temveč mu mora gost povedati le, da izpolnjuje pogoj PCT. Seveda pa lahko gost skladno s točko a) člena 9(2) Splošne uredbe o varstvu podatkov dokazila predloži ponudniku gostinskih ali nastanitvenih storitev na vpogled, če to sam želi.

Lep pozdrav,

                                                                                                     Mojca Prelesnik, univ. dipl. prav.,                                                

                                                                                                           informacijska pooblaščenka

Pripravila:                                                                                                                              

Tina Ivanc, univ. dipl. prav.,
svetovalka IP za varstvo osebnih podatkov