Podatki o (ne)cepljenju in vabljenje na cepljenje ter podatki o visokorizičnih kontaktih v šoli

Pri Informacijskem pooblaščencu (IP) smo dne 10. 9. 2021 prejeli vaše zaprosilo za mnenje, (1) ali je poziv k cepljenju, ki ste ga prejeli na dom v skladu s slovensko zakonodajo. Zanima vas tudi, (2) ali lahko na šoli zbirajo podatke o okuženih in VRK (visoko rizičen stik), brez dovoljenja staršev.  

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pri tem še pojasnjujemo, da je, glede na pogoste spremembe predpisov v zvezi z ukrepi za zamejevanje širjenja virusa SARS-CoV-2, mnenje pripravljeno glede na predpise, ki so veljali v času izdaje tega mnenja.

1. Z vidika varstva osebnih podatkov je bilo dopustno, da je NIJZ vabil na cepljenje proti COVID-19 še necepljene osebe, ki so starejše od 50 let.

2. Z vidika varstva osebnih podatkov je ugotavljanje VRK in pridobitev podatka o okužbi učenca s strani šole dopustno, glede pridobivanja in posredovanja nekaterih drugih osebnih podatkov pa je IP že izdal mnenje št. 07120-1/2021/456.

O b r a z l o ž i t e v:

1. Če je za neko obdelavo osebnih podatkov že določena zakonska podlaga, privolitev ni potrebna oziroma nima posebnega učinka. Obdelava bo lahko izvedena ne glede na privolitev oziroma neodvisno od volje posameznika. Enako velja za prepoved. Vsaka zakonska podlaga uživa prednost in samostojnost nasproti privolitvi ali prepovedi. Povedano drugače, osebni podatki se lahko obdelujejo brez privolitve posameznika, če tako določa zakon. V konkretnem primeru je NIJZ, ki je upravljavec »centralnega registra podatkov o pacientih« (CRPP) in »registra cepljenih oseb«, na podlagi tretjega odstavka 14.b člena Zakona o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ) v CRPP izločil osebe starejše od 50 let, za katere ni bilo podatka o cepljenju, ter njihove kontaktne podatke uporabil za razpošiljanje vabil na cepljenje. Omenjena določba ZZPPZ namreč določa, da se osebni podatki v CRPP, med drugim, lahko uporabljajo tudi za »vabilo pacienta na izvedbo zdravstvene storitve« in nasploh za »izvajanje zdravstvene oskrbe«, kamora spada tudi cepljenje. Določba se nanaša na izvajalce zdravstvene dejavnosti, kamor spada tudi NIJZ. Iz 14.c člena ZZPPZ še izhaja, da je obdelava podatkov iz CRPP pri izvajalcih v Republiki Sloveniji dopustna brez privolitve pacienta. IP je v zvezi s to problematiko že izvedel inšpekcijski nadzor, v okviru katerega je bilo ugotovljeno, da NIJZ z vabljenjem, ki je bilo izvedeno v interesu javnega zdravja, ravnal v okvirih, ki mu jih dopušča ZZPPZ.

2. Ugotavljanje VRK v primeru sporočene okužbe pomeni le notranje poizvedovanje o tem, kdo od preostalih učencev je bil, glede na razpoložljive interne podatke ter prostovoljno sporočene informacije, z okuženim učencem v visoko rizičnih stikih po merilih, ki jih je NIJZ določil z navodili.

Glede preostalega dela obdelave osebnih podatkov, do katere pride po sporočenih okužbi, je na naslednji povezavi na voljo že izdano mnenje št. 07120-1/2021/456:

https://www.ip-rs.si/mnenja-gdpr/zbiranje-in-posredovanje-podatkov-o-oku%C5%BEenosti-in-visoko-rizi%C4%8Dnih-stikih-u%C4%8Dencev-nacionalnemu-in%C5%A1titutu-za-javno-zdravje.

Lepo vas pozdravljamo,

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP