Posredovanje osebnih podatkov detektivu

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Zaradi zavrnitve posredovanja zahtevanih osebnih podatkov s strani zdravstvene ustanove detektivu vas zanima, ali so v konkretnem primeru, ki ga opisujete, izpolnjeni zakonski pogoji za posredovanje. Navajate, da ste na podlagi pooblastila nekdanjega delodajalca kot naročnika detektivske storitve zahtevali osebne podatke o režimu gibanja v času bolniške odsotnosti za pacienta (nekdanjega delavca), pri čemer ste izkazali, da se podatki zbirajo za namen konkretnega sodnega postopka.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Delodajalec oziroma po njegovem pooblastilu detektiv je upravičen pridobiti osebne podatke o režimu gibanja delavca med bolniško odsotnostjo tudi od njegovega osebnega zdravnika, vendar slednji teh podatkov ne delodajalcu ne detektivu ni dolžan posredovati, saj mu to ne nalaga noben zakon, lahko pa to naredi prostovoljno.

Postopek posredovanja osebnih podatkov določa 41. člen ZVOP-2 (začetek veljavnosti 26. 1. 2023), ki med drugim predpisuje vsebino zahteve, rok za posredovanje ter pravna sredstva.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, saj je to izključna naloga in odgovornost upravljavca. V nadaljevanju IP zato podaja zgolj splošna pojasnila.

Zakon o detektivski dejavnosti (Uradni list RS, št. 17/11; v nadaljevanju ZDD-1) v prvem odstavku 27. člena določa upravičenja detektiva, ki so:

-        zbiranje podatkov od oseb ali iz javno dostopnih virov;

-        pridobivanje podatkov iz evidenc;

-        osebna zaznava;

-        uporaba tehničnih sredstev.

Skladno z 28. členom ZDD-1 lahko detektiv pridobiva informacije neposredno od osebe, na katero se podatki nanašajo, in od drugih oseb, ki s podatki razpolagajo, če so jih pripravljene dati prostovoljno, ter iz javno dostopnih virov. 29. člen ZDD-1 nadalje določa, iz katerih evidenc ima detektiv pravico pridobivati katere podatke, tj. iz:

-       evidence registriranih vozil (registrsko označbo, podatke o lastnikih in podatke o vozilu);

-       registra stalnega prebivalstva in centralnega registra prebivalstva (podatke o osebnem imenu, datumu rojstva, enotni matični številki občana, državljanstvu, času in kraju stalnega in začasnega prebivališča);

-       evidence zavarovancev (podatke o zaposlitvi, delodajalcu, delovnem mestu in prejšnjih zaposlitvah);

-       slovenskega ladijskega registra in registra zrakoplovov (podatke o plovilih in lastnikih).

Detektiv sme vpogledati v sodne in upravne spise ali si iz njih prepisati podatke, kadar ima po zakonu, ki ureja to področje, pravico tudi stranka, ki ga je pooblastila.

ZDD-1 torej ne določa obveznosti izvajalca zdravstvene dejavnosti, da detektivu posreduje osebne podatke o režimu gibanja pacienta med bolniško odsotnostjo, čeprav je detektiv na podlagi 26. člena ZDD-1 upravičen pridobivati informacije o dokaznem gradivu in dejstvih, potrebnih za zavarovanje ali dokazovanje pravic in upravičenj stranke pred sodišči, drugimi pravosodnimi organi in drugimi organi oziroma organizacijami, ki v postopkih odločajo o teh pravicah, ter o zlorabah pravice do zadržanosti z dela zaradi bolezni ali poškodbe. Delodajalec oziroma po njegovem pooblastilu detektiv je sicer upravičen pridobiti te osebne podatke tudi od delavčevega osebnega zdravnika, vendar slednji teh podatkov ne delodajalcu ne detektivu ni dolžan posredovati, saj mu to ne nalaga noben zakon. To pa lahko skladno z 28. členom ZDD-1 naredi prostovoljno. Takšno stališče izhaja tudi iz smernic IP o varstvu osebnih podatkov v delovnih razmerjih, ki so dostopne na povezavi: https://www.ip-rs.si/publikacije/priro%C4%8Dniki-in-smernice/smernice-po-splo%C5%A1ni-uredbi-o-varstvu-podatkov-gdpr/varstvo-osebnih-podatkov-v-delovnih-razmerjih.

IP meni, da zgolj dejstvo, da gre za nekdanjega delodajalca, načeloma ne spreminja njegove oziroma detektivove upravičenosti do teh podatkov delavca, če se nanašajo na obdobje zaposlitve pri tem delodajalcu. Kot že obrazloženo, pa IP v mnenju ne more presojati, ali bi bilo v konkretnem primeru posredovanje zahtevanih osebnih podatkov delavca/pacienta detektivu zakonito.

V zvezi s posredovanjem osebnih podatkov IP pojasnjuje, da je v nedavno sprejetem Zakonu o varstvu osebnih podatkov (Uradni list RS, št. 163/2022; v nadaljevanju ZVOP-2)[1] to področje na novo urejeno v 5. poglavju. Postopek posredovanja osebnih podatkov določa 41. člen, ki med drugim predpisuje vsebino zahteve, rok za posredovanje ter pravna sredstva. Četrti odstavek tega člena določa, da če je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ. Kadar ta zavrne zahtevo ali kadar na prvi stopnji odloča nadzorni organ sam, lahko vlagatelj zahteva sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, pa lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

[1]  ZVOP-2 v času priprave tega mnenja še ni v veljavi, veljati pa bo začel 26. 1. 2023.