Posredovanje podatkov o učencih, okuženih s povzročiteljem COVID-19 in o VRK s strani vzgojno-izobraževalnega zavoda NIJZ-ju

Pri Informacijskem pooblaščencu (IP) smo dne 6. 1. 2022 prejeli vaše vprašanje, kako ravnati v zvezi z okrožnico MIZŠ št. 6030-3/2022/1, z dne 5. 1. 2022, ki opozarja na 36. člen Zakona o dodatnih ukrepih za preprečevanje širjenja, omilitev, obvladovanje, okrevanje in odpravo posledic COVID-19 (Uradni list RS, št. 206/21; ZDUPŠOP), zlasti z vidika minimizacije.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V skladu z novim ZDUPŠOP, ki je začel veljati 30. 12. 2021, je v 36. členu podana neposredna zakonska podlaga – v smislu npr. (c) točke prvega odstavka 6. člena ter (g) in (i) točke drugega odstavka 9. člena Splošne uredbe o varstvu podatkov – da se s strani VIZ zbirajo in NIJZ-ju posredujejo vsi osebni podatki, ki so našteti v tretjem odstavku 36. člena zakona in se nanašajo na okužene učence, učence, ki bili v visoko rizični stikih ter na njihove zakonite zastopnike.

Zato mnenja IP, ki so bila izdana v preteklem letu niso več relevantna, na primer mnenje št. 07120-1/2021/456.

O b r a z l o ž i t e v:

Iz okrožnice MIZŠ ne izhaja interpretacija določb 36. člena ZDUPŠOP, zato okrožnica nima nobenega vpliva na izvajanje tega zakona.

Ker je podlaga za zbiranje in posredovanje osebnih podatkov po novem določena z zakonom, je to v skladu z 38. členom Ustave RS, ki zahteva zakonsko (ali višjo) pravno podlago za obdelavo osebnih podatkov. ZDUPŠOP predstavlja tudi nacionalno zakonodajno realizacijo npr. (c) točke prvega odstavka 6. člena ter (g) in (i) točke drugega odstavka 9. člena Splošne uredbe o varstvu podatkov, ki so splošne pravne podlage za obdelavo osebnih podatkov.

Novost je tudi obvezno sporočanje potrjene okužbe VIZ s strani staršev oz. dijakov.

Morebitna druga obdelava osebnih podatkov, ki ni zajeta v 36. členu ZDUPŠOP, ni dopustna, razen če v posamičnem primeru pride v poštev katera od izjemnih podlag v drugem zakonu ali v Splošni uredbi o varstvu podatkov.

Načelo najmanjšega obsega podatkov je moral upoštevati že zakonodajalec. Namen in posamezni osebni podatki so v 36. členu opredeljeni tako določno in ozko, da jih je pri zbiranju in posredovanju težko dodatno skrčiti. Vsekakor pa sta tako VIZ kot tudi NIJZ dolžna spoštovati načelo najmanjšega obsega podatkov glede na okoliščine vsakega konkretnega primera okužbe posebej.

Starejša mnenja IP s tega področja še držijo, saj so bila izdana izhajajoč iz takratnega zakonodajnega stanja in takratnih okoliščin, vendar po 30. 12. 2021 niso več relevantna zaradi nove zakonske podlage.

Prijazen pozdrav,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka