Začasno povezovanje zbirk OP

Informacijski pooblaščenec (IP) je dne 15 3. 2021 prejel vaše zgoraj navedeno zaprosilo za mnenje o začasnem povezovanju zdravstvenih zbirk, ki se vodijo v skladu z Zakonom o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ), in sicer Evidence nalezljivih bolezni (zbirka NIJZ48), katere upravljavec je Nacionalni inštitut za javno zdravje (NIJZ) ter Registra raka (zbirka NIJZ25), katerega upravljavec je Onkološki inštitut Ljubljana.

Kot navajate, so podatki o prisotnosti nalezljive bolezni pri bolnikih z rakom ključni za ugotavljanje vzrokov za nastanek raka in za ugotavljanje odklonov od predvidenega zdravljenja onkološke bolezni, torej za vrednotenje onkološkega varstva.

Register raka ima v ZZPPZ zakonsko osnovo za zbiranje podatkov o »etioloških dejavnikih, ki bi bil lahko povezani s pojavnostjo raka«, o »značilnostih bolezni, ki opredeljujejo njeno specifiko«, kot tudi o ključnih »mejnikih o poteku bolezni«. Skladno z zakonom lahko Register raka pridobiva podatke o nalezljivi bolezni onkološkega bolnika iz Centralnega registra podatkov o pacientu (CRPP) ter tudi direktno iz Evidence osnovnega zdravstvenega varstva, Evidence o boleznih in stanjih ugotovljenih v specialistično ambulantni dejavnosti ter Evidence bolezni, ki zahtevajo zdravljenja v bolnišnici. Direktna povezava z Evidenco nalezljivih bolezni pa v ZZPPZ ni predvidena. 

Podatkov o nalezljivi bolezni, ki je ključno povezana z nastankom raka oziroma z obdelavo onkoloških bolnikov, do sedaj v Registru raka niste spremljali, čeprav imate za to zakonsko možnost. V času epidemije COVID-19 pa se je pojavila nujna potreba po vrednotenju vpliva okužb na obravnavo onkoloških bolnikov. Podatke o datumu COVID-19 pozitivnega testa pri bolnikih z rakom ste v Register raka poskušali pridobiti iz CRPP, preko katerega že pridobivate nekatere druge podatke, žal pa se je izkazalo, da se je ustrezno polnjenje CRPP s podatki o COVID-19 testih vzpostavljalo postopoma in da kakovostni podatki o COVID-19 pri onkoloških bolnikih za celotno leto 2020 iz tega vira niso na voljo, popolnjevanje podatkov v CRPP za nazaj pa ni predvideno. To tehnično zagato bi lahko rešili z direktnim povezovanjem Registra raka in Evidence nalezljivih bolezni, pri čemer bi zbirke povezali le za obdobje, dokler v CRPP ni bilo vzpostavljene ustrezne evidence COVID-19 testov.

Register raka in Evidenco nalezljivih bolezni želite povezati tudi zaradi raziskovalnega projekta z naslovom Vpliv epidemije COVID-19 na obvladovanje raka v Sloveniji, v okviru katerega želite proučiti, kako je okužba s COVID-19 vplivala na obravnavo in izide onkoloških bolnikov.

Kot izhaja iz vašega dopisa, želite torej podatke v Registru raka dopolniti s podatki o COVID-19 bolezni, ki bi jih za določeno obdobje z vzpostavitvijo povezave pridobili in Evidence nalezljivih bolezni. IP zato prosite za mnenje o možnosti začasnega povezovanja Evidence nalezljivih bolezni in Registra raka, s čimer bi Register raka dopolnili s podatki o za onkološkega bolnika pomembni nalezljivi bolezni, povezovanje pa bi se vzpostavilo za čas, dokler se ne vzpostavi v zakonu (ZZPPZ) predviden vir podatkov CRPP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s členom 58 Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov; v nadaljevanju: Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi vašim zgoraj navedenim zaprosilom.

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora ali drugega upravnega postopka ne more podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov, pač pa lahko izven teh postopkov podaja le nezavezujoča mnenja in pojasnila.

Povezava zbirk osebnih podatkov nedvomno pomeni dejanje obdelave osebnih podatkov in se zato z vidika določb Splošne uredbe in ZVOP-1 šteje za zakonito le in kolikor je za takšno ravnanje izpolnjen vsaj eden od pogojev, določenih v členu 6(1) oziroma v primeru, ko se s pomočjo povezave posredujejo tudi t. i. posebne vrste osebnih podatkov, vsaj eden od pogojev iz člena 9(2) Splošne uredbe.

V Republiki Sloveniji je povezava zbirk osebnih podatkov iz uradnih evidenc in javnih knjig posebej urejena v 6. poglavju VI. dela (Področne ureditve) še vedno veljavnega ZVOP-1, kjer je v prvem odstavku 84. člena določeno, da je zbirke osebnih podatkov iz uradnih evidenc in javnih knjig dovoljeno povezovati, če tako določa zakon. Drugi odstavek 84. člena ZVOP-1 določa, da so upravljavci ali upravljavec osebnih podatkov, ki povezuje dve ali več zbirk osebnih podatkov, ki se vodijo za različne namene, dolžni o tem predhodno pisno obvestiti državni nadzorni organ. Tretji odstavek 84. člena ZVOP-1 nadalje določa, da če vsaj ena zbirka osebnih podatkov, ki naj bi se jo povezovalo, vsebuje občutljive osebne podatke, ali če bi povezovanje imelo za posledico razkritje občutljivih podatkov ali je za izvedbo povezovanja potrebna uporaba istega povezovalnega znaka, povezovanje ni dovoljeno brez predhodnega dovoljenja nadzornega organa. V četrtem odstavku 84. člena ZVOP-1 je še določeno, da državni nadzorni organ dovoli povezavo na podlagi pisne vloge upravljavca osebnih podatkov, če ugotovi, da upravljavci osebnih podatkov zagotavljajo ustrezno zavarovanje osebnih podatkov.

Iz zgoraj citiranih določb 84. člena ZVOP-1 je razvidno, da če katera od zbirk od zbirk osebnih podatkov vsebuje občutljive osebne podatke[1], povezava zbirk osebnih podatkov ni dovoljena brez predhodnega dovoljenja državnega nadzornega organa (IP). IP ob upoštevanju določb 84. člena ZVOP-1 v upravnem postopku odločanja o izdaji odločbe oz. dovoljenja za povezavo zbirk osebnih podatkov takšno dovoljenje izda v primeru, če sta kumulativno izpolnjena dva pogoja, in sicer:

1. da takšno povezavo določa zakon, torej da za povezavo zbirk osebnih podatkov obstaja ustrezna pravna podlaga iz člena 6 oz. 9. Splošne uredbe;
2. da upravljavci, katerih zbirke se bodo povezovale, zagotavljajo zavarovaje oz. varnost osebnih podatkov, ki ustreza zahtevam 24. in 25. člena ZVOP-1 ter člena 25 in 32 Splošne uredbe.

Kot je razvidno iz vaših navedb ter iz ZZPPZ, želite začasno povezati zbirki osebnih podatkov (Evidenco nalezljivih bolezni ter Register raka), ki se štejeta za uradni evidenci, pri čemer obe evidenci vsebujeta tudi občutljive oziroma posebne vrste osebnih podatkov. Iz vaših navedb ter iz ZZPPZ je tudi razvidno, da pri navedeni povezavi ne bi šlo za povezavo zbirk podatkov eZdravja, prav tako pa tudi ne bi šlo za povezavo, ki bi se vzpostavila za namen izvajanja storitev eZdravja. Zaradi tega za povezavo Evidence nalezljivih bolezni z Registrom raka po mnenju IP ne pride v poštev določba 2. alineje tretjega odstavka 14.a člena ZZPPZ, po kateri lahko NIJZ ne glede na določbe zakona, ki ureja varstvo osebnih podatkov, za namen izvajanja storitev eZdravja zbirke podatkov eZdravja povezuje tudi brez predhodnega dovoljenja državnega nadzornega organa za varstvo osebnih.

Glede na to, da pri povezavi Evidence nalezljivih bolezni z Registrom raka ne bi šlo za povezavo evidenc eZdravja in za povezavo, ki bi se vzpostavila za namen izvajanja storitev eZdravja, takšno povezovanje skladno z določbami tretjega odstavka 84. člena ZVOP-1 ni dovoljeno brez predhodnega dovoljenja IP. IP zato kot organ, ki je pristojen za odločanje v postopku izdaje dovoljena, ne more podati predhodnega mnenja glede dopustnosti povezave Registra raka z Evidenco nalezljivih bolezni.

Iz zgoraj pojasnjenega torej izhaja, da morate v primeri, če želite Evidenco nalezljivih bolezni začasno povezati z Registrom raka, na IP nasloviti Vlogo za izdajo odločbe o povezovanju zbirk osebnih podatkov v javnem sektorju, pri čemer si lahko pomagate z obrazcem, ki je dostopen na spletni strani IP, na naslovu:

https://www.ip-rs.si/obrazci/

Kot izhaja iz ZZPPZ, in kot ugotavljate že sami, ZZPPZ že daje zakonsko podlago za povezavo Evidence nalezljivih bolezni s CRPP (četrti odstavek 14.č člena) ter zakonsko podlago za povezovanje CRPP z Registrom raka (8. stolpec Priloge 1 za evidenco NIJZ 25 - Register raka). Ne daje pa zakonske podlage za neposredno povezavo Evidence nalezljivih bolezni z Registrom raka. IP zato predlaga, da poskusite zadevo zakonsko urediti.

Glede na to, da ima Register raka zakonsko podlago, da pridobi podatke iz CRPP, bi bila druga, začasna rešitev lahko tudi ta, da se v Register raka pridobijo podatki iz zbirke, ki je vir za CRPP. Za čas, dokler se v CRPP, ki je z zakonom predviden vir podatkov, s katerim naj bi se Register raka že povezoval in iz katerega ste že poskušali pridobiti podatke o okužbi s COVID-19, ne bodo začeli voditi popolni, točni in ažurni podatki o okužbi s COVID-19, bi tako lahko ob upoštevanju pravnih podlag za pridobivanje podatkov, ki jih za evidenco NIJZ 25 - Register raka, določa Priloga 1 ZZPPZ, podatke o okužbi s COVID-19 v Register raka s pomočjo ustreznega pomnilniškega medija prenesli neposredno iz Evidence nalezljivih boleznih, saj gre za evidenco, ki je vir podatkov za CRPP. Za takšen enkraten ali večkraten prenos osebnih podatkov ne potrebujete dovoljenja IP, pač pa morate glede na pravne podlage za pridobivanje osebnih podatkov iz različnih zbirk, ki so za evidenco NIJZ2 25 – Register raka določene v Prilogi 1 ZZPPZ, zagotoviti zlasti to, da se bodo ob upoštevanju ukrepov za zagotavljanje varnosti osebnih podatkov v Register raka prenesli samo tisti osebni podatki, ki so ustrezni, relevantni in omejeni na to, kar je potrebno za dosego namena, za katerega se bo takšen prenos opravil (načelo celovitosti in zaupnosti in načelo najmanjšega obsega podatkov).

Lep pozdrav,

Pripravil:

Jože Bogataj,

namestnik informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav.,

informacijska pooblaščenka