Informacijski pooblaščenec Republika Slovenija
   
dekorativna slika

Zbiranje in hramba dokazil o negativnem izvidu na covid-19

+ -
Datum: 02.03.2021
Številka: 07121-1/2021/416
Kategorije: Posebne vrste, Zdravstveni osebni podatki, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da smejo skladno z odlokom Vlade RS nepremičninske družbe na oglede peljati le stranke z negativnim izvidom na covid-19. Zanima vas, kako lahko nepremičninske družbe hranijo dokazilo o negativnem izvidu (kot kopijo samega izvida ali vsaj kot zaznamek v zapisniku o ogledu z zavedeno št. izvida, izdajatelja in datuma izdaje). Dodatno sprašujete, ali lahko družbe zahtevajo, da stranka vnaprej pošlje kopijo izvida po e-pošti, saj lahko pride tudi do izigravanja, na primer da se stranka dogovori za ogled, nato pa se na licu mesta izkaže, da nimajo izvida ali pa da so celo okužene. Pojasnjujete namreč, da nepremičninske družbe na nek način morajo hraniti podatek, ki dokazuje negativni izvid, saj bi sicer tvegale globo pristojne institucije.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

 

Informacijski pooblaščenec se je s podobnimi vprašanji soočil že na začetku epidemije, sicer v nekoliko drugačnem, a vseeno podobnem smislu – pri vprašanju, ali smejo trgovine preverjati pogoje za vstop v njihove poslovalnice ranljivih skupin (upokojencev, nosečnic, invalidov). V omenjenem primeru je IP ugotovil, da zakonito izvajanje takrat sprejetega odloka oz. odlokov sploh ni bilo mogoče, saj se je zdelo, da ne obstaja pravna podlaga za obdelavo posebnih vrst (občutljivih) osebnih podatkov s strani varnostnikov oz. trgovcev, kadar to ni razvidno na prvi pogled (npr. invalidnost).

 

Tudi v primeru, ki ga izpostavljate, gre za vprašanje obdelave posebnih vrst osebnih podatkov. Podatki o zdravstvenem stanju so namreč skladno s členom 4(15) Splošne uredbe o varstvu podatkov: osebni podatki, ki se nanašajo na telesno ali duševno zdravje posameznika, vključno z zagotavljanjem zdravstvenih storitev, in razkrivajo informacije o njegovem zdravstvenem stanju. Obdelava tovrstnih, posebnih vrst osebnih podatkov je praviloma prepovedana (člen 9 Splošne uredbe o varstvu podatkov), izjemoma pa je dopustna npr. na podlagi izrecne privolitve posameznika ali če je obdelava potrebna

  • iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;
  • iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti;
  • za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ipd.

Vse možne izjeme od prepovedi obdelave posebnih vrst osebnih podatkov navaja člen 9(2)(a)-(j) Splošne uredbe.

 

Iz zgoraj navedenega jasno izhaja, da mora biti podlaga za obdelavo posebnih vrst osebnih podatkov v zvezi z zdravjem oprta na pravo Unije ali pravo države članice. Že iz Ustave RS pa izhaja, da mora zbiranje, obdelovanje, namen uporabe, nadzor, in varstvo tajnosti osebnih podatkov določati zakon (drugi odstavek 38. člena Ustave RS) – in ne podzakonski akt.

 

Odloka Vlade RS, ki seveda ni zakon, torej ni mogoče šteti za pravno podlago za obdelavo posebnih vrst osebnih podatkov, zaradi česar IP sploh ne more komentirati načina izvrševanja takšnega odloka. Ni namreč jasno, kako naj bi se zakonito preverjalo obstoj negativnega testa, problematika pa ni omejena le na nepremičninske družbe, temveč na domala vse subjekte in sektorje, kjer obstaja obveznost predložitve negativnega izvida testiranja. V delovnih razmerjih (kar ni vezano na vaš primer) lahko sicer pod določenimi pogoji kot pravno podlago za posredovanje informacije o negativnem testu zaposlenega delodajalcu štejemo določbo 48. člena Zakona o delovnih razmerjih (Uradni list RS, št. 21/13, s spremembami in dopolnitvami, v nadaljevanju ZDR-1). IP pa je v kontekstu delovnih razmerij v svojih mnenjih jasno poudaril, da nikakor ne more obstajati obveznost predložitve zdravstvenega izvida, temveč zgolj informacije, ki iz takšnega izvida izhaja. Tudi v primeru, ki ga navajate (če bi sploh obstajala pravna podlaga), bi resno podvomili o sorazmernosti hrambe zdravstvenih izvidov v primerjavi s hrambo zgolj informacije o izvidu (z morebitno navedbo podatkov, ki omogočajo preverjanje verodostojnosti informacije).

 

Na tem mestu pa lahko izrecno navedemo še, da privolitev posameznika ne bi bila ustrezna pravna podlaga, saj vsekakor manjka element prostovoljnosti.

 

V zvezi z določbami Splošne uredbe bi bilo treba opozoriti še na zelo pomembno določbo 13. člena, ki določa nabor informacij, ki jih mora upravljavec osebnih podatkov (denimo nepremičninska družba) zagotoviti posamezniku, kadar se osebni podatki pridobijo od njega, med drugim identiteto in kontaktne podatke upravljavca; namene in pravno podlago za obdelavo; uporabnike ali kategorije uporabnikov osebnih podatkov ter nadalje tudi obdobje hrambe osebnih podatkov; obstoj pravic posameznika; obstoj pravice do preklica privolitve; pravico do vložitve pritožbe pri nadzornem organu.

 

Žal vam podrobnejše analize zaradi zgoraj navedenih razlogov ne moremo podati, vseeno pa upamo, da ste pridobili nekaj uporabnih informacij.

 

Lepo vas pozdravljamo.

 

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                               informacijska pooblaščenka

 

 

Pripravila:                                                                                                                              

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov