Zbiranje in posredovanje podatkov o okuženosti in visoko rizičnih stikih učencev Nacionalnemu inštitutu za javno zdravje

Pri Informacijskem pooblaščencu (IP) smo dne 4. 9. 2021 prejeli vaše vprašanje o tem, ali je dopustno, da šole v skladu z »Navodilom vzgojno-izobraževalnim zavodom (VIZ) in dijaškim domovom (DD) ob sumu ali potrjenem primeru okužbe s SARS-CoV-2 v zavodu« (NIJZ, 1. 9. 2021), od okuženih učencev in učencev, ki so bili v visoko rizičnih stikih pridobivajo določene podatke ter jih posredujejo NIJZ.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pri tem še pojasnjujemo, da je naš odgovor splošen:

• ker se IP izven inšpekcijskega postopka ne more konkretno in dokončno opredeljevati do obdelave osebnih podatkov v posamičnih primerih in

• ker IP ni pristojen za presojanje navodil NIJZ, pač pa lahko daje predhodna mnenja le na predloge predpisov ter

• ker se navezuje le na Navodila NIJZ ter na ZNB in ne na druge predpise, ker iz Navodil ne izhaja, na katere predpise so oprta, razen na ZNB.

O b r a z l o ž i t e v:

1. IP ni znana zakonska podlaga, ki bi določala obvezno zbiranje podatkov o prebolelosti in cepljenosti učencev s strani šole po tem, ko je ugotovljena okužba pri drugem učencu. Ni pa izključeno, da šola pri ugotavljanju VRK od učencev ta podatek pridobi, če ga ti želijo prostovoljno posredovati šoli (podatek je namreč lahko pomemben za določanje izjem od karantene). Poleg tega NIJZ te podatke že ima v svojih zbirkah podatkov.

Učenci šoli ne sporočajo podatkov o rezultatih samotestiranja, pač pa pozitiven rezultat sporočijo šele po opravljenem PCR testu.

2. Ker NIJZ že ima podatke o okuženih osebah oziroma, saj ima podlago za to v Zakonu o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ), ni sporno, če te podatke (tudi v povezavi s konkretno šolo) pridobi od šole v zvezi s poročanjem o VRK.

Navodila NIJZ sama po sebi ne morejo biti pravna podlaga za zbiranje in posredovanje osebnih podatkov v konkretnem primeru. V Navodilih NIJZ je navedeno, da je podlaga za posredovanje seznama VRK določena v ZNB, brez sklica na konkretno določbo. IP ni znana določba v ZNB, ki bi neposredno določala obveznost posredovanja naštetih osebnih podatkov. Za potrebe odreditve karantene oziroma pridobitve izjave o karanteni je v ZNB (členi 19.a do 19.č) predvideno, da oseba sama posreduje potrebne osebne podatke NIJZ. ZNB ne predvideva, da bi nek upravljavec obvezno posredoval te podatke NIJZ, torej, da bi jih posredoval mimo osebe, na katero se nanašajo.

Poleg tega v ZNB med podatki, ki jih NIJZ lahko vodi v zvezi s karantenami ni »datuma zadnjega tesnega stika« in »izjeme od karantene«.

Postavlja se še vprašanje, za kakšen konkretni namen naj bi se NIJZ sporočalo tudi podatke o osebah, na katere se nanaša izjema od karantene, saj ta oseba za izjavo o karanteni ne bo zaprosila oziroma ji karantena ne bo odrejena. Od konkretnega namena (torej od primernosti in potrebnosti teh podatkov) je namreč odvisno tudi, katera pravna podlaga lahko pride v poštev.

Zaradi pomanjkljivih pojasnil v Navodilih NIJZ pri IP ne moremo oceniti, ali so morebiti podane posebne okoliščine za sklicevanje na druge zakonske pravne podlage – na primer 17. člen ZNB (epidemiološka preiskava) in četrti odstavek 9. člena ZVOP-1 (nujnost za zagotavljanje zakonitih pristojnosti).

Lepo vas pozdravljamo,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka