Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 06.11.2019
Naslov: Posredovanje OP UE
Številka: 0712-1/2019/2516
Vsebina: Posebne vrste, Pravne podlage, Upravne enote, Uradni postopki
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja osebnih podatkov upravnim enotam v postopku odvzema vozniškega dovoljenja v primeru ugotovljene zdravstvene nezmožnosti voznikov.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

 

IP uvodoma poudarja, da lahko podaja nezavezujoča mnenja in pojasnila, ne sme pa v okviru mnenja presojati ustreznosti določene rešitve z vidika skladnosti z obstoječimi predpisi. Presojo o ustreznosti lahko izvede le v okviru konkretnega inšpekcijskega ali upravnega postopka. Presoja glede zakonitosti oziroma ustreznosti obdelave je na vsakem upravljavcu posebej.

 

Ker IP ni pristojen za nadzor nad zakonitostjo vodenja upravnih in drugih postopkov upravnih enot in se posledično ne more opredeljevati do ugotovitvenega postopka v konkretnih zadevah, ki jih rešujejo upravne enote, je mnenje IP le načelno oziroma splošno. 

Splošna uredba o varstvu podatkov v prvem odstavku 9. člena navaja posebne vrste osebnih podatkov ter njihovo obdelavo. Tako sta po Splošni uredbi o varstvu podatkov prepovedani obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.

 

V skladu z drugim odstavkom istega člena se prvi odstavek ne uporablja in omenjena prepoved obdelave ne velja, če velja eno od naslednjega:

(a)    posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1;
(b)    obdelava je potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava ter prava socialne varnosti in socialnega varstva, če to dovoljuje pravo Unije ali pravo države članice ali kolektivna pogodba v skladu s pravom države članice, ki zagotavlja ustrezne zaščitne ukrepe za temeljne pravice in interese posameznika, na katerega se nanašajo osebni podatki;
(c)    obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali drugega posameznika, kadar posameznik, na katerega se nanašajo osebni podatki, fizično ali pravno ni sposoben dati privolitve;
(d)    obdelavo v okviru svojih zakonitih dejavnosti z ustreznimi zaščitnimi ukrepi izvaja ustanova, združenje ali katero koli drugo neprofitno telo s političnim, filozofskim, verskim ali sindikalnim ciljem in pod pogojem, da se obdelava nanaša samo na člane ali nekdanje člane telesa ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, ter da se osebni podatki ne posredujejo zunaj tega telesa brez privolitve posameznikov, na katere se nanašajo osebni podatki;
(e)    obdelava je povezana z osebnimi podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, sam objavi;
(f)    obdelava je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov ali kadar koli sodišča izvajajo svojo sodno pristojnost;
(g)    obdelava je potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;
(h)    obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3;
(i)    obdelava je potrebna iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti;
(j)    obdelava je potrebna za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki.

 

Obdelavo posebnih vrst osebnih podatkov za namene preventivne medicine,  medicine dela in ostale namene iz točke (h) mora torej določati pravo unije ali pravo države članice. V RS so pravila in pogoji za opravljanje vozniškega izpita ter pogoji opravljanja zdravstvenih pregledov in dodatnih usposabljanj voznikov določeni v Zakonu o voznikih (ZVoz-1; Uradni list RS, št. 85/16, 67/17, 21/18 – ZNOrg, 43/19). Ta  v 15. členu določa, da minister, pristojen za zdravje, med drugim izda predpise o vrsti in obsegu zdravstvenih pregledov, ki jih morajo opraviti kandidati za voznike in vozniki motornih vozil po tem zakonu in predpiše način, postopek izdaje ter obliko in vsebino zdravniških spričeval in potrdil o opravljenem pregledu.

Na tej podlagi je bil izdan Pravilnik o zdravstvenih pogojih voznikov motornih vozil (Uradni list RS, št. 14/18). Ta v 4. členu določa, da zdravstveni pregled, s katerim se ugotavlja telesna in duševna zmožnost za vožnjo, lahko izvajata izvajalec zdravstvene dejavnosti ali pooblaščeni izvajalec zdravstvene dejavnosti, obsega pa pregled osnovne zdravstvene dokumentacije kandidata za voznika, ki jo vodi izbrani osebni zdravnik, ter klinični pregled, ki vključuje tudi pregled vidnih funkcij za vožnjo motornih vozil. Če na podlagi zdravstvenega pregleda iz prejšnjega odstavka zdravnik specialist medicine dela, prometa in športa, ne more sam ugotoviti telesne in duševne zmožnosti kandidata za voznika in voznika ali če je to določeno v Prilogi 1 pravilnika, lahko zahteva usmerjen izvid (izvid zdravnika specialista oftalmologa, zdravnika druge specialnosti oziroma psihologa), dodatne diagnostične preiskave ali praktični preizkus vožnje v šoli vožnje. Po opravljenem zdravstvenem pregledu izvajalec zdravstvene dejavnosti oziroma pooblaščeni izvajalec zdravstvene dejavnosti izda računalniško izpisano zdravniško spričevalo o telesni in duševni zmožnosti. V skladu z 10. členom pravilnika izvajalec zdravstvene dejavnosti oziroma pooblaščeni izvajalec zdravstvene dejavnosti, ki je zdravstveni pregled opravil, izroči zdravniško spričevalo kandidatu za voznika oziroma vozniku. Če je z zdravniškim spričevalom ugotovljena zdravstvena sposobnost ali nesposobnost kandidata za voznika oziroma voznika, ga pošlje v obliki kopije zdravniškega spričevala v treh dneh po opravljenem zdravstvenem pregledu tudi upravni enoti stalnega prebivališča kandidata za voznika oziroma voznika. 

ZVoz-1 nadalje v 90. členu določa, da lahko voznik, ki se ne strinja z zdravniškim spričevalom, v roku 15 dni od vročitve spričevala zahteva ponovni zdravstveni pregled samo pred posebno zdravstveno komisijo, ki po opravljenem zdravstvenem pregledu izda zdravniško spričevalo o telesni in duševni zmožnosti kandidata za voznika ali imetnika vozniškega dovoljenja za vožnjo motornih vozil, z obrazloženim mnenjem. Kopijo zdravniškega spričevala z obrazloženim mnenjem komisija pošlje upravni enoti, kjer ima kandidat za voznika oziroma voznik motornega vozila prebivališče.

Omenjena določba ZVoz-1 torej jasno določa, da komisija upravni enoti pošlje kopijo zdravniškega spričevala z obrazloženim mnenjem, zato je po mnenju IP upravna enota upravičena do prejema kopije zdravniškega spričevala z obrazloženim mnenjem.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti. To praktično pomeni, da se pri obravnavi posameznika v postopku lahko obdelujejo le tisti podatki, ki so neizogibno potrebni in primerni za odločitev o zadevi.

 

IP sklepno pojasnjuje, da so splošna pravila o zagotavljanju varnosti osebnih podatkov določena v 32. členu Splošne uredbe o varstvu podatkov, še vedno pa se uporabljajo tudi določbe ZVOP-1 o zavarovanju osebnih podatkov. Tako v skladu s še vedno veljavnim prvim odstavkom 24. člena ZVOP-1 zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava tako, da se med drugim preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih. V skladu s prav tako še vedno veljavnim prvim odstavkom 25. člena ZVOP-1 so upravljavci osebnih podatkov in pogodbeni obdelovalci dolžni zagotoviti zavarovanje osebnih podatkov na navedeni način. Drugi odstavek 25. člena pa določa, da upravljavci osebnih podatkov v svojih aktih predpišejo postopke in ukrepe za zavarovanje osebnih podatkov ter določijo osebe, ki so odgovorne za določene zbirke osebnih podatkov, in osebe, ki lahko zaradi narave njihovega dela obdelujejo določene osebne podatke.

Iz zgoraj navedenega izhaja, da morajo biti osebni podatki ves čas prenosa  ustrezno zavarovani  s postopki in ukrepi, ki nepooblaščenim osebam preprečujejo dostop do osebnih podatkov, pri čemer so postopki in ukrepi zavarovanja odvisni od tveganja, ki ga predstavlja prenos, in vrste osebnih podatkov, ki se prenašajo. V kolikor se kopije zdravniških spričeval z obrazloženim mnenjem prenašajo s poštnimi pošiljkami oz. preko kurirja, morajo biti torej zavarovane na način, da se prepreči nepooblaščena seznanitev z osebnimi podatki, ki se prenašajo.

Pri pošiljanju osebnih podatkov po telekomunikacijskih omrežjih je treba razlikovati med navadnimi in občutljivimi osebnimi podatki (posebne vrste osebnih podatkov po Splošni uredbi o varstvu podatkov). Tovrstnim osebnim podatkom (mednje spadajo tudi podatki v zvezi z zdravjem) je zaradi njihove občutljive narave predpisano posebno varstvo. Zaradi njihove opisane narave iz 14. člena ZVOP-1 izhajajo tudi posebna pravila za način obdelave navedenih podatkov. Drugi odstavek 14. člena ZVOP-1 tako zaradi specifičnosti komunikacije preko telekomunikacijskih omrežjih posebej ureja prenos občutljivih osebnih podatkov prek telekomunikacijskih omrežij, pri čemer se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. V kolikor bi se kopije zdravniških spričeval z obrazloženim mnenjem prenašale na ta način, je treba torej poskrbeti za njihovo ustrezno zaščito med prenosom v skladu z navedenimi določbami.

IP sklepno poudarja, da mora vsak upravljavec sam, glede na tveganja, presoditi, kateri so tisti ukrepi, ki so potrebni za zagotavljanje ustrezne varnosti osebnih podatkov. V kolikor osebni podatki med prenosom niso ustrezno zavarovani in do njih lahko dostopajo nepooblaščene osebe, bi lahko šlo za kršitev navedenih določb ZVOP-1. 

O zavarovanju osebnih podatkov so na voljo tudi smernice, ki so dostopne na spletni strani IP:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf.

 

 

S spoštovanjem.

 

 

Pripravil:

Matej Sironič,                                                  

Svetovalec pooblaščenca za varstvo osebnih podatkov

 

 

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka