Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 12.05.2020
Naslov: Posredovanje telefonskih številk in e-naslovov ucencev pediatrom in šolskim zdravnikom
Številka: 07121-1/2020/829
Vsebina: Pravne podlage, Privolitev, Šolstvo
Pravni akt: Mnenje

Pri Informacijskem pooblaščencu (IP) smo dne 29. 4. 2020 prejeli vaše vprašanje o tem, ali lahko šola zaradi izvedbe sistematskih zdravstvenih pregledov in cepljenj posreduje izvajalcem sistematskih pregledov in cepljenj  telefonske številke in e-naslove učencev oziroma njihovih staršev. V zaprosilu ste navedli več argumentov, zaradi katerih menite, da bi bilo to potrebno za učinkovito in uspešno izvedbo pregledov in cepljenj v času epidemije COVID-19. 


Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

 

 

Po mnenju IP je v času epidemije COVID-19 dopustno, da šole izvajalcem sistematskih pregledov učencev in obveznih cepljenj posredujejo telefonske številke in e-naslove učencev oziroma njihovih staršev za namen organizacije in izvedbe pregledov in cepljenj po predpisih, če lahko izvajalci, kot uporabniki podatkov, izkažejo nujnost (neizogibnost) pridobitve teh podatkov za organizacijo in izvedbo pregledov in cepljenj v smislu četrtega odstavka 9. člena ZVOP-1 v zvezi z točko (c) in točko (e) prvega odstavka člena 6 Splošne uredbe o varstvu podatkov.

 

 

O b r a z l o ž i t e v:

 

V obravnavanem primeru je najprej treba pojasniti:

  • da pravna podlaga v Pravilniku za izvajanje preventivnega zdravstvenega varstva na primarni ravni (v nadaljevanju Pravilnik), ki omogoča posredovanje osebnega imena, naslova in razreda ni povsem v skladu z ustavno zahtevo, da mora podlago za obdelavo osebnih podatkov določati zakon. Zato je treba pri vseh dodatnih osebnih podatkih, ki bi se obdelovali za ta namen, pristopati restriktivno;
  • da izrecne oziroma neposredne in jasne pravne podlage za posredovanje telefonskih številk in e-naslovov s strani izobraževalnih organizacij ni v nobenem zakonu in tudi ne v Pravilniku;
  • da, kljub pomanjkljivosti iz prejšnje točke, ni izključeno sklicevanje na katero od splošnih in izjemnih podlag v členu 6. Splošne uredbe o varstvu podatkov ali v ZVOP-1;
  • da je presoja, ali so izpolnjeni pogoji za sklicevanje na splošne in izjemne pravne podlage v rokah upravljavca in uporabnika. IP vnaprešnje konkretne presoje izven inšpekcijskega postopka in brez poznavanja dejanskega stanja za vsakega uporabnika posebej, ne more izvesti. 

 

V obravnavanem primeru sta splošni pravni podlagi, ki bi lahko omogočali želeno obdelavo osebnih podatkov:

  • (c) točka prvega odstavka člena 6 Splošne uredbe o varstvu podatkov, ki določa, da je obdelava osebnih podatkov zakonita, če je potrebna za izpolnitev zakonske obdveznosti, ki velja za upravljavca (v konkretnem primeru obveznost izhaja zlasti iz Zakona o zdravstvenem varstvu in zdravstvenem zavarovanju in Pravilnika) in
  • (e) točka prvega odstavka člena 6 Splošne uredbe o varstvu podatkov, ki določa, da je obdelava osebnih podatkov zakonita, če je potrebna za opravljanje naloge v javnem interesu (v konkretnem primeru javni interes v smislu zagotavljanja preventivnih zdravstvenih storitev za učence prav tako izhaja zlasti iz predpisov iz prejšnje alineje).

Obe omenjeni pravni podlagi sta vezani na določbo tretjega odstavka člena 6 Splošne uredbe o varstvu podatkov, ki določa, da je podlaga za obdelavo iz točk (c) in (e) odstavka 1 določena v skladu s pravom Unije ali pravom države članice. Taka podlaga (prava države članice) je v konkretnem primeru lahko četrti odstavek 9. člena ZVOP-1, ki določa, da se lahko v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja (npr. zdravstvenega doma), če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Ta izjemna pravna podlaga ima tri pogoje: zakonita pristojnost, nujnost (neizogibnost) in neposeganje v upravičene interese posameznikov.

 

IP meni, da v konkretnem preimeru gre za zakonito nalogo izvajalcev, in da se s posredovanjem telefonskih številk in e-naslovov ne bi posegalo v upravičene interese učencev in njihovih staršev, ne more pa na konkretni ravni oceniti, ali je za vsako posredovanje podatkov oziroma za vsakega od izvajalcev izpolnjen tudi pogoj nujnosti, tj. da so predmetni kontaktni podatki res neizogibno potrebni za organizacijo in izvedbo pregledov in cepljenj. Pri presoji, ali je izpolnjeni slednji pogoj mora izvajalec upoštevati zlasti dejstvo, da bi lahko šola obvestila učence oziroma njihove starše, da naj stopijo v kontakt z izvajalcem ali na drug podoben način posredovala pri izvedbi zdravstvenih pregledov, lahko pa bi tudi od učencev oziroma staršev pridobila privolitve za posredovanje želenih osebnih podatkov izvajalcu. Zato morajo biti podane konkretne, objektivne in resne okoliščine, ki bi utemeljeno zahtevale nujno posredovanje telefonskih številk in e-naslovov določenemu izvajalcu. 

 

Dodatno še opozarjamo:

  • da se lahko posredovani kontakti uporabijo le za namen, za katerega so bili posredovani in le toliko časa dokler je to potrebno za izvedbo zdravstvene storitve. Nadaljnja uporaba teh podatkov je možna pod pogojem privolitve ali če za to obstaja kakšna druga pravna podlaga;
  • da morajo biti učenci oziroma njihovi starši obveščeni o informacijah glede obdelave osebnih podatkov po členu 14 Splošne uredbe o varstvu podatkov;
  • da mora biti komunikacija po e-pošti, ki bi jo izvajalci pošiljali učencem oziroma njihovim staršem in bi vsebovala zdravstvene podatke (gl. pojem v 15. točki člena 4 Splošne uredbe o varstvu podatkov) šifrirana v skladu s 14. členom ZVOP-1;
  • da imajo učenci oziroma njihovi starši pod določenimi pogoji pravico do ugovora iz člena 21 Splošne uredbe o varstvu podatkov.

 

To mnenje je skladno z že izdanima mnenjema v podobni zadevi št. 07120-1/2020/324 in št. 07120-1/2020/315.

 

Lepo vas pozdravljamo,

 

 

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

 

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka