Informacijski pooblaščenec Republika Slovenija
    SLO | ENG
dekorativna slika

Iskalnik po mnenjih GDPR

+ -
Datum: 15.02.2021
Naslov: Obdelava osebnih podatkov pri testih za virus SARS-Cov-2 in inšpekcijski nadzor
Številka: 07121-1/2021/287
Vsebina: Zdravstveni osebni podatki, Inšpekcijski postopki
Pravni akt: Mnenje

Pri Informacijskem pooblaščencu (IP) smo dne 9. 2. 2021 prejeli vaše sporočilo, v katerem pojasnjujete, da Nacionalni laboratorij za zdravje okolje in hrano hrani vzorce testiranj na COVID-19, v katerih je DNA testirane osebe. DNA spada med najbolj občutljiv osebni podatek, za katerega bi morali meti pisno soglasje, da bi ga lahko posredovali in hranili. V zvezi s tem predlagate proučitev problema in ukrepanje.

 

1. V zvezi z vašim vprašanjem najprej pojasnjujemo, da lahko – če ste pri izvedbi testiranja ali po njem zaznali neustrezno ravnanje z vašimi ali tujimi osebnimi podatki (npr. razkrivanje osebnih podatkov drugim osebam brez pravne podlage, neustrezni ukrepi za preprečitev izgube, uničenja in spreminjanja podatkov ter neustrezni ukrepi za preprečitev nepooblaščenega dostopanja do podatkov, uporaba podatkov ali vzorcev v nezakonite namene) – pri IP vložite inšpekcijsko prijavo. Pri tem si lahko pomagate z obrazcem »ZIN PRIJAVA«, ki je dostopen na naši spletni strani pod zavihkom »obrazci«. Prijava mora po možnosti vsebovati konkretna pojasnila o času in kraju dogodka, udeleženih osebah, podatke o upravljavcu podatkov (enemu ali več) in informacije o spornem ravnanju (npr. kateri osebni podatki ali dokumenti so predmet kršitve in kako so se neustrezno obdelovali).

 

2. Nadalje pojasnjujemo, da smo uvedli oziroma, da je v teku že vsaj sedem inšpekcijskih postopkov v zvezi z domnevnimi nepravilnostmi, ki se nanašajo na tovrstno testiranje, vendar se zatrjevane nepravilnosti ne nanašajo na ravnanje z biološkim materialom po izvedbi testiranja.

 

3. Informacije o ravnanju z vzorci (biološkim materialom) in pripomočki vam lahko nudi izvajalec testiranja ali morda druge pristojne institucije (morda Ministrstvo za zdravje, prisojni inšpektorati, NIJZ ipd.). Ravnanje z njimi namreč ne spada v našo pristojnost vse dokler ne pride do obdelave osebnih podatkov. Če vas zanimajo informacije o obdelavi osebnih podatkov v zvezi s testiranjem, jih mora upravljavec (izvajalec odvzema, pristojni laboratorij in druge udeležene osebe) razkriti posamezniku na njegovo zahtevo, in sicer na podlagi 13. in 14. člena Splošne uredbe o varstvu podatkov.

 

4. Glede privolitve v hrambo podatkov velja, da za obdelavo osebnih podatkov v zvezi s testiranjem, ki ga izvajajo izvajalci zdravstvene dejavnosti (pri PCR testih gre pravzaprav za verigo, ki jo sestavljajo izvajalec odvzema materiala in njegovega posredovanja, pristojni laboratorij ter ustanove, ki so po predpisih obveščene o rezultatih, npr. izbrani osebni zdravnik in NIJZ) privolitev ni potrebna. Podlaga za obdelavo osebnih podatkov je namreč določena v Zakonu o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ) in delno še v nekaterih drugih zakonih (npr. ZPacP, ZZVZZ in ZNB). Privolitev je potrebna le, če se osebni podatki obdelujejo na kakšen poseben način ali za poseben namen, ki ga zakonodaja ni predvidela (npr. za zunanje raziskave).

 

5. Glede ravnanja z »genetskimi podatki« (o tem, kaj se zgodi z DNK posameznika po COVID-19 testu oziroma, kaj se zgodi s testom po zaključku testiranja) smo že izdali neobvezujoče mnenje št. 07121-1/2020/2345. V zvezi s tem pojasnjujemo naslednje:

​​​

a.    Glede vprašanja, kako izvajalec testiranja ravna z odvzetimi vzorci po zaključku PCR testiranja, se mora pacient obrniti na pooblaščeni laboratorij (IMI ali NLZOH), pri AGT testih pa na neposrednega izvajalca testiranja. Ravnanje s samimi vzorci ne spada na področje varstva osebnih podatkov. Tudi, če se ti obdelujejo s spremljajočimi osebnimi podatki pacienta, IP nima informacij o ravnanju z njimi, ker gre za strokovne interne postopke oziroma protokole;  

b.    Vsak odvzet biološki material v diagnostične namene (npr. biopsijski vzorci tkiv, likvor, kri, brisi različnih sluznic) praviloma vsebuje tudi genetski material, zato je njegova usoda odvisna od usode odvzetega biološkega materiala. Biološki in v njem vsebovani genetski material sam po sebi ni osebni podatek ali zbir osebnih podatkov. O osebnih podatkih je moč govoriti šele takrat, ko se na podlagi analiz ustvarijo surovi ali interpretirani podatki oziroma informacije o posamezniku;  

c.    Ker pri odvzetem testnem materialu kot takem ne gre za osebne podatke, IP o usodi tega materiala ne more dajati mnenj ali voditi uradnih postopkov; 

d.    Pri PCR testih za virus SARS-Cov-19 se ne preiskuje DNK pacienta, pač pa le RNK virusa, zato se podatki o DNK pacienta pri tem testiranju sploh ne ustvarjajo. Pri teh testih ne gre za genetske preiskave pacienta, zato do obdelave pacientovih genetskih osebnih podatkov sploh ne pride. To pomeni, da tudi ni nevarnosti za nadaljnjo nezakonito uporabo pacientovih genetskih podatkov. Na teoretični ravni pa ni mogoče izključiti zlorabe neuničenega genetskega materiala, vendar se je treba zavedati, da to lahko pride v poštev pri vsakem odvzemu biološkega materiala (gl. točka b zgoraj) in ne le v okviru testiranja za COVID-19. Smiselno enako velja za AGT teste; 

e.    Nadaljnja uporaba neanonimiziranih surovih ali interpretiranih rezultatov testa in samega vzorca ni dovoljena, če za to ni na voljo zakonske podlage ali privolitve pacienta.
 

 

 

 

Lepo vas pozdravljamo,

 

 

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

 

 

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka