Informacijski pooblaščenec Republika Slovenija
    SLO | ENG

Iskalnik po mnenjih GDPR

+ -
Datum: 18.04.2019
Naslov: Posredovanje seznama študentov pooblaščenim zdravnikom
Številka: 0712-1/2019/913
Vsebina: Zdravstveni osebni podatki, Šolstvo
Pravni akt: Mnenje

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaš dopis, v katerem navajate, da pooblaščeni zdravniki, ki opravljajo preventivne sistematične zdravstvene preglede študentov, zahtevajo od članic univerze, da jim le-te posredujejo seznam študentov z njihovimi osebnimi podatki, pri čemer se je pojavilo vprašanje ustrezne pravne podlage za posredovanje teh podatkov. Zanima vas, ali trinajsti odstavek 4. točke Pravilnika za izvajanje preventivnega zdravstvenega varstva na primarni ravni pomeni pravno podlago za to, ob upoštevanju, da visokošolski zavodi osebne podatke študentov obdelujejo za potrebe svoje pedagoške in z njo povezane znanstvenoraziskovalne, umetniške in strokovne dejavnosti ter knjižničarske dejavnosti po osmem odstavku 81. člena ZViS ter ob upoštevanju, da tako iz ZZVZZ kot tudi iz ZZPZZ in Priloge 1 ZZPZZ ne izhaja pravna podlaga za posredovanje osebnih podatkov študentov za članice univerze.

 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1 - v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 - v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora ali upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

 

Obdelava osebnih podatkov je na podlagi prvega odstavka člena 6 Splošne uredbe zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

  1. posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

  2. obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

  3. obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

  4. obdelava je potrebna za zaščito posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

  5. obdelava je potrebna za opravljanje nalog v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

  6. obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

 

IP uvodoma tako poudarja, da tudi po Splošni uredbi pravna podlaga ni nujno zakon, ampak lahko (odvisno od namena) pravno podlago, če so za to izpolnjeni pogoji, predstavlja tudi katera od drugih točk npr. točka e) (opravljanje nalog v javnem interesu), čemur vsebinsko ustreza določba četrtega odstavka 9. člena ZVOP-1 (pojasnjena v nadaljevanju).

 

Fakultete, članice slovenskih univerz, namreč predstavljajo del javne izobraževalne mreže, in jih ZVOP-1 s 23. točko 6. člena neposredno uvršča v javni sektor. Javni sektor, kamor torej sodijo tudi fakultete vaše univerze, sme glede na določbe prvega odstavka 9. člena ZVOP-1 obdelovati osebne podatke, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Nadalje pa je določeno, da se lahko z zakonom določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Ne glede na prvi odstavek tega člena se lahko po četrtem odstavku v javnem sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

 

Že sami navajate, da morajo vsi študenti na podlagi drugega odstavka 69. člena Zakona o visokem šolstvu (Uradni list RS, št. 32/12 – uradno prečiščeno besedilo, 40/12 – ZUJF, 57/12 – ZPCP-2D, 109/12, 85/14, 75/16, 61/17 – ZUPŠ in 65/17 - v nadaljevanju ZViS) v prvem letniku študijskega programa prve stopnje opraviti preventivni sistematični pregled, kot ga določajo predpisi s področja preventivnega zdravstvenega varstva. ZViS v 81. členu določa evidence z osebnimi podatki študentov in vpisanih na študijske programe za izpopolnjevanje, ki jih obdelujejo visokošolski zavodi, ki vodijo naslednje evidence z osebnimi podatki študentov:

1. evidenco prijavljenih za vpis in vpisanih študentov ter vpisanih na študijske programe za izpopolnjevanje,

2. osebni karton,

3. evidenco o izpitih in drugih študijskih obveznostih,

4. evidenco izdanih dokumentov o končanem dodiplomskem in podiplomskem izobraževanju ter študijskih programih za izpopolnjevanje.

 

Navajate še, da je na podlagi 1. alineje 1. točke prvega odstavka 23. člena Zakon o zdravstvenem varstvu in zdravstvenem zavarovanju (Uradni list RS, št. 72/06 – uradno prečiščeno besedilo, 114/06 – ZUTPG, 91/07, 76/08, 62/10 – ZUPJS, 87/11, 40/12 – ZUJF, 21/13 – ZUTD-A, 91/13, 99/13 – ZUPJS-C, 99/13 – ZSVarPre-C, 111/13 – ZMEPIZ-1, 95/14 – ZUJF-C, 47/15 – ZZSDT, 61/17 – ZUPŠ in 64/17 – ZZDej-K – v nadaljevanju ZZVZZ) z obveznim zdravstvenim zavarovanjem zavarovanim osebam zagotovljeno plačilo zdravstvenih storitev v celoti (med drugim) sistematičnega in drugega preventivnega pregleda študentov do dopolnjenega 26. leta starosti. Drugi odstavek tega člena določa, da zagotavljanje pravic in programov preventivnih in sistematičnih pregledov in storitev zgodnjega odkrivanja dejavnikov tveganja določi minister, pristojen za zdravje. Za izvajanje teh programov lahko njihovi izvajalci osebne podatke o zavarovancih, ki so vključeni v te programe, pridobijo od Zavoda za zdravstveno zavarovanje Slovenije ali iz Centralnega registra prebivalstva.

 

Na podlagi ZZVZZ je bil sprejet Pravilnik za izvajanje preventivnega zdravstvenega varstva na primarni ravni (Uradni list RS, št. 19/98, 47/98, 26/00, 67/01, 33/02, 37/03, 117/04, 31/05, 83/07, 22/09, 17/15, 47/18, 57/18 in 57/18 – v nadaljevanju Pravilnik), ki v trinajstem odstavku 4. točke določa, da na osnovi poimenskih seznamov študentov, ki jih dispanzerjem posredujejo šole (ime in priimek, naslov in letnik), tim organizira in izvede sistematične preglede po letnikih. Opravi cepljenja, ki jih določa republiški program imunoprofilakse in kemoprofilakse in potrebne namenske preglede, določene s pravilnikom in programirane zdravstvenovzgojne aktivnosti za zavarovane osebe svoje šole.

 

Glede na to, da ZZVZZ predvideva, da izvajalci teh programov pridobijo seznamu študentov, ki so vključeni v te programe, od Zavoda za zdravstveno zavarovanje Slovenije ali iz Centralnega registra prebivalstva, je zakon v smislu točke c) prvega odstavka 6. člena Splošne uredbe pravna podlaga le za pridobivanje teh podatkov od Zavoda za zdravstveno zavarovanje Slovenije ali iz Centralnega registra prebivalstva, ne pa tudi od fakultet. Pravilnik sicer določa, da se poimenski seznam učencev pridobiva (tudi) od šol (visokošolskih zavodov), vendar ta ne more predstavljati pravne podlage v smislu točke c) prvega odstavka 6. člena Splošne uredbe. Lahko pa bi bilo takšno posredovanje seznama študentov kljub temu zakonito, če je pravna podlaga za takšno posredovanje v točki e) istega člena (opravljanje nalog v javnem interesu), čemur vsebinsko ustreza določba četrtega odstavka 9. člena ZVOP-1 (pojasnjeno že zgoraj). Sicer pa IP pojasnjuje, da je odgovornost za presojo tega, kakšna je pravna podlaga za posredovanje osebnih podatkov (seznama študentov), na vsakem upravljavcu samem.

 

V upanju, da vam bo naš odgovor v pomoč, vas lepo pozdravljamo.

Pripravila:
mag. Nuša Kavšek, univ. dipl. prav.

svetovalka IP za varstvo osebnih podatkov

 

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka