Pridobitev osebnih podatkov študentov za izvajanje preventivnih pregledov študentov v zdravstvenem domu

Datum

09.05.2023

Številka

07121-1/2023/612

Kategorije

Šolstvo, Pravne podlage, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo dne 25. 4. 2023 prejeli vaše zaprosilo za mnenje o tem, ali je ustrezno, da Univerza v Ljubljani (UL) posreduje seznam vpisanih študentov Zdravstvenemu domu za študente UL za namen obveščanja o preventivnih zdravstvenih pregledih, in da zdravstveni dom nazaj univerzi posreduje seznam študentov, ki so preventivni pregled opravili. V Pravilniku za izvajanje preventivnega zdravstvenega varstva na primarni ravni je v zvezi z vabljenjem študentov na preglede določeno, da so o pregledu študenti in višješolski študenti obveščeni pisno. Kot možno pravno podlago navajate četrti odstavek 6. člena ZVOP-2. V 9. členu Zakona o zdravstveni dejavnosti (ZZDej) je določeno, da Zdravstveni dom za študente skrbi za zdravje študentov in ima organizirano preventivno in kurativno zdravstveno dejavnost splošne medicine, zobozdravstva, specialistično-ambulantne dejavnosti, laboratorijsko in drugo diagnostiko ter terapijo za potrebe študentov. Študenti bi vabilo na preventivne zdravstvene preglede prejemali po e-pošti prek pogodbenega obdelovalca.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Splošne uredbe (EU) o varstvu podatkov (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

I. Po mnenju IP sklicevanje na četrti odstavek 6. člena ZVOP-2 v predstavljenem primeru sicer ni izključeno, vendar načeloma ni videti očitnih razlogov, da bi bil izpolnjen pogoj nujnosti obdelave osebnih podatkov.

Poleg tega IP ne more na konkretni ravni presoditi izpolnjevanja zakonskih pogojev, saj nima na voljo dovolj relevantnih informacij, ki se nanašajo na konkretni primer, poleg tega pa se IP lahko dokončno opredeljuje do konkretnih primerov obdelav osebnih podatkov le v nadzornih postopkih.

Enako velja za posredovanje podatkov o opravljenih zdravstvenih pregledih Univerzi, pri čemer menimo, da je v tem primeru na voljo tudi privolitev, ki bi jo študenti lahko enostavno dali zdravstvenemu domu ob izvedbi pregleda.

II. Pri presoji pogojev iz četrtega odstavka 6. člena ZVOP-2 bi bilo treba upoštevati zlasti:

-- kateri osebni podatki so predmet posredovanja, zakaj je vsak o teh podatkov neizogibno potreben za organizacijo, vabljenje in izvedbo pregledov, ali so študenti obveščeni o posredovanju in ali lahko na posredovanje vplivajo;

-- ali je res izpolnjen pogoj nujnosti, zlasti, ali ni možno izvajati pregledov oziroma vabljenja na način brez posredovanja podatkov ZD, ali so možni drugi načini (npr. privolitev, pridobivanje podatkov od drugega upravljavca na zakonski podlagi, splošno obveščanje s strani Univerze in samonaročanje) in kako bi drugi načini vplivali na učinkovitost, uspešnost in kakovost izvedbe pregledov, kakšne so lahko posledice, če do posredovanja podatkov ne pride ipd.

Obrazložitev

ZVOP-2 v četrtem odstavku 6. člena določa, da se, ne glede na določbe drugega odstavka 6. člena za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe, lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. Za konkretno uporabo te določbe (kot samostojne pravne podlage) morajo biti izpolnjeni naslednji pogoji:

1.1. upravljavec in uporabnik spadata v javni sektor,

2.2. gre za zakonite pristojnosti, naloge ali obveznosti upravljavca ali uporabnika;

3.3. obdelava določenih osebnih podatkov je nujna (neizogibna) za izvajanje pristojnosti iz prejšnje točke;

4.4. upravičeni interesi posameznikov pri obdelavi oziroma zaradi nje niso prizadeti. Gre torej za poseg v informacijsko zasebnost, a ta ni pretirana in je v sorazmerju s cilji obdelave osebnih podatkov, ter hkrati niso prizadeti kakšni drugi pomembni interesi posameznika, npr. širša zasebnost in druge osebnostne pravice.

V konkretnem primeru sicer ni dvoma, da sta izpolnjena pogoja iz 1. in 2. točke, vendar se IP ne more prepričati, ali sta izpolnjena tudi pogoja iz 3. in 4. točke. Poleg tega ni videti očitnih razlogov, da bi bilo posredovanje osebnih podatkov res neizogibno potrebno za izvedbo pregledov. Na primer postavlja se vprašanje, zakaj ne zadošča, da UL študentom posreduje s strani ZD pripravljene informacije o potrebi in načinu izvedbe pregledov. Tudi za povratno obveščanje UL o izvedenih pregledih IP ne vidi pravne podlage (razen privolitve) in tudi ne nujne potrebe.

IP zaključuje, da je – zaradi odsotnosti ustrezne področne podlage za obdelavo osebnih podatkov – sklicevanje na četrti odstavek 6. člena ZVOP-2 sicer teoretično možno, a sta UL in ZD sama odgovorna za presojo izpolnjevanja pogojev na konkretni ravni ob upoštevanju okoliščin konkretnega primera. Pri tem vam predlagamo, da se upošteva usmeritve iz II. točke mnenja.

Pojasnjujemo še, da je v dosedanjih mnenjih, ki so se nanašala na osnovne in srednje šole, IP predlagal, da se posredovanje podatkov izvaja na podlagi privolitve otrok oziroma zakonitih zastopnikov (npr. mnenje št. 07121-1/2022/426).

Pripravil

dr. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka