Sodelovanje v registru EuroHEART

Datum

14.05.2026

Številka

07120-1/2026/208

Kategorije

Anonimizacija/psevdonimizacija, Ocene učinkov v zvezi z varstvom podatkov, Pogodbena obdelava podatkov, Pravne podlage, Statistika in raziskovanje, Zbirke osebnih podatkov, Zdravstveni osebni podatki

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede sodelovanja v registru EuroHEART. Pojasnjujete, da Zakon o digitalizaciji zdravja (v nadaljevanju ZDigZ) določa nacionalno zbirko srčno žilnih bolezni, katerega upravljavec je UKC Ljubljana. Namen zbirke je spremljanje in načrtovanje zdravstvenega varstva bolnikov, spremljanje kakovosti življenja bolnikov srca in ožilja. Uredba o programih storitev obveznega zdravstvenega zavarovanja, zmogljivostih, potrebnih za njegovo izvajanje, in obsegu sredstev za leto 2025 pa opredeljuje tudi Slovenski register bolezni srca in ožilja (EuroHeart), kjer so predvidena finančna sredstva za sodelujoče bolnišnice. Navajate, da so namen in cilji na ravni posamezne bolnišnice in Ministrstva za zdravje spremljanje kakovosti oskrbe bolnikov s srčno žilnimi boleznimi, standardizacija in izboljšanje kliničnih procesov, uporaba enotnih podatkovnih standardov za spremljanje bolnikov, uvedba najboljših praks, ki jih predpisuje EuroHeart, podpora odločanju na klinični ravni, udeležba v raziskavah in študijah in mednarodno primerjanje.

V tem okviru poudarjate, da je bil namen zakonodajalca vzpostaviti nacionalno zbirko, ki je funkcionalno povezana z evropskim registrom EuroHeart, iz povzetih razlogov, ki so v korist pacientom. Na tej podlagi iščete pravno dopustne načine, kako namen zakonodajalca, opredeljen v ZDigZ, operativno izvesti v skladu s Splošno uredbo in ZVOP-2, ob upoštevanju treh različnih možnih modelov:

I.

Pogodbena obdelava

II.

Raziskava po 69. člen ZVOP-2

III.

Povezovanje zbirk

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pri obsežnih in sistematičnih obdelavah zdravstvenih podatkov je praviloma obvezna izvedba ocene učinkov v zvezi z varstvom osebnih podatkov v skladu s 35. členom Splošne uredbe in 24. členom ZVOP-2 (DPIA).

Evropsko kardiološko združenje (ESC) najverjetneje ne izpolnjuje pogojev za pogodbenega obdelovalca, saj iz vašega opisa izhaja, da samo določa bistvene elemente obdelave. Upravljavec je namreč subjekt, ki določa namene in sredstva obdelave, tj. razlog in način obdelave, obdelovalec pa osebne podatke obdeluje izključno v imenu upravljavca. Zato bi bilo razmerje med ESC in UKC Ljubljana v določenem delu verjetneje opredeliti kot razmerje skupnih upravljavcev.

Obdelava na podlagi 69. člena ZVOP-2 (obdelava osebnih podatkov za raziskovalne namene) je v konkretnem primeru vprašljiva, saj opisane aktivnosti, kot so standardizacija kliničnih procesov, spremljanje kakovosti obravnave, primerjalna analiza med bolnišnicami in podpora kliničnemu odločanju, po svoji naravi praviloma ne predstavljajo znanstveno-raziskovalne dejavnosti v ožjem smislu, temveč sistemsko upravljanje in izboljševanje kakovosti zdravstvenega sistema. Dodatno vprašanje predstavlja tudi vloga ESC kot dejanskega končnega prejemnika podatkov, saj morajo biti izvajalci raziskave, namen obdelave in prejemniki podatkov v skladu z 69. členom ZVOP-2 jasno in vnaprej določeni.

Povezovanje nacionalne Zbirke srčno žilnih bolezni in registra EuroHeart bi bilo načeloma lahko dopustno na podlagi točke e) prvega odstavka 6. člena Splošne uredbe v zvezi s točko i) oziroma j) drugega odstavka 9. člena Splošne uredbe, vendar le ob dovolj določni nacionalni pravni podlagi. Takšna pravna podlaga za predvideno povezovanje iz ZDigZ ne izhaja, IP pa ne razbere, da bi izhajala iz kakšnega drugega predpisa.

Obrazložitev

Uvodoma poudarjamo, da IP izven nadzornega oziroma inšpekcijskega postopka ne more presojati zakonitosti obdelave osebnih podatkov v konkretnih primerih. Zato v okviru mnenja ne more presojati, katera od predlaganih rešitev najbolje ustreza namenu zakonodajalca oziroma vnaprej potrjevati njihove ustreznosti. Glede na to vam v nadaljevanju podajamo splošna in neobvezujoča pojasnila z vidika varstva osebnih podatkov, ki vam lahko pomagajo pri sprejemanju ustreznih odločitev.

Ob tem poudarjamo, da je upravljavec v celoti odgovoren za skladnost obdelave z načeli varstva osebnih podatkov in mora to skladnost tudi dokazati (drugi odstavek 5. člena Splošne uredbe). Zato je pri tako obsežnih in sistematičnih obdelavah zdravstvenih podatkov, kot jih opisujete, nujno zagotoviti jasno opredelitev vlog posameznih subjektov, ustrezno pravno podlago za obdelavo in posredovanje podatkov, ustrezne tehnične in organizacijske ukrepe za zmanjšanje tveganj za pravice posameznikov ter izvesti oceno učinkov v zvezi z varstvom osebnih podatkov v skladu s 35. členom Splošne uredbe in 24. členom ZVOP-2 (DPIA). Ta ocena se mora izvesti že pred obdelavo, kar omogoča pravočasno prepoznavo in obvladovanje morebitnih tveganj za pravice posameznikov. Skladno s 36. členom Splošne uredbe se mora upravljavec pred obdelavo posvetovati z nadzornim organom, kadar ocena pokaže, da bi obdelava lahko povzročila veliko tveganje, če ne bi bili sprejeti ustrezni ukrepi za njegovo zmanjšanje.

IP je na temo ocene učinkov izdelal tudi Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani: https://www.ip-rs.si/go?u=%2Fprirocniki_smernice%2FSmernice_o_ocenah_ucinka.pdf.

I.

Pogodbena obdelava

IP glede pogodbene obdelave pojasnjuje, da v skladu s 4. členom Splošne uredbe pojem »upravljavec« pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave, pojem »obdelovalec« pa pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki obdeluje osebne podatke v imenu upravljavca.

Pogodbeni obdelovalci so tisti subjekti, ki po naročilu določenega upravljavca osebnih podatkov in v skladu z njegovimi zahtevami za določeno nalogo oziroma namen zanj obdelujejo osebne podatke posameznikov. IP poudarja, da je bistvenega pomena dejstvo, da lahko obdelovalec osebne podatke obdeluje zgolj za namene, za katere ga je pooblastil upravljavec in torej osebnih podatkov ne obdeluje za lastne namene. Za določitev medsebojnega razmerja so torej bistvene vloge posameznih subjektov pri pridobivanju podatkov, določanju namenov in sredstev obdelave ter izvrševanju pravic posameznikov, katerih podatki se obdelujejo.

V obravnavanem primeru je zato bistveno vprašanje, ali bi Evropsko kardiološko združenje (European Society of Cardiology, v nadaljevanju ESC) osebne podatke obdelovalo izključno v imenu in po navodilih upravljavca nacionalne Zbirke srčno žilnih bolezni, tj. UKC Ljubljana, ali pa bi pri obdelavi samostojno določalo namene oziroma bistvena sredstva obdelave.

Iz vaših pojasnil je mogoče razbrati, da ESC pri obdelavi podatkov ne nastopa zgolj kot tehnični izvajalec po navodilih UKC kot upravljavca, temveč najmanj deloma samostojno določa bistvene elemente obdelave, zlasti glede metodologije registra, nabora podatkov, analitičnih postopkov, primerjalnih mehanizmov in namena mednarodnega primerjanja rezultatov. V takšnem primeru bi bilo razmerje težko v celoti opredeliti kot pogodbeno obdelavo v smislu 28. člena Splošne uredbe. Zato je verjetneje, da bi ESC nastopal kot skupni upravljavec ali kot samostojni upravljavec za del obdelav, povezanih z registrom EuroHeart. Na navedeno presojo dodatno vpliva tudi dejstvo, da med UKC Ljubljana in ESC že obstaja širše strokovno in pogodbeno sodelovanje, ki presega običajno pogodbeno obdelavo osebnih podatkov. Pri presoji vlog po Splošne uredbi pa je treba izhajati iz dejanske vsebine razmerja in ne zgolj iz njegove pogodbene opredelitve, ta presoja pa je naloga upravljavca.

Glede vprašanja psevdonimizacije IP pojasnjuje, da psevdonimizirani podatki še vedno predstavljajo osebne podatke v smislu Splošne uredbe, če obstaja možnost ponovne identifikacije posameznika z uporabo dodatnih informacij. Če bi se po posredovanju podatkov povezovalni ključ na ravni bolnišnic trajno uničil in ESC ne bi imel nobene razumne možnosti ponovne identifikacije posameznikov, bi bilo mogoče šteti, da podatki za ESC predstavljajo anonimizirane podatke. Takšna presoja je odvisna od konkretnih tehničnih in organizacijskih okoliščin ter možnosti ponovne identifikacije posameznikov. Na vprašanje, ali bi bilo trajno uničenje povezovalnega ključa dopustno, IP ne more odgovoriti. Pomembno pa je, da morebitna kasnejša anonimizacija sama po sebi še ne spremeni nujno pravne narave začetnega prenosa podatkov ESC, če ta že ob prejemu podatkov sodeluje pri določanju namenov in bistvenih sredstev obdelave.

II.

Raziskava po 69. člen ZVOP-2

V okviru 69. člena ZVOP-2 je bistveno, da gre za posebno ureditev, ki omogoča obdelavo osebnih podatkov za znanstvenoraziskovalne namene pod določenimi pogoji. Na tej podlagi je obdelava osebnih podatkov za raziskovalne namene dopustna pod pogoji, da gre za dejansko znanstveno raziskavo, ki je metodološko opredeljena, ima jasno določene raziskovalce, cilje, vrste podatkov, varnostne ukrepe ter druge elemente iz drugega odstavka tega člena.

Kot izhaja iz vašega opisa, pa predvidena uporaba podatkov v okviru registra EuroHeart po svoji naravi najverjetneje presega okvir raziskovalnega namena v smislu 69. člena ZVOP-2. Nameni obdelave, ki jih naštevate, so predvsem sistematično spremljanje kakovosti zdravstvene obravnave, primerjalna analiza med bolnišnicami, standardizacija kliničnih procesov in podpora kliničnemu odločanju. Gre torej za sistem upravljanja in izboljševanja zdravstvene dejavnosti, ki je bližje zagotavljanju kakovosti zdravstvenega sistema kot pa znanstvenoraziskovalnemu projektu.

Dodatno je lahko problematična tudi ureditev, po kateri bi Združenje kardiologov Slovenije kot formalni vlagatelj vložilo vlogo na podlagi pooblastila ESC, pri čemer bi ESC nastopal kot dejanski končni uporabnik podatkov. Določba 69. člena ZVOP-2 namreč zahteva, da so namen raziskave, izvajalci in prejemniki podatkov jasno določeni že v fazi odločanja. Neposredno posredovanje podatkov ESC, ki v postopku ne bi nujno nastopal kot jasno opredeljena raziskovalna organizacija, je zato problematično.

III.

Povezovanje zbirk

Povezovanje nacionalne Zbirke srčno žilnih bolezni in registra EuroHeart bi bilo načeloma lahko dopustno na podlagi točke e) prvega odstavka 6. člena Splošne uredbe (izvajanje naloge v javnem interesu) ter, ker gre za posebne vrste osebnih podatkov, v zvezi s točko i) oziroma j) drugega odstavka 9. člena Splošne uredbe, vendar le pod pogojem, da bi bilo takšno povezovanje ustrezno in dovolj določno urejeno v nacionalni pravni podlagi.

Skladno z drugim odstavkom 6. člena ZVOP-2 je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.

Iz navedenega izhaja, da mora biti pravna podlaga za obdelavo osebnih podatkov v javnem interesu, še posebej ker gre v konkretnem primeru za povezovanje obsežnih zdravstvenih zbirk, dovolj določna in predvidljiva, tako glede namena kot tudi glede obsega obdelave, kategorij podatkov, upravljavcev ter obdobja hrambe. Takšna pravna podlaga za predvideno povezovanje iz ZDigZ ne izhaja, IP pa ne razbere, da bi izhajala iz kakšnega drugega predpisa. Splošno sklicevanje na javni interes v zdravstvu ter korist pacientov samo po sebi ne zadošča.

Lepo vas pozdravljamo,

Pripravila:

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik,

informacijska pooblaščenka