Posredovanje osebnih podatkov s strani ZZZS

Datum

03.11.2025

Številka

07120-1/2025/485

Kategorije

Posebne vrste OP, Posredovanje osebnih podatkov, Pridobivanje OP iz zbirk, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja osebnih podatkov s strani Zavoda za zdravstveno zavarovanje Slovenije (ZZZS).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP od uveljavitve ZVOP-2 (26.1.2023) nima več pristojnosti za izdajo predhodnega dovoljenja za povezovanje zbirk osebnih podatkov in posledično tudi upravljavcem oziroma obdelovalcem osebnih podatkov, ki želijo povezovati zbirke osebnih podatkov, ni več treba v nobenem primeru zaprositi IP za izdajo takšnega dovoljenja niti ga niso dolžni več obveščati o nameravani oziroma vzpostavljeni povezavi.

Skladno s četrtim odstavkom 41. člena ZVOP-2 IP v primeru zavrnitve zahteve za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig nastopa kot pritožbeni organ, če specialni predpis za posamezne primere ne določa drugače. IP vas zato poziva, da v kolikor želite vložiti pritožbo v skladu s četrtim odstavkom 41. člena ZVOP-2 zoper zavrnitev posredovanja želenih osebnih podatkov s strani konkretnega upravljavca (ZZZS), to sporočite oziroma storite, saj iz prejetega gradiva to ni jasno razvidno.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP pojasnjuje, da ZVOP-2 v prvem odstavku 87. člena določa, da kadar se posebne vrste osebnih podatkov, osebni podatki v zvezi s kazenskimi obsodbami in prekrški, podatki o dohodkih v skladu z zakonom, ki ureja dohodnino, podatki o premoženju posameznika v skladu z zakonom, ki ureja uveljavljanje pravic iz javnih sredstev, podatki o nepremičninah v lasti posameznika v skladu z drugimi zakoni, podatki oziroma informacije o kreditni sposobnosti v skladu z zakonom, ki ureja centralni kreditni register, ter uradne evidence v skladu z zakonom, ki ureja naloge in pooblastila policije, in zakonom, ki ureja preprečevanje pranja denarja in financiranja terorizma, obdelujejo v uradnih evidencah ali javnih knjigah, se jih lahko povezuje med seboj ali z drugimi zbirkami samo, če taka povezovanja izrecno določa zakon. V skladu z drugim odstavkom 87. člena mora upravljavec oziroma obdelovalec pred začetkom povezovanja zbirk iz prejšnjega odstavka izdelati oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom po 36. členu Splošne uredbe.

Ob tem IP opozarja, da v skladu z 12. točko drugega odstavka 5. člena ZVOP-2 povezovanje zbirk osebnih podatkov pomeni avtomatsko in elektronsko povezovanje zbirk, ki jih upravljajo upravljavci za različne namene ali po različnih pravnih podlagah, in sicer tako, da se določeni osebni podatki samodejno prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk, tudi če se izvaja le enosmeren pretok osebnih podatkov; zbirke so povezane, če se določeni osebni podatki iz ene zbirke neposredno vključijo v drugo zbirko in se tako druga zbirka poveča ali posodobi ali pa se osebni podatki v njej zaradi točnosti spremenijo. Povezovanje se torej izvede tako, da se določeni podatki samodejno (povezljivost v ožjem smislu) ali na zahtevo (povezljivost v širšem smislu) prenesejo ali vključijo v drugo povezano zbirko ali več povezanih zbirk. IP šteje, da sta zbirki osebnih podatkov povezani, če se določeni podatki iz ene zbirke neposredno vključijo v drugo zbirko, s čimer se druga zbirka spremeni (poveča, ažurira ipd.), pri tem pa gre lahko zgolj za enosmeren tok podatkov. Povezanost zbirk osebnih podatkov torej predpostavlja vključitev podatkov v drugo zbirko na način, da se določeni podatki iz ene ali več zbirk zaradi povezanosti zbirk prenesejo ali vključijo v drugo povezano zbirko.

IP nadalje pojasnjuje, da zbirke osebnih podatkov, ki jih navajate v vašem zaprosilu za mnenje, po vsej verjetnosti sodijo v okvir iz prvega odstavka 87. člena ZVOP-2, saj vsebujejo posebne vrste osebnih podatkov (podatki v zvezi z zdravjem). Možnost njihovega povezovanja bi bilo tako treba izrecno zakonsko določiti ter pred izvedbo njihovega povezovanja izdelati tudi oceno učinka po 35. členu Splošne uredbe in se posvetovati z nadzornim organom (IP) po 36. členu Splošne uredbe. Ob tem bi moral sam zakon v skladu z drugim odstavkom 6. člena ZVOP-2 določati (najmanj) tudi vrste osebnih podatkov, ki se lahko povezujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi.

IP poudarja tudi, da od uveljavitve ZVOP-2 (26.1.2023) nima več pristojnosti za izdajo predhodnega dovoljenja za povezovanje zbirk osebnih podatkov in posledično tudi upravljavcem oziroma obdelovalcem osebnih podatkov, ki želijo povezovati zbirke osebnih podatkov, ni več treba v nobenem primeru zaprositi IP za izdajo takšnega dovoljenja niti ga niso dolžni več obveščati o nameravani oziroma vzpostavljeni povezavi.

IP opozarja, da ZVOP-2 vsebuje tudi posebne določbe glede posredovanja osebnih podatkov (39. - 41. člen). Skladno s prvim odstavkom 39. člena ZVOP-2 lahko osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom ZVOP-2, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon določa drugače. Prejemnik podatkov sme osebne podatke obdelovati samo za namen, za uresničevanje katerega se mu posredujejo. Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Za dopustnost posredovanja osebnih podatkov morajo biti tako (poleg v prejšnjih odstavkih navedenih materialnopravnih pogojev) izpolnjeni tudi formalni pogoji iz prvega odstavka 41. člena ZVOP-2. Vsebina pisne zahteve je torej z ZVOP-2 točno določena in vsaka zahteva mora vsebovati vse naštete elemente, sicer posredovanje ni upravičeno. Ob tem je treba upoštevati tudi načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati (v konkretnem primeru posredovati) samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov (v konkretnem primeru ZZZS), ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. IP namreč skladno s četrtim odstavkom 41. člena ZVOP-2 v primeru zavrnitve zahteve za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig nastopa kot pritožbeni organ, če specialni predpis za posamezne primere ne določa drugače.

IP vas zato poziva, da v kolikor želite vložiti pritožbo v skladu s četrtim odstavkom 41. člena ZVOP-2 zoper zavrnitev posredovanja želenih osebnih podatkov s strani konkretnega upravljavca (ZZZS), to sporočite oziroma storite, saj iz prejetega gradiva to ni jasno razvidno. Ob tem IP ponovno pojasnjuje, da bo v primeru vložene pritožbe odločal zgolj o pravici do posredovanja osebnih podatkov v konkretnem primeru in ne o (ne)dopustnosti njihovega povezovanja, saj slednje ni več v njegovi pristojnosti.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka