Posredovanje zdravstvenih podatkov v okviru razpisa

Datum

25.10.2023

Številka

07121-1/2023/1355

Kategorije

Delovna razmerja, Društva, Posredovanje osebnih podatkov, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste kot območna gasilska zveza s strani krovne Gasilske zveze Slovenije prejeli razpis za sofinanciranje zdravstvenih pregledov članov zveze. Pri prijavi na razpis naj bi vlagatelj poleg popolnega obrazca moral priložiti fotokopijo računa, iz katerega so razvidna imena gasilcev, vrsta zdravstvenega pregleda, datum opravljanja pregleda in cena ter fotokopije zdravniških spričeval. Zanima vas, ali je zahteva iz javnega razpisa zakonsko sporna oz. ali lahko tovrstne podatke posredujete.

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

1.Za vsako obdelavo osebnih podatkov mora upravljavec izkazati ustrezno pravno podlago ter pri obdelavi osebnih podatkov poleg drugih načel spoštovati tudi načelo najmanjšega obsega podatkov, skladno s katerim morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

2.Pred posredovanjem osebnih podatkov mora biti upravljavec absolutno prepričan, da za to obstaja ustrezna in zakonita pravna podlaga ter da posreduje zgolj toliko osebnih podatkov, kolikor je nujno za konkretni zasledovan namen.

3.Upoštevaje spodaj izpostavljeno, praviloma ni videti, da bi bilo posredovanje vseh izpostavljenih osebnih podatkov nujno in potrebno za namen prijave na razpis za sofinanciranje zdravstvenih pregledov. Vsekakor pa je presoja tega v rokah upravljavca, ki za tako presojo tudi odgovarja.

Obrazložitev

IP uvodoma pojasnjuje, da v okviru nezavezujočih mnenj ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov v okviru zadevnega razpisa. Izpostavljamo lahko le, da mora biti za takšno zahtevo podana ustrezna pravna podlaga, ter vi kot upravljavec osebnih podatkov pred samim posredovanjem prepričani, da je ta ustrezna. Poleg tega, pa morajo biti podaki, ki se posredujejo nujni in potrebni za zasledovan namen.

Upravljavec mora za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Več o pravnih podlagah si lahko preberete na: https://upravljavec.si/kako-uporabljate-te-podatke/kratko-o-pravnih-podlagah/.

Izbor same pravne podlage za obdelavo osebnih podatkov je venomer odvisna od okoliščin konkretnega primera – v vašem primeru tudi od dejstva, ali so člani gasilske zveze, katerih osebni podatki naj bi se obdelovali »zgolj« člani društva ali gre za profesionalne gasilce.

V primeru, da gre za osebne podatke profesionalnih gasilcev, bi lahko pravno podlago za tovrstno obdelavo predstavljal tudi zakon in sicer Zakonu o delovnih razmerjih (Uradni list RS, št. 21/13, 78/13 – popr., 47/15 – ZZSDT, 33/16 – PZ-F, 52/16, 15/17 – odl. US, 22/19 – ZPosS, 81/19, 203/20 – ZIUPOPDVE, 119/21 – ZČmlS-A, 202/21 – odl. US, 15/22, 54/22 – ZUPŠ-1; v nadaljevanju ZDR-1), ki v 48. členu določa, da se lahko osebni podatki delavcev zbirajo, obdelujejo, uporabljajo in posredujejo tretjim osebam samo, če je to določeno s tem ali drugim zakonom ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Nadalje v tretjem odstavku 48. člena ZDR-1 določa, da se morajo osebni podatki delavcev, za zbiranje katerih ne obstoji več zakonska podlaga, takoj zbrisati in prenehati uporabljati.

Upoštevajoč določbe ZDR-1 lahko torej delodajalec osebne podatke delavca obdeluje samo, če ima za to podlago v zakonu ali če je to potrebno zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem. Delodajalec mora natančno izkazati, zakaj je potrebna takšne obdelava (v konkretnem primeru posredovanje v okviru razpisa) osebnih podatkov delavca. Pri tem mora delodajalec v skladu s 46. členom ZDR-1 varovati in spoštovati delavčevo osebnost ter upoštevati in ščititi delavčevo zasebnost. Delodajalec mora torej paziti tudi na spoštovanje zasebnosti in dostojanstva delavca, odgovornost delodajalca pa narašča z intenzivnostjo posega v zasebnost. Če okoliščine delovnega razmerja tega ne terjajo oziroma če delodajalec ne izkaže, da je obdelava osebnih podatkov delavca potrebna zaradi uresničevanja pravic in obveznosti iz delovnega razmerja ali v zvezi z delovnim razmerjem, jih ne sme obdelovati.

Ob tem IP opozarja na načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je potrebno obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za dosego zakonitega namena obdelave.

V primeru, da gre za osebne podatke članov društva pa se praviloma mora upoštevati tako Zakon o gasilstvu kot tudi sprejeta pravila društva v povezavi z morebitnimi sprejetimi dogovori tistega, ki tak pregled financira. Obdelava osebnih podatkov v društvu se namreč šteje za zakonito zgolj, če se osebni podatki obdelujejo za namene zakonitega delovanja društva in je torej odvisna od nalog in dejavnosti, ki jih določajo pravila za delovanje društva.

Gasilstvo obenem predstavlja dejavnost posebnega družbenega pomena, ki je definirana kot obvezna lokalna javna služba, katere trajno in nemoteno opravljanje zagotavljajo občine in država, zato je zakonodajalec naloge, organizacijo in status gasilstva uredil v Zakonu o gasilstvu (Uradni list RS, št. 113/05-UPB1, s sprem.; v nadaljevanju ZGas). Zakonodajalec je v ZGas določil tudi obdelavo osebnih podatkov, ki jih za namene opravljanje svojih s predpisi določenih nalog, o poklicnih in prostovoljnih gasilcih zbirajo pristojno ministrstvo, Gasilska zveza Slovenije, prostovoljne gasilske organizacije ter Združenje slovenskih poklicnih gasilcev.

Vrste osebnih podatkov, ki jih o prostovoljnih lahko zbirajo in v svojih zbirkah vodijo Gasilska zveza Slovenije in prostovoljna gasilske organizacije (prostovoljna gasilska društva), so določene v 22.a členu ZGas, ki v prvem odstavku določa, da se v zbirki podatkov o prostovoljnih gasilcih zbirajo naslednji podatki: 1. ime in priimek, 2. spol, 3. datum in kraj rojstva, 4. ulica, kraj, pošta, občina bivališča, upravna enota bivališča, država, 5. stopnja izobrazbe, 6. poklic, 7. naziv delodajalca, 8. telefonska številka ali številka mobilnega telefona, 9. elektronski naslov, 10. leto vstopa v gasilsko društvo in funkcije v gasilstvu, 11. čin, 12. vrsta, način in periodičnost usposabljanja ali preizkusa na področju gasilstva, 13. vrsta gasilskih odlikovanj, 14. davčna številka, 15. enotna matična številka občana, 16. kategorija, številka in veljavnost vozniškega dovoljenja, 17. datum zdravniškega pregleda in pregleda psihofizičnih sposobnosti. V tretjem odstavku je nadalje še določeno, da o podpornih in častnih članih ter članih, ki so mlajši od 18 let, Gasilska zveza Slovenije ter prostovoljne gasilske organizacije v zbirki iz prvega odstavka tega člena vodijo le podatke iz 1. do 13. točke.

V 22.č členu ZGas je določen še namen obdelave osebnih podatkov, in sicer je določeno, da osebne podatke, določene v 22., 22.a in 22.b členu tega zakona, smejo obdelovati upravljavci, določeni v tem zakonu, za opravljanje svojih nalog v skladu s predpisi, na podlagi katerih delujejo gasilske organizacije, Uprava Republike Slovenije za zaščito in reševanje za opravljanje nalog v skladu s tem zakonom, zakonom, ki ureja varstvo pred naravnimi in drugimi nesrečami, in zakonom, ki ureja varstvo pred požarom, ter občinski organi, pristojni za organiziranje javne gasilske službe občin, za organiziranje in opravljanje javne gasilske službe.

Prostovoljna gasilska društva ter Gasilska zveza Slovenije lahko na podlagi zgoraj navedenih določb ZGas osebne podatke iz 22.a člena ZGas uporabljajo oziroma obdelujejo le za namene, določene v 22.č členu ZGas, za obdelavo drugih vrst osebnih podatkov ali za uporabo osebnih podatkov iz 22.a člena ZGas za kakšen drug namen, pa morajo imeti drugo ustrezno pravno podlago iz 6. člena Splošne uredbe.

Tudi v tem primeru velja, da morajo osebni podatki, ki se obdelujejo (ob pogoju zagotovitve ustrezne pravne podlage) ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Kot upravljavci podatkov, ki se v okviru javnega razpisa od vas zahtevajo, ste torej dolžni preveriti, ali ima tisti, ki jih od vas zahteva: (i) ustrezno pravno podlago za pridobitev konkretnih podatkov za namen javnega razpisa ter (ii) potrebnost zahtevanih podatkov za konkreten namen. Odločilnega pomena namreč je, da upravljavec pri posredovanju podatkov upošteva tako zakonske in podzakonske določbe kot tudi splošna načela obdelave osebnih podatkov in jih v skladu s tem ustrezno varuje. Predlagamo vam, da se za pojasnilo glede pravne podlage in utemeljitev potrebnosti zahtevanih podatkov obrnete tudi neposredno na nosilca javnega razpisa, ki podatke zahteva ter osebne podatke posredujte izključno, ko boste prepričani v zakonitost zahtevane obdelave osebnih podatkov.

Sklepno še poudarjamo, zlasti upoštevaje načelo najmanjšega obsega podatkov (t.i. sorazmernosti pri obdelavi), da praviloma ni videti razloga za posredovanje vseh izpostavljenih osebnih podatkov za zasledovan namen (sofinanciranje zdravniškega pregleda članov zveze). Po našem mnenju bi glede na omejeno poznavanje konkretne situacije, najverjetneje za izpolnitev istega namena, zadoščal že sam račun zdravstvenega pregleda člana, razen v primeru, da bi morebitni področni predpisi določali drugače, npr. da se lahko obdeluje podatke v zvezi z zdravjem (poleg podatka o napotitvi in samem dejstvu, da je bil zdravstveni pregled izveden). Pri tem poudarjamo, da nam pravna podlaga, ki bi takšno posredovanje izrecno dovoljevala, sicer ni poznana, vseeno pa takšne situacije ne izključujemo. Popolno dejansko in pravno stanje v konkretnem primeru bi IP namreč lahko raziskal in preveril zgolj v inšpekcijskem postopku glede na konkretne namene in razloge zbiranja osebnih podatkov s strani upravljavca. Presojo vseh možnih situacij in namenov zbiranja, na splošno, v kontekstu izdaje nezavezujočega mnenja, ni mogoče povsem zajeti in celovito presojati.

IP še pojasnjuje, da je v zvezi z obdelavo osebnih podatkov v društvih izdal smernice »Društva in varstvo osebnih podatkov«, ki so objavljene na spletnih straneh IP, na naslovu: https://www.ip-rs.si/publikacije/priročniki-in-smernice/. Poleg smernic je IP v zvezi z obdelavo osebnih podatkov v društvih izdal tudi več mnenj, ki so skupaj z ostalimi mnenji IP objavljena na spletnih straneh IP, na naslovu: https://www.ip-rs.si/varstvo-osebnih-podatkov/iskalnik-po-mnenjih (npr. mnenje št. 07121-1/2023/471 z dne 7. 4. 2023).

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, asistent svetovalca pri IP

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka