Posredovanje osebnih podatkov na podlagi Zakona o statusnem preoblikovanju Vzajemne zdravstvene zavarovalnice d.v.z.

Datum

27.05.2024

Številka

07121-1/2024/612

Kategorije

EMŠO in davčna, Posredovanje osebnih podatkov, Pravne podlage, Pridobivanje OP iz zbirk, Zbirke osebnih podatkov

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaš zgoraj naveden dopis, v katerem navajate, da je Vzajemna d.v.z. na podlagi Zakona o statusnem preoblikovanju Vzajemne zdravstvene zavarovalnice d.v.z. (Uradni list RS št. 131/23, v nadaljevanju zakon ali ZSPVZZ) v statusnem preoblikovanju, ZZZS (zavod) pa po tem zakonu uveljavlja pravice iz naslova ustanovitve Vzajemne v letu 1999.

Za potrebe določitve ustanovitvenega deleža zavoda in deležev vseh zavarovancev Vzajemne d.v.z., potrebuje cenilec iz 6. člena z ZSPVZZ podatke o zavarovancih – enolične identifikatorje. Za določeno število zavarovancev Vzajemna d.v.z. razpolaga samo s številko kartice zdravstvenega zavarovanja, ne pa tudi z EMŠO številko. Za pripravo podatkov o zavarovancih z namenom ugotovitve deleža zavarovanca, Vzajemna d.v.z. potrebuje dodatni identifikacijski znak EMŠO. Vzajemna d.v.z. je zaprosila zavod za manjkajoče podatke - zavod razpolaga tako s podatki o številki kartice zdravstvenega zavarovanja kot tudi s številko EMŠO.

Zanima vas, ali lahko zavod na podlagi 6. člena navedenega zakona za določene zavarovance upari številko kartice zdravstvenega zavarovanja z EMŠO in take podatke posreduje Vzajemni za potrebe cenitve in določitve deleža zavarovanca.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju: ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju: ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi zgoraj navedenimi vprašanji.

1.1. Posredovanje osebnih podatkov, ki ga izvajajo osebe javnega sektorja, med katere med drugim sodi tudi ZZZS, ureja 39. člen ZVOP-2, postopek posredovanja osebnih podatkov pa je predpisan v 41. členu ZVOP-2.

2.2. ZZZS lahko kot upravljavec skladno z določbo prvega odstavka 39. člena ZVOP-2 posreduje osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam pod pogojem, da je za takšno posredovanje dana pravna podlaga v skladu s 6. členom tega zakona ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon ne določa drugače. Navedeno pomeni, da morata biti za posredovanje osebnih podatkov, ki ga izvedejo osebe javnega sektorja, kumulativno izpolnjena dva pogoja, in sicer:

- da za posredovanje osebnih podatkov obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (v primeru, ko gre za t.i. posebne vrste osebnih podatkov, mora biti za njihovo posredovanje dodatno izpolnjen tudi pogoj iz drugega odstavka 9. člena Splošne uredbe); - da vlagatelj na upravljavca naslovi zahtevo za posredovanje osebnih podatkov, ki mora vsebovati vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, med katere poleg podatkov o vlagatelju zahteve med drugim sodi tudi navedba pravne podlage za pridobitev zahtevanih osebnih podatkov, navedba namena njihove obdelave oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve, navedba vrst osebnih podatkov, ki naj se posredujejo ter navedba oblike in načina pridobitve zahtevanih osebnih podatkov.

3.3. Upravljavec mora vlagatelju zahteve za posredovanje osebnih podatkov, če drug zakon ne določa drugače, zahtevane osebne podatke posredovati v 15 dneh od prejema popolne vloge ali pa ga v tem roku pisno obvestiti o razlogih, zaradi katerih mu zahtevanih podatkov ne bo posredoval.

4.4. Kot izhaja iz 6. člena ZSPVZZ, je ZZZS kot ustanovitelj za določitev deleža ustanovitelja in deležev vseh posameznih upravičencev dolžan na zahtevo pooblaščenega ocenjevalca vrednosti podjetij iz drugega odstavka 4. člena tega zakona oziroma na zahtevo revizorja iz 7. člena tega zakona v roku osmih dni od prejema zahteve posredovati vse zahtevane podatke za pripravo cenitev oziroma za določitev deležev. Iz citirane določbe sicer izhaja dolžnost ZZZS kot ustanovitelja po posredovanju zahtevanih osebnih podatkov, vendar pa IP na podlagi navedb v vašem dopisu predvideva, da se zaprosilo Vzajemne d.v.z. za posredovanje osebnih podatkov nanaša na osebne podatke iz uradnih evidenc ZZZS. IP v postopku na zahtevo za posredovanje osebnih podatkov iz uradnih evidenc in javnih knjig lahko nastopa kot pritožbeni organ, zaradi česar IP v mnenju ne more presojati oziroma se ne sme opredeliti o tem, ali je v citiranem ali katerem drugem členu zakona podana podlaga za takšno posredovanje osebnih podatkov. IP vam lahko zato zgolj predlaga, da Vzajemno d.v.z. pozovete k vložitvi oziroma dopolnitvi zahteve za posredovanje osebnih podatkov, ki bo vsebovala vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, in v kateri bo jasno opredeljena zlasti pravna podlaga za pridobivanje zahtevanih osebnih podatkov, namen obdelave osebnih podatkov in razlogi, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve. Na podlagi tako vložene oziroma dopolnjene zahteve boste lahko oziroma boste morali potem kot upravljavec sami presoditi, ali za posredovanje zahtevanih osebnih podatkov za obrazložene namene ob upoštevanju načela sorazmernosti obstaja ustrezna pravna podlaga.

Obrazložitev

IP uvodoma poudarja, da izven nadzornega ali drugega upravnega postopka ne more presojati konkretnih obdelav osebnih podatkov in podajati konkretnih stališč v zvezi s posameznimi vprašanji s področja varstva osebnih podatkov. V okviru neobvezujočega mnenja IP ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje osebnih podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju še zlasti ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov. IP namreč skladno s četrtim odstavkom 41. člena ZVOP-2 v primeru zavrnitve zahteve za posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig lahko nastopa kot pritožbeni organ, če specialni predpis za posamezne primere ne določa drugače.

Posredovanje osebnih podatkov, ki ga izvajajo osebe javnega sektorja, med katere se po 3. točki drugega odstavka 5. člena ZVOP-2 uvršča tudi ZZZS, ureja 39. člen ZVOP-2, ki v prvem odstavku določa, da osebe javnega sektorja posredujejo osebne podatke drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam, če je za posredovanje dana pravna podlaga v skladu s 6. členom tega zakona, ter na podlagi zahteve iz prvega odstavka 41. člena tega zakona, razen če drug zakon ne določa drugače. V drugem odstavku 39. člena ZVOP-2 je nadalje še določeno, da je posredovanje posebnih vrst osebnih podatkov ter osebnih podatkov iz 10. člena tega zakona dovoljeno, če so izpolnjeni pogoji iz prejšnjega odstavka in je to v skladu z drugim odstavkom 9. člen Splošne uredbe ali drugim zakonom.

Iz citiranih določb 39. člena ZVOP-2 tako izhaja, da morata biti za posredovanje osebnih podatkov, ki ga izvedejo osebe javnega sektorja, kumulativno izpolnjena dva pogoja, in sicer:

1.1. da za posredovanje osebnih podatkov obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe (v primeru, ko gre za t.i. posebne vrste osebnih podatkov, mora biti za njihovo posredovanje dodatno izpolnjen tudi pogoj iz drugega odstavka 9. člena Splošne uredbe);

2.2. da vlagatelj na upravljavca naslovi zahtevo za posredovanje osebnih podatkov, ki mora vsebovati vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2.

Splošne pravne podlage za obdelavo osebnih podatkov so določene v prvem odstavku 6. člena Splošne uredbe, kjer je določeno, da je obdelava osebnih podatkov zakonita le in kolikor je izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Točka (f) se ne uporablja za obdelavo osebnih podatkov s strani javnih organov pri opravljanju njihovih nalog.

Osebni podatki se po določbi prvega odstavka 6. člena ZVOP-2 lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. V drugem odstavku istega člena je nadalje še določeno, da je obdelava osebnih podatkov v javnem sektorju in v zasebnem sektorju zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v primerih iz točk c) in e) prvega odstavka ter drugega in tretjega odstavka 6. člena Splošne uredbe zakonita le, če obdelavo osebnih podatkov, vrste osebnih podatkov, ki naj se obdelujejo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi določa zakon. Če je mogoče, se v zakonu določijo tudi uporabniki osebnih podatkov, posamezna dejanja obdelave in postopki obdelave ter drugi ukrepi za zagotovitev zakonite, poštene in pregledne obdelave.

V primeru opisane zahteve Vzajemne d.v.z. za posredovanje osebnih podatkov, ki so potrebni za namene enolične identifikacije upravičencev ter s tem povezane določitve deležev ustanovitelja in deležev vseh posameznih upravičencev ter za namene obveščanja in poplačila upravičencev, kot to ustanovitelju in Vzajemni d.v.z. nalagata 6. in 8. člen ZSPVZZ, gre lahko za obdelavo osebnih podatkov, ki je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca ali za obdelavo, ki je potrebna za opravljanje naloge v javnem interesu. Zaradi tega bi v takšnem primeru kot pravna podlaga za posredovanje oziroma obdelavo osebnih podatkov lahko prišla v poštev pravna podlaga iz točke (c) ali (e) prvega odstavka 6. člena Splošne uredbe v povezavi ZSPVZZ ali kakšnim drugim zakonom, ki upravljavcem nalaga takšno nalogo ali obveznost, pri čemer pa IP meni, da bi moral biti ob tem izpolnjen tudi pogoj iz zgoraj citiranega drugega odstavka 6. člena ZVOP-2.

V primeru, da obdelava osebnih podatkov zaradi izvajanja zakonske obveznosti, javnega interesa ali izvajanja javne oblasti v področnem zakonu ni določena na način iz drugega odstavka 6. člena ZVOP-2, je obdelava za te namene lahko izjemoma dovoljena pod pogoji, določenimi v četrtem odstavku 6. člena ZVOP-2, ki določa, da ne glede na določbe drugega odstavka tega člena se za izvrševanje točke e) prvega odstavka 6. člena Splošne uredbe lahko v javnemu sektorju izjemoma obdelujejo tisti osebni podatki, ki so nujno potrebni za izvrševanje zakonitih pristojnosti, nalog ali obveznosti javnega sektorja, če se s to obdelavo ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo. IP pri uporabi citirane določbe, ki se lahko šteje kot samostojna pravna podlaga za posredovanje, zbiranje oziroma obdelavo osebnih podatkov, opozarja na načelo omejitve namena, po katerem so osebni podatki lahko zbrani le za določene izrecne in zakonite namene ter se ne smejo nadalje obdelovati na način, ki ni združljiv s temi nameni, ter na načelo najmanjšega obsega podatkov, po katerem morajo biti osebni podatki ustrezni, relevantni in omejeni na to, kar jer potrebno za namene, za katere se obdelujejo.

Posredovanje osebnih podatkov je ob upoštevanju načel varstva osebnih podatkov v skladu s četrtim odstavkom 6. člena ZVOP-2 dopustno le v primeru izkazane nujnosti obdelave določenih osebnih podatkov za izvrševanje konkretnih zakonitih pristojnosti, nalog ali obveznosti javnega sektorja ter utemeljitvi, zakaj takšna obdelava ne poseže v upravičen interes posameznika, na katerega se osebni podatki nanašajo.

Kadar je za posredovanje osebnih podatkov drugim osebam javnega sektorja ali drugim fizičnim ali pravnim osebam podana pravna podlaga v skladu s 6. členom ZVOP-2, je posredovanje osebnih podatkov dopustno na podlagi zahteve iz prvega odstavka 41. člena ZVOP-1. V vašem primeru to pomeni, da mora vlagatelj na vas nasloviti zahtevo za posredovanje osebnih podatkov, ki mora vsebovati vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, kjer je določeno, da mora zahteva, če drug zakon ne določa drugače, vsebovati naslednje podatke:

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Po določbi drugega odstavka 41. člena ZVOP-2 upravljavec vlagatelju zahteve, če drug zakon ne določa drugače, zahtevane osebne podatke posreduje najpozneje v 15 dneh od prejema popolne zahteve ali pa ga v tem roku pisno obvesti o razlogih, zaradi katerih mu zahtevanih osebnih podatkov ne bo posredoval. Upravljavec in vlagatelj zahteve se v roku iz prejšnjega stavka lahko dogovorita za njegovo podaljšanje. Če upravljavec ne ravna v skladu z navedenim odstavkom, se šteje, da je zahteva zavrnjena.

V četrtem odstavku 41. člena ZVOP-2 je nadalje določeno, da, če je zahteva za posredovanje osebnih podatkov delno ali v celoti zavrnjena, lahko vlagatelj zahteve v primeru, ko se zahteva nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, zahteva, da o njegovi vlogi najprej odloči nadzorni organ. Kadar ta zavrne zahtevo ali kadar na prvi stopnji odloča nadzorni organ sam, lahko vlagatelj zahteva sodno varstvo, o katerem odloča pristojno sodišče v skladu z zakonom, ki ureja upravni spor. V primeru zavrnitve zahteve za posredovanje osebnih podatkov iz zbirk, ki niso uradne evidence ali javne knjige, lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek.

IP še opozarja, da mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov skladno s šestim odstavkom 41. člena ZVOP-2 zagotoviti možnost poznejše ugotovitve, kateri osebni podatki so bili posredovani, komu, kdaj in na kateri pravni podlagi, za kateri namen oziroma iz katerih razlogov oziroma za potrebe katerega postopka, razen če drug zakon za posredovanje posameznih vrst podatkov ne določa drugače oziroma je to razvidno iz dnevnika obdelave po 22. členu tega zakona.

ZSPVZZ v 6. členu v zvezi s posredovanjem podatkov za določitev deležev določa, da za določitev deleža ustanovitelja in deležev vseh posameznih upravičencev morata ustanovitelj in Vzajemna na zahtevo pooblaščenega ocenjevalca vrednosti podjetij iz drugega odstavka 4. člena tega zakona oziroma na zahtevo revizorja iz 7. člena tega zakona v roku osmih dni od prejema zahteve posredovati vse zahtevane podatke za pripravo cenitev oziroma za določitev deležev. Iz citirane določbe sicer izhaja dolžnost ZZZS kot ustanovitelja po posredovanju zahtevanih osebnih podatkov, vendar pa IP na podlagi navedb v vašem dopisu predvideva, da se zaprosilo Vzajemne d.v.z. za posredovanje osebnih podatkov nanaša na osebne podatke iz uradnih evidenc ZZZS. V postopku na zahtevo za posredovanje osebnih podatkov iz uradnih evidenc in javnih knjig lahko IP nastopa kot pritožbeni organ, zaradi česar IP v mnenju ne more presojati oziroma se ne sme opredeliti o tem, ali je v citiranem ali katerem drugem členu zakona podana podlaga za takšno posredovanje osebnih podatkov. IP vam zato predlaga, da Vzajemno d.v.z. pozovete k vložitvi oziroma dopolnitvi zahteve za posredovanje osebnih podatkov, ki bo vsebovala vse formalne elemente, določene v prvem odstavku 41. člena ZVOP-2, in v kateri bo jasno opredeljena zlasti pravna podlaga za pridobivanje zahtevanih osebnih podatkov, namen obdelave osebnih podatkov in razlogi, ki izkazujejo potrebnost in primernost osebnih podatkov (zlasti EMŠO upravičencev) za dosego namena pridobitve. Na podlagi tako vložene oziroma dopolnjene zahteve boste lahko oziroma boste morali potem kot upravljavec sami presoditi, ali za posredovanje zahtevanih osebnih podatkov za obrazložene namene ob upoštevanju načela sorazmernosti obstaja ustrezna pravna podlaga. V primeru, da ta obstaja, boste osebne podatke zavarovancev Vzajemne, ki jih boste prejeli namene posredovanja oziroma dopolnitve oziroma osebnih podatkov, lahko obdelali na način, da boste prejete podatke na podlagi številke zdravstvenega zavarovanja ali kakšnega drugega identifikatorja dopolnili z EMŠO ali v primeru obstoja pravne podlage tudi s kakšno drugo ažurno vrsto osebnih podatkov in tako dopolnjene oziroma ažurirane osebne podatke posredovali Vzajemni za potrebe cenitve in določitve deleža zavarovanca.

Lepo vas pozdravljamo.

Pripravil

Jože Bogataj, namestnik informacijske pooblaščenke

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka