Snemanje obravnav nujne medicinske pomoči

Datum:

28.11.2025

Številka:

07120-1/2025/517

Kategorije:

Ocene učinkov v zvezi z varstvom podatkov, Posebne vrste OP, Pravne podlage, Privolitev, Video in avdio nadzor, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede snemanja obravnav nujne medicinske pomoči.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Da bi bilo v posamičnih primerih želeno snemanje dopustno, bi za njegovo zakonito izvajanje moral upravljavec tako zagotoviti ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe, za obdelavo posebnih vrst osebnih podatkov, kot so podatki v zvezi z zdravjem, pa bi moral biti hkrati izpolnjen eden izmed posebnih pogojev iz drugega odstavka 9. člena Splošne uredbe.

IP meni, da bi se v konkretnem primeru snemanje lahko izvajalo le na podlagi izrecne privolitve posameznika ali njegovih zakonitih zastopnikov v skladu s tretjim odstavkom 6. člena ZVOP-2 v zvezi s točkama a) prvega odstavka 6. člena in drugega odstavka 9. člena Splošne uredbe in določbo tretjega odstavka 44. člena ZPacP.

Glede na navedbe v vašem zaprosilu za mnenje je po mnenju IP verjetno, da je v konkretnem primeru izdelava ocene učinka obvezna.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. IP tako v okviru neobvezujočega mnenja ne more presojati skladnosti prakse, ki ste jo opisali v vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov, ampak v nadaljevanju podaja splošna pojasnila.

IP uvodoma pojasnjuje, da lahko avdio oziroma video posnetki pomenijo varovane osebne podatke po Splošni uredbi le, kadar določajo ali omogočajo določljivost posameznika, predvsem takrat, ko je posameznik na posnetku jasno in nedvoumno razviden in bi se bi se ga dalo na ta način identificirati, prepoznati in določiti, ali ko se hkrati s posnetki obdelujejo tudi drugi osebni podatki o posamezniku (npr. njegovo ime in priimek, letnica rojstva, naslov in podobno). Torej, če bi bila ločljivost posnetkov v konkretnem primeru dovolj velika in bi bilo posameznike na njih mogoče prepoznati, takšno snemanje lahko predstavlja obdelavo osebnih podatkov. V kolikor pa posamezniki na posnetkih ne bi bili določljivi, najverjetneje ne gre za obdelavo osebnih podatkov, saj se na posnetkih ne bi nahajal določen ali določljiv posameznik.

IP splošno pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.«.

IP nadalje pojasnjuje, da mora biti v primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi podatki o zdravstvenem stanju, izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe. Da bi bilo v posamičnih primerih v vašem zaprosilu za mnenje opisano snemanje dopustno, bi za njegovo zakonito izvajanje moral upravljavec tako zagotoviti ustrezno pravno podlago skladno s prvim odstavkom 6. člena Splošne uredbe, za obdelavo posebnih vrst osebnih podatkov, kot so podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen eden izmed posebnih pogojev iz drugega odstavka 9. člena Splošne uredbe. Prav tako bi bilo treba v skladu s 13. členom Splošne uredbe zadevnim posameznikom (v konkretnem primeru osebam na posnetkih) zagotoviti informacije o obdelavi njihovih osebnih podatkov (npr. namene, za katere se osebni podatki obdelujejo, pravno podlago za njihovo obdelavo, obdobje hrambe osebnih podatkov, …). Splošna uredba jasno določa, da je te informacije upravljavec dolžan zadevnemu posamezniku zagotoviti takrat, ko pridobi njegove osebne podatke.

IP nadalje pojasnjuje tudi, da mu za snemanje, ki ga opisujete v vašem zaprosilu za mnenje, ni znana pravna podlaga v področni zakonodaji. Za takšno obdelavo osebnih podatkov zaposlenih bi bilo po mnenju IP verjetno težko izkazati, da je potrebna in primerna za izvrševanje pravic in obveznosti iz delovnega razmerja oziroma za izpolnjevanje pogodbe med delavcem in delodajalcem.

Ker opisanega snemanja izrecno ne ureja noben zakon, IP meni, da bi se v konkretnem primeru snemanje lahko izvajalo le na podlagi izrecne privolitve posameznika ali njegovih zakonitih zastopnikov v skladu s tretjim odstavkom 6. člena ZVOP-2 v zvezi s točkama a) prvega odstavka 6. člena in drugega odstavka 9. člena Splošne uredbe in določbo tretjega odstavka 44. člena Zakona o pacientovih pravicah (Uradni list RS, št. 15/08, 55/17, 177/20, 100/22 – ZNUZSZS; v nadaljevanju: ZPacP), ki omogoča obdelavo pacientovih zdravstvenih in drugih osebnih podatkov za potrebe zdravljenja tudi na podlagi privolitve. IP ob tem posebej izpostavlja, da če bi bili na posnetku obdelani tudi osebni podatki zaposlenih oziroma izvajalcev medicinske oskrbe (podoba, glas ipd.), bi bila za takšno obdelavo načeloma potrebna tudi njihova privolitev, ki bi izpolnjevala vse zahteve iz 7. člena Splošne uredbe. Izrecno privolitev za snemanje bi bilo treba od zadevnih posameznikov pridobiti pred začetkom obdelave, ob tem pa jim v jasnem in preprostem jeziku podati pregledne in razumljive informacije v zvezi z obdelavo, kot so naštete v 13. členu Splošne uredbe Več informacij o privolitvi lahko najdete lahko najdete tudi na spletni strani IP:

https://www.ip-rs.si/?id=102

IP dodaja še, da 44. člen ZPacP v četrtem odstavku določa, da je uporaba in druga obdelava pacientovih zdravstvenih in drugih osebnih podatkov izven postopkov zdravstvene obravnave dovoljena le z njegovo privolitvijo ali privolitvijo oseb, ki imajo pravico do privolitve v medicinski poseg ali zdravstveno obravnavo, če pacient ni sposoben odločanja o sebi. Po pacientovi smrti lahko dajo privolitev njegovi ožji družinski člani, razen če je pacient to pisno prepovedal. Petem odstavku istega člena pa je določeno, da ne glede na določbo prejšnjega odstavka lahko uporabo pacientovih zdravstvenih in drugih osebnih podatkov izven postopkov zdravstvene obravnave določa zakon.

Prav tako IP meni, da bi pravne podlage, ki jih navajate v 3. točki vašega zaprosila za mnenje (zaščita življenjskih interesov, uveljavljanje pravnih zahtevkov, zagotavljanje zdravstvene oskrbe), v konkretnem primeru le stežka prišle v poštev, saj ni videti, zakaj bi bilo za dosego teh namenov nujno potrebno snemanje zdravstvene obravnave.

Glede nadaljnje obdelave podatkov IP pojasnjuje, da ZVOP-2 v prvem odstavku 7. člena določa, da je obdelava osebnih podatkov za drug namen kot za tistega, za katerega so bili zbrani (v nadaljnjem besedilu: nadaljnja obdelava) v javnem in zasebnem sektorju dopustna, če je to v skladu z določbami iz četrtega odstavka 6. člena Splošne uredbe. Ta določa, da kadar obdelava podatkov za drug namen kot za tistega, za katerega so bili osebni podatki zbrani, ne temelji na privolitvi posameznika, na katerega se nanašajo osebni podatki, ali na pravu Unije ali pravu države članice, kar predstavlja potreben in sorazmeren ukrep v demokratični družbi za uresničevanje ciljev iz člena 23(1), upravljavec, da bi ocenil, ali je obdelava za drug namen združljiva z namenom, za katerega so bili osebni podatki prvotno zbrani, med drugim upošteva:

(a)kakršno koli povezavo med nameni, za katere so bili osebni podatki zbrani, in nameni načrtovane nadaljnje obdelave;

(b)okoliščine, v katerih so bili osebni podatki zbrani, zlasti kar zadeva razmerje med posamezniki, na katere se nanašajo osebni podatki, in upravljavcem;

(c)naravo osebnih podatkov, zlasti ali se obdelujejo posebne vrste osebnih podatkov v skladu s členom 9 ali pa se obdelujejo osebni podatki v zvezi s kazenskimi obsodbami in prekrški v skladu s členom 10;

(d)morebitne posledice načrtovane nadaljnje obdelave za posameznike, na katere se nanašajo osebni podatki;

(e)obstoj ustreznih zaščitnih ukrepov, ki lahko vključujejo šifriranje ali psevdonimizacijo.

ZVOP-2 pa v prvem odstavku 7. člena določa tudi, da kadar gre za nadaljnjo obdelavo, ki jo izvajajo upravljavci zaradi zakonske obveznosti ali v okviru svojih nalog v javnem interesu ali zaradi izvajanja javne oblasti, mora tako obdelavo določati zakon v skladu z drugim odstavkom prejšnjega člena.

IP nadalje poudarja, da so psevdonimizirani podatki zaradi ohranjene določljivosti posameznikov še vedno osebni podatki in tako tudi obdelava psevdonimiziranih osebnih podatkov predstavlja obdelavo osebnih podatkov. Tudi iz uvodnega recitala št. 26 Splošne uredbe izhaja, da je treba osebne podatke, ki so bili psevdonimizirani in ki jih je mogoče z uporabo dodatnih informacij pripisati posamezniku, obravnavati kot informacije o določljivem posamezniku. IP pojasnjuje tudi, da na drugi strani anonimizacija pomeni, da je določen podatek praktično nemogoče pripisati določljivemu posamezniku (brez nesorazmerno velikega napora, sredstev ali časa). V primeru obdelavo anonimiziranih podatkov tako ne gre (več) za obdelavo osebnih podatkov. Med anonimizacijske metode in tehnike kot rezultati sodijo npr. povprečja, agregati, trendi in druge statistike, in metode, kot so dodajanje šumov, generalizacije in združevanja podatkov v razrede ter druge metode in tehnike, vsaka s svojimi prednostmi in slabostmi. Ob tem IP opozarja, da je treba k anonimizaciji podatkov pristopiti z največjo mero skrbnosti in v največji možni meri zmanjšati oziroma preprečiti možnost ponovne identifikacije oziroma določljivosti posameznikov. IP posebej opozarja, da se posameznika lahko določi ne le na podlagi identifikacijskih, ampak tudi določenih transakcijskih podatkov. Tako npr. zgolj zamenjave enega osebnega podatka z drugim, posamezniku enolično dodeljenim identifikatorjem, ali pa dodelitve enoličnega identifikatorja, še ne moremo šteti za anonimizacijo.

Glede ocene učinka IP pojasnjuje, da je na temo ocene učinkov izdelal Smernice o ocenah učinkov na varstvo podatkov, ki so dostopne na spletni strani:

https://www.ip-rs.si/prirocniki_smernice/Smernice_o_ocenah_ucinka.pdf

Gre za vnaprejšnjo presojo, ali oziroma pod kakšnimi pogoji bi bila uporaba določene rešitve (v konkretnem primeru snemanje medicinskih obravnav) zakonita, sorazmerna, transparentna, varna itd. Zelo pomembno je izhajati iz težav, ki naj bi jih reševali z uvedbo rešitve, pri čemer je treba realno oceniti, ali se bo na tak način dejansko doseglo zasledovane cilje (te opredeli upravljavec - v konkretnem primeru zdravstvena ustanova) in ali teh ciljev ni mogoče doseči na drug način (npr. z uporabo drugih sredstev za dosego cilja), ki bi manj posegal v pravice posameznika.

IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena. Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po 4. odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Seznam_dejanj_obdelav_osebnih_podatkov__za_katere_velja_zahteva_po_izvedbi_ocene_ucinka_v_zvezi_z_varstvom_osebnih_podatkov.pdf

Glede na navedbe v vašem zaprosilu za mnenje je po mnenju IP verjetno, da je v konkretnem primeru izdelava ocene učinka obvezna, saj predvidena obdelava izpolnjuje (vsaj) kriterije iz točk 4 (obdelava posebnih vrst osebnih podatkov), 7 (nesorazmerje moči) in 8 (inovativna uporaba novih in obstoječih tehnologij). IP ob tem priporoča, da se v okviru ocene učinka še posebej skrbno obdelajo pravna podlaga in namen(i) obdelave ter obravnavajo tveganja in ukrepi za njihovo zamejitev. Posebno pozornost je treba nameniti tudi spoštovanju načela najmanjšega obsega podatkov ter sorazmernosti, torej ali res ni mogoče namenov, ki naj bi se jih zasledovalo, doseči z milejšimi ukrepi, ki bi manj posegali v zasebnost posameznika. Kvalitetno izdelana ocena učinka bo podala odgovore na številna vprašanja v zvezi z uvedbo rešitve in omogočila odločitev o (ne)dopustnosti uvedbe tega ukrepa oziroma morebitnih potrebnih prilagoditvah pred njegovo uvedbo.

IP sklepno poudarja, da je pravica človeka do zasebnosti v RS varovana pred civilnimi oziroma kazenskimi sodišči. IP je namreč pristojen zgolj za tisti del pravice do zasebnosti, ki se nanaša na varstvo osebnih podatkov (t.i. informacijsko zasebnost) in ga ureja 38. člen Ustave RS (Uradni list RS, št. 33/91 s spremembami in dopolnitvami; v nadaljevanju Ustava RS). Pravica do zasebnosti pa ima širši okvir, njeno varstvo pa posameznik uveljavlja pred pristojnimi sodišči. Posameznik tako lahko na podlagi 134. člena Obligacijskega zakonika (OZ; Uradni list RS, št. 97/07 - UPB, 64/16 – odl. US, 20/18 – OROZ631) vloži tožbo in sodišču predlaga, da odredi prenehanje dejanja, s katerim se krši nedotakljivost njegove osebnosti, osebnega in družinskega življenja ali kakšna druga njegova osebnostna pravica, kadar meni, da se z določenim dejanjem posega v njegove osebnostne pravice. Poleg tega lahko posameznik v primeru, da je z ravnanjem druge osebe prišlo do občutnega posega v posameznikovo zasebnost in mu je zaradi tega nastala škoda, na podlagi 179. in 181. člena OZ vloži tožbo pred pristojnim sodiščem in od povzročitelja škode zahteva denarno odškodnino. IP ob tem opozarja, da neupravičeno zvočno oziroma slikovno snemanje lahko v določenih primerih pomeni tudi kaznivo dejanje neupravičenega prisluškovanja in zvočnega snemanja v skladu z določbo 137. člena Kazenskega zakonika oziroma kaznivo dejanje neupravičenega slikovnega snemanja (snemanje brez soglasja, pri katerem se občutno poseže v zasebnost posameznika) v skladu z določbo 138. člena Kazenskega zakonika (KZ-1; Uradni list RS, št. 55/08, 66/08 – popr., 39/09, 55/09 – odl. US, 91/11, 54/15, 38/16, 27/17, 23/20, 91/20, 95/21, 186/21, 105/22 – ZZNŠPP, 16/23, 107/24 - odl. US). Če se predvideva občutni poseg v zasebnost posameznikov, torej izvajalec videonadzora glede na določbe KZ-1 potrebuje soglasje vseh oseb, ki bi jih zajel videonadzorni sistem.

IP dodaja še, da je bil dne 21. 11. 2025 sprejet Zakon o digitalizaciji zdravstva - ZDigZ (veljati bo začel petnajsti dan po objavi v Uradnem listu RS). Ta v drugem odstavku 27. člena določa, da se v zbirki podatkov dispečerske službe zdravstva (DSZ) med drugim obdelujejo naslednji podatki o dogodku:

− datum in ura dogodka,

− vrsta dogodka,

− kraj dogodka,

− udeleženci dogodka,

− posnetek klica v DSZ,

− avdio in video gradivo dogodka,

− kriterij in odziv po Slovenskem indeksu za nujno medicinsko pomoč.

IP ob tem dodaja, da ni točno jasno, kaj in v katerih primerih se bo snemalo, IP pa je na ta vidik (in številne druge) opozoril tudi v več svojih mnenjih v zvezi s predlogom ZDigZ. Posebej je poudaril, da z vidika potrebnosti in nujnosti obdelav ne gre razbrati, da bi bil pri presoji nabora podatkov izveden ožji in širši test sorazmernosti, iz katerega bi bilo mogoče razbrati, da je predlagan nabor osebnih podatkov nujen, učinkovit in potreben glede na zasledovane namene. Med podatki, za katere nikakor ni mogoče najti utemeljitve nujnosti za zakonsko obvezno zbiranje, so (med drugim) tudi podatki o posnetku klica in avdio in video gradivu dogodka v zbirki podatkov dispečerske službe zdravstva.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka