Zveza društev pregleduje zdravstveno dokumentacijo članov društev

Datum

13.06.2023

Številka

07121-1/2023/797

Kategorije

Društva, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste članica društva, ki za včlanitev zahteva določeno zdravstveno dokumentacijo, saj se z njo izkazuje izpolnjevanje pogojev za včlanitev v društvo. Društvo je tudi član zveze društev, ki se financira s sredstvi FIHA, ter preko zveze pridobiva sredstva za izvajanje svojih društvenih programov. Organ zveze društev je sprejel sklep, da bo kot edino merilo za financiranje programov na društveni ravni upoštevalo število članov s pripadajočo dokumentacijo. Pri tem je pooblastilo delavko zveze, da pregleda celotno evidenco članstva društev, če imajo priloženo ustrezno medicinsko dokumentacijo. Zanima vas, ali je ravnanje organa zveze ustrezno in ali ima delavka zveze pravico pregledovati medicinsko dokumentacijo članov društev, saj člani društev niste avtomatično člani zveze društev.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Splošna uredba določa strožje pogoje za obdelavo osebnih podatkov v zvezi z zdravjem, zato v vašem primeru sklepamo, da bi bila za takšno obdelavo potrebna privolitev posameznika (za točno ta namen obdelave osebnih podatkov). Upravljavec bi vam moral pred obdelavo vaših osebnih podatkov že podati določene informacije o obdelavi osebnih podatkov na podlagi 13. člena Splošne uredbe (kateri osebni podatki se bodo posredovali, komu, na kakšni pravni podlagi in za katere namene ter druge informacije). Navedene informacije lahko od upravljavca, torej društva, zahtevate tudi po 15. členu Splošne uredbe na podlagi zahteve. Obrazci zahteve in prijave kršitve varstva osebnih podatkov so dostopni na spletni strani IP.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Iz vašega dopisa izhaja, da gre za obdelavo posebnih vrst osebnih podatkov, ki izhajajo iz zdravstvene dokumentacije. Takšne vrste osebnih podatkov so po Splošni uredbi deležne še višje zaščite in strogih pogojev za obdelavo.

V prvem odstavku 9. člena Splošne uredbe je določeno splošno pravilo, da je obdelava podatkov v zvezi z zdravjem načeloma prepovedana. Izjeme od tega pravila so določene v drugem odstavku, in sicer v primeru (navajamo le primere, ki bi utegnili biti relevantni za vaš primer):

-ko je posameznik, na katerega se nanašajo osebni podatki, dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1 (točka (a) drugega odstavka 9. člena)

-ko obdelavo v okviru svojih zakonitih dejavnosti z ustreznimi zaščitnimi ukrepi izvaja ustanova, združenje ali katero koli drugo neprofitno telo s političnim, filozofskim, verskim ali sindikalnim ciljem in pod pogojem, da se obdelava nanaša samo na člane ali nekdanje člane telesa ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, ter da se osebni podatki ne posredujejo zunaj tega telesa brez privolitve posameznikov, na katere se nanašajo osebni podatki (točka (d) drugega odstavka 9. člena).

V zvezi s to drugo možnostjo (točka (d)) ni povsem jasno, ali bi se društvo, katerega članica ste, po vsebini lahko štelo za "telo s političnim, filozofskim, verskim ali sindikalnim ciljem".

Vsekakor iz navedenega sledi, da je potrebno za posredovanje osebnih podatkov v zvezi z zdravjem izven društva v opisanih okoliščinah pridobiti izrecno privolitev posameznika.

Opozarjamo, da bi moralo društvo svoje člane o takšni obdelavi (seveda pred pridobivanjem njihovih privolitev za posredovanje zvezi društev) ustrezno obvestiti v skladu s 13. členom Splošne uredbe. Med drugim 13. člen Splošne uredbe določa, da je treba posameznika obvestiti o tem, kateri osebni podatki se bodo posredovali, komu, na kakšni pravni podlagi in za katere namene, upoštevati pa je treba še druge obvezne informacije, ki jih mora upravljavec podati posamezniku po 13. členu Splošne uredbe.

Od društva lahko torej najprej zahtevate, da vam pokaže informacije o obdelavi po 13. členu Splošne uredbe (včasih se te informacije podajo na samem obrazcu privolitve, včasih na spletnih straneh, včasih pa upravljavci te obveznosti ne izpolnijo in s tem kršijo Splošno uredbo).

Sicer pa ima vsak posameznik možnost od upravljavca zahtevati tudi na podlagi vloge dostop do svojih osebnih podatkov ter informacije o obdelavi osebnih podatkov v skladu s 15. členom Splošne uredbe. Prvi odstavek 15. člena Splošne uredbe tako posamezniku daje pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr.

Če upravljavec podatkov in informacij o obdelavi ne poda v roku enega meseca ali vam zavrne posredovanje le-tega, se lahko obrnete na Informacijskega pooblaščenca. Na spletni strani: https://www.ip-rs.si/obrazci/ sta na voljo tako obrazec Zahteve za seznanitev z lastnimi osebnimi podatki kot tudi obrazec za prijavo kršitve (Enotna vloga zaradi kršitve varstva osebnih podatkov), s katerimi si lahko pomagate pri morebitnem uveljavljanju svojih pravic.

IP-ju lahko na obrazcu Enotne vloge prijavite tudi morebiten sum sistematičnega kršenja osebnih podatkov ali prijavo zaradi kršitve obdelave vaših osebnih podatkov.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov