Prenos zdravstvenih podatkov v oblak

Datum

07.08.2026

Številka

07121-1/2026/775

Kategorije

Informiranje posameznika, Varnost osebnih podatkov, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede dopustnosti prenosa zdravstvenih podatkov v oblak v državo članico EU, ki pa ga upravlja podjetje z matičnim sedežem v ZDA.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja ne more presojati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

Določbo četrtega odstavka 23. člena ZVOP-2 gre po mnenju IP razlagati tako, da ne pomeni prepovedi vsakega prenosa podatkov o zdravju čez meje Republike Slovenije.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov presojati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru.

IP pojasnjuje, da je mnenje IP, ki ga navajate v vašem zaprosilu za mnenje (št. 07121-1/2026/618 z dne 23.06.2026) vsekakor aktualno in v velikem delu (razen v delu, ki se nanaša na obdelavo osebnih podatkov za raziskovalne namene) uporabno tudi v vašem primeru. IP tako ponavlja, da je treba določbo četrtega odstavka 23. člena ZVOP-2 po mnenju IP razlagati tako, da ne pomeni prepovedi vsakega prenosa podatkov o zdravju čez meje Republike Slovenije, saj bi to v praksi povzročilo nemalo zelo resnih težav (npr. pri uveljavljanju zdravstvenih storitev ali zdravstvenega zavarovanja v tujini itd.), temveč je po mnenju IP to določbo treba razlagati predvsem v smislu, da ni dopustno celotne baze podatkov o zdravju hraniti izven ozemlja Republike Slovenije, hramba posameznih podatkov, posamezni dostopi in prenosi osebnih podatkov čez meje Republike Slovenije pa niso prepovedani s to določbo. Pod temi pogoji bi bil tako dopusten tudi prenos zdravstvenih osebnih podatkov v oblak v Nemčijo. Ob tem IP poudarja, da je Nemčija država članica EU, zato načeloma v takem primeru ne gre za prenos osebnih podatkov v tretjo državo, če se bodo podatki res v celoti in ves čas hranili na strežniku v Nemčiji in se bo tudi do njih dostopalo le iz EU. V kolikor bi namreč npr. prišlo tudi do dostopa iz ZDA, pa bi to že pomenilo prenos osebnih podatkov po Splošni uredbi, zato bi bilo treba v tem primeru za prenos zagotoviti spoštovanje določb V poglavja Splošne uredbe (členi 44-50).

IP dodaja, da več informacij o uporabi oblačnih storitev lahko najdete v smernicah IP o obdelavi osebnih podatkov v okviru storitev v oblaku:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_Varstvo_osebnih_podatkov_in_racunalnistvo_v_oblaku_2016.pdf

Glede navedenih smernic opozarjamo, da te (še) niso prenovljene v smislu določb Splošne uredbe, vendar pa osnove ostajajo iste. Spremembe so se zgodile predvsem glede nekaterih dodanih obveznosti v okviru pogodbene obdelave osebnih podatkov, o kateri si lahko več preberete v prenovljenih smernicah IP o pogodbeni obdelavi:

https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_pogodbeni_obdelavi_web.pdf.

V pogodbi, ki jo sklenete s ponudnikom oblačne storitve, mora biti med drugimi pogodbenimi obveznostmi natančno opredeljeno, kako bo poskrbljeno za zavarovanje osebnih podatkov, zlasti kako se varujejo prostori in programska oprema, kako ponudnik preprečuje nepooblaščen dostop do podatkov, kako je zagotovljena varnost podatkov med prenosom itd. Pomembno je tudi, da je omogočeno sledenje, kaj se s podatki dogaja in kje se trenutno nahajajo. Zato vam mora ponudnik oblačne storitve vnaprej natančno pojasniti, na katerih lokacijah bo obdeloval ali hranil vaše podatke.

IP nadalje pojasnjuje, da člena 13 in 14 Splošne uredbe nalagata upravljavcem osebnih podatkov, da posameznikom podajo določene informacije v zvezi z obdelavo osebnih podatkov. Več o obveznosti si lahko preberete na naši spletni strani: https://upravljavec.si/obvescanje-posameznikov/. V skladu s točko (e) člena 13(1) Splošne uredbe je upravljavec dolžan navesti tudi uporabnike ali kategorije uporabnikov osebnih podatkov (med uporabnike sodijo tudi obdelovalci osebnih podatkov).

IP upravljavcem osebnih podatkov splošno priporoča, da pred odločitvijo o uporabi oblačnih storitev izvedejo temeljite analize tveganj in da zlasti posebnih vrst osebnih podatkov in vseh ostalih osebnih podatkov z višjo stopnjo tveganja do uveljavitve trdnih varovalk ne prenašajo v oblak. Ne gre namreč pozabiti, da je upravljavec osebnih podatkov primarno tisti, ki nosi odgovornost za zlorabe osebnih podatkov, zato mora biti trdno prepričan, da tudi njegovi pogodbeni obdelovalci oziroma ponudniki storitev in rešitev, ki jih uporablja, lahko ponudijo takšna zagotovila.

Lepo vas pozdravljamo.

Pripravil: Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka