Uporaba podatkov za kontaktiranje tujih pogodbenih strank v nujnem primeru (preprečitev škode pri shranjevanju popkovnic in popkovnične krvi)

Datum

30.08.2024

Številka

07121-1/2024/1005

Kategorije

Pravne podlage, Zakoniti interesi, Zbirke osebnih podatkov

Pri Informacijskem pooblaščencu (IP) smo dne 16. 8. 2024 prejeli vaše zaprosilo za mnenje o tem, ali lahko kot podjetje, ki imate z »matičnim podjetjem« (s statusom ustanove za tkiva in celice, ki je bilo pogodbena stranka z naročniki storitev) dogovorjen dostop do prostorov, opreme, hranjene popkovnične krvi in popkovnic ter do dokumentacije v zvezi s tem, uporabite kontaktne podatke strank za to, da bi jih obvestili o tem, kakšne so nadaljnje možnosti za hrambo biološkega materiala, saj mu grozi, da bo propadlo. Razlog je v tem, da matično podjetje ne posluje več in za biološki material ne skrbi, vodstvo pa je nedostopno. Vaše podjetje je matičnemu podjetju ponudilo začasno pomoč pri vzdrževanju prostorov in opreme in biološkega materiala, kar tudi izvajate. Odkupljena je bila tudi določena oprema.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih primerov obdelave osebnih podatkov le v nadzornih postopkih.

Po mnenju IP je dopustno, da vaše podjetje za potrebe nujnega kontaktiranja oziroma informiranja naročnikov storitev uporabi njihove kontaktne podatke iz razpoložljive dokumentacije matičnega podjetja, če je na podlagi vsebine pogodbenega razmerja z matičnim podjetjem možno sklepati, da je vaše podjetje prevzelo tudi ta del poslovanja oziroma nujno upravljanje z osebnimi podatki. To bi veljalo zlasti, če bi vaše podjetje nastopalo kot pooblaščenec (zastopnik) matičnega podjetja, skupni upravljavec, pogodbeni obdelovalec ali (novi) upravljavec.

IP ne more izven nadzornega postopka presojati konkretne vsebine tega pogodbenega razmerja, prav tako pa ne more presojati nujnosti ter vsebine obveščanja naročnikov storitev.

Obrazložitev

Glede na to, da naj bi vaše podjetje dogovorno prevzelo začasno oziroma nujno vzdrževanje poslovnih prostorov in opreme vključno z biološkim materialom ter dokumentacijo z osebnimi podatki, bi bilo načeloma možno sklepati, da ta storitev vključuje tudi delno »upravljanje« z osebnimi podatki, če je nujno potrebno za izvajanje dogovorjene storitve. Toda IP nima na voljo dovolj informacij, da bi lahko ocenil vsebino konkretnega pogodbenega razmerja ter vprašanje upravičenega upravljanja z osebnimi podatki (npr. ali ste v položaju pooblaščenca ali zastopnika matičnega podjetja, upravljavca, skupnega upravljavca ali pogodbenega obdelovalca in kakšne so pri tem konkretne pravice in obveznosti). Izven konkretnega nadzornega postopka IP tega vprašanja tudi ni pristojen presojati. Pri presoji je treba upoštevati tudi, kakšen je bil dogovor glede siceršnjega poslovanja (izvrševanje pravic in obveznosti v razmerju do naročnikov) ter v kakšnem formalnem položaju je matično podjetje, npr. ali je v uradnem insolvenčnem postopku, v likvidaciji, v postopku statusnega preoblikovanja (npr. v primeru stečaja bi posle prevzel stečajni upravitelj oziroma bi ta sklenil ustrezno pogodbo z nekim podjetjem), ali je šlo za nakup ali prevzem podjetja ali nič od tega.

Če pogodbeno razmerje med vami in matičnim podjetjem ne daje podlage za določeno upravljanje oziroma obdelavo osebnih podatkov naročnikov, uporaba osebnih podatkov, kljub temu, da imate fizično na voljo dokumentacijo, ni dopustna.

Če bi vaše podjetje torej lahko šteli za pooblaščenca, upravljavca, skupnega upravljavca ali pogodbenega obdelovalca (v tem primeru podjetje zgolj izvršuje posamezna opravila z osebnimi podatki v imenu in po navodilih matičnega podjetja), so možne pravne podlage za uporabo kontaktnih podatkov na primer:

-(b) točka prvega odstavka 6. člena Splošne uredbe (»če je obdelava podatkov potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki«),

-(f) točka prvega odstavka 6. člena Splošne uredbe (»če je obdelava podatkov potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika«) ali

-(h) točka drugega odstavka 9. člena Splošne uredbe (»če je obdelava potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice«).

Lepo vas pozdravljamo,

Pripravil

dr. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

dr. Jelena Virant Burnik, informacijska pooblaščenka