Posredovanje zdravstvenih podatkov ZRSZZ

Datum

02.04.2026

Številka

07120-1/2026/140

Kategorije

Posredovanje osebnih podatkov, Pravne podlage

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede posredovanja zdravstvenih osebnih podatkov Zavodu RS za zaposlovanje (ZRSZZ).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1, 10/26 – ZP-1L; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov in kako naj to posredovanje poteka, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Zavod RS za zaposlovanje podatke, ki jih potrebuje za izvajanje svojih pristojnosti v skladu z ZUTD in za namen posredovanja dela, pridobiva neposredno od osebe, na katero se ti podatki nanašajo, ter brezplačno iz evidenc določenih upravljavcev.

Ob vsaki obdelavi osebnih podatkov je treba poskrbeti za njihovo ustrezno zavarovanje, pri čemer je izbor primernih tehničnih in organizacijskih ukrepov za zavarovanje osebnih podatkov odgovornost upravljavca osebnih podatkov.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru, zato v nadaljevanju podaja splošna pojasnila.

IP posebej poudarja, da ni pristojen za komentiranje vodenja postopkov drugih inšpekcijskih ali prekrškovnih organov, zato o tem tudi ne more izdajati mnenj. Skladno s sklepom Ustavnega sodišča RS, št. U-I-92/12-13, z dne 10. 10. 2013 (http://odlocitve.us-rs.si/documents/8b/89/u-i-92-122.pdf), tudi ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov. Kot je v citiranem sklepu ugotovilo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (2. odstavek 120. člena Ustave RS za upravne organe, 125. člen Ustave RS za sodišča) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave Republike Slovenije). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

IP pojasnjuje, da mora imeti upravljavec za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, zakonito in ustrezno pravno podlago. Prvi odstavek 6. člena ZVOP-2 določa, da se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami za obdelavo osebnih podatkov iz prvega odstavka 6. in 9. člena Splošne uredbe. Ta v prvem odstavku 6. člena določa različne pravne podlage za zakonito obdelavo osebnih podatkov. Obdelava je tako zakonita le in kolikor je za konkretni namen obdelave in konkretne osebne podatke izpolnjen eden od naslednjih pogojev:

a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

IP nadalje pojasnjuje, da mora biti v primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi podatki o zdravstvenem stanju, izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe. Skladno s točko (c) člena 6(1) Splošne uredbe je obdelava zakonita, če je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca. Po točki h) člena 9(2) Splošne uredbe pa načelna prepoved obdelave posebnih vrst osebnih podatkov ne velja, če je obdelava potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3.

Zakon o urejanju trga dela (Uradni list RS, št. 80/10, s spremembami in dopolnitvami; v nadaljevanju: ZUTD) v petem odstavku 63. člena določa, da zavarovanci, ki niso bili zavarovani na podlagi delovnega razmerja, ne morejo uveljaviti pravice do denarnega nadomestila, če odjava iz vseh socialnih zavarovanj ni bila posledica objektivnih razlogov. Med objektivne razloge za odjavo iz zavarovanja se štejejo zlasti dalj časa trajajoča bolezen zavarovanca, insolventnost, stečaj, elementarna nesreča, večja materialna škoda na premoženju zavarovanca, izguba poslovnega prostora ali izguba poslovnega partnerja, na katerega je bilo v pretežni meri vezano poslovanje in drugi primerljivi objektivni razlogi. V prvem odstavku 124. člena ZUTD je določeno, da Zavod RS za zaposlovanje podatke, ki jih potrebuje za izvajanje svojih pristojnosti v skladu s tem zakonom in za namen posredovanja dela, pridobiva neposredno od osebe, na katero se ti podatki nanašajo, ter brezplačno iz evidenc v tem odstavku določenih upravljavcev.

Zavod tako v skladu z navedenim lahko pridobiva osebne podatke, ki jih potrebuje za obravnavo konkretnega primera, ob tem pa je treba upoštevati načelo najmanjšega obsega podatkov, ki določa, da morajo biti pod pogojem, da obstaja pravna podlaga, osebni podatki, ki se obdelujejo, ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo. Navedeno načelo pomeni, da je treba obdelovati samo toliko osebnih podatkov, kolikor je nujno potrebno za izvrševanje zakonitih pristojnosti, nalog ali obveznosti (v konkretnem primeru ugotovitev upravičenosti priznanja pravice do denarnega nadomestila med brezposelnostjo).

IP opozarja tudi, da ZVOP-2 vsebuje tudi posebne določbe glede posredovanja osebnih podatkov (39. - 41. člen). Skladno s prvim odstavkom 40. člena ZVOP-2 lahko osebe zasebnega sektorja posredujejo osebne podatke drugim fizičnim ali pravnim osebam ali osebam javnega sektorja samo na podlagi zahteve iz prvega odstavka 41. člena tega zakona, iz katere izhaja veljavna pravna podlaga za pridobitev podatkov in utemeljenost zahteve, razen če zakon določa drugače. Skladno s prvim odstavkom 41. člena ZVOP-2 zahteva za posredovanje osebnih podatkov vsebuje (če drug zakon ne določa drugače):

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Za dopustnost posredovanja osebnih podatkov morajo biti tako (poleg v prejšnjih odstavkih navedenih materialnopravnih pogojev) izpolnjeni tudi formalni pogoji iz prvega odstavka 41. člena ZVOP-2. Vsebina pisne zahteve je torej z ZVOP-2 točno določena in med drugim vsebuje tudi pravno podlago za pridobitev zahtevanih osebnih podatkov ter predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni. Vsaka zahteva mora vsebovati vse naštete elemente, sicer posredovanje ni upravičeno. IP ob tem poudarja, da mora biti pravna podlaga za to, da zadostuje kriterijem dopustne obdelave osebnih podatkov, ustrezno konkretizirana. Le ustrezno konkretizirana navedba pravne podlage, iz katere izhaja namen obdelave osebnih podatkov, namreč sploh omogoča ustrezno presojo, ali so izpolnjeni pogoji za posredovanje osebnih podatkov. Ob tem IP ponovno opozarja na načelo najmanjšega obsega podatkov, ki pomeni, da je potrebno obdelovati (v konkretnem primeru posredovati) samo toliko osebnih podatkov posameznikov, kolikor je nujno potrebno za izpolnitev namena v konkretnem primeru.

Glede načina posredovanja IP splošno pojasnjuje, da je treba ob vsaki obdelavi osebnih podatkov poskrbeti za njihovo ustrezno zavarovanje, pri čemer je izbor primernih tehničnih in organizacijskih ukrepov za zavarovanje osebnih podatkov odgovornost upravljavca osebnih podatkov (v konkretnem primeru pošiljatelja). IP vam lahko glede tega poda zgolj splošna priporočila, ob tem pa opozarja tako na določbe 32. člena Splošne uredbe, ki primeroma navaja ukrepe, s katerimi se zagotavlja varnost osebnih podatkov. Več informacij o zavarovanju osebnih podatkov si lahko preberete v Smernicah IP, ki so dostopne na: https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_zavarovanju_OP.pdf

IP dodaja, da je tudi uradna oseba, ki vodi konkretni postopek, zavezana ustrezno varovati vse podatke, dejstva in okoliščine o posamezni stranki, ki jih je zbrala ob obravnavi primera. Kadar gre hkrati za varovane osebne podatke, se za njihovo obdelavo in zavarovanje upošteva zakon, ki ureja varstvo osebnih podatkov.

IP sklepno ponavlja, da v okviru neobvezujočega mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov in kako naj to posredovanje poteka, temveč lahko zgolj opozori na relevantno pravno podlago ter pogoje, ki morajo biti izpolnjeni, da je določeno posredovanje podatkov zakonito. Konkretno presojo pa lahko oziroma mora opraviti izključno upravljavec osebnih podatkov (v konkretnem primeru FURS), ki nosi tudi odgovornost za tovrstno opravljeno presojo. IP se v mnenju ne more in ne sme postaviti v vlogo odločevalca (razsojevalca) v posameznih primerih in odločiti o upravičenosti posredovanja podatkov ali celo odrediti/prepovedati določenemu zavezancu posredovanje določenih podatkov in način, na katerega naj to izvede.

Lepo vas pozdravljamo.

Pripravil

Matej Sironič, Svetovalec pooblaščenca I

dr. Jelena Virant Burnik, Informacijska pooblaščenka