Zagotavljanje storitve e-oskrbe

Datum

21.07.2025

Številka

07121-1/2025/899

Kategorije

Pravne podlage

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede obdelave osebnih podatkov v okviru izvajanja storitve e-oskrbe, kot jo ureja Zakon o dolgotrajni oskrbi, med drugim tudi glede pravnih podlag za posredovanje določenih osebnih podatkov uporabnikov storitve za potrebe izvajanja in plačila te storitve med različnimi deležniki.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Izvajanje pregleda ali podajanje predhodnega soglasja k pogodbam, obrazcem, storitvam, aplikacijam ali drugim rešitvam upravljavcev z vidika njihove skladnosti z veljavnimi predpisi s področja varstva osebnih podatkov ne sodi v pristojnost IP.

Upravljavec mora pred predvideno obdelavo osebnih podatkov presoditi njeno dopustnost in sorazmernost. Preveriti je treba, ali za upravljavca velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov, v vsakem primeru pa je izdelava takšne ocene priporočljiva.

Obrazložitev

IP uvodoma poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati primernosti izbrane pravne podlage ali namenov oziroma obsega obdelave osebnih podatkov v konkretnem primeru. Presoja oziroma vnaprejšnja odobritev različnih pogodb, obrazcev, storitev, aplikacij ali drugih rešitev, ki jih uvajajo posamezni upravljavci, z vidika njihove skladnosti z veljavnimi predpisi, ne sodi v pristojnost IP. IP kot nadzorni organ na področju varstva osebnih podatkov v okviru neobvezujočega mnenja tako ne more presojati skladnosti pogodb in dokumentov, ki ste jih predložili vašem zaprosilu za mnenje, s predpisi s področja varstva osebnih podatkov.

IP na splošno vsem upravljavcem priporoča, da pri večjih projektih, ki predvidevajo obdelavo osebnih podatkov, v skladu s 35. členom Splošne uredbe izvedejo oceno učinka v zvezi z varstvom osebnih podatkov. Gre za vnaprejšnjo presojo ali, oziroma pod kakšnimi pogoji, bi bila predvidena obdelava osebnih podatkov zakonita, sorazmerna, transparentna, varna itd. Ključne informacije o oceni učinka so na voljo tudi na spletni strani IP: https://www.ip-rs.si/zakonodaja/reforma-evropskega-zakonodajnega-okvira-za-varstvo-osebnih-podatkov/klju%C4%8Dna-podro%C4%8Dja-uredbe/ocena-u%C4%8Dinka-v-zvezi-z-varstvom-podatkov/. IP nadalje pojasnjuje, da je v skladu s prvim odstavkom 35. člena Splošne uredbe temeljni kriterij za vprašanje, kdaj je ocena učinkov obvezna, zlasti ocena, ali bo obdelava povzročila veliko tveganje za pravice in svoboščine posameznikov. Dodatni kriteriji so opredeljeni v tretjem odstavku istega člena. Ob tem je treba preveriti tudi, ali gre morda za obliko obdelave iz Seznama dejanj obdelav osebnih podatkov, za katere velja zahteva po izvedbi ocene učinka v zvezi z varstvom osebnih podatkov po četrtem odstavku 35. člena Splošne uredbe in ko je torej predhodna izvedba ocene učinka v zvezi z varstvom osebnih podatkov obvezna. IP je pripravil tak seznam in ga objavil na spletni strani:

IP pojasnjuje, da se navedeni kriteriji lahko uporabljajo prepleteno in ne predstavljajo izključnega seznama. IP na podlagi navedb v vašem dopisu meni, da bi v konkretnem primeru lahko šlo za obdelavo, ki ima pomembne posledice na varstvo osebnih podatkov (npr. predvideno posredovanje osebnih podatkov uporabnikov e-oskrbe s strani CSD in ZZZS izvajalcu storitve), zato je glede na določbe Splošne uredbe potrebno, da se pred predvideno obdelavo opravi ustrezna ocena učinka na varstvo osebnih podatkov. Več informacij o sami izdelavi ocene učinka je na voljo v smernicah, ki jih je pripravil IP in so dostopne na spletni strani IP: https://www.ip-rs.si/fileadmin/user_upload/Pdf/Ocene_ucinkov/Smernice_o_ocenah_ucinka__DPIA__julij2018.pdf

Kadar je iz ocene učinka razvidno, da bi obdelava povzročila veliko tveganje, če upravljavec ne bi sprejel ukrepov za ublažitev tveganja, se mora upravljavec v skladu s 36. členom Splošne uredbe pred obdelavo osebnih podatkov posvetovati z IP. Med primere nesprejemljivih visokih preostalih tveganj sodijo situacije, kjer lahko posamezniki utrpijo pomembne, celo trajne posledice zaradi zlorabe osebnih podatkov, ali pa je zelo verjetno, da se bodo tveganja uresničila zaradi predvidenih načinov obsežnega zbiranja in izmenjave podatkov. Kadar IP meni, da bi predvidena obdelava kršila Splošno uredbo, zlasti kadar upravljavec ni ustrezno opredelil ali ublažil tveganj, IP v roku do osmih tednov (dodatnih 6 tednov v kompleksnih primerih) po prejemu zahteve za posvetovanje pisno svetuje upravljavcu in lahko uporabi katero koli pooblastilo iz 58. člena Splošne uredbe.

Lepo vas pozdravljamo.

Pripravila

Sandra Kajtazović, univ. dipl. prav.

dr. Jelena Virant Burnik, informacijska pooblaščenka