Posredovanje osebnih podatkov s strani ZZZS - dodatno

Datum

16.12.2025

Številka

07120-1/2025/534

Kategorije

Posredovanje osebnih podatkov, Pridobivanje OP iz zbirk

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše zaprosilo za mnenje glede obstoja pravne podlage za povezovanje zbirk osebnih podatkov Zdravniške zbornice Slovenije in Zavoda za zdravstveno zavarovanje Slovenije (ZZZS). 

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1; v nadaljevanju: ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, 51/07 – ZUstS-A; ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati konkretnih obdelav osebnih podatkov, niti se opredeljevati glede obstoja pravne podlage za konkretno obdelavo.

Obrazložitev

IP uvodoma ponovno poudarja, da lahko podaja neobvezujoča mnenja in pojasnila, ne sme pa izven konkretnih nadzornih ali drugih upravnih postopkov preverjati konkretnih obdelav osebnih podatkov, niti se opredeljevati glede obstoja pravne podlage za konkretno obdelavo.

IP dodatno pojasnjuje, da četudi morda zbirke osebnih podatkov, ki jih želite povezati, ne vsebujejo osebnih podatkov iz prvega odstavka 87. člena ZVOP-2, je njihovo povezovanje dopustno le, če za takšno obdelavo osebnih podatkov obstaja katera od pravnih podlag iz prvega odstavka 6. člena Splošne uredbe oziroma 6. člena ZVOP‑2 ter če je zagotovljena ustrezna varnost osebnih podatkov (vključno z zagotavljanjem dnevnika obdelave iz 22. člena ZVOP‑2). Zakon mora torej določati možnost upravljavca zbirke osebnih podatkov za pridobivanje osebnih podatkov iz druge zbirke osebnih podatkov, s katero se želi v konkretnem primeru povezati, ter v skladu z drugim odstavkom 6. člena ZVOP‑2 določiti tudi vrste osebnih podatkov, ki se lahko pridobivajo, kategorije posameznikov, na katere se ti osebni podatki nanašajo, namen njihove obdelave in rok hrambe osebnih podatkov ali rok za redni pregled potrebe po hrambi. Poleg obstoja ustrezne pravne podlage za pridobivanje osebnih podatkov iz določenih zbirk osebnih podatkov ter zagotavljanja ustrezne varnosti osebnih podatkov pa je treba upoštevati tudi zahteve Splošne uredbe in ZVOP‑2 glede izdelave ocene učinka na varstvo podatkov. Glede na te zahteve bo namreč tudi v številnih primerih povezovanja uradnih evidenc in javnih knjig, ki ne spadajo v okvir prvega odstavka 87. člena ZVOP‑2, treba izdelati predhodno oceno učinka na varstvo podatkov.

IP sklepno ponavlja, da mora konkretno presojo glede dopustnosti povezovanja zbirk osebnih podatkov (v tem okviru tudi obstoja pravne podlage) opraviti izključno upravljavec osebnih podatkov, ki nosi tudi odgovornost za tovrstno opravljeno presojo.

Lepo vas pozdravljamo.

Pripravil:

Matej Sironič,

Svetovalec pooblaščenca I

dr. Jelena Virant Burnik,

Informacijska pooblaščenka