Vročanje po pooblaščencu za vročitev in pošiljanje dokumentov s posebnimi vrstami osebnih podatkov

Datum

29.11.2024

Številka

07121-1/2024/1474

Kategorije

Telekomunikacije in pošta, Varnost osebnih podatkov, Upravni postopki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaša vprašanje, če smo pri IP že presojali ustreznost ureditve vročanja po pooblaščencu za vročitev v upravnih postopkih ter ustreznost pošiljanja zdravstvene dokumentacije s strani izvajalcev zdravstvenih storitev z navadno pošto z vidika varstva osebnih podatkov? Dodatno vas zanima, ali je dokumente, ki vsebujejo posebne vrste osebnih podatkov, dopustno pošiljati z navadno pošto, četudi jih pošilja zgolj fizična oseba?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše nezavezujoče mnenje v zvezi z vašim vprašanjem.

Za vsako obdelavo osebnih podatkov (tudi za vročanje dokumentov v okviru upravnih postopkov) mora biti zagotovljena ustrezna pravna podlaga. Pravno podlago za vročanje dokumentov pooblaščencu za vročanje v upravnih postopkih predstavlja 89. člen ZUP.

Pri pošiljanju posebnih vrst osebnih podatkov mora pošiljatelj vsekakor poskrbeti za varnost in zaupnost podatkov ob prenosu (t.j. pošiljanju od pošiljatelja do naslovnika).

Kadar se dokumenti pošiljajo zgolj med fizičnimi osebami – v okviru t.i. zasebne rabe – se pravila varstva osebnih podatkov ne uporabljajo. Kadar pa temu ni tako, mora ta, ki osebne podatke obdeluje, poskrbeti za zagotovitev ustrezne pravne podlage za obdelavo, kot tudi za njihovo varnost pred nepooblaščenim razkritjem in sicer s sprejemom ustreznih varnostnih in tehničnih ukrepov. Kateri ukrepi so v konkretnem primeru ustrezni, bi IP lahko presojal zgolj na podlagi konkretnih okoliščin posameznega primera in ne v okviru splošnega mnenja.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

V zvezi s tem zgolj pojasnjujemo, da je za vsako obdelavo osebnih podatkov, torej tudi za njihovo razkritje z vročanjem v upravnih postopkih, treba imeti ustrezno in zakonito pravno podlago. Pravne podlage so določene v prvem odstavku 6. člena Splošne uredbe in so sledeče:

-privolitev (točka (a)),

-sklenitev ali izvajanje pogodbe (točka (b)),

-zakon (točka (c)),

-zaščita življenjskih interesov posameznika (točka (d)),

-izvajanje javne naloge (točka (e) v zvezi s četrtim odstavkom 9. člena ZVOP-1),

-zakoniti interesi upravljavca, ki ne prevladajo nad interesi in pravicami posameznika (točka (f)).

Področni zakon v smislu točke (c) prvega odstavka 6. člena Splošne uredbe predstavlja v konkretnem primeru Zakon o splošnem upravnem postopku (Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, 105/06 – ZUS-1, 126/07, 65/08, 8/10, 82/13, 175/20 – ZIUOPDVE in 3/22 – ZDeb; ZUP), ki ureja vprašanja zakonite izvedbe vročanja dokumentov v upravnih postopkih. Povedano drugače, 89. člen ZUP predstavlja zakonsko podlago za obdelavo osebnih podatkov (t.j. vročanje dokumentov pooblaščencu za vročanje), ki se nahajajo v dokumentih, ki se vročajo po določbah ZUP.

V zvezi z vprašanjem ustreznosti določbe drugega odstavka 89. člena ZUP z vidika pravice do varstva osebnih podatkov, IP pojasnjuje, da sam ni pristojen izvesti presoje ustavne skladnosti zakonskih določb, kot npr. določbe drugega odstavka 89. člena ZUP. Presojo, ali je v tem delu ZUP skladen z določbami Ustave RS (tu npr. 38. členom Ustave RS, ki ureja človekovo pravico do varstva osebnih podatkov), lahko izvede zgolj Ustavno sodišče RS. Kljub temu, IP vseeno opozarja na sodbo Vrhovnega sodišča RS v zadevi št. C Ips 78/2015 z dne 12. 4. 2017, kjer je se je Vrhovno sodišče že opredeljevalo do vprašanja ustavne skladnosti zadevne določbe. V sodbi sodišče navaja, da je ustavno skladna razlaga te določbe možna in sicer, da se “drugi odstavek 89. člena ZUP, da po stališču Vrhovnega sodišča ustavnoskladno razlagati le, če se stranki (naslovniku) dovoli nasproten dokaz, da pooblastila ni dala, in dokazovanje, kdaj je bila vročitev dejansko opravljena. Ker je torej zagotovljeno varstvo ustavnih pravic iz 23. in 25. člena Ustave RS, drugi odstavek 89. člena ZUP po oceni Vrhovnega sodišča ni v neskladju z Ustavo RS.”. Presoje skladnosti te določbe ZUP z 38. členom Ustave RS, po vedenju IP, še ni bilo.

Če bi IP (sicer zgolj v okviru konkretnega nadzornega postopka in ne na splošno) glede na konkretne okoliščine posameznega primera presodil, da je z vidika pravil varstva osebnih podatkov, določba 89. člena morebiti neustavna, bi lahko vprašanje skladnosti tega člena ZUP s pravico do varstva osebnih podatkov in Splošne uredbe odstopil v reševanje in presojo Ustavnemu sodišču RS. IP se v okviru dosedanjih nadzornih postopkov do takšnega vprašanja še ni opredeljeval.

Glede vprašanja pošiljanja zdravstvene dokumentacije z navadno pošto, IP najprej pojasnjuje ločnico med obdelavo osebnih podatkov za zasebno oz. za komercialno uporabo, ki pomembno vpliva na področje uporabe predpisov s področja varstva osebnih podatkov. V skladu s členom 2(1)(c) Uredbe se Splošna uredba (in tako vsa pravila varstva osebnih podatkov) ne uporabljajo za obdelavo osebnih podatkov s strani fizične osebe med potekom popolnoma osebne ali domače dejavnosti (izjema zasebne rabe). Uvodna določba 18 Uredbe podrobneje pojasnjuje, da se uredba ne uporablja za obdelavo osebnih podatkov s strani fizične osebe v okviru izključno osebne ali domače dejavnosti ter s tem brez povezave s poklicno ali komercialno dejavnostjo. Z drugimi besedami to pomeni, da pravila varstva osebnih podatkov ne pridejo v poštev v primerih, ko fizična oseba drugi fizični osebi, v okviru osebne ali domače dejavnosti, pošilja dokumente, četudi bi ti dokumenti vsebovali posebne vrste osebnih podatkov. Pri tem IP vseeno izpostavlja, da obdelava osebnih podatkov tudi v primerih, ki ne sodijo v okvir Splošne uredbe, lahko predstavlja poseg v pravico drugih posameznikov do zasebnosti v širšem smislu, katere meje so začrtane v 35. členu Ustave RS (varstvo pravic zasebnosti in osebnostnih pravic) ali celo do posega v pravico do varstva tajnosti in drugih pisem (t.i. pravico do komunikacijske zasebnosti). Za presojo posegov v ti dve ustavno varovani človekovi pravici IP ni pristojen. Posameznik ima v zvezi s tovrstnimi posegi možnost civilnopravnega in kazenskopravnega varstva preko sodišč.

V primerih, kjer izjema zasebne rabe ni podana oz. ko bi šlo za pošiljanje zdravstvene dokumentacije s strani izvajalcev zdravstvenih storitev pa je potrebno v celoti upoštevati obveznosti, kot jih določa Splošna uredba. Pod pogojem zagotovitve ustrezne pravne podlage za obdelavo osebnih podatkov mora upravljavec namreč poskrbeti za sprejem ustreznih tehničnih in organizacijskimi ukrepov, da zagotovi ustrezno raven varnosti obdelave osebnih podatkov glede na tveganje njihovega razkritja nepooblaščenim osebam (glej 32. člen Splošne uredbe) ter ob tem tudi zagotoviti skladnost z vsemi načeli in pravili varstva osebnih podatkov (zlasti z načelom najmanjšega obsega osebnih podatkov, načelom omejitve namena, informirati posameznike itd.). IP je sicer o tem vprašanju že večkrat razpravljal v okviru drugih neobvezujočih mnenj, katera predlagamo, da si preberete:

-mnenje IP glede pošiljanja zdravstvenih osebnih podatkov pacientom z navadno poštno pošiljko št. 07121-1/2023/1515 z dne 30. 11. 2023;

-mnenje IP glede posredovanja originalnega zdravstvenega kartona zavarovalnici št. 07120-1/2024/267 z dne 24.07.2024;

-mnenje IP glede vsebine na vročilnici ovojnice ZUP št. 07121-1/2023/475 z dne 6. 2. 2023;

-mnenje IP glede posredovanja občutljivega izvida pacientu na alternativen način št. 07121-1/2024/162 z dne 15. 2. 2024.

-mnenje IP glede seznanitve s podatki drugih strank na upravni odločbi št. 07121-1/2021/1318 z dne 26. 7. 2021.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Pripravil

Grega Rudolf, mag., svetovalec pooblaščenca za mednarodne odnose

dr. Jelena Virant Burnik, informacijska pooblaščenka