Informacijski pooblaščenec (v nadaljevanju IP) je prejel zaprosilo za mnenje, kjer prosilca zanima, ali lahko ravnatelj od dijakov/staršev zahteva vpogled v rezultat opravljenega hitrega testa/PCR testa. V zaprosilu prosilec izpostavlja, da če je dijak na hitrem testu pozitiven, je takoj odrejena karantena za cel razred, ob tem pa prosilec opozarja na možnost zlorab s strani dijakov.
Na podlagi informacij v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) IP posreduje neobvezno mnenje. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.
Za vsako obdelavo osebnih podatkov mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so določene v členu 6(1) Splošne uredbe, v primeru obdelave posebnih vrst osebnih podatkov, med katere sodijo tudi zdravstveni podatki, pa mora bili izpolnjen še eden izmed pogojev iz člena 9(2) Splošne uredbe.
V času, ko se soočamo s širjenjem okužb z virusom SARS-CoV-2 in je ogroženo tako zdravje posameznika kot javno zdravje, lahko posebne okoliščine terjajo ukrepe, ki posegajo tudi na področje obdelave zdravstvenih podatkov. Ti ukrepi so lahko utemeljeni zaradi zaščite življenjskih interesov posameznikov (člen 9(2)(c) Splošne uredbe), saj se uvodna izjava 46 Splošne uredbe izrecno sklicuje na obvladovanje epidemije, ali zaradi javnega interesa na področju javnega zdravja (člen 9(2)(i) Splošne uredbe), če je to predpisano z nacionalno zakonodajo. IP pa poudarja, da morajo biti vsi ukrepi, namenjeni preprečevanju širjenja bolezni Covid-19, prilagojeni glede na konkretna prepoznana tveganja v posameznih situacijah in okoljih ter da je treba vedno izbrati tisti ukrep, ki najmanj poseže v pravice posameznika glede na zasledovani zakoniti cilj.
Presojo obsega, smiselnosti in nujnosti ukrepov, ki lahko vključujejo tudi obdelavo podatkov o zdravju, mora izvesti zdravstvena stroka (zlasti NIJZ). To pomeni, da morajo pristojni v sodelovanju z zdravstveno stroko od primera do primera presojati, kateri podatki so potrebni za zaščito življenjskih interesov ljudi ali v zvezi z zagotavljanjem zdravja in varstva pri delu ali na drugih pravnih podlagah. V primeru obdelave osebnih podatkov na ustrezni pravni podlagi mora upravljavec vedno upoštevati tudi vsa načela v zvezi z varstvom podatkov iz člena 5 Splošne uredbe ter druge obveznosti, ki jih predpisuje Splošna uredba (informiranje posameznikov, rok hrambe, varnost podatkov, skrb za točnost in ažurnost podatkov itn.).
Za konkretne napotke glede tega, kako ukrepati v primeru prijave okužbe s strani dijaka in kdo ima pravico preverjati resničnost podatkov o rezultatu testiranja pri IP predlagajo, da se prosilec obrne na NIJZ, ki lahko poda natančna in jasna navodila glede teh vprašanj. IP izven inšpekcijskega postopka in vnaprej namreč ne more in ne sme presojati, katere konkretne podatke in kdo jih sme, lahko ali celo mora obdelovati v zvezi s trenutno situacijo, pač pa je to naloga pristojnih institucij.
Celotno mnenje najdete TUKAJ.