Pri Informacijskem pooblaščencu (IP) so prejeli zaprosilo prosilca za mnenje glede vpogledovanja vrtca v cepilni status otroka in preverjanja izdanega zdravniškega potrdila pri otrokovem pediatru. Prosilca zanima tudi, ali lahko pediater z vrtcem deli informacije o otrokovem cepilnem statusu ter vsebino zdravniškega potrdila brez dovoljenja staršev.
Na podlagi informacij IP v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (ZVOP-1; Uradni list RS, št. 94/07-UPB1) ter 2. členom Zakona o informacijskem pooblaščencu (ZInfP; Uradni list RS, št. 113/05) posreduje neobvezujoče mnenje.
Predšolsko vzgojo, ki jo izvajajo javni in zasebni vrtci, ureja Zakon o vrtcih (ZVrt), ki v 20. členu določa, da morajo starši ob vključitvi otroka v vrtec predložiti potrdilo pediatra o zdravstvenem stanju otroka. Nadalje Zakon o nalezljivih boleznih (ZNB) v 51.a členu določa, da se vključitev necepljenega otroka v javni vrtec, kot je opredeljen po zakonu, ki ureja vrtce, in v javno sofinancirani program zasebnega vrtca v skladu z ZVrt, zavrne, če iz potrdila pediatra o zdravstvenem stanju otroka izhaja, da otrok ni bil cepljen proti ošpicam, mumpsu in rdečkam, pa za to ne obstajajo medicinski razlogi, ugotovljeni z odločbo o opustitvi cepljenja iz 22.č člena ZNB.
Vrtci so posledično upravičeni zgolj do seznanitve s potrdilom po 20. členu ZVrt – torej z zdravstvenimi podatki, ki so pomembni za delo z otrokom in varnost. To potrdilo pa bi načeloma moralo vsebovati tudi informacije o tem, da je bilo izvedeno cepljenje, kot zahteva 51.a člen ZNB, ne pa tudi drugih podrobnejših osebnih podatkov, razen, če so v to starši kot zakoniti zastopniki otroka izrecno privolili. Lahko pa eventualno v primeru suma o verodostojnosti potrdila vrtec pri pediatru preveri, ali je bilo potrdilo res izdano. Prav tako lahko javni vrtci in javno sofinancirani programi zasebnih vrtcev v primeru, da iz potrdila ne izhajajo podatki po ZNB, ki jih vrtec potrebuje za odločanje o vključitvi v vrtec na podlagi Zakona o splošnem upravnem postopku, zahteva od staršev oz. otrokovih zakonitih zastopnikov predložitev ustreznega dopolnjenega potrdila ali ponudijo staršem oz. otrokovim zakonitim zastopnikom možnost podaje izrecne pisne privolitve, da vrtec podatke na podlagi 139. člena ZUP pridobi sam.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.
IP v zvezi z vprašanjem iz zaprosila uvodoma pojasnjuje, da podatek o zdravstvenem stanju otroka predstavlja varovani osebni podatek in kot podatek v zvezi z zdravjem spada med posebne vrste osebnih podatkov v skladu s Splošno uredbo o varstvu podatkov. Podatki v zvezi z zdravjem posameznika štejejo skladno s Splošno uredbo med t. i. posebne vrste osebnih podatkov. Načeloma je obdelava (in s tem tudi posredovanje) posebnih vrst osebnih podatkov prepovedana, razen v primerih, ki jih določa drugi odstavek 9. člena Splošne uredbe.
Varstvo osebnih podatkov pacientov posebej ureja tudi 44. člen Zakona o pacientovih pravicah (ZPacP), ki v prvem odstavku določa, da ima pacient pravico do zaupnosti osebnih podatkov, vključno s podatki o obisku pri zdravniku in drugih podrobnostih o svojem zdravljenju. Skladno s četrtim odstavkom navedenega člena je uporaba in druga obdelava pacientovih zdravstvenih in drugih osebnih podatkov izven postopkov zdravstvene obravnave, dovoljena le z njegovo privolitvijo oz. v primerih, ko to določa zakon (peti odstavek navedenega člena). Privolitev pacienta tako ni potrebna:
- če za namene epidemioloških in drugih raziskav, izobraževanja, medicinskih objav ali druge namene pacientova istovetnost ni ugotovljiva,
- če za namene spremljanja kakovosti in varnosti zdravstvene obravnave pacientova istovetnost ni ugotovljiva,
- kadar prijavo zdravstvenega stanja zahteva zakon,
- kadar se zaradi potreb zdravljenja podatki posredujejo drugemu izvajalcu zdravstvene dejavnosti,
- kadar to določa drug zakon.
Za vsako obdelavo osebnih podatkov mora torej obstajati pravna podlaga. Področni zakon, ki ureja predšolsko vzgojo, ki jo izvajajo javni in zasebni vrtci, predstavlja Zakon o vrtcih (ZVrt; Uradni list RS, št. 100/05, 25/08, 98/09 – ZIUZGK, 36/10, 62/10 – ZUPJS, 94/10 – ZIU, 40/12 – ZUJF, 14/15 – ZUUJFO, 55/17, 18/21), ki v 42. členu določa, da vrtci zbirajo, obdelujejo, shranjujejo, posredujejo, varujejo in uporabljajo osebne podatke, vsebovane v evidencah, v skladu s predpisi o varstvu osebnih podatkov, če s tem zakonom ni določeno drugače. V 43. členu ZVrt so nato določene zbirke osebnih podatkov, ki jih vrtci vodijo za izvajanje predšolske vzgoje, za spremljanje dejavnosti in statistične namene. V naslednjih členih je določena vsebina in namen posameznih zbirk. Evidenca vključenih otrok tako v skladu s 44. členom ZVrt vsebuje naslednje podatke:
- osebno ime ter naslov prebivališča otroka in staršev,
- datum rojstva in spol otroka,
- EMŠO otrok in staršev,
- datum vključitve otroka v vrtec,
- zdravstvene posebnosti otroka, ki izhajajo iz potrdila pediatra ali specialista,
- naslov za stike, telefonsko številko osebe ali naslov elektronske pošte osebe, ki je vzgojitelju dosegljiva med otrokovim bivanjem v vrtcu in
- podatke o prisotnosti otrok v vrtcu.
Vrtec zbira osebne podatke v evidenci vključenih otrok zaradi ustreznega dela z otrokom pri izvedbi programov, zaradi sodelovanja s starši in zaradi spremljanja plačil staršev za program vrtca. Nameni zbiranja oziroma obdelave osebnih podatkov so torej jasno določeni.
ZVrt pa v 20. členu določa, da morajo starši ob vključitvi otroka v vrtec predložiti potrdilo pediatra o zdravstvenem stanju otroka. Nadalje Zakon o nalezljivih boleznih (ZNB; Uradni list RS, št. 33/06 – uradno prečiščeno besedilo, 49/20 – ZIUZEOP, 142/20, 175/20 – ZIUOPDVE, 15/21 – ZDUOP, 82/21, 178/21 – odl. US in 125/22) v 51.a členu določa, da se vključitev necepljenega otroka v javni vrtec, kot je opredeljen po ZVrt, in v javno sofinancirani program zasebnega vrtca v skladu z ZVrt, zavrne, če iz potrdila pediatra o zdravstvenem stanju otroka izhaja, da otrok ni bil cepljen proti ošpicam, mumpsu in rdečkam pa za to ne obstajajo medicinski razlogi, ugotovljeni z odločbo o opustitvi cepljenja iz 22.č člena ZNB. Ne glede na to se v javni vrtec in v javno sofinancirani program zasebnega vrtca v skladu z ZVrt lahko vključi otrok, ki je v postopku pridobitve odločbe o opustitvi cepljenja iz 22.č člena ZNB. Za takega otroka velja, da se pogoji za vključitev preverjajo ob vključitvi v naslednjem šolskem letu. Ker o vključitvi otroka v javni vrtec oz. v javno sofinancirani program zasebnega vrtca ti odločajo po Zakonu o splošnem upravnem postopku (ZUP; Uradni list RS, št. 24/06 – uradno prečiščeno besedilo, 105/06 – ZUS-1, 126/07, 65/08, 8/10, 82/13, 175/20 – ZIUOPDVE in 3/22 – ZDeb), je za navedeni primer relevantna tudi določba 5. odstavka 139. člena ZUP, ki določa, da uradna oseba lahko za potrebe ugotavljanja dejanskega stanja osebne podatke pridobiva iz uradnih evidenc o stranki, ki je vložila zahtevo za uvedbo postopka (v tem primeru zahteva za vključitev v vrtec), razen, če je stranka pridobitev teh podatkov izrecno prepovedala. Zdravstvene podatke pa si lahko uradna oseba sama po uradni dolžnosti priskrbi le, če tako določa zakon, ali na podlagi izrecne pisne privolitve stranke oziroma druge osebe, na katero se ti podatki nanašajo. To pomeni, da je vrtec upravičen do preverjanja potrdila iz 20. člena ZVrt, ki je izdano upoštevajoč tudi omenjeni člen ZNB – torej do tistih zdravstvenih podatkov o otroku, ki so pomembni za delo z otrokom in varnost. Lahko pa eventualno v primeru suma o verodostojnosti potrdila vrtec pri pediatru preveri, ali je bilo potrdilo res izdano. Prav tako lahko javni vrtci in javno sofinancirani programi zasebnih vrtcev v primeru, da iz potrdila ne izhajajo podatki, ki jih vrtec potrebuje za odločanje o vključitvi v vrtec na podlagi ZUP, zahtevajo od staršev oz. otrokovih zakonitih zastopnikov predložitev ustreznega dopolnjenega potrdila ali eventualno ponudijo staršem oz. otrokovim zakonitim zastopnikom možnost podaje izrecne pisne privolitve, da vrtec podatke na podlagi 139. člena ZUP pridobi sam.
Zbiranje osebnih podatkov otrok na podlagi ZVrt podrobneje ureja Pravilnik o zbiranju in varstvu osebnih podatkov na področju predšolske vzgoje (Uradni list RS, št. 80/04; v nadaljevanju: pravilnik), ki v 16. členu določa, da če vrtec izvaja dejavnosti, ki presegajo programe za predšolske otroke in za njihovo izvajanje potrebuje tudi druge osebne podatke o otrocih in njihovih starših, ki jih zakon ne določa, jih lahko za dosego teh namenov zbira na podlagi pisne privolitve staršev. Iz pisne privolitve mora izhajati namen obdelave podatkov in še posebej namen njihove uporabe ter čas shranjevanja podatkov. S temi podatki vrtec ravna v skladu z zakonom, ki ureja varstvo osebnih podatkov, in tem pravilnikom. Pravno podlago za tovrstno obdelavo osebnih podatkov otroka tako lahko predstavlja pisna privolitev otrokovih staršev v smislu točke (a) 9. člena Splošne uredbe o varstvu podatkov.
Celotno mnenje je na voljo TUKAJ.