Informacijska pooblaščenka: Obdelavo osebnih podatkov lahko določa le zakon

Vlada je včeraj sprejela odlok o načinu ugotavljanja izpolnjevanja pogoja prebolevnosti, cepljenosti ali testiranja v zvezi z boleznijo covid-19, ki določa način ugotavljanja izpolnjevanja pogoja PCT. Informacijska pooblaščenka (IP) je ob tem sporočila, da razume epidemiološko situacijo v Sloveniji in nujnost sprejemanja ukrepov za zajezitev širjenja virusa, vendar pa je obenem poudarila, da lahko po določbi 38. člena slovenske ustave obdelavo osebnih podatkov določa le zakon.

"Ker vsaka obdelava podatkov pomeni poseg v človekovo pravico, zagotovljeno z ustavo, v Sloveniji obdelave podatkov zaradi zagotavljanja pravne varnosti državljanov ni dopustno urejati z vladnimi odloki – pri njihovem sprejemanju namreč ni mogoče dosegati take stopnje demokratičnega procesa odločanja kot v državnem zboru, saj odražajo le odločitev vsakokratne izvršilne veje oblasti," je izpostavila informacijska pooblaščenka Mojca Prelesnik. Dodaja, da ustava zasleduje cilj, da se zagotovi čim širša splošna in strokovna razprava o posegih v zasebnost ter doseže čim širši družbeni konsenz glede sprejetega zakona, česar pa po naravi stvari izvršilna veja oblasti sama ne more zagotavljati.  

Ker je obdelava osebnih podatkov pri ugotavljanju izpolnjevanja pogoja PCT od danes določena z odlokom vlade, bo informacijska pooblaščenka prekinila inšpekcijski postopek in vprašanje ustreznosti odloka o PCT prepustila v presojo ustavnemu sodišču: "Ugotovitev ustavnosti odloka je še toliko pomembnejša, saj gre pri obdelavi podatkov v okviru ugotavljanja izpolnjevanja pogoja PCT za množično obdelavo in obdelavo podatkov v zvezi z zdravjem."

"Nedvomna pravna podlaga za uporabo evropskih covidnih potrdil trenutno obstaja le za namene prehajanja meje," je dejala Prelesnikova. Uredba Evropskega parlamenta in Sveta o digitalnem covidnem potrdilu EU za olajšanje prostega gibanja med pandemijo covida-19 namreč jasno določa, da morajo države članice, če želijo potrdilo uporabljati tudi v druge namene, sprejeti ustrezno nacionalno pravno podlago, ki mora biti skladna s pravom EU o varstvu podatkov ter z načeli učinkovitosti, nujnosti in sorazmernosti ter mora vsebovati določbe, s katerimi jasno določa področje uporabe, obseg in namen obdelave, kdo lahko preverja potrdilo ter ustrezne zaščitne ukrepe za preprečevanje diskriminacije in zlorab.

V aplikaciji razvidna tudi ime in letnica rojstva

Spomnimo, da je vlada v sredo zvečer sprejela odlok o načinu ugotavljanja izpolnjevanja pogoja PCT. V skladu z njim se bo takrat, ko bo posameznik kot dokazilo o izpolnjevanju pogoja PCT predložil evropsko digitalno covidno potrdilo v digitalni ali papirnati obliki, opremljeno s QR-kodo, izpolnjevanje pogoja ugotavljajo z aplikacijo, ki jo bo zagotavljal in upravljal Nacionalni inštitut za javno zdravje (NIJZ).

Aplikacija bo z odčitavanjem QR-kode uporabniku posredovala podatek o izpolnjevanju pogoja PCT, pri čemer iz podatka ne sme biti razvidno, katerega od pogojev izpolnjuje oseba. Izpisala se bosta tudi osebno ime in letnica rojstva osebe, s čimer bo mogoče potrditi, da se potrdilo nanaša na osebo, ki ga je predložila.

Aplikacija se ne povezuje z nobeno zbirko osebnih podatkov, kar je bila izpostavljena skrb informacijske pooblaščenke, ampak le s centralnim strežnikom, ki hrani javne ključe držav, ki izdajajo digitalna covidna potrdila, in strežnikom, ki hrani pravila za preverjanje teh potrdil. Aplikacija po izvedenem branju QR-kode ne shranjuje nobenih osebnih ali zdravstvenih podatkov o potrdilu, prav tako teh podatkov v procesu branja ne prikaže uporabniku aplikacije. Na ekranu se namreč izpiše le, ali oseba izpolnjuje pogoje ali ne. Aplikacija za preverjanje QR-kode je le bralnik podatkov, ki so zapisani v QR-kodi, hkrati pa preverja nacionalna pravila v zvezi s pogojem PCT.

Odlok stopil v veljavo danes

Odlok je bil v sredo objavljen v uradnem listu in je danes stopil v veljavo. Ker je vsebinsko vezan na druge veljavne odloke, ki določajo ukrepe, povezane s covidom-19, njegovo trajanje ni določeno oz. se bo prenehanje njegove veljavnosti določilo s prenehanjem veljavnosti navedenih odlokov.

Gre sicer za tretjo aplikacijo NIJZ za preverjanje izpolnjevanja pogoja PCT v zadnjih nekaj tednih. NIJZ je 23. julija predstavil aplikacijo, a so jo še isti dan umaknili s spletne strani. Čeprav sta tako minister za zdravje Janez Poklukar kot vodja svetovalne skupine za covid-19 Mateja Logar zatrjevala, da aplikacija ne bo razkrivala nobenih osebnih podatkov, pač pa le dejstvo, ali posameznik izpolnjuje pogoj PCT, se je namreč izkazalo, da se pri branju kode QR evropskega digitalnega covidnega potrdila prikažejo ime in priimek ter datum rojstva, hkrati pa je bilo vidno tudi, ali je oseba prebolela covid-19, bila proti njemu cepljena, ali pa ima veljaven negativen test na novi koronavirus.

Na NIJZ so nato razvili novo aplikacijo, ki je anonimizirana in pokaže le, ali posameznik izpolnjuje pogoj PCT ali ne. Na voljo je od prejšnjega petka. A strokovnjaki so opozoril, da so pri takšni aplikaciji mogoče zlorabe. Tako je direktor NIJZ Milan Krek v torek napovedal, da pripravljajo pravno podlago za učinkovito preverjanje pogoja PCT, ki jo je vlada potrdila v sredo, hkrati pa tudi novo aplikacijo.

Informacijska pooblaščenka  je v preteklih dneh opozorila, da ni bila seznanjena z nobeno od aplikacij, ki jih je NIJZ že razvil za gostince in organizatorje dogodkov. Ob tem je dodala, da so organi EU večkrat poudarili, da je pravna podlaga za uporabo evropskih covidnih potrdil le za prehajanje meja. Če želijo države članice ta potrdila uporabljati tudi v druge namene, pa morajo sprejeti ustrezno nacionalno zakonodajo, ki to dopušča, je pojasnila Prelesnikova in dodala, da v Sloveniji tak zakon ni bil sprejet.

NIJZ pa je v sredo Prelesnikovi posredoval odgovor, v katerem je pojasnil, kako deluje aplikacija. Pri tem so poudarili, da deluje aplikacija za preverjanje izpolnjevanja pogoja PCT po principu branja QR-kode in preverjanja statusa QR-kode glede izdajatelja evropskega digitalnega covidnega potrdila ter preverja del vsebine potrdila, torej ali oseba izpolnjuje pogoj ali ne.