Interna uporaba zdravstvenih podatkov s strani nezdravstvenega kadra

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 3. 9. 2019 prejeli vaše zaprosilo za mnenje o tem, ali lahko nezdravstveni delavci v UKC (npr. ekonomisti v podpornih službah) zaradi narave dela dostopajo do digitalne zdravstvene dokumentacije pacientov. Pacienti so seznanjeni, da do njihovih osebnih podatkov dostopajo zdravniki, medicinske sestre in zdravstvene administratorke v okviru njihove zdravstvene obravnave.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Če nezdravstveni delavec pri izvajalcu zdravstvene dejavnosti, izhajajoč iz pogodbe o zaposlitvi, internih navodil, notranje sistemizacije ali drugih internih aktov, za svoje delo s področja zakonite dejavnosti izvajalca za podporo zdravstveni dejavnosti neizogibno potrebuje določene uporabniške pravice glede zdravstvene dokumentacije, je dopustno, da se mu te uporabniške pravice dodelijo, ter da jih tudi dejansko izvršuje v okviru delovnih zadolžitev.

O b r a z l o ž i t e v:

Mnenje je splošno, ker je dejanske delovne potrebe treba presojati v vsakem primeru posebej glede na dane okoliščine. IP, izven inšpekcijskega postopka, ne more na konkretni ravni presoditi, ali je v vaši ustanovi res izpolnjen pogoj neizogibnosti in primernosti uporabniških pravic za točno določen določen nezdravstveni kader.

Uporabniške pravice teh oseb morajo biti kar se da omejene (npr. pa času, vrsti podatkov ali dokumentov, starosti podatkov, vrsti pacientov, vrsti dejavnosti, vrsti opravil (branje, brisanje, vpisovanje) in podobno) v skladu s potrebami dela in vsebino ter funkcionalnostmi informacijskega sistema. Če delavec teh nalog ne opravlja več ali le v omejenem obsegu, je treba uporabniške pravice zapreti oziroma jih ustrezno prilagoditi.

Če so pacienti morebiti pomanjkljivo obveščeni o obdelavi njihovih osebnih podatkov, to ne vpliva na zakonitost obravnavane interne obdelave osebnih podatkov.

V približno podobni zadevi je na spletni strani IP že objavljeno mnenje št. 0712-1/2018/1112.

Prijazen pozdrav,

Pripravil:
mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.
informacijska pooblaščenka