Varnost zdravstvenih OP

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaša vprašanja v zvezi z varnostjo vaših podatkov o zdravstvenem stanju v zdravstvenih institucijah, kjer imate zdravnika in v lekarni, kjer prevzamete zdravila, ki vam jih je predpisal zdravnik.  

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP uvodoma pojasnjuje, da je presoja glede dodeljevanja pravic zdravstvenemu osebju za dostop do osebnih podatkov in rokovanje z njimi v pristojnosti upravljavca osebnih podatkov (zdravstvene institucije). Dostopne pravice zdravstvenega osebja morajo biti jasne in skladne z nalogami, ki jih te osebe opravljajo. Pri določanju pravic dostopa je torej potrebno vzeti v obzir naloge in delovne obveznosti posameznega zaposlenega. Tako narekuje tudi temeljno načelo najmanjšega obsega podatkov, v skladu s katerim mora biti obdelava osebnih podatkov (npr. dostopanje ali vpogled v zdravstvene podatke pacientov) omejena na to, kar je potrebno za namene, za katere se ti podatki obdelujejo. Poleg tega morajo biti dostopne pravice ažurno upravljane (ažurno dodeljevanje, spremenjene in ukinjene), hierarhične in dokumentirane.

Upravljavci zbirk osebnih podatkov so dolžni osebne podatke, ki jih obdelujejo, ustrezno zavarovati (člen 32 Splošne uredbe). V skladu z navedenim členom mora upravljavec zagotoviti, da katerakoli fizična oseba, ki ukrepa pod vodstvom upravljavca, ki ima dostop do osebnih podatkov, slednjih ne more obdelovati brez navodil upravljavca, razen če to od nje zahteva pravo Unije ali pravo države članice.

Če povzamemo, upravljavci osebnih podatkov so sami dolžni določiti osebe, ki imajo dostop do osebnih podatkov pacientov, in stopnje upravičenj, ki jih te osebe imajo skladno z naravo njihovega dela in upoštevajoč določbe zakona. 

Glede narekovanje vsebin o diagnozah zdravnikov v diktafon pa IP meni, kot ste že sami zapisali, da gre za ustvarjanje posnetkov z namenom pisanja izvidov, ki jih mnogim zdravnikom pišejo administrativni delavci. Navedeno ravnanje je dopustno, seveda pa mora upravljavec ob tem slediti namenu, zaradi katerega je posnetek nastal in ga po izdaji izvida ustrezno zbrisati oz. uničiti.

Glede pošiljanja izvidov po e-pošti s strani pacienta (kar vam svetujejo v zdravstveni instituciji) IP meni, da je način, kako bo pacient z izvidi seznanil zdravnika, v celoti v pristojnosti pacienta. V kolikor menite, da to pošiljanje ni varna pot, jih zdravniku lahko dostavite na drug način.

O zagotavljanju zasebnosti pri obisku lekarne in ob izdaji zdravil na recept pa IP lahko presoja zgolj v inšpekcijskem postopku, ko se preverijo vse okoliščine, ki so potrebne za to, da lahko govorimo o zakoniti ali nezakoniti obdelavi osebnih podatkov. Tako kot že navedeno, je zagotavljanje varnosti OP dolžnost upravljavca (člen 32 Splošne uredbe).

Lep pozdrav,

                                                                                   Mojca Prelesnik

                                                                                   informacijska pooblaščenka

Pripravila:

mag. Tanja SLAK

država nadzornica za varstvo osebnih podatkov

To mnenje je nastalo v okviru projekta »Programa pravice, enakost in državljanstvo 2014-2020«, ki ga financira Evropska unija.

Vsebina tega mnenja predstavlja neobvezno mnenje Informacijskega pooblaščenca in je izključno njegova odgovornost. Evropska komisija ne sprejema odgovornosti glede uporabe informacij, ki jih mnenje zajema.