Dostop do vpogledov v osebno zdravstveno kartoteko

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem vas zanima, kakšen je postopek, če bi želela izvedeti ali kdo vpogleduje v vašo osebno kartoteko in s tem v vaše osebne podatke o zdravljenjih v bolnišnici. Pojasnjujete, da ste dobila indice, da nekdo od sodelavcev vpogleduje v vaše zdravstvene obravnave. 

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

IP vas uvodoma napotuje na 15. člen Splošne uredbe, ki posameznikom omogoča pravico dostopa oz. seznanitve z osebnimi podatki. Med drugim lahko na podlagi navedene pravice na upravljavca osebnih podatkov naslovite zahtevo za pridobitev informacij glede uporabnikov oz. kategorij uporabnikov, ki so jim bili vaši osebni podatki posredovani (točka c prvega odstavka člena 15 Splošne uredbe). Na ta način se lahko seznanite komu so bili izven upravljavca posredovani vaši podatki. Zahteva se vloži pri upravljavcu, za katerega posameznik meni, da obdeluje njegove osebne podatke (npr. v konkretnem primeru je to lahko določena zdravstvena ustanova).

Za več informacij, kako uveljavljati navedeno pravico vas napotujemo na našo spletno stran:

https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki/.

IP v povezavi z vašim pojasnilom, da ste dobila indice, da nekdo od sodelavcev vpogleduje v vaše zdravstvene podatke, dodatno pojasnjuje, da se zaposleni znotraj konkretnega organa ne štejejo za uporabnike, glede na določbe točke c prvega odstavka člena 15 Splošne uredbe. Skladno z dosedanjo prakso IP, na podlagi zahteve za seznanitev z lastnimi osebnimi podatki po 15. členu Splošne uredbe o varstvu podatkov, tako ni mogoče pridobiti informacij o konkretnih osebah, ki so znotraj upravljavca obdelovale osebne podatke posameznika. To velja ne glede na to:

- da je posameznik zaposlen pri upravljavcu,

- do katerih sistemov in zbirk je zaposleni dostopal in

- ali je bil dostop zakonit ali nezakonit.   

Z drugimi besedami to pomeni, da v kolikor so v vaše osebne podatke vpogledale zaposlene osebe, vam upravljavec ni dolžan podati poimenskega seznama teh oseb. Splošna uredba tako ne pokriva dostopa do informacij o notranjih vpogledih v osebne podatke in s tem notranje sledljivosti.

Ne glede na to, pa bi lahko preverjanje zakonitosti obdelave osebnih podatkov znotraj upravljavca IP lahko izvedel v okviru inšpekcijskega postopka. V primeru konkretnega suma, da je prišlo do nezakonitega vpogleda v vaše zdravstvene podatke lahko pri IP vložite inšpekcijsko prijavo. Zaželeno je, da vašo prijavo utemeljite z navedbami kaj, kje in v katerem obdobju naj bi se kršitev zgodila ter zakaj sumite, da naj bi prišlo do kršitve. Predlagamo, da si pomagate z obrazcem ZIN PRIJAVA, ki je dostopen na tej povezavi: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                  

informacijska pooblaščenka