Posredovanje zdravstvenega kartona napačnemu zdravstvenemu domu

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje, v katerem pojasnjujete, da ste v okviru zaposlitve imeli zdravstveni pregled. Osebno zdravnico ste prosili, naj pošlje karton v zdravstveni dom, ta pa je karton poslala v napačen zdravstveni dom. Vaš zdravstveni karton je bil tam tri tedne, vse dokler niste vi urgirali. Zanima vas, kaj lahko storite.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Zdravstveni osebni podatki sodijo med posebne vrste osebnih podatkov, za katere je zaradi njihove občutljive narave zakonodajalec predpisal posebno varstvo. Obdelava tovrstnih podatkov je praviloma prepovedana (člen 9 Splošne uredbe), izjemoma pa je dopustna npr. na podlagi izrecne privolitve posameznika, če je obdelava potrebna za namene preventivne medicine ali medicine dela ipd. (gre za primere, ki so določeni v členu 9(2)(a)-(j) Splošne uredbe o varstvu podatkov).

Upravljavec osebnih podatkov, v danem primeru konkretni izvajalec zdravstvenih storitev, je v skladu s členom 32 Splošne uredbe dolžan zagotoviti ustrezno raven varnosti osebnih podatkov. Varnost osebnih podatkov se nanaša predvsem na to, kako upravljavec s tehničnimi in organizacijskimi postopki in ukrepi prepreči, da bi osebni podatki prišli v roke nepooblaščenim osebam, se nepooblaščeno uporabljali, brisali, spreminjali ali izgubili. Upravljavec mora tako zagotoviti zaupnost (do osebnih podatkov lahko dostopajo samo osebe, ki so za to pooblaščene) in razpoložljivost osebnih podatkov (osebni podatki so pooblaščenim osebam ves čas na voljo).

Pošiljanje izvirnikov osnovne zdravstvene dokumentacije drugemu izvajalcu lahko predstavlja povečano tveganje za varnostne incidente povezane z zagotavljanjem zaupnosti in razpoložljivosti podatkov, to sicer ne pomeni, da je tako posredovanje dokumentacije prepovedano oziroma nedopustno. V zvezi s tem je IP v svojih mnenjih večkrat predlagal, da se v primeru pošiljanja izvirnikov po pošti poskrbi za najvišjo stopnjo varnosti (dosledna sledljivost pošiljk, uporabna varnih pisemskih ovojnic, določitev kratkih rokov za vrnitev dokumentacije ipd.).

V opisanem primeru se poraja vprašanje glede ustrezne ravni zagotavljanja varnosti osebnih podatkov. Ne glede na to pa IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka zakonitosti konkretnih obdelav osebnih podatkov ne more presojati, zato vam v okviru neobvezujočega mnenja ne moremo podati ocene glede zakonitosti obdelave vaših podatkov v danem primeru. V kolikor menite, da je prišlo do kršitve zakonodaje s področja varstva osebnih podatkov, lahko pri IP podate prijavo kršitve, na podlagi katere lahko IP prične s postopkom inšpekcijskega nadzora. Obrazec za podajo prijave, ki je sicer neobvezujoče narave, je dostopen na spletni strani: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/. 

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                  

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

Neja Domnik, mag. prav.,

asistentka svetovalca pri IP