Pridobitev podatkov o osebah, ki so vpogledale v osebne podatke pacienta

Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.

Pri Informacijskem pooblaščencu (IP) smo dne 13. 7. 2021 prejeli vaše vprašanje o tem, ali lahko pacient, na katerega se nanašajo osebni podatki, od upravljalca zbirke podatkov zahteva poimenski seznam oseb, ki so dostopale do njegove zbirke podatkov. Centralni register podatkov o pacientih (CRPP) je v upravljanju NIJZ, uporabniki sistema pa so zaposleni (ali pogodbeno zaposleni) v javnih zavodih, pri zasebnih izvajalcih zdravstvene dejavnosti koncesionarjih ali čistih zasebnikih z dovoljenjem za opravljanje zdravstvene dejavnosti. Ali je dovolj, če NIJZ pacientu posreduje le seznam izvajalcev (pravnih oseb...).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Upravljavec zbirke osebnih podatkov mora v okviru pravice do seznanitve z lastnimi osebnimi podatki posamezniku na njegovo zahtevo zagotoviti informacije o uporabnikih. V primeru CRPP so uporabniki izvajalci zdravstvene dejavnosti, torej ne posamezniki, ki neposredno dostopajo do podatkov v imenu izvajalca in so z izvajalcem v nekem pogodbenem razmerju.

O b r a z l o ž i t e v:

Razlogi za zgornje stališče so:

• Po (c) točki prvega odstavka 15. člena Splošne uredbe o varstvu podatkov ima posameznik pravico do informacije o uporabnikih ali kategorijah uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki;
• Po (9) točki 4. člena Splošne uredbe o varstvu podatkov uporabnik pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne;
• Po petem odstavku 14. člena Zakona o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ) so obvezni uporabniki zbirk eZdravja izvajalci;
• Po prvem odstavku 14.c člena ZZPPZ med uporabnike CRPP spadajo tudi izvajalci;
• Po petem odstavku 14.č člena ZZPPZ so za obdelavo osebnih podatkov v zvezi s CRPP (vnašanje podatkov, uporaba podatkov) odgovorni izvajalci;
• Po šestem in sedmem odstavku 14.č člena pooblastila zdravstvenih delavcev in drugih pooblaščenih oseb za obdelavo podatkov v CRPP določi izvajalec (torej primarno ne NIJZ);
• Izvajalci v smislu ZZPPZ so isti kot jih opredeljuje ZPacP, torej »zdravstvene ustanove«, ki so lahko javni zdravstveni zavodi, zasebni izvajalci, gospodarske družbe in s.p.;
• ZZPPZ med uporabnike izrecno ne uvršča zaposlenih pri izvajalcih zdravstvene dejavnosti;
• Zaposleni ali pogodbeniki izvajajo dostopne pravice v imenu izvajalca, za katerega opravljajo delo (torej so le osebe, ki neposredno izvajajo uporabniške pravice).

Zgornje stališče je tudi skladno s stališčem IP o tem, da posameznik nima pravice do seznanitve z informacijo o notranjih uporabnikih. O tem na primer mnenje št. 0712-1/2014/2773 na naslednji povezavi:https://www.ip-rs.si/vop/vpogled-v-lastne-osebne-podatke-2367/?tx_jzvopdecisions_pi1%5BhighlightWord%5D=sledljivost.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka