Vpogled v lastne osebne podatke
+ -Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj.
Datum: 21.08.2014Številka: 0712-1/2014/2773
Kategorije: Pravica do seznanitve z lastnimi osebnimi podatki Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je 21.8.2014 prejel vaše elektronsko sporočilo, v katerem sprašujete, ali imate pravico, da od ene izmed slovenskih bolnišnic zahtevate informacijo, kdaj (datum) in na katerem oddelku se je vpogledovalo v vašo zdravstveno dokumentacijo?
Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. tč. 1. odst. 49. čl. Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. čl. Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem:
Pooblaščenec meni, da ima vsak posameznik na podlagi 30. člena ZVOP-1 pravico do seznanitve z lastnimi osebnimi podatki. Vendar pa Pooblaščenec opozarja, da se v okviru pravice do seznanitve z lastnimi osebnimi podatki razkriva zgolj podatke, katerim (zunanjim) uporabnikom so bili posredovani vaši osebni podatki (t.i. zunanja sledljivost).
Izvajanje t.i. notranje sledljivost in utemeljenost obdelave osebnih podatkov znotraj upravljavca pa Pooblaščenec nadzira v okviru rednih preventivnih inšpekcijskih pregledov ali v primeru prijave, iz katere izhaja domneva nezakonite obdelave osebnih podatkov posameznika.
Če torej sumite, da je prišlo do nepooblaščenega vpogleda, lahko podate prijavo pri Pooblaščencu.
O b r a z l o ž i t e v:
Pooblaščenec uvodoma pojasnjuje, da je v skladu s tretjim odstavkom 38. člena Ustave RS posamezniku zagotovljena pravica do seznanitve z zbranimi osebnimi podatki, ki se nanašajo nanj (lastni osebni podatki), kot tudi pravica do sodnega varstva ob njihovi zlorabi. Ustavna pravica posameznika do seznanitve z lastnimi osebnimi podatki pa je konkretizirana v ZVOP-1.
V okviru te pravice, ki je določena v 30. členu ZVOP-1, je upravljavec osebnih podatkov dolžan posamezniku na njegovo zahtevo:
1. omogočiti vpogled v katalog zbirke osebnih podatkov;
2. potrditi, ali se podatki v zvezi z njim obdelujejo ali ne, in mu omogočiti vpogled v osebne podatke, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj, ter njihovo prepisovanje ali kopiranje;
3. posredovati izpis osebnih podatkov, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj;
4. posredovati seznam uporabnikov, katerim so bili posredovani osebni podatki, kdaj, na kakšni podlagi in za kakšen namen;
5. dati informacijo o virih, na katerih temeljijo zapisi, ki jih o posamezniku vsebuje zbirka osebnih podatkov, in o metodi obdelave;
6. dati informacije o namenu obdelave in vrsti osebnih podatkov, ki se obdelujejo, ter vsa potrebna pojasnila v zvezi s tem;
7. pojasniti tehnične oziroma logično-tehnične postopke odločanja, če izvaja avtomatizirano odločanje z obdelavo osebnih podatkov posameznika.
Pri tem Pooblaščenec opozarja, da se v okviru pravice do seznanitve z lastnimi osebnimi podatki razkriva zgolj podatke katerim zunanjim uporabnikom so bili posredovani vaši osebni podatki (t.i. zunanja sledljivost).
Nadalje pa Pooblaščenec pojasnjuje, da je upravljavec osebnih podatkov po določbah 5. točke prvega odstavka 24. člena ZVOP-1dolžan omogočiti poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov (t.i. notranja sledljivost). V tem primeru gre za enega od ukrepov za zavarovanje osebnih podatkov, s katerim upravljavec preprečuje nepooblaščeno obdelavo osebnih podatkov. Izvajanje te določbe in s tem povezano ustreznost zavarovanja in zakonitost obdelave osebnih podatkov nadzira Pooblaščenec v okviru rednih preventivnih inšpekcijskih pregledov ali v primeru prijave, iz katere izhaja utemeljen sum nezakonite obdelave osebnih podatkov posameznika.
V kolikor utemeljeno domnevate, da so osebe, ki imajo pri upravljavcu osebnih podatkov (bolnišnica) dostop do vaših osebnih podatkov, z zlorabo svojih pooblastil nepooblaščeno vpogledovale ali kako drugače nepooblaščeno obdelovale vaše osebne podatke, lahko podate prijavo pri Pooblaščencu.
Pooblaščenec bi v primeru takšne prijave v okviru inšpekcijskega postopka ugotavljal, ali so osebe, ki imajo dostop do vaših osebnih podatkov, dejansko nepooblaščeno vpogledovale ali kako drugače nepooblaščeno obdelovale osebne podatke.
Prijazen pozdrav,
Informacijski pooblaščenec:
Mojca Prelesnik, univ.dipl.prav.,
pooblaščenka