Pridobivanje informacij od drugih izvajalcev zdravstvene dejavnosti - izvid COVID-19 delavca

Pri Informacijskem pooblaščencu (IP) smo dne 22. 10. 2020 prejeli vaše vprašanje o (1) dopustnosti pridobitve podatkov od pacientovega izbranega osebnega zdravnika o tem, kdaj je bil osebni zdravnik obveščen o možnosti okužbe ter kako dolgo so bolezenski znaki trajali pred samo izvedbo testa na COVID-19. V vaši porodnišnici je rodila pacientka, katere partner je bil kmalu po porodu pozitiven na Covid-19. Partner je bil prisoten pri porodu, pri čemer je zdravstvenemu osebju izročil pred porodom podpisano izjavo, v kateri je zanikal prisotnost kakršnihkoli bolezenskih znakov povezanih s COVID-19. Glede na to obstaja možnost, da je bila izjava neresnična in so zaradi tega bili po nepotrebnem ogroženi drugi pacienti in zaposleni v zavodu.

Poleg tega vas zanima, (2) kako pridobiti podatek o okužbi delavca, če ta, kljub v bolnišnici zapisanem protokolu obveščanja delodajalca o okoliščinah okužbe z novim koronavirusom in podpisane izjave o odgovornosti, tega ne sporoči delodajalcu.  

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

1. Izvajalec zdravstvene dejavnosti ne more – za potrebe ugotavljanja morebitne odgovornosti za neresnično izjavo pacienta v vlogi spremljevalca – od pacientovega izbranega osebnega zdravnika pridobiti podatkov o tem, kdaj je bil zdravnik obveščen in kdaj so pri pacientu nastopili bolezenski znaki v zvezi s COVID-19.

2. Delodajalec ne more neposredno od izvajalca zdravstvene dejavnosti (npr. laboratorija, delavčevega izbranega osebnega zdravnika ali izvajalca, kjer je delavec hospitaliziran in je naročil ali sam izvedel testiranje) zahtevati podatka o okuženosti z novim koronavirusom oziroma rezultata testiranja za COVID-19.

O b r a z l o ž i t e v:

1. Izvajalci zdravstvene dejavnosti lahko zdravstvene in druge osebne podatke pridobivajo od drugih izvajalcev zdravstvene dejavnosti, če je to potrebno za izvedbo zdravstvene oskrbe konkretnega pacienta v obravnavi (šesti odstavek 44. člena Zakona o pacientovih pravicah – ZPacP). Obstaja še nekaj posebnih zakonskih podlag, ki v konkretnem primeru ne pridejo v poštev, ker gre za popolnoma drugačne potrebe in okoliščine (npr. poročanje drugemu izvajalcu, ki po zakonu vodi določen klinični register). Zato bi v tem primeru pacientov izbrani osebni zdravnik lahko posredoval zahtevane podatke le, če bi pacient v to privolil (četrti odstavek 44. člena ZPacP in (a) točka drugega odstavka člena 9 Splošne uredbe o varstvu podatkov). V konkretnem primeru namreč namen (potreba) pridobivanja podatkov ni v izvajanju zdravstvene oskrbe (ta je že zaključena, poleg  tega pa je ta oseba v porodnšnici nastopala le kot spremljevalec), temveč le v ugotavljanju potencialne odgovornosti za neresnično izjavo, ki jo je ta oseba podala ob sprejemu porodnice.

V konkretnem primeru ne pridejo v poštev niti naslednje pravne podlage:

• tretji odstavek 45. člena ZPacP, ki določa, da »zdravnik lahko sporoči informacije o zdravstvenem stanju pacienta, če je to nujno potrebno za varovanje življenja ali preprečitev hudega poslabšanja zdravja drugih oseb. Zdravnik mora naznaniti sum storitve kaznivega dejanja zoper življenje in telo, kaznivega dejanja zoper spolno nedotakljivost ter kaznivega dejanja zoper zakonsko zvezo, družino in mladino, pri katerih je bil kot oškodovanec udeležen otrok«. Razlog za irelevantnost določbe je, da vi kot izvajalec že imate informacijo o okužbi določene osebe in je ta informacija dovolj za izvedbo notranjih ukrepov;
• (c) točka drugega odstavka člena 9 Splošne uredbe o varstvu podatkov (»življenjski interesi posameznika«), ker se v konkretnem primeru ne varujejo interesi te osebe in ker ta oseba ni nesposobna podati privolitve;
• (f) točka drugega odstavka člena 9 Splošne uredbe o varstvu podatkov (»uveljavljanje, izvajanje ali obramba pravnih zahtevkov«), ker vložitev prijave pri policiji ni pravni zahtevek v tem smislu (prim. uvodni recital k uredbi št. 52) in ker ni, pa morala biti ta podlaga podana tudi na strani izbranega osebnega zdravnika kot dajalca podatkov;
• (g), (h) in (j) točke drugega odstavka člena 9 Splošne uredbe o varstvu podatkov (»bistven javni interes«, »zagotovitev zdravstvene oskrbe oziroma storitev«, »javno zdravje in kakovost ter varnost zdravstvenega varstva«), ker so te podlage vezane na nacionalno zakonodajo, ki te obdelave ne dopušča in ker, kot že rečeno, potreba po podatkih v konkretnem primeru ni povezana zdravstveno oskrbo ali širšim zdravstvenim varstvom, bistven javni interes pa lahko uresničujejo drugi pristojni organi, na primer policija.

V primeru vložitve prijave na policijo, bo policija v skladu s področnimi pravnimi podlagami lahko brez težav pridobila osebne podatke od izbranega osebnega zdravnika ali drugih upravljavcev.

2. Glede možnosti delodajalca, da se seznani z informacijo o okužbi je na spletni strani IP že dostopno naslednje mnenje.

Iz tega mnenja izhaja, da lahko delodajalec to informacijo pogojno (!) pridobi (le) od delavca.

Podobno je tudi mnenje.

IP torej ni znana pravna podlaga, ki bi omogočala, da upravljavec delodajalcu posreduje podatek o rezultatu testiranja delavca za COVID-19 na delodajalčevo zahtevo. Pogojna izjema je tretji odstavek 45. člena ZPacP, ki določa, da »zdravnik lahko sporoči informacije o zdravstvenem stanju pacienta, če je to nujno potrebno za varovanje življenja ali preprečitev hudega poslabšanja zdravja drugih oseb«, vendar morajo bi za sklicevanje na to določbo podani tehtni in nujni razlogi na strani uporabnika podatkov. Teh IP za konkretni primer ne more oceniti, ker mu niso znane podrobnejše informacije v zvezi s tem, in ker lahko IP dokončno presojo izvaja le v inšpekcijskem postopku.

Če zdravstveni delavec, ki bi zaradi narave dela in drugih pomembnih razlogov moral sporočiti rezultat testiranja, tega ne želi sporočiti, lahko delodajalec (ne glede na to, da je ta hkrati tudi izvajalec zdravstvene dejavnosti) uporabi tudi delovnopravne vzvode za rešitev tega problema. Vendar to področje ne spada v pristojnost IP.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka