Avtentikacija pri pošiljanju zdravstvene dokumentacije pacientu po e-pošti

Pri Informacijskem pooblaščencu (IP) smo dne 31. 7. 2022 prejeli vaše vprašanje, ali je prav, da pacient, ki zaprosi za elektronsko kopijo zdravstvene dokumentacije prek e-pošte, to prejme po tej poti brez preverjanja, ali gre res za pacienta, za katerega trdi, da je. Ali je dovolj, da je datoteka zaklenjena z geslom, ki je datum rojstva pacienta.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Opisana praksa izvajalca zdravstvene dejavnosti ni primerna z vidika zahteve po zagotavljanju varnosti obdelave osebnih podatkov in predstavlja resno tveganje za nezakonito razkritje zdravstvenih osebnih podatkov neupravičeni osebi. 

Pošiljanje zdravstvenih podatkov po navadni e-pošti brez šifriranja (kriptiranja) datoteke predstavlja kršitev 14. člena ZVOP-1.

O b r a z l o ž i t e v:

Izvajalec mora pri posredovanju zdravstvene dokumentacije po e-pošti:

• se prepričati, da je oseba res upravičena do seznanitve (obstoj pravne podlage – v vašem primeru 41. člen ZPacP),
• opraviti avtentikacijo osebe in
• datoteko šifrirati ter geslo za dešifriranje upravičencu poslati po ločeni poti.

Pri zahtevah, ki so vložene po elektronski pošti je izvedba zanesljive avtentikacije težavna, a možnosti oziroma njihove kombinacije so na primer:

• zahteva po uporabi varnega elektronskega podpisa;
• preverjanje e-naslova v internih zbirkah podatkov (oba naslova se morata ujemati);
• dodatna kontrolna vprašanja glede dejstev in identifikatorjev (npr. interna številka pacienta), ki naj bi jih poznal le pacient;
• uporaba varnega poštnega predala.

Če se izvajalec ne more prepričati o tem, ali gre res za pravega upravičenca, lahko elektronsko kopijo dokumentacije na fizičnem nosilcu pošlje tudi po klasični pošti na način osebne vročitve (npr. priporočeno s povratnico ali osebna vročitev po Zakonu o splošnem upravnem postopku), in sicer na uradni naslov, ki ga ima zabeleženega v internih zbirkah podatkov.

Pacientom in izvajalcem priporočamo, da se, namesto uporabe klasične e-pošte, poslužujejo sodobnih informacijskih rešitev, ki omogočajo za obe strani varen neposredni dostop do lastne zdravstvene dokumentacije (primer zVEM – CRPP).

Datoteka z zdravstvenimi podatki bi morala biti tudi šifrirana (gl. 14. člen ZVOP-1). Golo zaklepanje z geslom ne ustreza tej zakonski zahtevi. O tem gl. več mnenj, ki so že objavljena na spletni strani IP.

Pojasnjujemo še, da v vašem primeru, kljub neustreznim ukrepom, ni prišlo do kršitve v smislu posredovanja zdravstvene dokumentacije neupravičeni osebi. To ne velja za opustitev šifriranja.

Prijazen pozdrav,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka