Dostop do portala zVEM za starše starejših mladoletnih otrok s posebnimi potrebami

Informacijski pooblaščenec (v nadaljevanju IP) je prejel zaprosilo za mnenje različnih organov in posameznikov glede dostopa do zVEM portala za starše otrok s posebnimi potrebami v starosti med 15 in 18 let, ki sami ne morejo pridobiti svojega digitalnega potrdila. Dostop do portala zVem je omogočen s SI-PASS prijavo (smsPass ali digitalno potrdilo) v pristojnosti MJU, vendar mora oseba po 15. letu sama zaprositi za izdajo. Postopek, kjer v imenu otrok za digitalno identiteto zaprosijo starši, pa na MJU ni predviden. Zastavlja se vprašanje, ali bi lahko namesto sedanjega sistema, ko starši po dopolnjenem 15. letu starosti otroka izgubijo pravico dostopa do portala zVem za otroka, uvedli sistem, po katerem starši ne bi izgubili pravice dostopa, otrok pa bi lahko (namesto soglasja) prepovedal staršem ali skrbnikom vpogled v svoje zdravstvene podatke. Postavlja se tudi vprašanje, ali bi lahko morebitno zbirko podatkov o takšnih mladoletnih osebah »uparili« s Centralnim registrom podatkov o pacientih, da bi se njihovim staršem lahko omogočil dostop do portala zVEM.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

IP se lahko opredeli le do pravice staršev starejših mladoletnikov s hujšimi zdravstvenimi težavami do seznanitve z njihovo zdravstveno dokumentacijo. Ne more pa ugotoviti obveznosti NIJZ ali MJU, da tehnično izvede dostop takšnih staršev do portala zVEM. Za morebitno diskriminatorno obravnavo posameznikov na podlagi njihovega zdravstvenega stanja je pristojen Varuh človekovih pravic, ki je bil o tematiki že obveščen.

Glede dostopa do zdravstvene dokumentacije IP ugotavlja, da če zdravnik za starejšega mladoletnega (od 15. do 18. leta) po posvetovanju s starši oziroma skrbnikom presodi, da otrok glede na svojo zrelost ni sposoben privoliti v obdelavo svojih osebnih podatkov oziroma ni sposoben izvrševati pravice do seznanitve z zdravstveno dokumentacijo, morajo privolitev podati starši oziroma skrbniki in ti lahko tudi izvršujejo pravico do seznanitve z zdravstveno dokumentacijo svojega otroka. Obseg uresničevanja pravice do seznanitve z zdravstveno dokumentacijo je omejen glede na konkretno zdravstveno obravnavo in mora izhajati iz sposobnosti razumevanja in zrelosti starejšega mladoletnika.

Obrazložitev

I.

IP se najprej opredeljuje do predlagane rešitve, po kateri bi namesto sedanjega sistema, ko starši po dopolnjenem 15. letu starosti otroka izgubijo pravico dostopa do portala zVem za otroka, uvedli sistem, po katerem bi otrok z dopolnjenim 15. letom (namesto soglasja) lahko prepovedal staršem ali skrbnikom vpogleda v svoje zdravstvene podatke, v primeru odsotnosti prepovedi pa bi imeli starši (ki jim ni bila odvzeta roditeljska pravica) še naprej dostop.

IP možnost takšne predlagane rešitve odločno zavrača, saj bi brez podlage v zakonu obrnila sistem iz sedanjega sistema privolitve, v kateri mora posameznik podatki aktivno privolitev (t.i. sistem opt-in) v sistem zavrnitve (t.i. sistem opt-out), ki je z vidika varstva osebnih podatkov in zasebnosti bistveno bolj invaziven in tudi sicer ni skladen z obstoječo zakonodajo. Kadar govorimo o vpogledu v zdravstveno dokumentacijo, mora biti osnovno pravilo privolitev, šele ob zakonsko določenih izjemah je možno vpeljati režim zavrnitve.

Glede na izraženo problematiko v več dopisih, ki jih je prejel IP, pa se je treba vprašati, kako lahko starši starejših mladoletnikov s hujšimi zdravstvenimi težavami (posebej težkimi motnjami v duševnem razvoju) vendarle uresničujejo svojo skrb za takšne otroke.

Pri dostopu do portala zVEM se IP lahko osredotoči zgolj na pravico (pravno podlago) dostopa do zdravstvenih osebnih podatkov staršev starejših mladoletnikov, ki niso sposobni odločati zase, ne more pa se opredeliti do:

• obveznosti NIJZ ali MJU, da omogoči takšen dostop do portala;
• obveznosti zagotavljanja drugih storitev, ki jih je mogoče izvrševati prek portala zVEM, ki se ne dotikajo pravice do seznanitve z zdravstveno dokumentacijo. Za druga področja namreč IP ni pristojen organ.

V nadaljevanju zato najprej podajamo analizo zakonodaje glede izvrševanja pravice do seznanitve z zdravstveno dokumentacijo ter privolitve v obdelavo pacientovih zdravstvenih in drugih osebnih podatkov, nato pa natančno ugotavljamo, v katerih primerih lahko voljo otroka, ki je že dopolnil 15 let, nadomesti njegov starš oziroma skrbnik.

Pravica do seznanitve z zdravstveno dokumentacijo

41. člen ZPacP Zakona o pacientovih pravicah (Uradni list RS, št. 15/08, s sprem. in dop.; v nadaljevanju ZPacP) določa, da ima pacient, njegov pooblaščenec ali oseba, ki je upravičena po zakonu, pravico neoviranega vpogleda in prepisa zdravstvene dokumentacije, ki se nanaša nanj (pravica do seznanitve z zdravstveno dokumentacijo). Šesti odstavek 41. člena ZPacP določa, da imajo osebe, ki so po zakonu ali po pooblastilu pacienta upravičene do odločanja o pacientovi zdravstveni obravnavi, pravico do seznanitve s pacientovo zdravstveno dokumentacijo pod pogoji in na način, določen v prejšnjih odstavkih tega člena, in sicer le kadar imajo pravico odločanja o konkretni zdravstveni obravnavi pacienta in v obsegu, ki je potreben za odločanje.

Privolitev v obdelavo pacientovih zdravstvenih in drugih osebnih podatkov

Tretji odstavek 44. člena ZPacP določa, da je uporaba in druga obdelava pacientovih zdravstvenih in drugih osebnih podatkov za potrebe zdravljenja dopustna tudi na podlagi pacientove privolitve ali privolitve oseb, ki imajo pravico do privolitve v medicinski poseg ali zdravstveno obravnavo, če pacient ni sposoben odločanja o sebi. Četrti odstavek 44. člena ZPacP glede uporabe in druge obdelave pacientovih zdravstvenih in drugih osebnih podatkov izven postopkov zdravstvene obravnave določa, da je takšna obdelava dovoljena le z njegovo privolitvijo ali privolitvijo oseb, ki imajo pravico do privolitve v medicinski poseg ali zdravstveno obravnavo, če pacient ni sposoben odločanja o sebi.

Privolitvena sposobnost

Pacient načeloma pridobi privolitveno sposobnost po ZPacP in lahko samostojno izvršuje pravico do seznanitve z lastnimi osebnimi podatki pri dopolnjenih 15. letih. Meja 15 let se lahko premakne navzgor ali navzdol, odvisno od primera, kar opredeljuje 35. člen ZPacP in veže na otrokovo zrelost.

Drugi odstavek 35. člena ZPacP določa, da je otrok, ki je dopolnil 15 let, sposoben privolitve, razen če zdravnik glede na otrokovo zrelost oceni, da za to ni sposoben, pri čemer se glede okoliščin, ki govorijo o sposobnosti odločanja o sebi, praviloma posvetuje s starši oziroma skrbnikom. Mejo 15 let je možno po analogiji premakniti tudi navzdol, če zdravnik glede na otrokovo zrelost oceni, da je otrok pred dopolnjenim 15. letom sposoben privolitve.

Vsakršen avtomatizem, ki ne upošteva presoje iz 35. člena ZPacP, po mnenju IP vodi v odločitve, ki z zakonom niso skladne.

Medtem ko starostno mejo za privolitveno sposobnost in izvrševanje pravice do seznanitve z zdravstvenimi podatki opredeljuje 35. člen ZPacP, 44. in nadaljnji členi tega zakona opredeljujejo, kdo je tisti, ki odloča namesto pacienta, ki ni privolitveno sposoben.

Kdo poda privolitev oziroma se lahko seznani z zdravstveno dokumentacijo v primeru, če pacient ni sposoben odločanja o sebi

Podajanje privolitve v primerih, ko pacient ni sposoben odločanja o sebi, je opredeljena v 9. točki II. poglavja ZPacP. V primeru mladoletnih podajo privolitev starši oziroma skrbniki (35. člen); v primeru polnoletnih pacientov s težavami v duševnem zdravju zakoniti zastopnik oziroma začasno oseba, ki jo v izključujočem vrstnem redu določa zakon (37. člen); v primeru začasne nesposobnosti odločanja o sebi osebe, kot so določene v izključujočem vrstnem redu pri pacientih s težavami v duševnem zdravju (38. člen ZPacP).

IP meni, da je treba zgornje določbe razumeti na način, da v kolikor zdravnik za starejšega mladoletnega (od 15. do 18. leta) po posvetovanju s starši oziroma skrbnikom presodi, da otrok ni sposoben privoliti v obdelavo svojih osebnih podatkov oziroma ni sposoben izvrševati pravice do seznanitve z zdravstveno dokumentacijo, morajo privolitev podati starši oziroma skrbniki. Pri tem je treba glede seznanitve z zdravstveno dokumentacijo upoštevati šesti odstavek 41. člena ZPacP, ki omejuje obseg uresničevanja pravice do seznanitve z zdravstveno dokumentacijo na primer staršem (ker jih tako pooblašča zakon), in sicer na takšen obseg, kot je nujen za odločanje o konkretni zdravstveni obravnavi pacienta.

Relevantna je tudi določba 20. člena ZPacP, ki opredeljuje dolžnost obveščanja pacienta, in sicer četrti odstavek omenjenega člena določa, da pacient, ki ni sposoben odločanja o sebi, uresničuje pravice po tem členu v skladu z zmožnostmi, ki jih dopušča njegova sposobnost razumevanja. Starejšemu mladoletniku, ki ni sposoben odločanja o sebi, se torej obvešča o zdravljenju (med drugim tudi o zdravstvenem stanju) v skladu z njegovo sposobnostjo razumevanja.

Če zapletena pravna pravila ZPacP prevedemo v bolj preprost jezik in jih uporabimo na primeru, ima starš otroka, ki po presoji zdravnika ni sposoben odločati o sebi, pa je že dopolnil 15. let, po trenutno veljavni zakonodaji pravico dostopati do zdravstvenih podatkov otroka, vendar le do tistih podatkov, ki bi jih potreboval v zvezi s konkretno zdravstveno obravnavo, glede katere starejši mladoletnik po presoji zdravnika ne more odločati sam. Izhajati je treba iz otrokove zrelosti in sposobnosti razumevanja.

II.

Glede posebne evidence starejših mladoletnih oseb, ki si ne morejo sami urediti dostopa do smsPass-a ali digitalnega potrdila, IP opozarja, da bi morala biti takšna obdelava osebnih podatkov prestati stroge ustavnopravne zahteve glede obdelave osebnih podatkov, in sicer bi morala biti predpisana z zakonom, biti sorazmerna in nujna v demokratični družbi. Ob predlogih tovrstnih evidenc je IP izjemno previden, saj so z vidika varstva osebnih podatkov izjemno občutljive, zaradi česar Splošna uredba predpisuje tudi obvezno izvedbo ocene učinka v zvezi z varstvom podatkov in predhodno posvetovanje (35. člen Splošne uredbe). Šlo bi namreč za obsežno obdelave posebnih vrst podatkov iz člena 9(1) Splošne uredbe, pri čemer je posebej vprašljivo, ali se istega cilja ne da doseči z milejšimi (za zasebnost manj invazivnimi) sredstvi. Glede na to, da postopek pridobivanja digitalne identitete takšnih staršev starejših mladoletnikov »zgolj ni predviden na MJU« se zdi veliko milejše sredstvo vpeljati postopek pridobivanja digitalne identitete za starše starejših mladoletnikov v takšnih specifičnih primerih.

III.

IP opozarja tudi na okoliščino, da imajo starši lahko določeno vlogo pri izvrševanju pravic iz ZPacP tudi po polnoletnosti posameznika (na primer v primeru pacientov s težavami v duševnem zdravju; v primeru začasne nesposobnosti odločanja o sebi). Prav tako lahko posameznik skladno z določbo 32. člena ZPacP določi svojega zdravstvenega pooblaščenca.

Zaradi navedenega IP ugotavlja, da trenuten sistem pooblastil za dostopanje do portala zVEM izključuje več kategorij posameznikov, pri čemer pa ni vzpostavljenega sistema odločanja v posamičnih primerih, ki odstopajo od večinskega sistema, ki temelji izključno na starostni meji.

Zaradi navedenega je povsem možno, da so posamezniki deležni diskriminatorne obravnave, pri čemer ni mogoče govoriti le o težavah, s katerimi se soočajo starši, skrbniki ali pooblaščenci oseb, ki niso sposobne odločati o sebi, ampak predvsem pacienti, ki jim je (prek staršev, skrbnikov, zakonitih zastopnikov) onemogočena uporaba storitev informacijske družbe na področju zdravja, in to zgolj zaradi (pomanjkljive ali izključujoče) arhitekture sistema. V to se IP sicer ne more podrobneje spuščati, saj za to ni pristojen.

IV.

IP pa ob takšnih sistemih (morda preozkega) avtomatskega podeljevanja pravic dostopa do osebnih podatkov opozarja še na primere, ko starši za svoje mladoletne otroke (tudi mlajše mladoletnike) lahko dostopajo celo do preveč osebnih podatkov, do katerih sicer ne bi bili upravičeni glede na določbe področne zakonodaje.

Takšen dostop do osebnih podatkov prek portalov z avtomatiziranim dostopom je lahko problematičen z vidika Zakona o preprečevanju nasilja v družini (na primer obveznost varovanja lokacije žrtve in ukrepov za njeno zaščito, prepoved približevanja, vzpostavljanja stikov z žrtvijo itd.), Zakona o socialnem varstvu (obveznost varovanja podatkov o stiskah posameznikov kot poklicno skrivnost), Zakona o nalogah in pristojnostih policije (policijska prepoved približevanja) in podobnih zakonov. Tudi v primerih, ko namreč ni omejena starševska skrb, lahko obstajajo omejitve enega od staršev pri izvrševanju pravice do seznanitve z lastnimi osebnimi podatki otrok. Posledice razkritja osebnih podatkov izven okvirov, ki jih dopušča zakonodaja, in brez možnosti presoje morebitnih omejitvenih faktorjev, pa so lahko izjemno škodljive.

Prav tako ni znano, kako se upošteva morebitne omejitve dostopa do osebnih podatkov v primeru mlajših mladoletnikov, ki za določene občutljive zdravstvene podatke ne želijo, da se starši ali skrbniki z njimi seznanijo (npr. podatek o kontracepciji, podatek o splavu itd.) in bi lahko podali prepoved dostopa do zdravstvenih podatkov za njihove starše.

Pristojna resorna ministrstva torej pozivamo, da dostop do portalov države, ki omogočajo e-storitve dostopa do podatkov, preučijo tudi z vidika zgoraj omenjenih pomislekov in širše. Posledice takšnega preširokega dostopa do osebnih podatkov oseb, ki jim zakon odvzema takšno pravico, so lahko resnično težke, v konkretnih primerih pa bi šlo lahko tudi za kršitev Splošne uredbe.

Za morebitna nadaljnja pojasnila smo vam na voljo.

Lep pozdrav,

                                                                                               Mojca Prelesnik, univ.dipl.prav.,                                                 

                                                                                                informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov