Dostop do seznama vpogledov v zdravstvene podatke

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem pojasnjujete, da ste od bolnišnice, kjer ste se zdravili, želeli pridobiti seznam dostopov do vaših osebnih podatkov, in sicer uro in osebe, ki so do podatkov dostopale. Za prikaz dostopa naj ne bi bilo težav, zataknilo pa se je pri vaši želji po kopiji teh podatkov v elektronski obliki. Zanima vas, ali imate pravico dostopati kopijo takšnega seznama dostopov ali ne.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi 58. člena Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba), 7. točke prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem. Ob tem IP poudarja, da izven postopka inšpekcijskega nadzora konkretnih obdelav osebnih podatkov ne more presojati.

Obstoječa zakonodaja in ustaljena praksa IP vam ne omogoča pridobivanja podatka o tem, kdo znotraj upravljavca je vpogledoval v vaše osebne podatke. Zakon o pacientovih pravicah in Splošna uredba o varstvu podatkov vam dajejo mnoge druge pravice, če pa sumite, da je prišlo do nezakonite obdelave vaših osebnih podatkov, lahko podate prijavo k IP.

Obrazložitev

Pravica do seznanitve z zdravstveno dokumentacijo je urejena v Zakonu o pacientovih pravicah (Uradni list RS, št. 15/08, 55/17 in 177/20; v nadaljevanju ZPacP). 41. člen omenjenega zakona določa, da ima pacient ob prisotnosti zdravnika ali drugega zdravstvenega delavca oziroma zdravstvenega sodelavca pravico do neoviranega vpogleda in prepisa zdravstvene dokumentacije, ki se nanaša nanj. Poleg navedenega ima pacient pravico zahtevati:

• da se dodajo njegove pripombe k zapisom v zdravstveni dokumentaciji,
• osnovna ustna pojasnila o vsebini zdravstvene dokumentacije, razen kadar pacient prejme izčrpna pojasnila na podlagi 20. člena tega zakona,
• izčrpna ustna pojasnila o vsebini zdravstvene dokumentacije, če glede posameznih delov dokumentacije ni prejel pojasnil na podlagi 20. člena tega zakona.

Vendar pa pri seznamu vpogledov v vašo zdravstveno dokumentacijo (oziroma v zdravstvene osebne podatke) ne gre za izvrševanje pravic po 41. členu ZPacP, temveč zahtevate določene (zaledne) informacije o obdelavi osebnih podatkov, kar ureja 15. člen Splošne uredbe.

Pri tem pa moramo poudariti, da je glede seznama vpogledov v osebne podatke posameznika ustaljena praksa IP, da posameznik skladno z določbami Splošne uredbe ni upravičen do informacij o tem, "kdo" znotraj ali za upravljavca je vpogledoval v osebne podatke posameznika.

Navedeno izvira iz obsega pravice posameznika do dostopa do lastnih osebnih podatkov in informacij o obdelavi osebnih podatkov, ki je opredeljena v 15. členu Splošne uredbe. Posameznik ima tako skladno s prvim odstavkom 15. člena namreč pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr. Med navedene informacije ne sodi informacija o tem, kdo znotraj upravljavca je vpogledoval v osebne podatke posameznika, temveč le, katerim »uporabnikom« so bili ali jim bodo razkriti osebni podatki. Uporabnik pa zajema le t.i. zunanje subjekte, ne pa tudi notranjih. Po devetem odstavku 4. člena Splošne uredbe je namreč uporabnik osebnih podatkov le fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. To so torej osebe izven organizacijske strukture upravljavca (zunanje fizične ali pravne osebe), ki imajo praviloma na voljo ustrezno pravno podlago, da se jim posredujejo osebni podatki za določen lastni namen (torej ne upravljavčev namen). Podatki o teh osebah so podatki v zvezi s t.i. zunanjo sledljivostjo obdelave podatkov, vaša zahteva pa se glasi na podatke o t.i. notranji sledljivosti obdelave podatkov.

Po drugi strani pa ima posameznik pravico do vrste drugih informacij po 15. členu Splošne uredbe, med drugim informacijo o namenu obdelave (»zakaj« so se obdelovali osebni podatki), o uporabnikih ali kategorijah uporabnikov, ki so jim razkriti osebni podatki (torej »zunanji« uporabniki), obdobju hrambe, virih itd.

Naše načelno mnenje v vašem primeru torej je, da nimate pravice do dostopa do informacije o tem, kdo znotraj bolnišnice je vpogledoval v vaše osebne podatke. V kolikor želite vse druge osebne podatke (na primer vašo zdravstveno dokumentacijo skladno z 41. členom ZPacP ali podatke, do katerih imate pravico skladno s 15. členom Splošne uredbe), lahko vložite ustrezno zahtevo pri upravljavcu. Neobvezni obrazci zahtev so dostopni tudi na naši spletni strani, in sicer prek povezave https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

Za konec vas še obveščamo, da lahko v primeru suma nezakonite obdelave osebnih podatkov znotraj upravljavca podate prijavo k Informacijskemu pooblaščencu, ki je tudi inšpekcijski organ. Vzorec prijave je prav tako dostopen prek zgornje povezave.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav.,                                                 

informacijska pooblaščenka

Pripravila:                                                                                                                                

mag. Polona Merc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov