Obdelava osebnih podatkov v okviru nacionalnega javnega razpisa za skrajševanje čakalnih dob v zdravstvu

Pri Informacijskem pooblaščencu (IP) smo dne 24. 3. 2021 prejeli vaše vprašanje o tem, ali bi bila dopustna obdelava osebnih podatkov v okviru izvajanja nacionalnega javnega razpisa za skrajševanje čakalnih dob v zdravstvu. V okviru projekta bi se izvajalci zdravstvene dejavnosti prijavili na financiranje izvedbe dodatnih zdravstvenih storitev za leto 2021 in 2022. Po predlaganem načrtu izvajanja bi bilo treba prečistiti čakalne sezname in prek klicnega centra klicati paciente ter jih usmerjati k izvajalcem, ki bi sodelovali v projektu in bi lahko zagotovili krajšo čakalno dobo oziroma dodatne termine. Ocenjujete, da klicanje pacientov s strani izvajalcev, kjer so pacienti že naročeni ne bi bilo uspešno, prav tako ne bilo uspešno prenaročanje, ki bi ga v tem primeru morali izvesti izvajalci oziroma pacienti sami. Zato bi bilo treba sistem centralizirati, npr. prek nacionalnega koordinacijskega centra, ki bi vključeval tudi klicni center (eden ali več), ki bi deloval pri zdravstveni zavarovalnici (eni ali več). Zdravstvene zavarovalnice bi lahko zagotovile tehnične in kadrovske kapacitete za delovanje. Vsakega pacienta bi bilo treba kontaktirati, ta pa bi se odločil, ali sprejme hitrejšo storitev pri drugem izvajalcu, pri čemer bi za prenaročilo poskrbel center neposredno z uporabo sistema eNaročanja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. Tovrstna masovna in izredna obdelava osebnih podatkov pacientov bi praviloma morala biti urejena z zakonom, v katerem bi se, ob upoštevanju načela sorazmernosti in načela določnosti, natančno opredelilo, katere nove zbirke bi nastajale, katere osebne podatke bi vsebovale in kdo bi bil njihov upravljavec oziroma, katere organizacije bi obdelovale določene osebne podatke pacientov iz obstoječih zbirk na določen način in za določen konkreten namen.

2. IP se ni pristojen opredeljevati do vprašanja pristojnosti in nalog NIJZ, vključno s predstavljenim sistemom prenaročanja. Od tega je odvisna tudi presoja, katere osebne podatke iz obstoječih zbirk bi, v skladu s trenutno zakonodajo (npr. ZZPPZ), lahko obdeloval NIJZ.

3. Po mnenju IP v obstoječi zakonodaji ni na voljo ustrezne pravne podlage, da bi lahko katerikoli zunanji subjekt iz projekta (MZ, zdravstvene zavarovalnice in posebno, za ta namen imenovano telo) uporabljal ali kako drugače obdeloval sezname pacientov, ki čakajo na zdravstvene storitve (npr. čakalne sezname pri izvajalcih; neposredno v zbirki eNaročanje; sezname, ki so s strani NIJZ posebej pripravljeni oziroma pridobljeni iz sistema eNaročanja in CRPP).

O b r a z l o ž i t e v:

1. Masovna obdelava zdravstvenih osebnih podatkov (npr. podatek o uvrščenosti v čakalni seznam za določeno zdravstveno storitev) in »navadnih« osebnih podatkov (npr. kontaktni podatki, podatki o zavarovanju) pacientov, ki so pri različnih izvajalcih naročeni na različne zdravstvene storitve (začetno in kasnejše prečiščevanje seznamov, združevanje podatkov, dopolnjevanje seznamov, priprava podseznamov, uporaba kontaktnih podatkov, beleženje odzivov ipd.) za poseben namen s strani več organizacij (NIJZ, MZ, zdravstvene zavarovalnice, NKC, izvajalci zdravstvene dejavnosti) terja določno in sorazmerno ureditev v nekem zakonu. Bistven je jasen predhodni razmislek, kdo bo podatke obdeloval, katere podatke se bo obdelovalo ter za katere namene. Prav tako je nujno pri tem zagotoviti spoštovanje načela transparentnosti obdelav ter vseh drugih pravic pacientov po veljavni zakonodaji. V zakonu bi bilo treba najprej ustrezno urediti sam sistem prenaročanja in potem z vidika varstva osebnih podatkov jasno določiti: - kateri subjekti bi lahko obdelovali podatke, - katere osebne podatke bi obdelovali (vključno z relevantnimi zbirkami osebnih podatkov), - kako bi jih obdelovali, - za katere konkretne namene, - kako bi bilo poskrbljeno za varnost teh podatkov (npr. omejen rok hrambe podatkov).

2. Po obstoječi zakonodaji takšno prenaročanje izrecno ni predvideno. Prav tako izrecno ni predvidena s tem povezana obdelava osebnih podatkov. IP pa ni pristojen za presojo vprašanj, katere posamezne naloge, povezane z izvedbo opisanega projekta bi lahko izvedel NIJZ kot trenutni upravljavec zbirk eZdravja (v tem primeru eNaročanje in CRPP). Glede morebitne pogodbene obdelave osebnih podatkov je na spletni strani IP že na voljo več mnenj in tudi smernice IP.  

3. Po (h) točki drugega odstavka 9. člena Splošne uredbe o varstvu podatkov je obdelava zdravstvenih podatkov dopustna, če je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice (...). Obdelava osebnih podatkov v okviru predstavljenega projekta sicer spada v to področje, vendar jo uredba pogojuje z ustrezno ureditvijo obdelave osebnih podatkov v nacionalni ali EU zakonodaji. IP-ju taka neposredna zakonska podlaga, ki bi urejala želeno obdelavo osebnih podatkov, ni znana.

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka