Pooblastilo za izdajo receptov za teste za samotestiranje učencev

Informacijski pooblaščenec (IP) je dne 20. 8. 2021 prejel vaše zaprosilo za mnenje o ustreznosti predlagane rešitve Ministrstva za zdravje, po kateri bi izbrani osebni zdravniki učencev oziroma dijakov za izdajo e-receptov pooblastili istega, točno določenega zdravnika. Ta bi vsem učencem oziroma dijakom izdal obnovljiv e-recept za prevzem testov za samotestiranje za koronavirus. Izdajanje teh receptov na tak način bi lahko bistveno razbremenilo osebne zdravnike. Skupaj s pooblastilom bi zdravniki poslali seznam učencev oziroma dijakov, na katere se nanaša pooblastilo. Pooblastila bi sprejemal v obdelavo NIJZ, ki bi tudi prejel sezname pacientov. Tisti zdravniki, ki ne bi podali pooblastila, bi izdajali e-recepte sami. Obrazec pooblastila vsebuje tudi pooblastilo za NIJZ, ki bi izvedel tehnična opravila pri izdaji e-receptov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

1. IP se izven inšpekcijskega postopka ne more dokončno opredeljevati do konkretnih primerov obdelav osebnih podatkov. Poleg tega IP ni pristojen presojati ustreznosti predlaganega pooblaščanja ali prenosa pooblastil, saj gre za vprašanje s področja zdravstva in je obdelava osebnih podatkov šele posledica izvrševanja pooblastil.

2. IP meni, da bi bilo treba z vidika varstva osebnih podatkov pristopiti k takemu načinu razdeljevanja testov, pri oziroma zaradi katerega ne bi prihajalo do množične, prekomerne in tvegane obdelave osebnih podatkov. Zato predlagane rešitve ne priporoča.

3. Po mnenju IP je posredovanje potrebnih identifikacijskih podatkov pacientov pooblaščenemu zdravniku za namen formalne izdaje obnovljivih e-receptov načeloma sicer dopustno pod pogojem, da sta dopustna tudi predlagana pooblastitev ali prenos pooblastil, toda pri tem opozarjamo na naslednje pomisleke in obveznosti:

- Upravljavec bi moral predhodno pripraviti oceno učinkov obdelave osebnih podatkov v skladu s 35. členom Splošne uredbe o varstvu podatkov;

- Problematična je udeležba NIJZ, ki bi izvedel tehnična opravila v sistemu eRecept - IP v tem trenutku namreč ne vidi jasne pravne podlage za to, da bi seznam izbranih pacientov že pred izdajo e-recepta prejel in ga obdeloval NIJZ, saj bi ga za to moral pooblastiti pooblaščeni zdravnik in ne osebni zdravniki;

- Pod pogojem, da gre za pooblastilo v pravem pomenu besede, bi morala biti med osebnimi zdravniki oziroma izvajalci zdravstvene dejavnosti in pooblaščenim zdravnikom ter NIJZ sklenjene ustrezne pogodbe o obdelavi osebnih podatkov v smislu 28. člena Splošne uredbe o varstvu podatkov. Le pod pogojem, da ne gre za pooblastilo v pravem pomenu besede, pač pa za prenos pooblastil (npr. v smislu prenosa pravic na nadomestnega zdravnika ali na napotnega zdravnika, ki izdajata e-recepte v svojem imenu), ne gre za pogodbeno obdelavo osebnih podatkov;

- Problematična je lahko priprava seznamov učencev oziroma dijakov, saj bi v primeru presežnih seznamov (ki bi npr. pomotoma vsebovali posameznike, ki do testov niso upravičeni) prišlo do nezakonite obdelave osebnih podatkov;

- Problematično je lahko tudi ravnanje s pridobljenimi seznami s strani pooblaščenca in NIJZ, saj bi ta dva razpolagala s posebnimi kategorijami osebnih podatkov velikega števila pacientov, glede katerih so potrebni strogi ukrepi za zagotavljanje varnosti, vključno z zagotavljanjem nedostopnosti podatkov nepooblaščenim osebam in spoštovanjem načela omejene hrambe.

O b r a z l o ž i t e v:

Po mnenju IP bi predlagana obdelava osebnih podatkov predstavljala precejšnje tveganje za nezakonito obdelavo osebnih podatkov:

• ker bi morali udeleženci izpolniti vrsto zahtevnih osnovnih in dodatnih obveznosti iz Splošne uredbe o varstvu podatkov (zlasti točnost in ažurnost seznamov, zagotavljanje varnosti podatkov, ureditev pogodbene obdelave podatkov, izdelava ocene učinkov),
• ker razmerja med udeleženci in njihova konkretna opravila niso dovolj jasno opredeljena,
• ker bi prišlo do množične obdelave posebnih kategorij osebnih podatkov in to s strani več udeležencev,
• ker je zakonitost obdelave osebnih podatkov odvisna od zakonitosti pooblastil ali prenosa pooblastil, ki pa sta v konkretnem primeru lahko sporna pravna posla (npr. vprašanje ustrezne specialnosti pooblaščenega zdravnika, problem nesodelovanja pacientov, nejasnost ali gre za klasična pooblastila ali za prenos pooblastil) in
• ker za tovrstno obdelavo osebnih podatkov ni ustrezne ureditve v zakonu.

Veljavna pooblastitev v pravem pomenu besede je lahko ustrezen pravni posel, zaradi katerega je posledično dopustno posredovanje nujno potrebnih osebnih podatkov oseb, na katere se nanašajo opravila, ki so predmet pooblastila. Toda v tem primeru bi pooblaščenec izvajal obdelavo osebnih podatkov (npr. vodil in uporabljal seznam, bral in vnašal podatke v IS ipd.) za oziroma v imenu pooblastitelja. Tako razmerje pa ima praviloma naravo pogodbene obdelave osebnih podatkov, ki jo ureja 28. člen Splošne uredbe o varstvu podatkov, kar bi lahko veljalo tudi za NIJZ, ki naj bi izvedel tehnična opravila pri izdaji e-receptov.  

Ustrezen pravni posel je lahko tudi prenos pooblastil za zdravljenje na napotnega zdravnika, ki potem samostojno izvaja določene zdravstvene storitve. Enako velja za prenos pooblastil na nadomestnega zdravnika, ki pri zdravljenju prav tako deluje v svojem imenu v primeru, da pacientov osebni zdravnik tega ne more. Le v teh dveh primerih ne gre za pogodbeno obdelavo osebnih podatkov in sklenitev posebne pogodbe po 28. členu Splošne uredbe o varstvu podatkov ni potrebna.

Čeprav je NIJZ upravljavec sistema eRecept, to še ne pomeni, da ima avtomatično podlago za pridobitev seznamov (pri tem ni važno, če gre za paciente, katerih podatke NIJZ že ima, saj bi šlo za poseben izbor pacientov vezanih na posebno storitev še pred izdajo e-recepta!). V konkretnem primeru je zelo nejasno, kakšno naj bi bilo razmerje med osebnimi zdravniki, pooblaščenim zdravnikom ter NIJZ, ter kakšna naj bi bila konkretna opravila pooblaščenega zdravnika ter NIJZ. Poleg tega se poraja tudi vprašanje pooblastila NIJZ-ju, ki bi ga dali osebni zdravniki, saj naj bi NIJZ opravljal tehnična opravila za pooblaščenega zdravnika in ne za osebne zdravnike – postavlja se torej vprašanje, ali bi NIJZ nastopal v vlogi obdelovalca, ki bi osebne podatke obdeloval v imenu osebnega zdravnika, ali pa bi nastopal v vlogi obdelovalca, ki bi ga za obdelavo specifičnih opravil zadolžil pooblaščeni zdravnik, ki bi tudi sam nastopal v vlogi obdelovalca (četrti odstavek 28. člena Splošne uredbe).

Masovna obdelava posebnih podatkov s strani ene osebe je lahko tudi velik varnostni problem, ki bi ga posameznik težko obvladoval. Z vidika pravnih podlag je za pooblastitelje tvegana tudi sama priprava seznamov pacientov, saj če bi seznami zaradi naglice pri pripravi pomotoma vsebovali tudi osebne podatke pacientov, ki niso upravičeni do testov (npr. zaradi neustreznih meril za filtriranje, napačnih podatkov o pacientih, nepoznavanja dejstev o dejanskem šolanju pacientov), bi v tem delu šlo za nezakonito obdelavo osebnih podatkov.

V zvezi s pripravo ocen učinkov so na spletni strani IP dostopne tudi smernice. 

Lepo vas pozdravljamo,

Pripravil:

mag. Urban Brulc, univ. dipl. prav.

samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka