Pošiljanje zdravstvenih podatkov po e-pošti

Informacijski pooblaščenec (v nadaljevanju: IP) je prejel vaše vprašanje in sicer ste pojasnili, da so se v zadnjem času zdravstvene ustanove odločile, da ne sprejemajo več elektronske pošte, pač pa želijo komunikacijo preko portalov, spletnih obrazcev in podobno. Vse v imenu varnosti. Poleg tega pošljejo podatke o poslanem sporočilu na elektronski naslov pacienta. Zanima vas, ali imajo res prepoved, da bi pošiljali podatke preko elektronske pošte. Ta sistem, ki ga uvajajo pri vsakem zdravstvenem domu posebej, je po vašem mnenju konfuzen in zagotovo manj varen, kot pa pošiljanje elektronske pošte, saj gre samo še za en člen v verigi, kjer se lahko zgodijo napake ali prestrezanje podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, 177/20, v nadaljevanju: ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju: ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.

Določbe 2. odstavka 14. člena ZVOP-1, ki se nanašajo na zavarovanje pri posredovanju občutljivih osebnih podatkov prek nezavarovanih telekomunikacijskih omrežij (npr. za pošiljanje prek navadne elektronske pošte), zahtevajo šifriranje podatkov med prenosom.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da se pri običajni elektronski pošti z vsebino e-poštnega sporočila in spremljajočimi prometnimi podatki seznanijo vsi, ki sodelujejo v prenosu e-poštnega sporočila, torej vsi strežniki, ki so vključeni v to oziroma natančneje njihovi upravljavci. Zdravstveni podatki sodijo med občutljive oziroma posebne vrste osebnih podatkov, zato zakonodaja zahteva strožje ukrepe za njihovo varnost.

Določbe 2. odstavka 14. člena ZVOP-1, ki se nanašajo na zavarovanje pri posredovanju občutljivih osebnih podatkov prek nezavarovanih telekomunikacijskih omrežij (npr. za pošiljanje prek navadne elektronske pošte), zahtevajo šifriranje. Podobno velja za komunikacijo prek spletnih portalov, kjer mora biti uporabljeno šifriranje za varnost podatkov med prenosom, kar pa se pri spletnih storitvah lažje zagotovi (npr. s uporabo https protokola, tako da se z vsebino seznani samo prejemnik in ne tudi vmesni členi), kot pri elektronski pošti, kjer bi morala za šifriranje oziroma dešifriranje poskrbeti tako pošiljatelj kot prejemnik.

S spoštovanjem.

Mojca Prelesnik, univ. dipl. prav.,

Informacijska pooblaščenka

Pripravil:                                                                                                                                                          

mag. Andrej Tomšič,

namestnik informacijske pooblaščenke