Prenova spremljanja zunajbolnišničnih obravnav in poročanje podatkov NIJZ za vsebinsko področje nosečnosti

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Zanima vas, ali ima NIJZ od vas pravico zahtevati podatke, ki so razvidni iz priloženega posnetka zaslona medicinske obravnave in ste jih dolžni obvezno vnesti v program pri obravnavi nosečnice, saj sicer medicinske obravnave ne morete zaključiti. Navajate, da gre za nabor podatkov, za katere ženske ne dajo posebnega pisnega privoljenja niti ne vedo, da se zbirajo, v veliki meri pa gre za podatke oziroma preiskave, ki v nosečnosti niso obvezne, niso pravica iz osnovnega zdravstvenega zavarovanja, niso plačane iz osnovnega zdravstvenega zavarovanja in niso naštete v UL RS: Navodila o spremembah in dopolnitvah navodil za izvajanje preventivnega zdravstvenega varstva na primarni ravni.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Podatke, ki jih določa ZZPZZ oziroma akt, sprejet na njegovi podlagi, morajo NIJZ poslati vsi javni zdravstveni zavodi ter druge pravne in fizične osebe, katerih zdravstvena dejavnost obsega osnovno zdravstveno dejavnost. Pri tem ni pomembno, ali gre morda za samoplačniške storitve.

NIJZ mora pri zbiranju osebnih podatkov upoštevati vsa načela v zvezi z obdelavo osebnih podatkov. Osebni podatki morajo biti vedno ustrezni, relevantni in omejeni na to, kar je potrebno za namene, za katere se obdelujejo.

Posameznik bi moral biti skladno s 13. členom Splošne uredbe brez kakršnekoli zahteve obveščen o bistvenih vidikih obdelave osebnih podatkov, ki se nanašajo nanj.

O b r a z l o ž i t e v:

IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati. To pomeni, da IP v okviru izdaje mnenja ne more odločati o tem, ali so v konkretnem primeru podani pogoji za posredovanje osebnih podatkov, saj je to izključna naloga in odgovornost upravljavca. Neobvezna mnenja IP namreč niso namenjena presoji zakonitosti posameznih obdelav in ravnanj konkretnih upravljavcev, temveč podaji načelnih in splošnih stališč glede interpretacije določb zakonov, ki se nanašajo na varstvo osebnih podatkov.

Na vprašanje glede obdelave osebnih podatkov v okviru spremljanja zunajbolnišničnih obravnav (SZBO) je IP že odgovarjal v mnenju št. 07121-1/2022/1163 z dne 27.10.2022, ki je dostopno na spletni strani https://www.ip-rs.si/mnenja-gdpr/.

Iz tega mnenja izhaja, da obdelavo podatkov in zbirke podatkov s področja zdravstvenega varstva in eZdravja, njihove upravljavce in upravičence do podatkov določa Zakon o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, s spremembami in dopolnitvami; v nadaljevanju ZZPPZ). Vrste in vsebina posameznih zbirk podatkov s področja zdravstvenega varstva, njihov namen, obdobna poročila, kdo mora posredovati podatke in kdaj, upravljavec zbirke, način dajanja podatkov in čas hranjenja podatkov, so opredeljeni v Prilogi 1, ki je sestavni del tega zakona. (prvi odstavek 5. člena ZZPPZ). Podatke iz Priloge 1 pod zaporedno številko NIJZ 1 do NIJZ 75, Priloge 2 in Centralnega registra podatkov o pacientih iz 14.b člena tega zakona, ki se obdelujejo na podlagi tega zakona, je treba vpisati v predpisana evidenčna sredstva ob zdravstvenih pregledih in drugih zdravstvenih storitvah. Podatki iz prejšnjega stavka se posredujejo v skladu z metodološkimi navodili NIJZ (prvi odstavek 8. člena ZZPPZ).

Zbirka podatkov iz Priloge 1 NIJZ 2 z nazivom Evidenca osnovnega zdravstvenega varstva vsebuje dinamične entitete: stik, dogodek, proces (diagnoza bolezni-stanja, opravljeno delo, napotitev, pobudnik za napotitev, nezmožnost za delo, dejavniki tveganja za poslabšanje zdravja), načrtovani stiki. Kot namen je navedeno spremljanje, vrednotenje in načrtovanje dela v okvirju osnovnega zdravstvenega varstva, te podatke pa morajo NIJZ poslati vsi javni zdravstveni zavodi ter druge pravne in fizične osebe, katerih zdravstvena dejavnost obsega osnovno zdravstveno dejavnost. Poleg tega obstaja na področju preventive tudi (pod)zbirka podatkov NIJZ 2.4. z nazivom Evidenca preventivnega zdravstvenega varstva žensk, ki vsebuje podatke o rezultatih preventivnih pregledov ter o opravljenem preventivnem delu z namenom spremljanja, vrednotenja in načrtovanja preventivnega zdravstvenega varstva žensk. Upravljavec obeh zbirk je NIJZ.

IP pojasnjuje, da je pri obdelavi vsakega osebnega podatka treba spoštovati določbe Splošne uredbe in od 26. 1. 2023 dalje tudi določbe novega Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/2022; v nadaljevanju ZVOP-2). Za vsako obdelavo osebnih podatkov, torej tudi za posredovanje ter pridobivanje podatkov, mora imeti upravljavec zakonito in ustrezno pravno podlago. Te so na splošno določene v prvem odstavku 6. člena Splošne uredbe, za posebne vrste osebnih podatkov, med katere spadajo tudi podatki v zvezi z zdravjem, pa mora biti hkrati izpolnjen še eden izmed posebnih pogojev, ki so določeni v drugem odstavku 9. člena Splošne uredbe.

Temeljna pravna podlaga za poročanje zdravstvenih podatkov o zunajbolnišničnih obravnavah za vsebinsko področje nosečnost NIJZ je v konkretnem primeru ZZPPZ in izvedbeni akti, sprejeti na njegovi podlagi, v zvezi s točko c)[1] oziroma e)[2] prvega odstavka 6. člena Splošne uredbe ter točko h)[3] drugega odstavka 9. člena Splošne uredbe. Od začetka veljavnosti ZVOP-2 pa je treba pri tem upoštevati tudi določbe o pravnih podlagah iz 6. člena ZVOP-2.

Iz spletne strani NIJZ https://nijz.si/podatki/podatkovne-zbirke-in-raziskave/spremljanje-zunajbolnisnicnih-obravnav-szbo/ izhaja, da prenovljen sistem spremljanja zunajbolnišničnih obravnav SZBO vključuje zbiranje podatkov o zunajbolnišničnih obravnavah in s tem podatke o zdravju ter zdravstvenem varstvu prebivalstva z namenom načrtovanja in upravljanja sistema zdravstvenega varstva, vključno s statističnim in raziskovalnim namenom. Preko sistema eSZBO se poročajo vsi stiki pacienta z nosilcem posameznega stika v vključenih zunajbolnišničnih dejavnostih. Kot je pojasnil tudi NIJZ, ZZPPZ nalaga vsem izvajalcem zdravstvene dejavnosti obveznost poročanja vseh podatkov, opredeljenih v posameznih zbirkah iz priloge zakona. Definicije in metodološka navodila za sprejem podatkov o obravnavah v okviru primarnega reproduktivnega zdravstvenega varstva žensk (NOST) so dostopna na navedeni spletni strani NIJZ. Prav tako je na tej spletni strani dostopen dokument z naslovom eSZBO - opredelitev obveznosti vnosa podatkov, ki je povzetek iz metodoloških navodil in za vsako vsebinsko področje in za vsak podatek označuje njegovo obveznost poročanja, torej ali je s strani izvajalca podatek potrebno obvezno poročati, ali podatka ni potrebno obvezno poročati, je pa zaželeno, oziroma ali je podatek v posebej opredeljenih primerih potrebno obvezno poročati, pri čemer so opredeljeni pogoji za poročanje.

Glede vaših navedb, da gre pri zahtevanemu poročanju NIJZ za podatke, za katere ženske ne dajo posebnega pisnega privoljenja, IP pojasnjuje, da je za zakonitost obdelave dovolj, da je izpolnjena ena od pravnih podlag, ki jih določa prvi odstavek 6. člena v zvezi z drugim odstavkom 9. člena Splošne uredbe. To pomeni, da v kolikor upravljavec osebne podatke obdeluje npr. na podlagi zakonske obveznosti, za te podatke privolitev ni dolžan pridobivati.

Glede vaših navedb, da ženske za zahtevane podatke niti ne vedo, da se zbirajo, pa IP opozarja na dolžnosti upravljavca v zvezi z obveščanjem posameznika glede obdelave osebnih podatkov, kot to določa 13. člen Splošne uredbe. Obveznost obveščanja, med drugim tudi o uporabnikih[4], velja v vseh primerih obdelave ne glede to, na kateri pravni podlagi se podatki obdelujejo. Več o tem si lahko preberete na spletni strani IP https://upravljavec.si/pogosta-vprasanja/obvestite-posameznike-kako-obdelujete-njihove-osebne-podatke/.

Upoštevaje, da morajo podatke iz Evidence osnovnega zdravstvenega varstva ter Evidence preventivnega zdravstvenega varstva žensk NIJZ na podlagi ZZPPZ poslati vsi javni zdravstveni zavodi ter druge pravne in fizične osebe, katerih zdravstvena dejavnost obsega osnovno zdravstveno dejavnost, za presojo zakonitosti posredovanja podatkov ni pomembno, ali gre pri tem za podatke iz obveznih preiskav v nosečnosti niti, ali gre pri tem za pravico iz osnovnega zdravstvenega zavarovanja oziroma ali so zdravstvene storitve plačane iz osnovnega zdravstvenega zavarovanja ali samoplačniško.

IP pojasnjuje, da je NIJZ na podlagi zgoraj navedenih določb torej upravičen do zbiranja določenih zdravstvenih podatkov o zunajbolnišničnih obravnavah za vsebinsko področje nosečnost, vendar vam v okviru mnenja ne more podati dokončnega odgovora na to, za zbiranje konkretno katerih podatkov ima NIJZ ustrezno pravno podlago oziroma ali je podana ustrezna pravna podlaga za zbiranje vseh podatkov, ki izhajajo iz priloženega posnetka zaslona medicinske obravnave. Opozarja pa, da mora NIJZ pri tem spoštovati vsa načela v zvezi z obdelavo osebnih podatkov, ki jih predpisuje 5. člen Splošne uredbe (npr. zakonitost, poštenost in preglednost, omejitev namena, najmanjši obseg podatkov itd.), skladnost obdelave s temi načeli pa mora biti sposoben tudi dokazati (odgovornost). Načela je treba v vsakem primeru razlagati glede na konkretne okoliščine obdelave osebnih podatkov, morebitne kršitve pa lahko IP ugotovi zgolj v inšpekcijskem postopku.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

[1] Obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca.

[2] Obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu.

[3] Obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3.

[4] Uporabnik pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne (9. točka 4. člena Splošne uredbe).