Uveljavljanje pravice do popravka in izbrisa osebnih podatkov

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede pravice do popravka in izbrisa osebnih podatkov. Zanima vas:

-       ali lahko pacientka zahteva umik zanjo spornih dokumentov v okviru prve obravnave kršitve pacientovih pravic ali lahko samo prepove vpogled v svoje izvide v CRPP;

-       kako postopati v primeru bolnikov, ki prihajajo v zdravstveni dom brez napotnic (primer bolnikov, ki koristijo storitve centra za duševno zdravje), saj se psihiatri soočajo s težavami, ker nimajo dostopa do izvidov v CRPP (vpogled v CRPP je pogojen z izdajo napotnice, ki jo izda izbrani zdravnik, za nekatere dejavnosti pa ni potrebna); ali morajo psihiatri za vsak vpogled izpolnjevati izjavo za soglasje za vpogled v zdravstveno dokumentacijo;

-       ali morajo biti pacienti obveščeni o dolžnosti pošiljanja svojih izvidov v CRPP s kakim splošnim dopisom oziroma ali so jih dolžni opozarjati, da lahko prepovejo vpogled v CRPP.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Ob tem poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Če je obdelava osebnih podatkov določena z zakonom, zahteva za izbris po členu 17 Splošne uredbe o varstvu podatkov ne more biti utemeljena. Roki hrambe zdravstvene dokumentacije so praviloma zakonsko predpisani. Pacient pa ima pravico s pisno izjavo prepovedati vpogled v povzetek podatkov o pacientu, vendar takšna prepoved ne velja za osnovne podatke o pacientu in za izjave, ki jih je dal pacient.

Zdravnik lahko vpogleda v dokumentacijo CRPP le, če je pacientov izbrani osebni zdravnik, če je pacient k njemu napoten oziroma če pacient v to privoli. Ob privolitvi pacient navede časovno obdobje, na katerega se privolitev nanaša. Dokler privolitev velja in še 45 dni po tem datumu lahko zdravnik dostopa do dokumentacije v CRPP, ne da bi moral ponovno izpolnjevati obrazec oziroma pridobivati privolitev.

Obveznost izrecnega obveščanja o pravici do prepovedi vpogleda v CRPP zakonsko ni predpisana.

O b r a z l o ž i t e v:

V zvezi s pacientkino zahtevo za umik določenih dokumentov v okviru prve obravnave kršitve pacientovih pravic IP uvodoma pojasnjuje, da bi bila lahko takšna zahteva utemeljena le, če za obdelavo osebnih podatkov v teh dokumentih ne bi bilo pravne podlage.

Pravica do izbrisa oziroma pravica do pozabe je urejena v členu 17 Splošne uredbe o varstvu podatkov. Posameznik, na katerega se nanašajo osebni podatki, ima na tej podlagi pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar je podan eden od naslednjih razlogov:

a)         osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

b)         posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

c)         posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);

d)         osebni podatki so bili obdelani nezakonito;

e)         osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

f)          osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

Ob tem je treba izpostaviti, da pravica do izbrisa ni neomejena. Splošna uredba v členu 17(3) določa, da se posameznik, na katerega se nanašajo osebni podatki, ne more sklicevati na pravico do izbrisa, če je obdelava potrebna:

a)         za uresničevanje pravice do svobode izražanja in obveščanja;

b)         za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

c)         iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

d)         za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 9(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

e)         za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.

IP za primer, ki ga opisujete, izpostavlja določbo točke (b) člena 17(3) Splošne uredbe o varstvu podatkov, iz katere izhaja, da zahteva za izbris ni utemeljena, če je obdelava potrebna za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca. V takšnem primeru se osebnih podatkov ne sme brisati, četudi bi posameznik tako zahteval, temveč je treba upoštevati pogoje in roke hrambe, ki jih določa zakonodaja. Roki hrambe zbirk podatkov eZdravja so na primer opredeljeni v Prilogi 2 Zakona o zbirkah podatkov s področja zdravstvenega varstva (v nadaljevanju ZZPPZ), roki hrambe pacientove zdravstvene dokumentacije, ki jo vsebuje CRPP, pa v Odredbi o določitvi vrste in rokov hrambe zdravstvene dokumentacije v Centralnem registru podatkov o pacientih. Postopki za varstvo pacientovih pravic morajo skladno z 48. členom Zakona o pacientovih pravicah (v nadaljevanju ZPacP) med drugim zagotavljati tudi ustrezno sprotno dokumentiranje postopkovnih dejanj udeležencev.

Prepoved vpogleda v povzetek podatkov o pacientu v CRPP pa je povsem druga pravica, ki je urejena v tretjem in četrtem odstavku 14. c člena ZZPPZ in v Pravilniku o prepovedi vpogleda v povzetek podatkov o pacientu v Centralnem registru podatkov o pacientih. Pacient ima pravico s pisno izjavo prepovedati vpogled v povzetek podatkov o pacientu, prepoved pa se lahko poda za izvajalca ali državo izvajalca. Pacient lahko omeji tudi zgolj uporabo svojih kontaktnih podatkov. IP pa opozarja, da prepoved ne velja za osnovne podatke o pacientu in za izjave, ki jih je dal pacient, kot to določa četrti odstavek 14. c člena ZZPPZ.

Glede vprašanja o vpogledih psihiatrov v CRPP IP izpostavlja 4. člen Pravilnika o pooblastilih za obdelavo podatkov v Centralnem registru podatkov o pacientih, skladno s katerim lahko zdravnik v okviru zdravstvene oskrbe pacienta v CRPP v skladu s pooblastili iz Priloge tega pravilnika vpogleduje, pridobiva in uporablja zdravstveno dokumentacijo pacienta na podlagi:

- pacientove privolitve,

- izjave o izbiri izbranega osebnega zdravnika,

- napotne listine,

- izvajanja službe nujne medicinske pomoči ali

- listine za napotitev na obdukcijo.

Zdravnik lahko torej praviloma vpogleda v dokumentacijo CRPP samo, če je pacientov izbrani osebni zdravnik, če je pacient k njemu napoten oziroma če pacient v to privoli. Pravice dostopa so omejene tudi časovno, in sicer na največ 45 dni po prenehanju veljavnosti napotne listine ali pacientove privolitve.

Upoštevaje navedeno IP meni, da psihiatrom ni treba za vsak vpogled izpolnjevati privolitvenega obrazca, saj je to odvisno od veljavnosti privolitve, ki jo poda pacient. Ob privolitvi pacient namreč navede časovno obdobje, na katerega se privolitev nanaša. Dokler privolitev velja in še 45 dni po tem datumu lahko torej psihiater dostopa do dokumentacije v CRPP, ne da bi moral ponovno izpolnjevati obrazec oziroma pridobivati privolitev. Na tak način je oblikovan tudi obrazec, ki je dostopen na spletni strani https://podpora.ezdrav.si/faq/kaksen-je-splosni-postopek-s-katerim-pacient-dovoli-objave-in-omogoci-dostop-do-zdravstvenih-podatkov-v-crpp/.

Glede vprašanja o obveščanju pacientov o pravici do prepovedi vpogleda v CRPP IP pojasnjuje, da obveznost takšnega izrecnega obveščanja zakonsko ni predpisana. Osnovne informacije o tej pravici so pacientom na primer dostopne na spletni strani https://podpora.ezdrav.si/faq/kako-lahko-prepovem-vpogled-v-svoje-podatke/. Glede posredovanja podatkov v CRPP pa IP izpostavlja, da je to načeloma obveznost izvajalcev zdravstvene dejavnosti in ne samih pacientov.

Lepo vas pozdravljamo,

Pripravila:                                                                                                                                

Tina Ivanc, univ. dipl. prav.,

svetovalka IP za varstvo osebnih podatkov

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenk