Uporaba povezovalnih znakov in strokovni nadzor po ZVOP-2 pri ZZZS

Datum

09.02.2023

Številka

07120-1/2023/51

Kategorije

Pridobivanje OP iz zbirk, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo dne 27. 1. 2023 prejeli vaše zaprosilo za mnenje o tem:

-ali ZZZS kot izvajalec obveznega zdravstvenega zavarovanja sodi med upravljavce zbirk s področja zdravstva iz 42. člena novega Zakona o varstvu osebnih podatkov (ZVOP-2) in

-ali določbe 8. poglavja ZVOP-2 (strokovni nadzor) veljajo za nadzore, ki jih ZZZS na podlagi ZZVZZ izvaja nad pravnimi in fizičnimi osebami, ki na podlagi pogodb z ZZZS nudijo zavarovanim osebam zdravstvene storitve, jim predpisujejo, izdajajo oziroma zaračunavajo zdravila in medicinske pripomočke in ki so financirani iz obveznega zdravstvenega zavarovanja.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih primerov obdelav osebnih podatkov le v nadzornih postopkih, zato je spodnje mnenje le informativno. Prav tako je treba upoštevati, da v tem trenutku, zaradi zakona, ki je šele pred kratkim pričel veljati, še ni vzpostavljene ustaljene prakse na tem področju.

Po mnenju IP ZZZS upravlja tudi z zbirkami osebnih podatkov s področja zdravstva v smislu prvega odstavka 42. člena ZVOP-2 (npr. evidenca o zavarovanih osebah OZZ), vendar to ne velja nujno za vse zbirke osebnih podatkov ZZZS. Zavezanost prvemu odstavku 42. člena ZVOP-2 se presoja po vsebini in namenu zbirke in ne le po statusu upravljavca.

IP ni pristojen dokončno presojati, ali spadajo nadzori, ki jih izvaja ZZZS pri izvajalcih zdravstvene dejavnosti med strokovne nadzore.

Obrazložitev

Pojem »zbirke osebnih podatkov s področja zdravstva« iz prvega odstavka 42. člena je zelo širok. ZVOP-2 ne vsebuje določb, ki bi lahko pomagale pri razlagi tega pojma. Po mnenju IP sem spadajo tiste zbirke osebnih podatkov:

-ki vsebujejo zdravstvene osebne podatke (podatke o zdravstvenem stanju iz 15. točke 2. člena Splošne uredbe o varstvu podatkov), ker je smisel omejitev glede uporabe povezovalnih znakov v povečanem varstvu teh, občutljivejših podatkov in ne vseh podatkov, ter

-ki hkrati opravljajo funkcijo zagotavljanja zdravstvenega varstva v širšem smislu.

To načeloma pomeni, da načeloma ni nujno, da pravila iz 42. člena ZVOP-2 veljajo za vse zbirke osebnih podatkov, s katerimi upravlja ZZZS.

ZVOP-2 ne določa definicije strokovnega nadzora in se glede tega tudi ne sklicuje na drugo zakonodajo s področja varstva osebnih podatkov. Zato IP ne more presojati, ali je možno tudi finančni nadzor, nadzor nad spoštovanjem pogodb in nadzor nad načini in postopki uresničevanja zdravstvenega zavarovanja ali širše, nadzor nad uresničevanjem pravic in obveznosti iz obveznega zavarovanja s strani ZZZS, šteti za strokovni nadzor v smislu ZVOP-2 (npr. presojanje strokovnosti pri finančnem poslovanju). Z gotovostjo lahko strokovni nadzor v zdravstvu izvajajo organizacije, za katere področni zakon (Zakon o zdravstveni dejavnosti) izrecno tako določa – na primer Zdravniška zbornica Slovenije in Zbornica zdravstvene in babiške nege Slovenije ter izvajalci zdravstvene dejavnosti sami (interni strokovni nadzor), izjemoma pa tudi Ministrstvo za zdravje.

Primeroma navajamo še določbo drugega odstavka 77. člena ZZVZZ, ki določa, da če pooblaščeni nadzorni zdravniki ali farmacevti ZZZS pri nadzorih iz prejšnjega odstavka (ta našteva vrste nadzorov) ugotovijo strokovne ali druge napake pri delu izvajalcev zdravstvenih storitev ali nezakonitosti dela, mora ZZZS o nepravilnostih v 15 dneh obvestiti ministrstvo, pristojno za zdravje, oziroma v primeru strokovnih napak pristojno zbornico.

Glede tolmačenja, ali in katere oblike nadzora ZZZS spadajo v kategorijo strokovnih nadzorov, predlagamo, da se obrnete na Ministrstvo za zdravje.

Lepo vas pozdravljamo,

Pripravil

mag. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka