Prijava nepravilnosti zdravstvenih delavcev in postopanje po ZPacP in ZZPri

Datum

14.08.2026

Številka

07120-1/2026/366

Kategorije

Zdravstveni osebni podatki, Pooblaščene osebe za varstvo podatkov - DPO, Obveščanje o kršitvah varnosti

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede kolizije pri postopanji na podlagi 46. člena Zakona o pacientovih pravicah (Uradni list RS, št. 15/08, 55/17, 177/20 in 100/22 – ZNUZSZS; v nadaljevanju ZPacP), 6. členom Zakona o zaščiti prijaviteljev (Uradni list RS, št. 16/23; v nadaljevanju: ZZPri) in določbami zakona, ki urejajo varstvo osebnih podatkov.

Navajate, da so anonimni prijavitelji poleg prijave direktorjema upravljavca prijavo posredovali številnim medijem, pri čemer so kot dokaz o domnevnih nepravilnostih predložili štiri fotografije zaslona informacijskega sistema. Na posnetkih so vidni osebni podatki pacientov. O incidentu ste že obvestili Informacijskega pooblaščenca, potekale pa so tudi aktivnosti za umik osebnih podatkov pacientov s spletnih strani. V zvezi s tem prosite za usmeritve, ali smete kot pooblaščena oseba za varstvo osebnih podatkov na podlagi 46. člena ZPacP izvesti revizijo varstva osebnih podatkov (in vpogledati v dnevnike obdelave) glede na to, da to po 6. členu ZZPri ni dovoljeno, saj bi bil v dnevniku obdelave osebnih podatkov lahko naveden zaščiten prijavitelj.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22 in 40/25 – ZInfV-1; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

ZZPri varuje identiteto prijavitelja, kar pa prijavitelju ali drugi osebi ne daje imunitete za odgovornost za morebitne kršitve varstva osebnih podatkov (npr. obdelavo osebnih podatkov pacientov izven konkretnih delovnih nalog in razkritje osebnih podatkov pacientov medijem brez pravne podlage ali v prekomerni meri), prav tako sočasna prijava po ZZPri izvajalca zdravstvene dejavnosti ne odvezuje od dolžnosti, ki mu jih nalaga 46. člen ZPacP.

Glede na navedeno je upravljavec/izvajalec zdravstvene dejavnosti dolžan najti način, kako z ustrezno opredelitvijo fokusa revizije, uporabo ustreznih postopkov in ukrepov glede zavarovanja podatkov, hrambe dokumentacije, opredelitve dostopnih pravic do dokumentacije, opredelitve pooblaščenih oseb po ZZPri in ZPacP ipd. pri izvedbi revizije zadostiti zahtevam 46. člena ZPacP ob upoštevanju prepovedi razkritja prijavitelja iz 6. člena ZZPri.

Obrazložitev

IP uvodoma pojasnjuje, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov in morebitnih kršitev pravic posameznikov, na katere se podatki nanašajo. V nadaljevanju vam zato podajamo zgolj splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

V skladu s 46. členom ZPacP je izvajalec zdravstvene dejavnosti dolžan vsak sporočen primer nedovoljenega sporočanja ali druge nedovoljene obdelave osebnih podatkov o pacientu, ne glede na voljo pacienta, posebej raziskati in ugotoviti morebitno odgovornost zdravstvenih delavcev, zdravstvenih sodelavcev ali drugih oseb in primer pisno dokumentirati. O tem je treba obvestiti pacienta, pristojnega zastopnika pacientovih pravic in Informacijskega pooblaščenca.

ZZPri v prvem odstavku 6. člena določa, da nihče ne sme razkriti prijavitelja brez njegovega izrecnega soglasja, v petem odstavku istega člena pa delodajalcu izrecno prepoveduje ugotavljanje identitete prijavitelja. Prijavitelji so eden od pomembnejših virov informacij pri razkrivanju kršitev znotraj delovnega okolja ter s tem bistveno prispevajo k odpravi nepravilnosti in preprečevanju škode.

Navedeni dve ureditvi sta v konkretnem primeru v koliziji do te mere, da bi ob raziskovanju na podlagi ZPacP lahko prišli tudi do razkritja identitete prijavitelja po ZZPri. Še toliko bolj je v konkretni situaciji to možno, ker so naloge zaupnika po ZZPri in pooblaščene osebo za varstvo osebnih podatkov po ZVOP-2 združeni v eni osebi. Drži, da ZZPri varuje identiteto prijavitelja, kar pa prijavitelju ali drugi osebi ne daje imunitete za odgovornost za morebitne kršitve zakonov in drugih predpisov, ki bi jih s svojimi ravnanji storil (npr. razkritje osebnih podatkov pacientov medijem brez pravne podlage). Prav tako obravnava prijave po ZZPri izvajalca zdravstvene dejavnosti ne odvezuje v celoti od dolžnosti, ki mu jih nalaga 46. člen ZPacP. Gleda na obe navedeni določbi v koliziji pa je delodajalec dolžan prilagoditi način izvedbe ukrepov na način, da bo zadostil vsem zahtevam.

Revizija oziroma raziskava nedovoljene obdelave osebnih podatkov, ki jo nalaga 46. člen ZPacP, mora biti usmerjena v kršitve varstva osebnih podatkov pacientov in ne v iskanje prijavitelja nepravilnosti po ZZPri. Ni niti nujno, da je prijavitelj nepravilnosti po ZZPri in oseba/e, ki je/so medijem posredovala/e osebne podatke pacientov, ista/e oseba/e. Raziskavo in iskanje odgovornosti kršitev varstva osebnih podatkov je dolžan delodajalec opraviti na način (organizacijsko in drugače), da je raziskava usmerjena v ugotavljanje kršitev varstva osebnih podatkov ob tem pa zagotavlja nerazkritje identitete prijavitelja po ZZPri. Podatek, kdo je v določenem trenutku dostopal do podatkov, ki bi bil razviden iz dnevnika obdelave, ne pripelje nujno do zaključka, da je ravno ta oseba te podatke tudi fotografirala za namene izven odrejenih delovnih nalog in te fotografije posredovala tretji osebi zunaj upravljavca, zato je treba presoditi, ali je to (edini) primeren način raziskovanja kršitve varstva osebnih podatkov v konkretni situaciji. Glede na zlitje nalog zaupnika po ZZPri in osebe pooblaščene za varstvo osebnih podatkov bi bilo primarno smiselno razmisliti tudi o tem, da revizijo nedovoljene obdelave osebnih podatkov opravi nekdo, ki hkrati ni seznanjen s podrobnostmi prijave po ZZPri. Glede na navedeno je upravljavec/izvajalec zdravstvene dejavnosti dolžan najti način, kako zadostiti zahtevam 46. člena ZPacP ob upoštevanju prepovedi razkritja prijavitelja iz 6. člena ZZPri, saj se določbi medsebojno ne izključujeta.

V upanju, da ste dobili odgovor na vaša vprašanja, vas lepo pozdravljamo.

Lepo vas pozdravljamo,

Pripravila: mag. Nuša Kavšek Kostevc, svetovalka pooblaščenca I

dr. Jelena Virant Burnik, informacijska pooblaščenka