Podatek o dioptriji in pravna podlaga za obdelavo zdravstvenih podatkov v optiki

Datum

25.11.2024

Številka

07121-1/2024/1450

Kategorije

Pravne podlage, Privolitev, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po e-pošti prejel vaše zaprosilo za mnenje. Sprašujete naslednje:

a)ali se podatek o dioptriji šteje za zdravstveni podatek?

b)ali morajo na podlagi opravljenih optometrističnih pregledov optiki pridobiti veljavno privolitev, ali je lahko pravna podlaga izvajanje pogodbe, ker brez podatka o dioptriji optiki ne morejo izvesti pogodbene storitve?

c)kadar stranka v optiki opravi pregled pri specialistu oftlamologu, ki z optiko sodeluje, pa je tak pregled samoplačniški, kaj je podlaga za obdelavo podatkov s strani optike?

***

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Podatek o dioptriji posameznika po mnenju IP šteje za zdravstveni osebni podatek.

Če je optika izvajalka zdravstvenih storitev, obdeluje posebne vrste osebnih podatkov na podlagi točke (h) drugega odstavka 9. člena Splošne uredbe. Če optika za določen pregled ne šteje kot izvajalka zdravstvenih storitev, bo morala za obdelavo posebnih vrst osebnih podatkov zagotoviti drugo ustrezno pravno podlago, npr. izrecno privolitev posameznika.

Če gre za samoplačniško dejavnost oftalmologa, veljajo enaka izhodišča kot omenjeno zgoraj. V primeru, če je specialist oftalmolog pri optiki zaposlen na pogodbeni podlagi in šteje za notranjega obdelovalca, potem obdeluje osebne podatke na enaki pravni podlagi kot optika. Ni pa izključeno, da je pravna podlaga drugačna, kadar sodelujeta oftalmolog in optika kot ločeni pravni osebi oz. ločena upravljavca. V tem primeru je pomembno tudi, v kakšnem razmerju sta s posameznikom (npr. ali je posameznik v neke vrste pogodbenem razmerju z vsakim od njiju kot naročnik storitve). Za posredovanje zdravstvenih podatkov optiki bo v tem primeru moral zagotoviti ustrezno pravno podlago (npr. posameznikovo privolitev).

Obrazložitev

Pri tem IP uvodoma poudarja, da izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

Uvodoma pojasnjujemo, da mora za vsako obdelavo osebnih podatkov obstajati ustrezna pravna podlaga skladno s 6. členom oz. 9. členom Splošne uredbe (kadar gre za posebne vrste osebnih podatkov, kamor uvrščamo tudi podatke v zvezi z zdravjem posameznika). Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo. Tako je npr. skladno s točko (h) drugega odstavka 9. člena Splošne uredbe obdelava posebnih vrst osebnih podatkov dopustna, če je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3. Več o pravnih podlagah za obdelavo zdravstvenih podatkov lahko preberete na povezavi: https://www.ip-rs.si/varstvo-osebnih-podatkov/inšpekcijski-nadzor/najbolj-pogoste-kršitve/zdravstveni-podatki.

Vsi izvajalci zdravstvenih storitev, bodisi iz zasebnega bodisi iz javnega sektorja, morajo (med drugim) spoštovati določbe Zakona o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ), Zakona o zdravstveni dejavnosti (ZZDej), Zakona o pacientovih pravicah (ZPacP), Splošne uredbe in ZVOP-2.

Podatek o dioptriji po mnenju IP šteje za zdravstveni osebni podatek, za obdelavo katerega mora obstajati ustrezna pravna podlaga po 9. členu Splošne uredbe. Več o tem lahko preberete v že izdanem mnenju IP št. 0712-584/2007/2 z dne 21. 6. 2007.

V primeru, če je konkretna optika izvajalka zdravstvenih storitev, potem lahko predstavlja pravno podlago za opravo pregledov zgoraj citirana točka (h) drugega odstavka 9. člena Splošne uredbe v povezavi z določbami ZZPPZ. Če optika za določen pregled ne more šteti kot izvajalka zdravstvenih storitev, bo morala za obdelavo posebnih vrst osebnih podatkov zagotoviti drugo ustrezno pravno podlago skladno z drugim odstavkom 9. člena Splošne uredbe, npr. izrecno privolitev posameznika.

Kadar specialist oftalmolog opravlja samoplačniške preglede, bo optika še vedno obdelovala osebne podatke posameznikov na zgoraj omenjenih pravnih podlagah, odvisno od tega, ali je izvajalka zdravstvenih storitev ali ne. Če je specialist oftalmolog pri optiki zaposlen na pogodbeni podlagi (torej po pogodbi zagotovi opravo pregledov v imenu optike), šteje za notranjega obdelovalca in obdeluje osebne podatke na enaki pravni podlagi kot optika. Ni pa izključeno, da je pravna podlaga drugačna, kadar sodelujeta oftalmolog in optika kot ločeni pravni osebi oz. ločena upravljavca. V tem primeru je pomembno tudi, v kakšnem razmerju sta s posameznikom (npr. ali je posameznik v neke vrste pogodbenem razmerju z vsakim od njiju kot naročnik storitve). Za posredovanje zdravstvenih podatkov optiki bo v tem primeru moral zagotoviti ustrezno pravno podlago (npr. posameznikovo privolitev).

Predlagamo vam, da pri presoji upoštevate konkretne okoliščine, IP vam lahko v okviru nezavezujočega mnenja in glede na podane informacije, poda le splošne usmeritve. Ob tem pa opozarjamo, da mora optika za zakonito obdelavo osebnih podatkov, ki ne štejejo za posebne vrste osebnih podatkov, zagotoviti ustrezno pravno podlago skladno s 6. členom Splošne uredbe.

Upamo, da smo vam s podanimi napotili uspeli pomagati.

dr. Jelena Virant Burnik, informacijska pooblaščenka

Pripravila

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo

---

[1]Zakonu o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 – ZZUOOP, 175/20 – ZIUOPDVE, 203/20 – ZIUPOPDVE, 112/21 – ZNUPZ, 196/21 – ZDOsk, 206/21 – ZDUPŠOP, 141/22 – ZNUNBZ, 18/23 – ZDU-1O in 84/23 – ZDOsk-1, v nadaljevanju: ZZPPZ).

[2]Zakon o zdravstveni dejavnosti (Uradni list RS, št. 23/05 – uradno prečiščeno besedilo, 15/08 – ZPacP, 23/08, 58/08 – ZZdrS-E, 77/08 – ZDZdr, 40/12 – ZUJF, 14/13, 88/16 – ZdZPZD, 64/17, 1/19 – odl. US, 73/19, 82/20, 152/20 – ZZUOOP, 203/20 – ZIUPOPDVE, 112/21 – ZNUPZ, 196/21 – ZDOsk, 100/22 – ZNUZSZS, 132/22 – odl. US, 141/22 – ZNUNBZ, 14/23 – odl. US in 84/23 – ZDOsk-1, v nadaljevanju: ZZDej).

[3]Zakona o pacientovih pravicah (Uradni list RS, št. 15/08, 55/17, 177/20 in 100/22 – ZNUZSZS, v nadaljevanju: ZPacP)