Dostop študentov do bolnišničnega informacijskega sistema

Datum

23.07.2024

Številka

07120-1/2024/262

Kategorije

Zdravstveni osebni podatki, Varnost osebnih podatkov, Šolstvo

Pri Informacijskem pooblaščencu (IP) smo dne 19. 7. 2024 prejeli vaše zaprosilo za mnenje o tem, ali lahko izvajalec zdravstvene dejavnosti študentom, ki so na praksi v izobraževalne namene, dopusti dostop do internega MEDIS-BIS. Omenjate tudi tretji odstavek 26. člena Zakona o pacientovih pravicah (ZPacP) in mnenje IP:

https://www.ip-rs.si/mnenja-zvop-2/dostop-pacienta-in-drugih-oseb-do-zdravstvene-dokumentacije-1696829769 (mnenje št. 07121-1/2023/1248).

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji.

Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih primerov obdelave osebnih podatkov le v nadzornih postopkih.

Po mnenju IP je načeloma dopustno, da izvajalec zdravstvene dejavnosti podeli uporabniške pravice v bolnišničnem informacijskem sistemu študentom, vendar le v primeru, da so uporabniške pravice potrebne za uspešno in učinkovito sodelovanje študentov pri zdravstveni oskrbi ali pri delu v zvezi z zdravstveno oskrbo. Pri tem mora izvajalec uporabniške pravice študentov čimbolj omejiti (po času, vsebini in obsegu), nad uporabo izvajati nadzor in študente informirati o dolžnosti varovanja poklicne skrivnosti ter na posledice kršitev.

Presoja, ali so uporabniške pravice študentov res potrebne je primarno v rokah izvajalca. Predlagamo, da se uporabniških pravic ne podeljuje avtomatično vsem, pač pa glede na presojo individualnih potreb v odvisnosti od dela, ki ga bodo opravljali in potreb izobraževanja. Zato po mnenju IP ni dopustno, da se študentom dopusti dostop do bolnišničnega informacijskega sistema zgolj zato, da bi se lahko v lastne izobraževalne namene seznanjali z vsebino osebnih podatkov. Za tak namen lahko študenti pridobijo le anonimizirane podatke.

Obrazložitev

Smiselno se sklicujemo na starejše mnenje IP (začetek leta 2018), ki se sicer nanaša na zdravstveno dokumentacijo:

https://www.ip-rs.si/mnenja-zvop/zdravstveni-podatki-pacientov. V mnenju je določeno: »IP meni, da je podana pravna podlaga, na podlagi katere se lahko dijaki in študenti v času izvajanja praktičnega pouka ter študenti med kliničnim usposabljanjem seznanijo z zdravstveno dokumentacijo pacienta, pri zdravstveni obravnavi katerega sodelujejo. Dijaki in študenti so dolžni zdravstvene podatke pacientov, s katerimi se seznanijo v času praktičnega pouka in med kliničnim usposabljanjem, varovati kot poklicno skrivnost«. To mnenje lahko velja tudi sedaj in tudi za uporabniške pravice v BIS, ker zakonodaja glede tega ni bila bistveno spremenjena.

Izvajalec zdravstvene dejavnosti lahko v mejah zakonodaje dopusti, da neposredno pri zdravstveni oskrbi (ali s to povezanimi deli) občasno in omejeno sodelujejo študenti za izobraževalni namen. V določenih primerih je možno, da njihovo delo (pomoč ali sodelovanje), po naravi stvari terja seznanjanje z osebnimi podatki pacientov ali drugo obdelavo teh podatkov. V tem primeru študentje to delo opravljajo v imenu oziroma za izvajalca in po njegovih navodilih ter pod njegovim nadzorom. Izvajalec in študent sta v določenem pogodbenem razmerju in v tem razmerju se lahko dogovorijo določene pravice in obveznosti v mejah predpisov. Zato imajo študenti na praksi lahko podoben položaj kot druge osebe, ki pri izvajalcu opravljajo delo (zaposleni in pogodbeniki). Vrsto oziroma način dela ter s tem povezane nujne potrebe po seznanjanju z osebnimi podatki določi izvajalec. Pri tem mora upoštevati načelo najmanjšega obsega podatkov in ostala načela iz 5. člena Splošne uredbe.

To mnenje velja neodvisno od tega, ali študentje prejemajo plačilo ali povračila stroškov.

Mnenje IP št. 07121-1/2023/1248 ne izključuje možnosti za podelitev uporabniških pravic študentom. Tretji odstavek 26. člena ZPacP (prva alineja) pa se nanaša le na osebne stike med študentom in pacientom pri zdravstveni oskrbi.

Lepo vas pozdravljamo,

Pripravil

dr. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

dr. Jelena Virant Burnik, informacijska pooblaščenka