Posredovanje podatkov o vpogledih v zdravstveno dokumentacijo

Datum

20.03.2023

Številka

07120-1/2023/146

Kategorije

Pravica do seznanitve z lastnimi osebnimi podatki

Pri Informacijskem pooblaščencu (IP) smo dne 8. 3. 2023 prejeli vaše zaprosilo za mnenje glede vodenja postopka. Pojasnili ste, da pacientka, ki je zoper ... (...) vložila tožbo zaradi malomarnega zdravljenja, zahteva podatke o vpogledih v njeno medicinsko dokumentacijo, in sicer dnevnik obdelave osebnih podatkov za določene dneve za dva določena zdravnika. Posredovali ste korespondenco s pacientko in dokument, iz katerega je razvidno, da je pred okrajnim sodiščem v teku postopek zaradi plačila odškodnine. Sprašujete, ali je pacientka upravičena do zahtevane dokumentacije.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da ... v konkretnem primeru glede na prakso IP nima pravne podlage, da bi pacientki posredoval del dnevnika obdelave osebnih podatkov v informacijskem sistemu oziroma podatke o tem, kdaj sta določena zdravnika dostopala do njene zdravstvene dokumentacije. Pacientka lahko v okviru odškodninskega postopka predlaga sodišču, da izvede določen dokaz oziroma da od ... pridobi navedene podatke

Obrazložitev

Prvi odstavek 15. člena Splošne uredbe, ki ureja pravico do seznanitve z lastnimi osebnimi podatki, določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in nekatere informacije, med drugim tudi uporabnike ali kategorije uporabnikov, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah. Uporabnik je skladno z 9. točko 4. člena Splošne uredbe fizična ali pravna oseba, javni organ, agencija ali drugo telo, ki so mu bili osebni podatki razkriti, ne glede na to, ali je tretja oseba ali ne. Tretja oseba pa je skladno z 10. točko istega člena Splošne uredbe fizična ali pravna oseba, javni organ, agencija ali telo, ki ni posameznik, na katerega se nanašajo osebni podatki, upravljavec, obdelovalec in osebe, ki so pooblaščene za obdelavo osebnih podatkov pod neposrednim vodstvom upravljavca ali obdelovalca.

Glede na to, da se zaposleni pri določenem upravljavcu ne štejejo med uporabnike osebnih podatkov, pacientka na podlagi 15. člena Splošne uredbe ni upravičena pridobiti dela dnevnika obdelave osebnih podatkov oziroma podatkov o tem, kateri zaposleni in kdaj so dostopali do njenih osebnih podatkov. To je IP pojasnil že v več mnenjih, npr. v mnenjih št. 0712-1/2019/1828 z dne 5. 8. 2019 in št. 07121-1/2022/943 z dne 31. 8. 2022.

Pravne podlage za posredovanje celotnega dnevnika obdelave posamezniku, na katerega se nanašajo osebni podatki, ne daje niti 22. člen ZVOP-2, ki ureja vodenje dnevnika obdelave osebnih podatkov. Tretji odstavek tega člena določa, da se dnevnik obdelave uporablja le za izkazovanje zakonitosti obdelave ter izvajanje notranjega nadzora, izvajanje nadzorov ali drugih zakonsko določenih preverjanj s strani nadzornega organa ali drugih pristojnih organov, zagotavljanje celovitosti in varnosti osebnih podatkov ter za odpravljanje napak v delovanju informacijskega sistema ali obdelavi podatkov. Četrti odstavek 22. člena ZVOP-2 pa določa, da upravljavec in obdelovalec nadzornemu organu ali drugemu zakonsko določenemu pristojnemu organu na njegovo zahtevo omogočita dostop do dnevnika obdelave.

Pacientka celotnega dnevnika obdelave ni upravičena pridobiti niti na podlagi 46. člena Zakona o pacientovih pravicah (Uradni list RS, št. 15/08, s spremembami, ZPacP), skladno s katerim morajo izvajalci zdravstvene dejavnosti raziskati in pisno dokumentirati vsak ugotovljen ali sporočen primer nedovoljenega sporočanja ali druge nedovoljene obdelave osebnih podatkov o pacientu, o čemer morajo obvestiti tudi pacienta. Izvajalec zdravstvene dejavnosti mora v obvestilu po 46. členu ZPacP pacienta obvestiti o ugotovitvah v zvezi z obdelavo njegovih osebnih podatkov, pri čemer ni dolžan navesti osebnih podatkov zaposlenih, za katere je ugotovil, da so nezakonito obdelovali pacientove osebne podatke. V konkretnem primeru, kot izhaja iz vašega zaprosila, niti ne gre za sum nezakonite obdelave osebnih podatkov pacientke, saj želi pacientka pridobiti podatke o tem, kdaj sta določena zdravnika, ki sta sodelovala pri njeni zdravstveni obravnavi, vpogledala v določen izvid. Dnevnik obdelave osebnih podatkov tudi ni del zdravstvene dokumentacije, zaradi česar ga pacientka ne more pridobiti niti na podlagi 41. člena ZPacP, ki ureja seznanitev pacienta z zdravstveno dokumentacijo.

IP pojasnjuje, da bi del dnevnika obdelave osebnih podatkov, ki ga želi pridobiti pacientka, na njen predlog na podlagi Zakona o pravdnem postopku (Uradni list RS, št. 73/07-UPB3, s spremembami) in 22. člena ZVOP-2 lahko pridobilo sodišče, ki vodi konkretni odškodninski postopek.

Lepo vas pozdravljamo,

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka