Obdelava osebnih podatkov v zdravstvu

Datum

23.06.2025

Številka

07121-1/2025/798

Kategorije

Posebne vrste OP, Pravne podlage, Varnost osebnih podatkov, Zdravstveni osebni podatki

pri Informacijskem pooblaščencu (v nadaljevanju IP) smo prejeli vaše zaprosilo za mnenje glede obdelave vaših zdravstvenih osebnih podatkov. Navajate, da vam je turistično društvo v kuverti UKC poslalo reklamo za glasbeno prireditev. Zanima vas, kdo v UKC lahko dostopa do vaših osebnih podatkov in ali je dopustno, da se posredujejo tretjim osebam na tak način.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) in/ali 5. točke prvega odstavka 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (Uradni list RS, št. 177/20, v nadaljevanju ZVOPOKD), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Izvajalec zdravstvene dejavnosti mora imeti ustrezno pravno podlago za vpogled, uporabo, posredovanje ali drugačno obdelavo kateregakoli osebnega podatka. Zdravstvene institucije večinoma obdelujejo zdravstvene podatke na podlagi točke h) drugega odstavka 9. člena v zvezi s prvim odstavkom 6. člena Splošne uredbe ter poročno zakonodajo.

Podatke o zdravstvenem stanju posameznika je dovoljeno razkriti le tistim zdravstvenim delavcem, ki so vključeni v proces zdravljenja oziroma so za obdelavo podatkov posebej pooblaščeni.

Če izvajalec zdravstvene dejavnosti določene informacije pošlje pacientu neposredno, v okviru lastne komunikacije z njim in v zvezi z zdravljenjem, to z vidika predpisov o varstvu osebnih podatkov najverjetneje ni sporno. To pa ne velja, če bi osebne podatke brez pravne podlage posredoval tretjim osebam, na primer turističnemu društvu ali družbi, ki se ukvarja z izterjavo odškodnin.

Obrazložitev

IP uvodoma pojasnjuje, da izven nadzornega postopka ne more presojati zakonitosti konkretnih obdelav osebnih podatkov. V okviru neobvezujočega mnenja lahko poda zgolj splošna pojasnila in pravne usmeritve.

Vsaka obdelava osebnih podatkov mora imeti ustrezno pravno podlago, da se šteje za zakonito. Pravne podlage ureja prvi odstavek 6. člena Splošne uredbe, ki določa, da mora biti za obdelavo izpolnjen vsaj eden od naslednjih pogojev:

(a)posameznik, na katerega se nanašajo osebni podatki, je privolil v obdelavo njegovih osebnih podatkov v enega ali več določenih namenov;

(b)obdelava je potrebna za izvajanje pogodbe, katere pogodbena stranka je posameznik, na katerega se nanašajo osebni podatki, ali za izvajanje ukrepov na zahtevo takega posameznika pred sklenitvijo pogodbe;

(c)obdelava je potrebna za izpolnitev zakonske obveznosti, ki velja za upravljavca;

(d)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali druge fizične osebe;

(e)obdelava je potrebna za opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti, dodeljene upravljavcu;

(f)obdelava je potrebna zaradi zakonitih interesov, za katere si prizadeva upravljavec ali tretja oseba, razen kadar nad takimi interesi prevladajo interesi ali temeljne pravice in svoboščine posameznika, na katerega se nanašajo osebni podatki, ki zahtevajo varstvo osebnih podatkov, zlasti kadar je posameznik, na katerega se nanašajo osebni podatki, otrok.

Osebni podatki, ki se uvrščajo med zdravstvene podatke posameznika, so podvrženi strožjemu režimu, saj gre za posebne vrste osebnih podatkov. Njihova obdelava je načeloma prepovedana, razen če je dovoljena na podlagi drugega odstavka 9. člena Splošne uredbe, ki določa naslednje izjeme:

(a)posameznik, na katerega se nanašajo osebni podatki, je dal izrecno privolitev v obdelavo navedenih osebnih podatkov za enega ali več določenih namenov, razen kadar pravo Unije ali pravo države članice določa, da posameznik, na katerega se nanašajo osebni podatki, ne sme odstopiti od prepovedi iz odstavka 1;

(b)obdelava je potrebna za namene izpolnjevanja obveznosti in izvajanja posebnih pravic upravljavca ali posameznika, na katerega se nanašajo osebni podatki, na področju delovnega prava ter prava socialne varnosti in socialnega varstva, če to dovoljuje pravo Unije ali pravo države članice ali kolektivna pogodba v skladu s pravom države članice, ki zagotavlja ustrezne zaščitne ukrepe za temeljne pravice in interese posameznika, na katerega se nanašajo osebni podatki;

(c)obdelava je potrebna za zaščito življenjskih interesov posameznika, na katerega se nanašajo osebni podatki, ali drugega posameznika, kadar posameznik, na katerega se nanašajo osebni podatki, fizično ali pravno ni sposoben dati privolitve;

(d)obdelavo v okviru svojih zakonitih dejavnosti z ustreznimi zaščitnimi ukrepi izvaja ustanova, združenje ali katero koli drugo neprofitno telo s političnim, filozofskim, verskim ali sindikalnim ciljem in pod pogojem, da se obdelava nanaša samo na člane ali nekdanje člane telesa ali na osebe, ki so v rednem stiku z njim v zvezi z njegovimi nameni, ter da se osebni podatki ne posredujejo zunaj tega telesa brez privolitve posameznikov, na katere se nanašajo osebni podatki;

(e)obdelava je povezana z osebnimi podatki, ki jih posameznik, na katerega se nanašajo osebni podatki, sam objavi;

(f)obdelava je potrebna za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov ali kadar koli sodišča izvajajo svojo sodno pristojnost;

(g)je potrebna iz razlogov bistvenega javnega interesa na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki;

(h)obdelava je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotovitev zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3;

(i)obdelava je potrebna iz razlogov javnega interesa na področju javnega zdravja, kot je zaščita pred resnimi čezmejnimi tveganji za zdravje ali zagotovitev visokih standardov kakovosti in varnosti zdravstvenega varstva ter zdravil ali medicinskih pripomočkov, na podlagi prava Unije ali prava države članice, ki zagotavlja ustrezne in posebne ukrepe za zaščito pravic in svoboščin posameznika, na katerega se nanašajo osebni podatki, zlasti varovanje poklicne skrivnosti;

(j)obdelava je potrebna za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1) na podlagi prava Unije ali prava države članice, ki je sorazmerno z zastavljenim ciljem, spoštuje bistvo pravice do varstva podatkov ter zagotavlja ustrezne in posebne ukrepe za zaščito temeljnih pravic in interesov posameznika, na katerega se nanašajo osebni podatki.

V vsakem primeru mora imeti izvajalec zdravstvene dejavnosti ustrezno pravno podlago za obdelavo, torej tudi za vpogled, uporabo in posredovanje kateregakoli osebnega podatka. Zdravstvene institucije večinoma obdelujejo zdravstvene podatke na podlagi točke h) drugega odstavka 9. člena v zvezi s prvim odstavkom 6. člena Splošne uredbe ter poročno zakonodajo, kar jim omogoča zagotovitev ustrezne zdravstvene oskrbe in opravljanje storitev zdravljenja.

Pri tem mora zdravstveno osebje še posebej paziti na varnostne ukrepe, na primer da se zdravstvene kartoteke ne nahajajo v odklenjenih ali celo odprtih omarah na hodnikih, kjer bi lahko prišlo do nepooblaščenega vpogleda. Prav tako je treba paziti na dopustnost pretoka podatkov med zdravstvenim osebjem. Podatke o zdravstvenem stanju posameznika je dopustno razkriti le tistim zdravstvenim delavcem, ki so vključeni v proces zdravljenja ali so za seznanitev oziroma drugo vrsto obdelave izrecno pooblaščeni. Vsakršno širjenje izven tega okvira, torej brez ustrezne pravne podlage, pomeni prekomerno in s tem nedovoljeno obdelavo osebnih podatkov.

Posamezni izvajalec zdravstvene dejavnosti, na primer vaš lečeči zdravnik, ima praviloma pravno podlago za obdelavo vaših osebnih podatkov, vključno z vašimi zdravstvenimi podatki, če je ta obdelava potrebna v okviru zdravstvene obravnave. Uporaba in druga obdelava pacientovih zdravstvenih in drugih osebnih podatkov izven postopkov zdravstvene obravnave je dovoljena le z njegovo privolitvijo ali privolitvijo oseb, ki imajo pravico do privolitve v medicinski poseg ali zdravstveno obravnavo, če pacient ni sposoben odločanja o sebi (četrti odstavek 44. člena Zakona o pacientovih pravicah; Uradni list RS, št. 15/08, 55/17, 177/20 in 100/22 – ZNUZSZS).

Če vam torej izvajalec zdravstvene dejavnosti določene informacije pošlje neposredno, v okviru lastne komunikacije z vami in v zvezi z zdravljenjem, to z vidika predpisov o varstvu osebnih podatkov glede na obrazloženo najverjetneje ni sporno. To pa seveda ne velja v primeru, če bi vaše osebne podatke posredoval tretjim osebam, na primer turističnemu društvu ali družbi, ki se ukvarja z izterjavo odškodnin. Takšen prenos bi bil brez ustrezne ločene pravne podlage (npr. vaše izrecne privolitve) najverjetneje nezakonit.

Kot omenjeno, pa IP v okviru podaje neobvezujočega mnenja ni pristojen dokončno presoditi, ali je v vašem primeru obdelava podatkov zakonita. Če menite, da je izvajalec zdravstvene dejavnosti kršil predpise o varstvu osebnih podatkov, lahko na IP podate prijavo ter priložite ustrezna dokazila. Pomagate si lahko z neobveznim obrazcem (»Obrazec VOP prijava«), ki je dostopen na: https://www.ip-rs.si/obrazci/varstvo-osebnih-podatkov/.

V upanju, da smo odgovorili na vaša vprašanja, vas lepo pozdravljamo.

dr. Jelena Virant Burnik, informacijska pooblaščenka