Posredovanje zavarovalne police ob zahtevi zavarovalnice za pridobitev kopije zdravstvene dokumentacije pri izvajalcu zdravstvene dejavnosti

Datum

16.01.2024

Številka

07120-1/2024/13

Kategorije

Zdravstveni osebni podatki, Zavarovalništvo, Pridobivanje OP iz zbirk

Pri Informacijskem pooblaščencu (IP) smo dne 10. 1. 2024 prejeli vaše vprašanje, ali je zavarovalnica dolžna ob zahtevi za pridobitev kopije zdravstvene dokumentacije predložiti kopijo zavarovalne police zaradi ugotavljanja pravne podlage in obsega podatkov, do katerega je zavarovalnica upravičena. Zavarovalnica v naknadnem dopisovanju meni, da je izvajalec zdravstvene dejavnosti že bil seznanjen z zavarovanjem, ker je prejel povrnjen del stroškov za zdravstvene storitve.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena ZVOP-2, 58. členom Splošne uredbe o varstvu podatkov, 76. člena Zakona o varstvu osebnih podatkov na področju obravnavanja kaznivih dejanj (ZVOPOKD) ter 2. členom Zakona o informacijskem pooblaščencu (ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Pojasnjujemo še, da se lahko dokončno opredeljujemo do konkretnih obdelav osebnih podatkov le v nadzornih postopkih in ob upoštevanju vseh okoliščin konkretnega primera. Poleg tega v konkretnem primeru ne nastopamo kot pritožbeni organ po 41. členu ZVOP-2.

Po mnenju IP je upravljavec upravičen od uporabnika zahtevati dokazila o izpolnjevanju materialnopravnih in procesnih pogojev za pridobitev osebnih podatkov, vendar je to avtonomna ocena upravljavca in ne predpisana obveznost. Če je zahteva uporabnika ustrezno obrazložena in prepričljiva ter iz okoliščin izhaja, da je relevantnim navedbam moč verjeti, dodatno dokazovanje s predložitvijo relevantnih dokumentov ni nujno potrebno.

V konkretnem primeru ni jasno, kakšna je bila vsebina prvotne zahteve zavarovalnice. Če zavarovalnica v prvotni zahtevi ni razkrila pomembnih dejstev, zlasti o tem, za kakšno zavarovanje gre, za kakšen zavarovalni primer gre, v kakšni vlogi nastopa pacient ter da gre za zavarovanca, za katerega je zavarovalnica pri izvajalcu krila razliko stroškov zdravstvenih storitev, je bila upravljavčeva zahteva po predložitvi kopije zavarovalne police lahko upravičena.

Obrazložitev

Upravljavec nosi primarno odgovornost za posredovanje osebnih podatkov zunanjim uporabnikom, saj je zavezan spoštovati vsa načela iz 5. člena Splošne uredbe. Zato je dolžan in upravičen preveriti vse pogoje za zakonitost posredovanja osebnih podatkov, vključno s preverjanjem spoštovanja načela najmanjšega obsega podatkov. Pri tem mora izhajati iz vsebine uporabnikove zahteve, morebitnih prilog, podatkov v lastnem dokumentarnem gradivu ali zbirkah in iz morebitnih drugih relevantnih okoliščin konkretnega primera, na primer iz dosedanjega sodelovanja z uporabnikom, vzporedne komunikacije s posameznikom, na katerega se podatki nanašajo, že posredovanih podatkov za zadevnega posameznika, posebne narave podatkov ipd.

Prvi odstavek 41. člena ZVOP-2 določa, da če drug zakon ne določa drugače (pri čemer ZZavar ne določa drugače), zahteva za posredovanje osebnih podatkov vsebuje naslednje podatke:

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Omenjene določbe ne govorijo o (obvezni) predložitvi določenih dokazil s strani uporabnika. Vendar to ne pomeni, da v primeru dvoma v uporabnikove navedbe, neustreznih pojasnil, posebnih zahtev (npr. velik obseg zahtevanih podatkov, občutljivost zahtevanih podatkov), očitne nesorazmernosti ali želje po zagotavljanju višje ravni varnosti ipd. upravljavec ne more od uporabnika zahtevati ustreznih dokazil.

Če zavarovalnica v zahtevi sploh ne bi ustrezno pojasnila, za katero zavarovanje gre (npr. zdravstveno, življenjsko, nezgodno, zavarovanje odgovornosti…), v kakšni vlogi nastopa posameznik (npr. kot zavarovanec, bodoči zavarovanec, zavarovalec, upravičenec iz zavarovanja), za kakšen zavarovalni primer gre (kaj je bil zavarovalni dogodek – npr. koriščenje zdravstvenih storitev, nezgoda, uveljavljanje odškodninske obveznosti) in za katero zavarovalniško opravilo so podatki potrebni (npr. sklepanje zavarovalne pogodbe, odločanje o likvidaciji škode, uveljavljanje regresne pravice, ugotavljanje sumljivih okoliščin), bi upravljavec lahko upravičeno zahteval predložitev kopije zavarovalne police in v določenih primerih tudi kopije zavarovalniškega zahtevka in celo drugih dokumentov, delno ali v celoti.

Če je v konkretnem primeru problem le v dokazovanju dejanskega obstoja zavarovalne pogodbe, pa zavarovalnica v zahtevi ni pojasnila, da gre za pacienta oziroma zavarovanca, ki je koristil zdravstveno storitev in da je bila zavarovalnica plačnik razlike vrednosti storitve iz naslova zdravstvenega zavarovanja, je razumljivo, da je upravljavec zahteval kopijo zavarovalne police. Izvajalec zdravstvene dejavnosti mora biti o tem dejstvu obveščen, da bi ga lahko potencialno preveril v internih zbirkah podatkov, saj je treba upoštevati, da ga ne more preprosto domnevati, poleg tega gre za izjemno maso podatkov pri izvajalcu, odločanje o zahtevah se ne izvaja nujno s strani organizacijske enote, ki je izvajala neposredno zdravstveno oskrbo ali obračunavala storitve, različni zaposleni imajo različne dostopne pravice do zbirk podatkov pri izvajalcu ipd.

Ker pa je to dejstvo verjetno že razčiščeno (tako izhaja iz naknadnih konkretnih pojasnil zavarovalnice) in ga je možno preveriti v internih zbirkah podatkov pri upravljavcu, verjetno ni več potrebe po predložitvi police. Vendar to spada v avtonomijo upravljavca, saj ne gre za formalni pogoj.

Dodajamo še, da navedba številke zavarovalne police ni isto kot njena predložitev (dela ali celote), saj se s sámo številko upravljavec ne more prepričati o dejanskem obstoju zavarovalne pogodbe. Po drugi strani pa to ne pomeni, da bi morala zavarovalnica za vsako zahtevo, torej vedno predložiti kopijo zavarovalne police, saj lahko upravljavec iz okoliščin primera (npr. dosedanje neproblematično sodelovanje in vzpostavljeno zaupanje ali konkretna in jasna pojasnila v zahtevi, zaradi česar je ta prepričljiva) napravi oceno, da dodatno dokazovanje ni potrebno.

V primeru zavrnitve zahteve zavarovalnice, ima ta – v konkretnem primeru – možnost vložitve predloga v nepravdnem sodnem postopku. IP se ne more vnaprej opredeljevati do konkretnih primerov, zato je to mnenje le informativno.

V podporo temu mnenju so tudi naslednja starejša mnenja IP, ki se deloma in smiselno nanašajo na to problematiko: št. 0712-1/2015/2244 (7. 9. 2015), 0712-1/2018/864 (12. 4. 2018), 0712-1/2011/2 (11. 1. 2011) in 0712-869/2007/2 (2. 10. 2007) ter novejši mnenji št. 07120-1/2023/24 (26. 1. 2023) in 07120-1/2023/72 (2023).

Prijazen pozdrav.

Pripravil

dr. Urban Brulc, univ. dipl. prav., samostojni svetovalec IP

Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka