Posredovanje zdravstvenih podatkov v CeZZ s strani zdravnika zasebnika

Datum

13.08.2026

Številka

07121-1/2026/803

Kategorije

Pravne podlage, Privolitev, Zbirke osebnih podatkov, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje. Zanima vas, ali se lahko v primeru, ko zdravstveno storitev plačate sami oziroma jo plača vaša komercialna zavarovalnica, izvid obravnave brez vaše privolitve posreduje v CRPP oziroma v zVEM.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, 40/25 – ZInfV-1 in 10/26 – ZP-1L), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Izvajalci zdravstvene dejavnosti za obdelavo zdravstvenih podatkov in njihovo posredovanje v zbirke podatkov s področja zdravstvenega varstva (npr. posredovanje izvida v CeZZ) ne potrebujejo pacientove privolitve, saj pravna podlaga za to izhaja neposredno iz ZDigZ. Dejstvo, da je bila storitev samoplačniška ali plačana iz komercialnega zdravstvenega zavarovanja, na to samo po sebi ne vpliva.

ZDigZ je preoblikoval Centralni register podatkov o pacientih (CRPP) v Centralni elektronski zdravstveni zapis (CeZZ), ki je centralna zbirka zdravstvene dokumentacije za paciente s stalnim ali začasnim prebivališčem v Republiki Sloveniji in za druge paciente, ki v Republiki Sloveniji prejmejo zdravstveno obravnavo.

Upravljavci CeZZ so izvajalci zdravstvene dejavnosti, kar vključuje tako izvajalce iz javnega, kot tudi iz zasebnega sektorja. Zdravniki zasebniki imajo tako zakonsko pravno podlago za vnos podatkov pacienta ter zdravstvene dokumentacije v omenjeno zbirko podatkov, kar naj bi počeli redno, ob nastanku samih podatkov.

Pacient ima v skladu z 32. členom ZDigZ pravico prepovedati dostop do svoje zdravstvene dokumentacije v CeZZ. Prepoved se lahko nanaša na izvajalca zdravstvene dejavnosti, posameznega zdravstvenega delavca ali zdravstvenega sodelavca pri določenem izvajalcu zdravstvene dejavnosti.

Obrazložitev

IP uvodoma pojasnjuje, da izven nadzornega oziroma inšpekcijskega postopka ali drugega upravnega postopka nima zakonskih pooblastil za presojo zakonitosti konkretnih obdelav osebnih podatkov ali ugotavljanje morebitnih kršitev pravic posameznikov. V nadaljevanju zato podaja splošna pojasnila in pravna izhodišča v zvezi z vašim dopisom.

Za vsako obdelavo osebnih podatkov mora biti podana ustrezna pravna podlaga skladno s 6. členom Splošne uredbe, kadar gre za posebne vrste osebnih podatkov, kamor uvrščamo tudi podatke v zvezi z zdravjem posameznika, pa mora biti podana tudi ena izmed izjem po drugem odstavku 9. člena Splošne uredbe. Tako je npr. skladno s točko (h) drugega odstavka 9. člena Splošne uredbe obdelava dopustna, če je potrebna za namene preventivne medicine ali medicine dela, oceno delovne sposobnosti zaposlenega, zdravstveno diagnozo, zagotavljanje zdravstvene ali socialne oskrbe ali zdravljenja ali upravljanje sistemov in storitev zdravstvenega ali socialnega varstva na podlagi prava Unije ali prava države članice ali v skladu s pogodbo z zdravstvenim delavcem ter zanjo veljajo pogoji in zaščitni ukrepi iz odstavka 3. Privolitev torej ni edina pravna podlaga za obdelavo zdravstvenih podatkov, pač pa jo lahko dopušča tudi zakon sam, brez privolitve pacienta.

Vsi izvajalci zdravstvene dejavnosti, tako iz javnega kot tudi iz zasebnega sektorja, morajo upoštevati določbe Splošne uredbe, ZVOP-2, Zakona o zdravniški dejavnosti (v nadaljevanju ZZDej), Zakona o pacientovih pravicah (v nadaljevanju ZPacP) in Zakona o digitalizaciji zdravstva (v nadaljevanju ZDigZ).

ZPacP v 44. členu posebej poudarja, da ima pacient pravico do zaupnosti osebnih podatkov, vključno s podatki o obisku pri zdravniku in drugih podrobnostih o njegovem zdravljenju. S pacientovimi zdravstvenimi in drugimi osebnimi podatki morajo zdravstveni delavci in zdravstveni sodelavci ravnati v skladu z načelom zaupnosti in predpisi, ki urejajo varstvo osebnih podatkov. Med zdravstvene delavce pa se skladno s 24. točko 2. člena ZPacP štejejo vsi, ki opravljajo zdravstvene ali lekarniške storitve, kot to določata zakona, ki urejata zdravstveno in lekarniško dejavnost. ZZDej tako v prvem odstavku 3. člena določa, da so izvajalci zdravstvene dejavnosti domače in tuje pravne in fizične osebe, ki so pridobile dovoljenje ministrstva, pristojnega za zdravje, za opravljanje zdravstvene dejavnosti. Navedeno pomeni, da se določbe o zaupnosti in varovanju osebnih podatkov nanašajo tudi na zdravnike zasebnike.

Relevantni zakon, ki izvajalcem zdravstvene dejavnosti daje pravno podlago za obdelavo zdravstvenih podatkov v zbirkah podatkov s področja zdravstvenega varstva, je Zakon o digitalizaciji zdravstva (v nadaljevanju ZDigZ), ki je stopil v veljavo 19. 12. 2025. Z njim je bil tudi razveljavljen Zakon o zbirkah podatkov s področja zdravstvenega varstva (v nadaljevanju ZZPPZ). Med spremembami, ki jih je uvedel ZDigZ, pa je tudi preoblikovanje Centralnega registra podatkov o pacientih (v nadaljevanju CRPP) v Centralni elektronski zdravstveni zapis (v nadaljevanju CeZZ). Ob tem pojasnjujemo, da 59. člen ZDigZ (nadaljnje vodenje zbirk podatkov eZdravja) določa prehodno ureditev, po kateri se zbirke podatkov eZdravja iz prvega odstavka 14.a člena ZZPPZ uskladijo z ZDigZ in se vodijo naprej kot zbirka CeZZ, ko so izpolnjeni tehnični pogoji za njeno vzpostavitev.

ZDigZ v 28. členu opredeljuje CeZZ kot centralno zbirko zdravstvene dokumentacije za paciente s stalnim ali začasnim prebivališčem v Republiki Sloveniji in za druge paciente, ki v Republiki Sloveniji prejmejo zdravstveno obravnavo. Vsebuje povzetek podatkov o pacientu in njegovo zdravstveno dokumentacijo, pri čemer se ti podatki med drugim obdelujejo za namene varovanja življenja in zdravja, zagotavljanje kakovostne in varne zdravstvene oskrbe v skladu z ZPacP, vzpostavljanje stika s pacientom ipd. ZDigZ dalje v 23. členu določa, kdo so upravljavci podatkov v tej zbirki, in sicer zanje imenuje izvajalce zdravstvene dejavnosti, razen lekarn in Nacionalnega inštituta za javno zdravje (v nadaljevanju NIJZ). Zakon torej zasebnih izvajalcev zdravstvene dejavnosti, s koncesijo ali brez, ne izključuje iz uporabe CeZZ. Takšna ureditev je veljala tudi za uporabo CRPP po ZZPPZ, kar je IP že izpostavil v preteklih mnenjih, npr. mnenju št. 07121-1/2024/1449 z dne 25. 11. 2024.

ZDigZ v petem odstavku 3. člena določa tudi, da izvajalci zdravstvene dejavnosti v Republiki Sloveniji podatke in zdravstveno dokumentacijo vpisujejo oziroma posredujejo v zbirke podatkov iz tega zakona redno, ob njihovem nastanku.

Ob tem izpostavljamo, da ZDigZ določa tudi režim dostopa do podatkov pacienta v CeZZ. Uporabnike sistema deli na notranje uporabnike, ki jim pooblastilo za neposredni dostop podelijo izvajalci zdravstvene dejavnosti (24. člen ZDigZ), ter zunanje uporabnike, ki morajo za dostop do zadevnih podatkov izkazati pravno podlago in druge pogoje glede na ZVOP-2 in ZPacP (30. člen ZDigZ). Pravico do dostopa ima med drugim seveda tudi pacient, z izjemo podatkov, za katere izvajalec zdravstvene dejavnosti presodi, da pomenijo izjemo od pravice do obveščenosti pacienta v skladu z ZPacP, če pacient ni uveljavljal pravice do popolne obveščenosti.

Nadalje ima pacient tudi pravico prepovedati dostop do svoje zdravstvene dokumentacije v CeZZ, kar ureja 32. člen ZDigZ. Prepoved se lahko nanaša na izvajalca zdravstvene dejavnosti, posameznega zdravstvenega delavca ali zdravstvenega sodelavca pri določenem izvajalcu zdravstvene dejavnosti, ne velja pa za izbranega osebnega zdravnika, zdravstvene delavce ali sodelavce, ki nudijo nujne zdravstvene storitve (npr. nujno medicinsko pomoč), pri obravnavi zaradi nalezljivih bolezni ali kadar tako določa zakon. Dodatne možnosti določitve prepovedi ali omejitve dostopa za določena zdravstvena stanja in medicinske posege lahko določi minister na pobudo Komisije za medicinsko etiko ali razširjenih strokovnih kolegijev.

Iz navedenega tako izhaja, da izvajalci zdravstvene dejavnosti za obdelavo zdravstvenih podatkov in njihovo posredovanje v zbirke podatkov s področja zdravstvenega varstva (npr. posredovanje izvida v CeZZ) ne potrebujejo pacientove privolitve, saj pravna podlaga za to izhaja neposredno iz ZDigZ. Dejstvo, da je bila storitev samoplačniška ali plačana iz komercialnega zdravstvenega zavarovanja, na to samo po sebi ne vpliva.

Nazadnje poudarjamo, da IP nima pristojnosti nadzora nad vprašanjem, ali je izvajalec zdravstvene dejavnosti iz zasebnega sektorja dolžan vnašati podatke in dokumentacijo v CeZZ in ali to v praksi izvaja. Vsekakor pa imajo tudi zdravniki zasebniki zakonsko pravno podlago za vnos podatkov o pacientu ter zdravstvene dokumentacije v omenjeno zbirko podatkov. Kot je izpostavljeno na vladni spletni strani https://www.ip-rs.si/go?u=external%3Awww.gov.si%2Fzbirke%2Fprojekti-in-programi%2Fprenova-zdravstvenega-sistema%2Fdigitalizacija-zdravstva%2F, bodo ne glede na to, katero zdravstveno ustanovo bo pacient obiskal, njegovi zdravstveni podatki na voljo zdravstvenim delavcem in sodelavcem v centralnem zdravstvenem elektronskem zapisu (CeZZ).

V upanju, da smo vam odgovorili na vprašanje, vas lepo pozdravljamo.

Pripravila: Tina Ivanc, univ. dipl. prav. svetovalka pooblaščenca za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka