Izdani recepti na portalu zVEM

Datum

16.02.2023

Številka

07121-1/2023/94

Kategorije

Zdravstveni osebni podatki, Pravica do popravka, Pravica do izbrisa - pozabe

Pri Informacijskem pooblaščencu (IP) smo dne 30. 1. 2023 po elektronski pošti prejeli vaš dopis, v katerem pojasnjujete, da ste si predhodno uredili digitalno potrdilo s katerim dostopate do portala zVEM, pri vpogledu v izdane recepte v omenjenem portalu pa ste ugotovili, da se na vaši kartici zdravstvenega zavarovanja (v nadaljevanju KZZ) vodijo nekateri recepti za zdravila, katera niste nikoli jemali, prav tako pa niste bili nikoli seznanjeni, da so vam bila kadarkoli predpisana. IP naprošate, da preveri, kateri zdravnik je zdravila izdal, ter v kateri lekarni so zdravila izdali brez vaše KZZ, saj v portalu zVEM piše, da je recept porabljen.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 1. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba o varstvu podatkov) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pojasnjujemo še, da se IP lahko dokončno opredeljuje do konkretnih primerov obdelav osebnih podatkov le v inšpekcijskih in pritožbenih postopkih.

V zvezi z domnevno neresničnimi podatki, vam IP svetuje, da se poslužite pravice do popravka osebnih podatkov in/ali pravice do izbrisa svojih osebnih podatkov (npr. da se v informacijskem sistemu upravljavca osebnih podatkov – izvajalca zdravstvene dejavnosti, kjer ste (bili) obravnavani, popravijo/izbrišejo recepti, ki vam niso bili predpisani.

Obrazložitev

Splošna uredba o varstvu podatkov posameznikom daje pravice, s katerimi lahko ti izvajajo nadzor nad obdelavo svojih lastnih osebnih podatkov. V vašem primeru vam IP svetuje, da se poslužite pravice do popravka osebnih podatkov in/ali pravice do izbrisa svojih osebnih podatkov (npr. da se v informacijskem sistemu upravljavca osebnih podatkov - izvajalca zdravstvene dejavnosti, kjer ste (bili) obravnavani popravijo/izbrišejo recepti, ki vam niso bili predpisani).

Pravica do popravka je urejena v členu 16 Splošne uredbe o varstvu podatkov in določa:

»Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja popravi netočne osebne podatke v zvezi z njim. Posameznik, na katerega se nanašajo osebni podatki, ima ob upoštevanju namenov obdelave, pravico do dopolnitve nepopolnih osebnih podatkov, vključno s predložitvijo dopolnilne izjave.«

Če boste pri upravljavcu osebnih podatkov - izvajalcu zdravstvene dejavnosti vložili zahtevo za popravek ali vložitev pripomb, imate v primeru zavrnitve možnost pritožbe pri IP v 15 dneh od prejema zavrnilne odločitve izvajalca. Če izvajalec o zahtevi ne bi odločil v predpisanem roku, lahko prav tako vložite pritožbo. Po Splošni uredbi varstvu osebnih podatkov je rok za odločitev en mesec.

Več o pravici do popravka si lahko preberete na naši spletni strani: https://tiodlocas.si/zelim-popraviti-netocne-podatke/.

Pravica do izbrisa oziroma pravica do pozabe je urejena v členu 17 Splošne uredbe o varstvu osebnih podatkov, ki določa:

1. Posameznik, na katerega se nanašajo osebni podatki, ima pravico doseči, da upravljavec brez nepotrebnega odlašanja izbriše osebne podatke v zvezi z njim, upravljavec pa ima obveznost osebne podatke brez nepotrebnega odlašanja izbrisati, kadar velja eden od naslednjih razlogov:

1.osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani;

2.posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, na podlagi katere poteka obdelava v skladu s točko (a) člena 6(1) ali točko (a) člena 9(2), in kadar za obdelavo ne obstaja nobena druga pravna podlaga;

3.posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(1), za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi, ali pa posameznik, na katerega se nanašajo osebni podatki, obdelavi ugovarja v skladu s členom 21(2);

4.osebni podatki so bili obdelani nezakonito;

5.osebne podatke je treba izbrisati za izpolnitev pravne obveznosti v skladu s pravom Unije ali pravom države članice, ki velja za upravljavca;

6.osebni podatki so bili zbrani v zvezi s ponudbo storitev informacijske družbe iz člena 8(1).

2. Kadar upravljavec objavi osebne podatke in je v skladu z odstavkom 1 osebne podatke obvezan izbrisati, ob upoštevanju razpoložljive tehnologije in stroškov izvajanja sprejme razumne ukrepe, vključno s tehničnimi, da upravljavce, ki obdelujejo osebne podatke, obvesti, da posameznik, na katerega se nanašajo osebni podatki, od njih zahteva, naj izbrišejo morebitne povezave do teh osebnih podatkov ali njihove kopije.

3. Odstavka 1 in 2 se ne uporabljata, če je obdelava potrebna:

1.za uresničevanje pravice do svobode izražanja in obveščanja;

2.za izpolnjevanje pravne obveznosti obdelave na podlagi prava Unije ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila dodeljena upravljavcu;

3.iz razlogov javnega interesa na področju javnega zdravja v skladu s točkama (h) in (i) člena 9(2) ter členom 9(3);

4.za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene v skladu s členom 89(1), kolikor bi pravica iz odstavka 1 lahko onemogočila ali resno ovirala uresničevanje namenov te obdelave, ali

5.za uveljavljanje, izvajanje ali obrambo pravnih zahtevkov.«

Pravica do izbrisa ni absolutna, ampak njeno uresničevanje poteka v skladu z zgoraj navedenimi pogoji (npr. če zakon določa, da je potrebno osebne podatke hraniti določeno obdobje, do izteka tega obdobja načeloma ni mogoče zahtevati izbrisa takšnih osebnih podatkov).

Tudi glede zahteve za izbris velja, da imate možnost vložitve pritožbe pri IP.

Več informacij o pravici do izbrisa si lahko preberete na spletni strani IP: https://tiodlocas.si/zelim-izbrisati-svoje-podatke/.

Če torej menite, da se določeni osebni podatki v zvezi z vašo zdravstveno dokumentacijo vodijo brez pravne podlage, lahko pri upravljavca osebnih podatkov - izvajalcu zdravstvene dejavnosti, kjer ste (bili) obravnavani, vložite zahtevo za izbris osebnih podatkov oziroma receptov, ki vam niso bili predpisani.

Podrobnosti glede predpisanega zdravila oziroma o tem, ali je bil recept dejansko porabljen, se glede na samo specifiko predpisanega zdravila ugotavlja le v primeru uvedenega inšpekcijskega postopka (na primer ali gre za obnovljiv recept s številom predpisanih ponovitev, ki se lahko na prvi pogled številčno ne ujema s preostalimi izdajami, v realnosti pa dvig zdravila ni bil opravljen).

Nadzor nad izvajanjem določb Splošne uredbe o varstvu podatkov in ZVOP-2 izvršuje IP. Posameznik lahko, v kolikor meni, da je prišlo do kršitev navedene zakonodaje, poda prijavo pri IP. Na podlagi prijave lahko IP prične s postopkom inšpekcijskega nadzora.

Opozarjamo, da je odgovor le načelen, in da je dokončni in konkretni odgovor odvisen od vrste dejstev in okoliščin konkretnega primera, ki jih ne poznamo in jih je možno presojati le v inšpekcijskem oziroma pritožbenem postopku.

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ. dipl. prav.

informacijska pooblaščenka

Pripravila

Klara Kozina, Državna nadzornica za varstvo osebnih podatkov