Pretok zdravstvenih podatkov od zasebnih do javnih izvajalcev zdravstvenih storitev

Datum

20.02.2024

Številka

07121-1/2024/184

Kategorije

Privolitev, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po elektronski pošti prejel vaš dopis, v katerem sprašujete, ali sme privatna klinika, v kateri ste z željo po anonimnosti in zasebnosti samoplačniško opravil zdravstvene preiskave, brez vašega dovoljenja izvide teh preiskav vnesti v javni sistem in jih s tem narediti dostopne vsakemu zdravniku v državi.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

V centralnem registru podatkov o pacientih se po določbah Zakona o zbirkah podatkov s področja zdravstvenega varstva vodi povzetek podatkov o pacientu in pacientova zdravstvena dokumentacija. Pravna podlaga za vodenje teh podatkov in dokumentacije je torej podana v samem zakonu in vaša privolitev (z izjemo predhodne privolitve v zdravstveno obravnavo, ki pa je samo posredno povezana z obdelavo osebnih podatkov) ni potrebna. To velja tako za zdravstveno dokumentacijo, ki nastane pri zasebnih kot tudi pri javnih izvajalcih zdravstvene dejavnosti.

Po drugi strani pa zakon omejuje vpogled v zdravstvene podatke in nikakor se ne bi smelo zgoditi, da ima do njih dostop »vsak zdravnik v državi« temveč le tisti, ki jih potrebujejo za namen izvajanja zdravstvenih obravnav in so za to pooblaščeni z zakonom in podzakonskimi predpisi. Vpogled v določene podatke, ki se vodijo v CRPP (iz povzetka podatkov o pacientu) lahko tudi prepoveste.

Obrazložitev

IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.

Vsi izvajalci zdravstvene dejavnosti, bodisi iz zasebnega bodisi iz javnega sektorja, morajo (med drugim) spoštovati določbe Zakona o zbirkah podatkov s področja zdravstvenega varstva, Zakona o zdravstveni dejavnosti, Zakona o pacientovih pravicah, Splošne uredbe in ZVOP-2.

IP domneva, da imate pri terminu »javni sistem« v mislih centralni register podatkov o pacientih (v nadaljevanju: CRPP).

Delovanje CRPP je urejeno v Zakonu o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, s sprem. in dop.; v nadaljevanju ZZPPZ). 14.b člen ZZPPZ v določa, da je CRPP zbirka podatkov eZdravja o pacientih s stalnim ali začasnim prebivališčem v Republiki Sloveniji in o drugih pacientih, ki v Republiki Sloveniji prejmejo zdravstveno oskrbo. Nadalje določa vsebino CRPP, ki vsebuje naslednje podatke o pacientih:

-povzetek podatkov o pacientu in

-pacientovo zdravstveno dokumentacijo iz prvega odstavka 1.a člena tega zakona.

Zdravstvena dokumentacija je izvirno in reproducirano dokumentarno gradivo, ne glede na obliko zapisa in nosilec zapisa podatkov:

-ki nastane ali je prejeto pri zdravstveni oskrbi,

-ki je opredeljeno v Osnovni zdravstveni dokumentaciji v Prilogi 1 ali

-ki je povezano z zdravstvenim stanjem in je nujno potrebno za izvajanje pravic ali obveznosti, priznanih ali določenih z zakonom.

IP nima pristojnosti nadzora nad vprašanjem, ali je izvajalec zdravstvene dejavnosti iz zasebnega sektorja dolžan vnašati podatke in dokumentacijo v CRPP. Vsekakor pa je podana pravna podlaga za vnos povzetka podatkov o pacientu ter zdravstvene dokumentacije.

Navedeno pa ne pomeni, da lahko vsak zdravnik tudi dostopa do vaših zdravstvenih in drugih osebnih podatkov. Iz 14.b in 14.č člena ZZPPZ izhaja, da se lahko podatki in dokumenti v CRPP uporabljajo le za namen izvajanja zdravstvene oskrbe in še za nekatere druge, s tem povezane namene. Pri vsakem izvajalcu zdravstvene dejavnosti se morajo pooblastila zdravstvenih delavcev in drugih pooblaščenih oseb za obdelavo podatkov v CRPP določijo za posamezen podatek ali po posameznih sklopih podatkov oziroma pacientove zdravstvene dokumentacije tako, da je obseg pooblastila odvisen od kvalifikacije, poklica in delovnega področja zdravstvenega delavca ter delovnega mesta oziroma dela pri izvajalcu.

Dostopne pravice oziroma omejitve dostopnih pravic so podrobneje urejene v Pravilniku o pooblastilih za obdelavo podatkov v Centralnem registru podatkov o pacientih. Ta v 5.a členu določa, da imajo zdravstveni delavci in sodelavci pravico do vpogleda, pridobivanja in uporabe zdravstvene dokumentacije pacienta, kadar je to potrebno za zagotavljanje primerne, kakovostne in varne zdravstvene oskrbe pacienta v skladu z zakonom, ki ureja pacientove pravice, ali na podlagi privolitve pacienta. Še bolj podrobno so dostopne pravice urejene v PRILOGI Pravilnika.

IP vam sicer ne more zagotoviti, da so dostopne pravice tudi tehnično oziroma na izvedbeni ravni omejene v skladu s Pravilnikom. Zato se je treba v zvezi s tem obrniti na NIJZ, ki je upravljavec CRPP.

Omenjamo še, da so po določbi prvega odstavka 45. člena Zakon o pacientovih pravicah (Uradni list RS, št. 15/08, s sprem. in dop.; v nadaljevanju ZPacP) zdravstveni delavci in zdravstveni sodelavci ter osebe, ki so jim zaradi narave njihovega dela podatki dosegljivi, so dolžni kot poklicno skrivnost varovati vse, kar pri opravljanju svojega poklica ali dela zvedo o pacientu, zlasti informacije o njegovem zdravstvenem stanju, njegovih osebnih, družinskih in socialnih razmerah ter informacije v zvezi z ugotavljanjem, zdravljenjem in spremljanjem bolezni ali poškodb.

Glede dela vašega vprašanja, ki se nanaša na vprašanje vaše privolitve (oziroma obdelave brez vaše privolitve) lahko nadalje navedemo, da je obdelava zdravstvenih podatkov sicer določena z zakonom. 14.c člen ZZPPZ določa, da je obdelava podatkov iz CRPP pri izvajalcih v Republiki Sloveniji dopustna brez soglasja pacienta (na podlagi določb zakona). Vendar ima pacient po določbi tretjega odstavka 14.c člena ZZPPZ pravico s pisno izjavo prepovedati vpogled v povzetek podatkov o pacientu. Prepoved se lahko poda za izvajalca ali državo izvajalca. Dodatne možnosti prepovedi za določena zdravstvena stanja in medicinske posege lahko določi minister, pristojen za zdravje, na pobudo Komisije za medicinsko etiko. Pacient lahko s pisno izjavo omeji uporabo svojih kontaktnih podatkov. Prepoved vpogleda ne velja za določene podatke, ki jih našteva četrti odstavek 14.c člena ZZPPZ. Več o prepovedi vpogleda v povzetek podatkov o pacientih v CRPP si lahko preberete v mnenju IP št. 07121-1/2023/1441 z dne 20. 11. 2023 (https://www.ip-rs.si/mnenja-zvop-2/prepoved-vpogleda-v-povzetek-podatkov-o-pacientih-v-crpp-prek-zvem-1700470175).

V upanju, da ste dobili odgovor na svoje vprašanje, vas lepo pozdravljamo.

Mojca Prelesnik, univ.dipl.prav., informacijska pooblaščenka

Pripravila

mag. Polona Merc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov