Zahteva zavarovalnice za posredovanje zdravstvenega kartona

Datum

07.08.2024

Številka

07120-1/2024/287

Kategorije

Posredovanje osebnih podatkov, Zavarovalništvo, Zdravstveni osebni podatki

Pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje glede zahteve za posredovanje zdravstvenega kartona zavarovalnici. Zanima vas, ali je zavarovalnica upravičena do dostopa, v kakšnem obsegu in na kakšen način (original ali fotokopija) ter kdo nosi stroške. Pojasnjujete, da zavarovalnica zahteva, da pošljete na vpogled ambulantni karton z vsemi vložnimi listi in izvidi specialistov oziroma fotokopije od leta 2009 dalje.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Vsebina zahteve za posredovanje osebnih podatkov je določena v prvem odstavku 41. člena ZVOP-2. Taka zahteva mora med drugim vsebovati pravno podlago za pridobitev zahtevanih osebnih podatkov, kar bo v primeru zahteve zavarovalnice načeloma 286. člen ZZavar-1, prav tako pa mora zavarovalnica opredeliti namen obdelave osebnih podatkov oziroma navesti razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve.

Način posredovanja dokumentacije ni izrecno predpisan, temveč ga opredeli vlagatelj zahteve. Zavarovalnica jo lahko od izvajalca zdravstvene dejavnosti načeloma pridobi v obliki kopij, IP pa odsvetuje pošiljanje celotnega zdravstvenega kartona zavarovalnici po pošti.

Osebe javnega sektorja posredujejo osebne podatke brezplačno, če zakon ne določa drugače.

Če izvajalec zdravstvene dejavnosti zavrne zahtevo zavarovalnice za posredovanje podatkov, ima ta na voljo pravna sredstva, ki so urejena v četrtem odstavku 41. člena ZVOP-2.

Obrazložitev

IP uvodoma pojasnjuje, da se lahko do zakonitosti obdelav osebnih podatkov dokončno opredeli le v konkretnih nadzornih postopkih. Poleg tega v obravnavanem primeru niti ne nastopa kot pritožbeni organ, zato vam v zvezi z vašimi vprašanji nadaljevanju podaja zgolj splošna pojasnila.

Prvi odstavek 41. člena ZVOP-2 določa, da če drug zakon ne določa drugače, zahteva za posredovanje osebnih podatkov vsebuje naslednje podatke:

1.podatke o vlagatelju zahteve (za fizično osebo: osebno ime, naslov stalnega ali začasnega prebivališča; za samostojnega podjetnika posameznika, posameznika, ki samostojno opravlja dejavnost, ter za pravno osebo: naziv oziroma firmo in naslov oziroma sedež in matično številko) ter podpis vlagatelja oziroma pooblaščene osebe;

2.pravno podlago za pridobitev zahtevanih osebnih podatkov;

3.namen obdelave osebnih podatkov oziroma razloge, ki izkazujejo potrebnost in primernost osebnih podatkov za dosego namena pridobitve;

4.predmet in številko ali drugo identifikacijo zadeve, v zvezi s katero so osebni podatki potrebni, ter navedbo organa ali drugega subjekta, ki obravnava zadevo;

5.vrste osebnih podatkov, ki naj se mu posredujejo;

6.obliko in način pridobitve zahtevanih osebnih podatkov.

Zakonska podlaga za posredovanje osebnih podatkov zavarovalnici bo praviloma podana v 286. členu Zakona o zavarovalništvu (Uradni list RS, št. 93/15, s spremembami in dopolnitvami; v nadaljevanju ZZavar-1). Zavarovalnica je na tej podlagi upravičena do pridobitve relevantne zdravstvene dokumentacije, ki se nanaša na zavarovanca ali upravičenca iz zavarovanja, če je ta dokumentacija potrebna za sklepanje in izvajanje pogodb o zavarovanju, izterjave neplačanih obveznosti iz naslova zavarovalnih pogodb, reševanje škod, uveljavljanje povračilnih zahtevkov in drugih pravic ter obveznosti, vključno s preiskovanjem sumljivih primerov neupravičeno izplačanih odškodnin oziroma zavarovalnin, ki izvirajo iz zavarovanj po tem zakonu, in preverjanje politične izpostavljenosti oseb po zakonu, ki ureja preprečevanje pranja denarja in financiranja terorizma (tretji odstavek 268. člena ZZavar-1). Ker pa je zakonska določba 268. člena ZZavar-1 relativno odprte narave, mora presojo ustreznosti v smislu spoštovanja načela najmanjšega obsega podatkov izvajalec zdravstvene dejavnosti v prvi vrsti opraviti sam. Pri tem mora izhajati iz vsebine zahteve zavarovalnice, morebitnih prilog, podatkov v lastnem dokumentarnem gradivu in iz morebitnih drugih relevantnih okoliščin konkretne zadeve. V primeru dvoma v podane navedbe, neustreznih pojasnil, posebnih zahtev (npr. velik obseg ali občutljivost zahtevanih podatkov), očitne nesorazmernosti ali želje po zagotavljanju višje ravni varnosti lahko izvajalec zdravstvene dejavnosti kot upravljavec od zavarovalnice zahteva tudi dodatna pojasnila oziroma dokazila. Kot pojasnjeno, IP pa ne more presojati sorazmernosti obsega zahtevanih osebnih podatkov, saj je to odvisno od vseh okoliščin posameznega primera.

Način posredovanja zahtevanih osebnih podatkov ni izrecno predpisan, temveč ga opredeli vlagatelj zahteve. Praviloma dokumentacijo v obliki kopije zagotovi zavarovanec oziroma upravičenec, lahko pa jo zavarovalnica pridobi tudi neposredno pri izvajalcu zdravstvene dejavnosti (6. točka osmega odstavka 268. člena ZZavar-1). IP pa z vidika zagotavljanja ustrezne ravni varnosti osebnih podatkov odsvetuje, da bi izvajalci zdravstvenih storitev original celotnega zdravstvenega kartona pošiljali zavarovalnici po pošti. Prav tako IP dodaja, da osebe javnega sektorja v skladu s prvim in drugim odstavkom 39. člena ZVOP-2 posredujejo osebne podatke brezplačno, če zakon ne določa drugače.

Če izvajalec zdravstvene dejavnosti zavrne zahtevo zavarovalnice za posredovanje podatkov, ima ta na voljo pravna sredstva, ki so urejena v četrtem odstavku 41. člena ZVOP-2 različno glede na to, ali gre za osebne podatke iz zbirk, ki so uradne evidence ali javne knjige, ali ne. Če se zahteva ne nanaša na posredovanje osebnih podatkov iz uradnih evidenc ali javnih knjig, IP ne nastopa kot pritožbeni organ, temveč lahko vlagatelj zahteva sodno varstvo, o katerem odloča sodišče s splošno pristojnostjo v skladu z zakonom, ki ureja nepravdni postopek (četrti odstavek 41. člena ZVOP-2).

Za konec IP še pojasnjuje, da je na podobna vprašanja že odgovarjal, zato predlaga, da se seznanite tudi z drugimi mnenji, izdanimi po začetku veljavnosti po ZVOP-2, ki jih lahko najdete na povezavi https://www.ip-rs.si/mnenja-zvop-2/, oziroma s starejšimi mnenji, ki se nanašajo na podobno problematiko in so dostopna na povezavi https://www.ip-rs.si/mnenja-gdpr/ (kategorija »Zavarovalništvo«).

Lepo vas pozdravljamo,

Pripravila

Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov

dr. Jelena Virant Burnik, informacijska pooblaščenka