Obdelava osebnih podatkov v centralizirani bazi eTTL

Datum

12.05.2025

Številka

07120-1/2025/566

Kategorije

Varnost osebnih podatkov, Zdravstveni osebni podatki

pri Informacijskem pooblaščencu (IP) smo prejeli vaše zaprosilo za mnenje v zvezi z nacionalnim razpisom Republike Slovenije za informacijsko rešitev eTTL (elektronski temperaturno terapijski list - https://www.enarocanje.si/#/pregled-objav/904221). V razpisu je navedeno:

·        Klinični podatki eTTL bodo shranjeni v centralni bazi CRPP (Centralni register pacientovih podatkov) pod upravljanjem NIJZ.

·        Neklinični podatki (meta, administrativni podatki, šifranti itd.) bodo obdelovani v lastni bazi eTTL.

·        Podatki bodo dostopni zdravstvenim ustanovam izključno prek povezave zNET v okolju eZdravje.

Ker gre za obdelavo občutljivih osebnih podatkov (zdravstveni podatki), vas zanima naslednje: 

1.Ali obstaja eksplicitna zakonska podlaga (v skladu s členom 9(2) GDPR in 26. členom ZVOP-1[1]) za obdelavo zdravstvenih podatkov v centralni bazi eTTL, ali gre zgolj za tehnično razširitev obstoječe infrastrukture?

2.Kako je zagotovljeno načelo minimalnosti podatkov (člen 5(1)(c) GDPR), če bodo neklinični podatki (npr. administrativni) shranjeni ločeno, vendar v istem sistemu z enim uporabniškim dostopom?

3.Ali je bila v okviru projekta izvedena vplivna ocena na varstvo podatkov (DPIA) zaradi visokega tveganja za pravice posameznikov, zlasti glede centralizacije dostopa kliničnih in nekliničnih podatkov, ki so dostopni več bolnišnicam prek omrežja zNET in ali je bil sistem eTTL kot komponenta ekosistema eZdravje formalno potrjen s strani IP oziroma ali obstaja predhodno ali izdano mnenje IP o ustreznosti arhitekture obdelave podatkov v takem novem okolju ter ali je bila izvedena ocena učinka glede centralizacije in povezave z zNET?

4.Kako je urejena deljena odgovornost za podatke med NIJZ (eZdravje), CRPP in posameznimi bolnišnicami, če eTTL nima lastne baze za klinične podatke?

5.Kako je zagotovljena kriptografija in nadzor dostopa in revizijske sledi, da ne pride do kršitev v smislu C-362/14 (Schrems I)?

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22; v nadaljevanju ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A; v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

Uvodoma moramo izpostaviti, da se IP v okviru nezavezujočih mnenj ne more in ne sme opredeljevati, ali je oziroma ali bo obdelava osebnih podatkov v okviru določene informacijske rešitve skladna z zakonodajo o varstvu osebnih podatkov; zakonitost in skladnost obdelav osebnih podatkov v okviru konkretne informacijske rešitve lahko IP preveri le v okviru uradnega inšpekcijskega postopka in ko obdelave potekajo.

Ad 1

Uvodoma pojasnjujemo, da je glede na razpoložljive informacije zadevni projekt, informacijska rešitev (sistem) elektronski temperaturno terapijski list (eTTL), ki bo delovala kot centralni eTTL sistem za splošno bolnišnično obravnavo na ravni Republike Slovenije, vpeljana kot rešitev v sklopu eZdravja, trenutno v fazi razpisa (rok za oddajo ponudb je 15.5.2025)[2]. Naročnik želi z rešitvijo eTTL na nacionalnem nivoju vzpostaviti informacijski sistem za spremljanje in sledenje bolnikovih vitalnih znakov ter spremljanje in upravljanje terapij. Namesto papirnega kartona naj bi rešitev zdravstvenim delavcem omogočala vpogled v vse pomembne podatke za zdravljenje pacienta, takojšnji in natančen vnos podatkov ter vzpostavila večjo varnost terapij in točnost zdravstvenih podatkov. Rešitev eTTL naj bi podatke posredovala v CRPP. Kot je razvidno iz razpisne dokumentacije naj bi obdelava podatkov potekala na podlagi Zakona o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 – ZZUOOP, 175/20 – ZIUOPDVE, 203/20 – ZIUPOPDVE, 112/21 – ZNUPZ, 196/21 – ZDOsk, 206/21 – ZDUPŠOP, 141/22 – ZNUNBZ, 18/23 – ZDU-1O, 84/23 – ZDOsk-1 in 112/24 – ZDIUZDZ; ZZPPZ) in skladno s Pravilnikom o pooblastilih za obdelavo podatkov v Centralnem registru podatkov o pacientih (Uradni list RS, št. 35/24). ZZPPZ v 14.b členu omogoča, da se v CRPP posreduje zdravstvena dokumentacija, kamor načeloma lahko spada tudi dokumentacija oziroma podatki o tekočem spremljanju hospitaliziranih pacientov. 

Poudarjamo, da pomeni redno stalno spremljanje in beleženje zdravstvenih osebnih podatkov, kot je predvideno, zelo verjetno več kot določa ZZPPZ, vnaprej pa ne moremo presojati  obstoja pravne podlage brez podrobnega poznavanja podatkovnih tokov in dejanskega stanja.

Upoštevati je treba tudi, da je v teku digitalizacija zdravstva in da resorno ministrstvo pripravlja pravne podlage za digitalizacijo zdravstva, o čemer je IP izdal več mnenj. Dostopna so na naši spletni strani, kjer objavljamo stališča do predlogov predpisov v pripravi:

https://www.ip-rs.si/zakonodaja/pripombe-informacijskega-pooblaščenca-na-predloge-predpisov/.

Ad 2

Načelo minimizacije obdelave osebnih podatkov pomeni, da je treba pri obdelavi osebnih podatkov obdelovati le tisti nabor osebnih podatkov, ki je potreben za doseganje zakonitih ciljev ter da morajo biti osebni podatki dostopni samo tistim, ki jih dejansko potrebujejo za opravljanje svojih nalog. Ali in kako bo omenjeno načelo implementirano in upoštevano v praksi, je v tej fazi preuranjeno ocenjevati, zgolj podatek, da naj bi bili neklinični podatki (npr. administrativni) shranjeni ločeno, vendar v istem sistemu z enim uporabniškim dostopom, še ne pomeni, da načelo minimizacije obdelave osebnih podatkov ni upoštevano. Ustreznost dostopov do podatkov se lahko preveri v okviru inšpekcijskega postopka.

Ad 3

IP v času do izdaje tega mnenja v predhodno posvetovanje ni prejel ocene učinka v zvezi z varstvom osebnih podatkov v okviru sistema eTTL. Glede na informacije, s katerimi razpolagamo, je precej verjetno, da bi omenjena informacijska rešitev glede na določbe 35. člena Splošne uredbe terjala izdelavo ocene učinka. Upravljavec se mora pred obdelavo posvetovati z nadzornim organom, kadar je iz ocene učinka razvidno, da bi obdelava povzročila veliko tveganje, če upravljavec/-ci ne bi sprejel/-i ukrepov za ublažitev tveganja. Če so tveganja zmanjšana na sprejemljive ravni, predhodno posvetovanje z nadzornim organom ni obvezno.

ndrej prosim, kjer pišeš o oceni učinkov in pravni podlagi dodaj, da gre za projekt, ki bi zahteval predhodno oceno učinkov (mislim, da ni dvoma, da je DPIA obvezna) ter, da Zdaj se bere kot, da mi menimo, da obstaja pravna podlaga.

Ad 4

IP ne razpolaga z podrobnimi informacijami, kako bo urejena deljena odgovornost za podatke med NIJZ (eZdravje), CRPP in posameznimi bolnišnicami. Poudarjamo, da morajo biti vloge vseh subjektov v obdelavi osebnih podatkov vnaprej določene in jasne, predvsem mora biti jasno, ali in kdaj gre za ločene upravljavce osebnih podatkov, za morebitno skupno upravljanje ali za pogodbeno obdelavo osebnih podatkov, vsi v obdelavo vključeni subjekti pa morajo imeti za to ustrezno pravno podlago. Morebitno skupno upravljanje mora biti urejeno z dogovori v skladu zahtevami 26. člena Splošne uredbe, pri morebitni pogodbeni obdelavi osebnih podatkov pa morajo biti upoštevane zahteve 28. člena Splošne uredbe.

Ad 5

IP ne razpolaga z informacijami, kako bo zagotovljeno šifriranje podatkov, nadzor dostopa in revizijske sledi in se glede tega ne moremo opredeljevati. Pojasnjujemo tudi, da IP nima pristojnosti, da bi lahko formalno potrjeval specifičnih informacijskih rešitev oziroma postopkov in ukrepov za zagotavljanje varnosti podatkov.

Zaključno pojasnjujemo, da lahko IP zakonitost in skladnost obdelav v okviru konkretne informacijske rešitve preveri le v okviru uradnega inšpekcijskega postopka (tudi na lastno pobudo) in ko obdelave potekajo. Na prejeto oceno učinka glede varstva osebnih podatkov, če in ko jo prejme, lahko IP poda mnenje v okviru predhodnega posvetovanja po 36. členu Splošne uredbe.

Lepo vas pozdravljamo,

dr. Jelena Virant Burnik,

Informacijska pooblaščenka

Pripravil:

mag. Andrej Tomšič, namestnik informacijske pooblaščenke

---

[1]IP predvideva, da gre tu za pomoto, saj je bil ZVOP-2 razveljavljen, 26. člen ZVOP-2 pa ne ureja vprašanja pravnih podlag.

[2]https://www.gov.si/zbirke/projekti-in-programi/elektronski-temperaturno-terapijski-list/