Posredovanje osebnih podatkov pacientov na zahtevo inšpektorata

Datum

24.02.2025

Številka

07120-1/2024/473

Kategorije

Posredovanje osebnih podatkov, Zdravstveni osebni podatki

Informacijski pooblaščenec (v nadaljevanju IP) je po navadni pošti prejel vaš dopis, v katerem pojasnjujete, da ste prejeli prošnjo inšpektorata za posredovanje osebnih podatkov pacientov, ki ste jo priložili zaprosilu za mnenje. Zahteval bi naj posredovanje podatkov, ki jih je v določenem obdobju obravnaval posamezni zdravstveni delavec skupaj s podatkom o datumu obravnave posameznega pacienta in vrsti zdravstvene storitve, ki jih je opravil. Iz zaprosila naj ne bi izhajal namen posredovanja podatkov niti niso navedene okoliščine, ki bi kazale na to, da je navedeni obseg podatkov nujno potreben za dosego zasledovanega cilja. Inšpektorat bi se naj v pozivu skliceval na določbe Zakona o zdravstveni dejavnosti, Zakona o preprečevanju dela in zaposlovanja na črno in na drugi odstavek 19. člena Zakona o inšpekcijskem nadzoru, ki se ne nanaša na zavezanca. Prosite nas za mnenje o dopustnosti posredovanja podatkov glede na predpise o varstvu osebnih podatkov.

Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba), ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem.

IP meni, da bi morala vsaka zahteva za posredovanje osebnih podatkov vedno vsebovati podatke o tem, kdo jih zahteva, pravno podlago in namen ter obseg (vrste) zahtevanih podatkov. Navedeno je nujno z vidika, da upravljavec, ki ima osebne podatke, lahko presodi utemeljenost zahteve z vidika sorazmernosti. Tudi inšpektorji lahko namreč zahtevajo le podatke, ki so potrebni in primerni za konkreten primer in konkretno pravno podlago, zato mora biti zahteva za posredovanje osebnih podatkov v določeni meri obrazložena. 

Obrazložitev

Uvodoma poudarjamo, da IP izven postopka inšpekcijskega nadzora oziroma drugega upravnega postopka konkretnih obdelav osebnih podatkov ne more presojati.

IP uvodoma pojasnjuje, da skladno s sklepom Ustavnega sodišča Republike Slovenije, št. U I 92/12 13 z dne 10. 10. 2013 (Uradni list RS, št. 89/13) IP ne sme izvajati inšpekcijskega nadzora nad izvajanjem določb, ki urejajo varstvo osebnih podatkov, tako, da pri izvrševanju svojih zakonsko določenih pooblastil poseže v posamične pravne postopke, ki jih vodijo za to pristojni državni organi ter ne sme preverjati, ali se v konkretnih pravnih postopkih ustavnoskladno in zakonito spoštuje varstvo osebnih podatkov, saj bi s tem nedopustno posegel v samostojnost pristojnih državnih organov pri vodenju pravnih postopkov. Kot je v citiranem sklepu zapisalo Ustavno sodišče, bi bila zakonska podlaga, ki bi to omogočala, v nasprotju z načelom samostojnosti pristojnega državnega organa pri odločanju (za upravne organe drugi odstavek 120. člena Ustave in za sodišča 125. člen Ustave) ter v nasprotju z rednim sistemom pravnih sredstev oziroma vzpostavljeno hierarhično strukturiranostjo državne oblasti (načelo večstopenjskega odločanja) in s tem v nasprotju z načeli pravne države (2. člen Ustave). Ta načela zahtevajo, da o pravicah in obveznostih fizičnih in pravnih oseb odločajo pristojni organi v postopkih, ki so vnaprej zakonsko določeni, pri čemer se njihove odločitve lahko preverjajo le v vnaprej določenih postopkih s pravnimi sredstvi pred pristojnimi organi.

V nadaljevanju tako zgolj na splošno pojasnjujemo, da so pooblastila inšpektorja določena v 19. členu Zakona o inšpekcijskem nadzoru (Uradni list RS, št. 43/07 – uradno prečiščeno besedilo in 40/14; v nadaljevanju ZIN) in sicer ima pri opravljanju nalog inšpekcijskega nadzora inšpektor pri fizični ali pravni osebi, pri kateri opravlja inšpekcijski nadzor, pravico med drugim: pregledati poslovne knjige, pogodbe, listine in druge dokumente ter poslovanje in dokumentacijo, kadar se vodijo in hranijo na elektronskem mediju ter zahtevati izdelavo njihove pisne oblike, ki mora verodostojno potrjevati elektronsko obliko; zaslišati stranke in priče v upravnem postopku; pregledati listine, s katerimi lahko ugotovi istovetnost oseb ter brezplačno pridobiti in uporabljati osebne in druge podatke iz uradnih evidenc in drugih zbirk podatkov, ki so potrebni za izvedbo inšpekcijskega nadzora. Poleg tega drugi odstavek 29. člena ZIN določa, da mora zavezanec oziroma odgovorna oseba zavezanca dati,

ne glede na določbe o varstvu osebnih in drugih podatkov, na zahtevo inšpektorja in v roku, ki ga določi inšpektor, pisno pojasnilo, dokumentacijo in izjavo v zvezi s predmetom nadzora.

Drugi odstavek 19. člena ZIN nadalje določa, da morajo pravne in fizične osebe, zoper katere se ne vodi inšpekcijski postopek, in ki razpolagajo z domnevnimi dokazi oziroma drugimi, tudi osebnimi podatki, potrebnimi za izvedbo inšpekcijskega nadzora,

na zahtevo inšpektorja

posredovati dokaze in druge, tudi osebne podatke, oziroma morajo omogočiti zaslišanje prič za pridobitev teh dokazov ali drugih, tudi osebnih podatkov, najkasneje v treh dneh od prejema njegove zahteve.

Iz navedenega torej izhaja, da lahko inšpektor zahteva podatke in pojasnila tako s strani zavezanca (torej osebe, pri kateri opravlja inšpekcijski nadzor), kakor tudi pri drugih osebah, zoper katere se ne vodi inšpekcijski postopek.

Namen izvajanja inšpekcijskih pooblastil oziroma vodenja inšpekcijskega nadzora določa ZIN v prvem odstavku 2. člena, kjer je opredeljeno, da je inšpekcijski nadzor nad izvajanjem oziroma spoštovanjem zakonov in drugih predpisov. 7. člen ZIN vsebuje tudi načelo sorazmernosti in določa, da morajo inšpektorji opravljati svoje naloge tako, da pri izvrševanju svojih pooblastil

posegajo v delovanje pravnih in fizičnih oseb le v obsegu, ki je nujen za zagotovitev učinkovitega inšpekcijskega nadzora

Posredovanje osebnih podatkov, ki ga izvajajo osebe zasebnega sektorja je posebej urejeno v 40. in 41. členu ZVOP-2. Kot je IP že izpostavil v mnenju

št. 07120-1/2024/463

z dne 30. 12. 2024, IP glede na sistematiko obeh zakonov, torej ZVOP-2 in ZIN, ter namen določb prvega in drugega odstavka 19. člena ZIN ter 40. člena ZVOP-2 ugotavlja, da gre za dva različna pravna režima, od katerih en določa posredovanje osebnih podatkov na splošno (ZVOP-2), drugi pa je namenjen izvrševanju zakonskih pristojnosti inšpektorata kot specifični in specialni obliki posredovanja osebnih podatkov. IP meni, da je treba zato določbi prvega in drugega odstavka 19. člena ZIN šteti kot specialni določbi, torej kot določbo v smislu prvega odstavka 40. člena ZVOP-2, ki vsebuje odstopanje z dostavkom »razen če zakon določa drugače.«

Ne glede na vse navedeno pa IP meni, da bi morala vsaka zahteva za posredovanje osebnih podatkov vedno vsebovati podatke o tem, kdo jih zahteva, pravno podlago in namen ter obseg (vrste) zahtevanih podatkov. Navedeno je nujno z vidika, da upravljavec, ki ima osebne podatke, lahko presodi utemeljenost zahteve z vidika sorazmernosti. Tudi inšpektorji lahko namreč zahtevajo le podatke, ki so potrebni in primerni za konkreten primer in konkretno pravno podlago, zato mora biti zahteva za posredovanje osebnih podatkov v določeni meri obrazložena, četudi ne na podlagi 39. ali 40. člena ZVOP-2.

Lepo pozdravljeni.

dr. Jelena Virant Burnik,

informacijska pooblaščenka

Pripravila:

Barbara Žurej, univ. dipl. prav., svetovalka pooblaščenca za preventivo

---

Financira Evropska unija. Izražena stališča in mnenja so izključno mnenja avtorja in ne odražajo nujno stališč in mnenj Evropske unije ali Evropske komisije. Niti Evropska unija niti organ, ki dodeljuje sredstva, zanje ne odgovarjata.