Aplikacija za oddaljeno spremljanje pacientov (mZdravje-covIT) - IPRS

Aplikacija za oddaljeno spremljanje pacientov (mZdravje-covIT) + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 21.04.2020 Številka: 07120-1/2020/290 Kategorije:Definicija OP, Moderne tehnologije, Posebne vrste, Pravne podlage, Telekomunikacije in pošta, Zdravstveni osebni podatki --> Kategorije: Definicija OP, Moderne tehnologije, Posebne vrste, Pravne podlage, Telekomunikacije in pošta, Zdravstveni osebni podatki Pri Informacijskem pooblaščencu (IP) smo 8. 4. 2020 prejeli vaši vprašanji glede varstva osebnih podatkov v zvezi z načrtovano aplikacijo za oddaljeno spremljanje pacientov, pri katerih je bila potrjena okužba s SARS-CoV-2. Pacient bi pred raziskavo podal običajno privolitev. V aplikacijo bi vnesel tudi obvezne ID podatke: osebno ime, naslov, ZZZS številka in telefonska številka. Pacient bi v aplikaciji označil pridružene bolezni in tveganja. Dnevno bi v aplikacijo vnašal: telesna temperatura, izmerjen krvni tlak, saturacija kisika v krvi, srčni utrip, krvni sladkor in druge simptome (npr. bruhanje). Aplikacija bi pacienta opozarjala na odstopanja, podatki pa bi bili na voljo zdravstvenemu osebju, ki bi v primeru odstopanj lahko pacienta tudi kontaktiralo. Če bi pacient prejel odločbo Ministrstva za zdravje o obvezni karanteni in bi v aplikaciji podal privolitev glede spremljanja lokacije, bi aplikacija spremljala tudi njegovo gibanje in odmike od dovoljenega sporočala pacientu ter zdravstvenemu osebju. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašimi vprašanji. Najprej je treba izpostaviti, da bi bilo (kot smo podrobneje pojasnili v mnneju IP št. 07120-1/2020/288 Ministrstvu za zdravje glede vzpostavljanja tovrstnih aplikacij, ki je na voljo na naši spletni strani: https://www.ip-rs.si/vop/?tx_jzgdprdecisions_pi1[showUid]=1504) glede na izkušnje nekaterih drugih držav pred naročilom in začetkom uporabe tovrstnih aplikacij nujno najprej izvesti oceno učinkov z jasnimi tehničnimi parametri aplikacije glede na cilje, ki se jih zasleduje in z vidika načela sorazmernosti (zgolj elementi, ki jih navajate za to ne zadoščajo). Posamezne elemente, na katere je treba biti pozoren navajamo v omenjenem mnenju IP Zlasti pa opozarjamo na potrebo po skrbnosti z vidika transparentnosti o tem, katere osebne podatke bo aplikacija dejansko obdelovala, za katere namene (ti morajo biti ozko in jasno določeni), kje se bodo hranili, kdo bo upravljavec teh podatkov, na kateri pravni podlagi, kako se bodo ti podatki shranjevali, koliko časa in kako bo zagotovljeno brisanje podatkov. Opozarjamo, da se v tem mnenju zaradi odsotnosti usmerjenih vprašanj in pomanjkanja informacij ne moremo opredeliti do vseh konkretnih vidikov predlagane rešitve (npr. kdo je upravljavec podatkov, vloga ponudnika storitve, konkretna vsebina in sploh veljavnost privolitve, informiranost pacientov, konkretna uporaba podatkov (prvotna, drugotna), lokacija in čas hrambe podatkov, način prenosa podatkov, dostopne pravice zaposlenih in ponudnika storitve, načelo najmanjšega obsega podatkov, tveganja za paciente, tehnična varnost sistema…), temveč le do vprašanja načelne dopustnosti predlagane rešitve z vidika pravnih podlag za obdelavo podatkov. Pri tem sklepamo, da gre za mobilno aplikacijo na mobilnem telefonu, ki je v lasti pacienta. 1. Predvideno telemedicinsko spremljanje pacientovega zdravstvenega stanja je z vidika pravnih podlag na strani izvajalca zdravstvene dejavnosti dopustno pod pogojem: - da je pacient ustrezno informiran o vseh vidikih obdelave osebnih podatkov, - da pacient ni prisiljen v (

1. le)tak način spremljanja zdravstvenega stanja in - da je podana ustrezna privolitev pacienta, če se osebni podatki, poleg namena zagotavljanja redne zdravstvene oskrbe, zbirajo in uporabljajo še za kakšen drug namen, ki ne bi bil krit s katero od podlag iz (
2. b)do (
3. j)točke drugega odstavka člena 9. Splošne uredbe o varstvu podatkov. Glede na to bi najverjetneje predlagana aplikacija zahtevala ustrezno zakonsko podlago v nacionalnem predpisu. Zgornja pravila so odvisna tudi od tega, kdo je upravljavec osebnih podatkov oziroma, ali pacient podatke primarno obdeluje v okviru osebne rabe. 2. Pogoje glede spremljanja pacientove lokacije v karanteni v povezavi z obdelavo podatkov, ki jih navajate je s strani izvajalca zdravstvene dejavnosti ali drugega upravljavca javnega sektorja z vidika pravnih podlag dopustno pod pogoji kot so opredeljeni v mnenju IP št. 07120-1/2020/288, s katerim predlagamo, da se seznanite. Glede na številna tveganja, ki jih take aplikacije prinašajo IP izraža pomisleke, da bi se oblikovanja takih aplikacij lotil vsak posamezni izvajalec zdravstvene dejavnosti. Skladno s tem IP toplo priporoča in poziva, da Slovenija z ukrepi, ki temeljijo na aplikacijah in sledenju posameznikov zaradi invazivnosti in posega v njihove pravice, sledi razvoju tematike na EU ravni in se z drugimi članicami preko temu namenjenih forumov in mrež usklajuje glede tehničnih rešitev. O b r a z l o ž i t e v: IP je mnenja, da tehnologija vsekakor lahko tvorno pripomore k omejevanju epidemije COVID19, vendar le ob upoštevanju pravnega okvira za varstvo zasebnosti in osebnih podatkov. Prav tako podpiramo razumevanje, da je pri razvoju tehnologij in pristopov nujno stremeti k usklajevanju ukrepov znotraj držav članic EU, saj raznolike ali neusklajene pobude posameznih držav članic ne morejo biti učinkovite. Ob tem pa mora Republika Slovenija zasledovati visoko raven spoštovanja temeljnih pravic, kot jo zahteva slovenska Ustava in tudi na ravni EU zagovarjati takšne rešitve. Epidemija ne bi smela biti razlog za izničenje ustavnih načel. Na tej točki izpostavljamo, da je Evropska komisija (v nadaljevanju EK) pravkar objavila priporočila glede tehnologij za omejevanje epidemije COVID 19, kjer se opredeljuje do rešitev, ki bi lahko bile v tem okviru učinkovite (tudi v smislu različnih aplikacij, ki lahko bolj ali manj učinkovito dosegajo cilje) in glede varovalk, ki morajo biti sprejete za varstvo pravic posameznikov. Posebno vlogo pri dogovarjanju glede učinkovitih ukrepov EK vidi v mreži eHealth Network, ki deluje v okviru EU in katere članica je tudi Slovenija, kjer lahko tvorno sodelujejo tudi slovenski organi v iskanju učinkovitih, sorazmernih in nujnih tehničnih rešitev. V tem okviru smo v sodelovanje vpeti tudi evropski organi za varstvo osebnih podatkov, ki delujemo v Evropskem odboru za varstvo podatkov. Prav odbor naj bi v naslednjih dneh izdal tudi poenoteno mnenje o mobilnih aplikacijah za omejevanje širjenja COVID-19, ki vam ga lahko posredujemo. Kot izhaja iz komunikacije Evropske komisije, namerava ta 15. aprila 2020 sprejeti tudi smernice glede upoštevanja pravnega okvira za varstvo osebnih podatkov pri razvoju različnih aplikacij. Skladno s tem IP toplo priporoča in poziva, da Slovenija z ukrepi, ki temeljijo na aplikacijah in sledenju posameznikov zaradi invazivnosti in posega v njihove pravice, sledi razvoju tematike na EU ravni in se z drugimi članicami preko temu namenjenih forumov in mrež usklajuje glede tehničnih rešitev, ki so učinkovite in zasleduje cilj najmanjšega posega v pravice posameznikov za doseganje vsem nam skupnega cilja – omejevanja epidemije COVID 19 ob hkratnem spoštovanju temeljnih pravic. Razvoj tehnoloških rešitev lahko doprinese tem ciljem le ob upoštevanju visoke ravni varstva temeljnih pravic posameznikov. Prijazen pozdrav, Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
4. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026