Avtentikacija pri pošiljanju zdravstvene dokumentacije pacientu po e-pošti - IPRS

Avtentikacija pri pošiljanju zdravstvene dokumentacije pacientu po e-pošti + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 04.08.2022 Številka: 07120-1/2022/260 Kategorije: --> Kategorije: Pravica do seznanitve z lastnimi osebnimi podatki, Zavarovanje osebnih podatkov Pri Informacijskem pooblaščencu (IP) smo dne
4. 2022 prejeli vaše vprašanje, ali je prav, da pacient, ki zaprosi za elektronsko kopijo zdravstvene dokumentacije prek e-pošte, to prejme po tej poti brez preverjanja, ali gre res za pacienta, za katerega trdi, da je. Ali je dovolj, da je datoteka zaklenjena z geslom, ki je datum rojstva pacienta. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
5. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
6. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
7. točko prvega odstavka
8. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
9. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Opisana praksa izvajalca zdravstvene dejavnosti ni primerna z vidika zahteve po zagotavljanju varnosti obdelave osebnih podatkov in predstavlja resno tveganje za nezakonito razkritje zdravstvenih osebnih podatkov neupravičeni osebi. Pošiljanje zdravstvenih podatkov po navadni e-pošti brez šifriranja (kriptiranja) datoteke predstavlja kršitev
10. člena ZVOP-
11. O b r a z l o ž i t e v: Izvajalec mora pri posredovanju zdravstvene dokumentacije po e-pošti: se prepričati, da je oseba res upravičena do seznanitve (obstoj pravne podlage – v vašem primeru
12. člen ZPacP), opraviti avtentikacijo osebe in datoteko šifrirati ter geslo za dešifriranje upravičencu poslati po ločeni poti. Pri zahtevah, ki so vložene po elektronski pošti je izvedba zanesljive avtentikacije težavna, a možnosti oziroma njihove kombinacije so na primer: zahteva po uporabi varnega elektronskega podpisa; preverjanje e-naslova v internih zbirkah podatkov (oba naslova se morata ujemati); dodatna kontrolna vprašanja glede dejstev in identifikatorjev (npr. interna številka pacienta), ki naj bi jih poznal le pacient; uporaba varnega poštnega predala. Če se izvajalec ne more prepričati o tem, ali gre res za pravega upravičenca, lahko elektronsko kopijo dokumentacije na fizičnem nosilcu pošlje tudi po klasični pošti na način osebne vročitve (npr. priporočeno s povratnico ali osebna vročitev po Zakonu o splošnem upravnem postopku), in sicer na uradni naslov, ki ga ima zabeleženega v internih zbirkah podatkov. Pacientom in izvajalcem priporočamo, da se, namesto uporabe klasične e-pošte, poslužujejo sodobnih informacijskih rešitev, ki omogočajo za obe strani varen neposredni dostop do lastne zdravstvene dokumentacije (primer zVEM – CRPP). Datoteka z zdravstvenimi podatki bi morala biti tudi šifrirana (gl.
13. člen ZVOP-1). Golo zaklepanje z geslom ne ustreza tej zakonski zahtevi. O tem gl. več mnenj, ki so že objavljena na spletni strani IP. Pojasnjujemo še, da v vašem primeru, kljub neustreznim ukrepom, ni prišlo do kršitve v smislu posredovanja zdravstvene dokumentacije neupravičeni osebi. To ne velja za opustitev šifriranja. Prijazen pozdrav, Pripravil: mag. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026