Dostopne pravice v IH CRPP + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 15.04.2021 Številka: 07121-1/2021/739 Kategorije:Zbirke osebnih podatkov, Zdravstveni osebni podatki --> Kategorije: Zbirke osebnih podatkov, Zdravstveni osebni podatki Pri Informacijskem pooblaščencu (IP) smo dne
- 2021 prejeli vaše zaprosilo za mnenje o ustreznosti ureditve oziroma delovanja Centralnega registra podatkov o pacientih (CRPP). Pri izobraževalni uporabi sistema v korist novo zaposlene dermatologinje ste uporabili svoje podatke (tj. kot pacientka) in naleteli na možnost, da je lahko dermatologinja dostopala do vseh vaših izvidov, čeprav za »pregled« niste imeli napotnice (ker je šlo za učenje in ne za resnično zdravstveno obravnavo). Ugotovili ste, da je bil dostop omogočen na podlagi stare, a dejansko izdane napotnice za RTG. Pri upravljavcu so pojasnili, da je to normalno, ker če pacient pride v neko ustanovo recimo z napotnico za RTG, sistem to napotnico “vzame” kot napotnico za zdrastveno ustanovo in še 45 dni po realizaciji napotnice lahko vsi klinični specialisti (ne pa specialisti družinske medicine in pediatrije) vidijo vse pacientove podatke/izvide. Menite, da če pacient dobi napotnico za RTG, ne bi bilo sporno, da lahko vsi zdravniki radiologi neke ustanove vpogledujejo v interoperabilno hrbtenico (IH), saj napotnica ni zapisana na določenega zdravnika - zapisana pa je na določeno specialnost. Problem je tudi dostop do CRPP, če opravljate delo kot nadomestni zdravnik, saj lahko dostopate do podatkov o pacientu le, če ta v dostop privoli. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
- členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
- aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
- točko prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
- členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Presojanje konkretnih dogodkov in funkcionalnosti pri uporabi rešitev eZdravja je mogoče le v inšpekcijskem postopku, zato vam posredujemo le splošno mnenje. Dostop do izvidov v interoperabilni hrbtenici (IH) s tehničnega vidika ni popolnoma odprt, pač pa: v delu zaprt (npr. za področja psihiatrije, MDPŠ, ginekologije in porodništva, dentalne medicine ipd.), v delu popolnoma odprt (npr. za izbrane osebne zdravnike družinske medicine), v delu odprt z dodatnim opozorilom (npr. za izmenjavo med različnimi specialnostmi), časovno omejen in omejen z metodami za avtentikacijo in avtorizacijo uporabnikov. S pravnega vidika pa je dostop do izvidov v IH, ki so uporabniku tehnično na voljo, dopusten (zakonit) le pod pogojem: da je seznanitev z določenim izvidom s strokovnega vidika potrebna za zdravstveno oskrbo pacienta (npr. za nadaljevanje zdravljenja), da je seznanitev povezana s pacientom v ali zaradi aktivne zdravstvene obravnave (npr. zaradi ali kot posledica napotitve) in da seznanitev izvaja oseba, ki ustreza predpisanim pogojem (npr. ustrezna izobrazba in ustrezno delovno mesto pri izvajalcu zdravstvene dejavnosti). Če zdravnik ali druga oseba izvede vpogled v IH brez da bi bili izpolnjeni vsi zgornji pogoji, gre za resno kršitev varstva osebnih podatkov. V vašem primeru ni videti očitne kršitve varstva osebnih podatkov, saj lahko dermatolog dostopa do radioloških izvidov kot to določa Pravilnik o pooblastilih za obdelavo podatkov v CRPP, seveda le, če so za vsak posamezen dostop izpolnjeni vsi zgornji pogoji. Z vidika varstva osebnih podatkov lahko nadomestni zdravnik uporablja interni informacijski sistem in informacijske rešitve eZdravja brez privolitve pacienta, ki ga ima v obravnavi. Pri tem je pomembno, da je možno za nazaj ugotoviti razloge in namen uporabe osebnih podatkov s strani nadomestnega zdravnika. O b r a z l o ž i t e v: Za potrebe tega mnenja se delno sklicujemo na mnenje IP, ki ste ga priložili vašemu zaprosilu. Glede izmenjave osebnih podatkov pacientov med izvajalci (in s tem med zbirkami) za potrebe izvajanja zdravstvene oskrbe pacientov je na naši spletni strani že dostopnih več mnenj, ki so oprta na šesti odstavek
- člena Zakona o pacientovih pravicah. Osnovno pravilo na tem področju je, da lahko zaposleni (ali pogodbeniki) pri izvajalcih zdravstvene dejavnosti dostopajo do osebnih podatkov pacientov prek informacijskih sistemov (npr. do internih zbirk ali do podatkov iz zbirk eZdravja), če podatke neizogibno potrebujejo za svoje delo v okviru pristojnosti ali dejavnosti izvajalca. Temeljna podlaga je podana v četrti alineji šestega odstavka
- člena Zakona o pacientovih pravicah (ZPacP). Informacijske rešitve eZdravja (npr. eRecept, eNapotnica, eNaročilo, TeleKap, eTriaža, CRPP s povzetkom podatkov o pacientih in z interoperabilno hrbtenico) imajo dodatno zakonsko podlago v Zakonu o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ) Informacijske rešitve eZdravja ne razširjajo dostopnih (uporabniških) pravic, temveč tehnično olajšujejo dostop pooblaščenih uporabnikov do zdravstvenih podatkov. Seveda pa informacijske rešitve prav zaradi bolj učinkovitega in enostavnega dostopa do podatkov, prinašajo tudi določena nova varnostna tveganja in posledično terjajo večjo odgovornost neposrednih uporabnikov (npr. zdravnikov). Tehnično sorazmerno enostavna možnost dostopa do osebnih podatkov zato še ne pomeni nujno hkrati upravičenosti do dostopa. Zapisano drugače, če ima nek zdravstveni ali nezdravstveni delavec tehnično omogočen dostop do osebnih podatkov zaradi opravljanja dela, še ne pomeni, da lahko do njih prosto dostopa izven zakonitega namena (zlasti izven delovnih potreb). V sisteme eZdravja, je vgrajen sistem sledljivosti obdelave osebnih podatkov, kar pomeni, da se vsi (tako zakoniti kot morebitni nezakoniti) dostopi (vpogledi) beležijo. Na tak način je omogočen naknadni nadzor zakonitosti uporabe sistemov, ki ga lahko izvajajo zdravstvene ustanove, upravljavec (NIJZ) in nadzorni organi, npr. IP. Dostop do zdravstvenih podatkov v različnih informacijskih sistemih slovenskega zdravstva zato sam po sebi še ne predstavlja kršitve varstva osebnih podatkov. O kršitvi je mogoče govoriti šele v primeru, ko konkreten, sicer na splošno pooblaščen uporabnik brez pravne podlage ali brez zakonitega namena dostopa ali kako drugače obdeluje osebne podatke. Poleg ZZPPZ je treba v zvezi z IH upoštevati tudi Pravilnik o pooblastilih za obdelavo podatkov v Centralnem registru podatkov o pacientih (Uradni list RS, št. 51/16) in tabelo, ki je priloga pravilnika. Na podlagi omenjene tabele so tako po posameznih specialnostih določene tri vrste dostopov: zaprt, odprt ali dostop z opozorilom. Najširše pravice imajo izbrani osebni zdravniki splošne medicine, najožje pa zobozdravniki in izvajalci medicine dela. Zelo so omejeni tudi dostopi do dokumentov, ki nastajajo na področju psihiatrije, klinične psihologije in ginekologije ter babištva. Možnost izmenjave izvidov med zdravniki različnih specialnosti mora biti omogočena za vse primere, ko bi bilo to s strokovnega vidika utemeljeno. Izmenjava izvidov med različnimi specialnostmi je lahko utemeljena in se v praksi tudi pogosto izvaja. Ker se za večino specialnosti (ne pa tudi za vse) tega ne da določiti vnaprej s predpisom ali s sprotnim odrejanjem dostopnih pravic, so ti dostopi odprti z dodatnim opozorilom, ki naj bi se izpisalo pri izvedenem dostopu. Tehnična možnost dostopa ne pomeni, da lahko zdravnik izvaja dostop, če nima pacienta v obravnavi in če podatki z medicinskega vidika niso potrebni za konkretno zdravstveno obravnavo. Kdor uporabniška upravičenja prekorači, nedvomno stori prekršek s področja varstva osebnih podatkov. Glede vsebinskih vprašanj o dodeljenih dostopnih pravicah iz ZZPPZ in Pravilnika predlagamo, da se obrnete na Ministrstvo za zdravje. Uporaba informacijskih sistemov za podporo zdravstveni oskrbi (tj. uporaba zbirk osebnih podatkov) se pri izvajalcih zdravstvene dejavnosti lahko izvaja brez privolitve pacienta, ker temelji na samem zakonu. Enako velja, če je pacient v obravnavi pri zdravniku, ki nadomešča pacientovega IOZ in so hkrati seveda izpolnjeni vsi splošni pogoji za upravičenost do podatkov. Lepo vas pozdravljamo, Pripravil: mag. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026