E pošiljanje laboratorijskih izvidov + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.01.2010 Številka: 0712-8/2010/2 Kategorije: --> Kategorije: Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je prejel prošnjo za mnenje glede elektronskega pošiljanja laboratorijskih izvidov. Kot ste pojasnili, na oddelku za laboratorijsko diagnostiko opravljate preiskave krvi in drugih bioloških materialov. Zaradi narave dela, kjer so nekateri rezultati preiskav nujno potrebni v najkrajšem možnem času, je urejeno pošiljanje preliminarnih rezultatov oz. izvidov po računalniški mreži takoj, ko so meritve končane in so rezultati dvakratno pregledani s strani pooblaščenega osebja. To so informativni rezultati za potrebe zdravljenja. Za vsakega pacienta pa se pripravi tudi pisni izvid, ki gre na oddelek in je del zdravstvenega kartona pacienta. Vaše delo glede priprave izvidov bi radi spremenili. Ker v letošnjem letu pričakujete zamenjavo računalniškega programa, bi želeli istočasno urediti elektronsko pošiljanje izvidov. Elektronsko poslan izvid bi naj imel takšno veljavo, da ga lahko oddelek sam natisne in doda v zdravstveni karton pacienta. Takšen izvid bi naj imel tudi sodno veljavo. To je trend vseh zdravstvenih ustanov v tujini, želje za tako organizirano delo pa so tudi pri vas. Omenjeno pošiljanje elektronskih izvidov bi bilo internega značaja - znotraj vaše ustanove, po posebnem laboratorijskem in medicinskem računalniškem programu (ne po internetu). Zanima vas:
- Kakšne zakonske podlage morate pri tem upoštevati?
- Ali je potrebna verifikacija takšnega sistema pošiljanja izvidov s strani zunanje ustanove (in katere) oz. ali je potrebna kakršnakoli registracija pri zunanji ustanovi (in kateri)?
- Ali je za interno uporabo takšnega sistema potreben elektronski podpis?
- Ali je postopek ureditve elektronskega pošiljanja drugačen, če bi želeli (kasneje) urediti pošiljanje izvidov tudi zunanjim naročnikom?
- Ali lahko daste laboratorijski izvid pacientu (bodisi duplikat pisnega izvida - original je namenjen naročniku oz. zdravniku, bodisi po telefonu po predhodni pravilni identifikaciji z imenom in priimkom ter številko vzorca, ki jo prejme v laboratoriju ob odvzemu krvi) oziroma ali je vpogled v izvid možen le pri zdravniku, ki ima pravico, da zaradi morebitnega slabega vpliva informacij na stanje pacienta le-temu zamolči določene podatke? Pregled rezultatov in pošiljanje izvidov že sedaj (pa tudi v bodoče) opravljajo pooblaščene osebe, to so specialisti določene stroke in vodje posameznih oddelkov laboratorija. Za opravljanje tega dela se v računalniški program logirajo pod imenom ali geslom. Elektronski izvid bi želeli urediti v takšni obliki, da bodo na izvidu, ki ga oddelek prejme, vsi potrebni podatki, ki jih zahteva "Pravilnik o pogojih, ki jih morajo izpolnjevati laboratoriji za izvajanje preiskav na področju laboratorijske medicine" (Uradni list RS, št. 64/2004), še posebej pa naj bi bilo vidno ime predstojnika oddelka, šifra ali ime osebe, ki je potrdila in sprostila izvid, ter viden datum in čas, kdaj je bil izvid sproščen. Ali to zadošča, da imajo izvidi sodno veljavo, ali pa je potreben elektronski podpis oz. še kaj, kar ste spregledali? Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke
- odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z zasnovo delovanja navedenega sistema. O b r a z l o ž i t e v: ad 1 Uvodoma je potrebno opozoriti na pravne podlage za obdelavo občutljivih osebnih podatkov, med katere štejemo tudi podatke o zdravstvenem stanju, kot jih opredeljuje
- člen ZVOP-1, za katere pa predvidevamo, da so v vašem primeru izpolnjene. Vaša vprašanja se namreč bolj dotikajo področja zavarovanja občutljivih osebnih podatkov, ki je posebej urejeno urejeno v
- členu ZVOP-1, ki določa naslednje:
(1)Občutljivi osebni podatki morajo biti pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih, razen v primeru iz 5. točke 13. člena tega zakona .
(2)Pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij se šteje, da so podatki ustrezno zavarovani, če se posredujejo z uporabo kriptografskih metod in elektronskega podpisa tako, da je zagotovljena njihova nečitljivost oziroma neprepoznavnost med prenosom. Poleg konkretnih določb, ki veljajo za zavarovanje občutljivih osebnih podatkov, morate biti pozorni tudi na splošne določbe o zavarovanju osebnih podatkov, ki jih opredeljuje 24. člen ZVOP-1.
(1)Zavarovanje osebnih podatkov obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov.
(2)V primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, morajo strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov.
(3)Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo.
(4)Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. ad 2 Glede vaših vprašanja pod točko 2 pojasnjujemo, da glede na določbe trenutno veljavne zakonodaje Pooblaščencu ni znano, da bi bilo za sistem pošiljanja izvidov s strani zunanje ustanove pridobiti verifikacijo kakšnega organa oz., da bi bilo potrebno sistem registrirati pri zunanji ustanovi. Z vidika ZVOP-1 to ni potrebno, temveč je glede na predviden namen sistema predvsem potrebno poskrbeti za zavarovanje pri prenosu občutljivih osebnih podatkov preko telekomunikacijskih omrežij ter za zagotavljanje splošnih zahtev glede zavarovanja osebnih podatkov. Tu je zlasti pomembno zagotavljanje sledljivosti obdelave (posredovanja oziroma drugih načinov obdelave osebnih podatkov), kot to zahtevata
- točka prvega odstavka
- člena ZVOP-1 in
- tretji odstavek
- člena, ki opredeljuje t.i. zahtevo po zunanji sledljivosti. Glede tega vam svetujemo, da si preberete tudi Smernice Informacijskega pooblaščenca za zavarovanje informacijskih sistemov bolnišnic, ki so dostopne na tej povezavi: http://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_za_zavarovanje_OP_v_IS_bolnisnic_15022008.pdf ad 3-4 ZVOP-1 načeloma pri zahtevah ob pošiljanju občutljivih osebnih podatkov po elektronskih omrežjih ne razlikuje med tem, ali gre za notranje ali zunanje omrežje, zato bi praviloma morali upoštevati zahteve glede uporabe kriptografskih metod in uporabe elektronskega podpisa, s katerimi je možno preprečiti seznanitev nepooblaščenih oseb z vsebino prenosa in zagotoviti verodostojnost pošiljatelja in prejemnika sporočila ter neokrnjenost same vsebine sporočila. Pooblaščenec je načelnega mnenja, da bi v internem omrežju lahko tudi z drugimi ukrepi zagotovili nivo zaupnosti sporočil, ki jih zagotavljata kriptiranje in elektronski podpis, česar pa ne bi mogli trditi za posredovanje osebnih podatkov po odprtih omrežjih oziroma zunanjim uporabnikom (npr. pošiljanje izvidov tudi zunanjim naročnikom). Tudi ob upoštevanju druge zakonodaje, zlasti tiste, ki ureja poslovanje v elektronski obliki z uporabo informacijske in komunikacijske tehnologije menimo, da je dolgoročno smiselno zagotoviti uporabo elektronskih podpisov temelječ na digitalnih potrdilih. Zakon o elektronskem poslovanju in elektronskem podpisu (Ur.l. RS, št. 98/2004-UPB1 in 61/2006-ZEPT; v nadaljevanju ZEPEP) nakazuje na podobno ureditev, kot je naše stališče, saj v drugem odstavku
- člena določa, da če ni dogovorjeno drugače, določbe tega zakona, z izjemo določb
- in
- člena, ne veljajo v zaprtih sistemih, ki so v celoti urejeni s pogodbami med znanim številom pogodbenih strank. Elektronski podpis je ključnega pomena za zagotavljanje veljavnosti elektronskih dokumentov zlasti takrat, ko ni pisnih izvodov, ki bi lahko potrdili verodostojnost elektronskih (npr. pri elektronskem arhiviranju z uničenjem papirne dokumentacije). Tako je zlasti pomembna določba
- člena ZEPEP, ki določa, da je varen elektronski podpis, overjen s kvalificiranim potrdilom, glede podatkov v elektronski obliki enakovreden lastnoročnemu podpisu ter ima zato enako veljavnost in dokazno vrednost. Kar se tiče časovne veljavnosti elektronskih dokumentov je pogost pristop časovni žig, to je elektronsko podpisano potrdilo overitelja, ki potrjuje vsebino podatkov, na katere se nanaša, v navedenem času; varni časovni žig pa elektronsko podpisano potrdilo overitelja, ki izpolnjuje pogoje iz
- točke
- člena ZEPEP. Če bi poleg elektronskih dokumentov še vedno razpolagali tudi z dokumenti v pisni obliki, ki lahko potrdijo verodostojnost elektronskih dokumentov, potem so po našem predvidevanju lahko zahteve (z vidika verodostojnosti elektronskih dokumentov in ne z vidika ZVOP-1) vezane na časovni žig in po vsej verjetnost tudi glede elektronskega podpisa, nižje. Ne glede na navedeno Pooblaščenec opozarja, da ni pristojen za podajo ocene o tem, ali ima nek dokument sodno veljavo ali ne, saj lahko takšno presojo opravi le sodišče, zato vas želimo le opozoriti na nekatere določbe zakonodaje, za katero menimo, da je relevantna v vašem primeru. Pooblaščenec dodaja še, da je pri uporabi elektronskega podpisovanja smiselno razmisliti o že dostopnih digitalnih potrdilih, ki jih ima zdravstveno osebje na profesionalnih karticah. ad 6 Zakon o pacientovih pravicah (Uradni list RS, št. 15/08; ZPacP) v prvem odstavku
- člena določa izjemo od pravila, da je pacientu vedno potrebno omogočiti seznanitev z lastno zdravstveno dokumentacijo. Po citiranem določilu sme zdravnik pacientu izjemoma zamolčati dejstva o njegovem zdravju, če glede na okoliščine oceni, da bi mu takšno obvestilo povzročilo resno zdravstveno škodo. Ker gre za izjemo, Pooblaščenec meni, da je pacienta na drugi strani praviloma potrebno seznaniti z izvidom oziroma s podatki o rezultatih preiskave. Tako boste pacientu izročili kopijo izvida oziroma mu boste po predhodni identifikaciji (z imenom in priimkom ter številko vzorca, ki jo je prejel v laboratoriju) podatke povedali po telefonu. Kolikor bi zdravnik, ki preiskavo naroča, menil, da si bo glede na okoliščine pridržal presojo o morebitni resni zdravstveni škodi, ki bi jo pacient lahko utrpel ob seznanitvi z izvidi, do prejema izvida, naj to ob naročilu preiskave na interno dogovorjeni način označi. V takšnem primeru, ki pa bo resnično izjemen, boste pacienta za seznanitev z rezultati preiskave napotili na zdravnika, ki jo je naročil. Slednji pa bo moral kadar bo pacient, ki je sposoben odločanja v svojo najboljšo zdravstveno korist, to izrecno zahteval, le-tega kljub svojim pomislekom popolnoma obvestiti o njegovem zdravstvenem stanju (
- člen ZPacP). Prijazen pozdrav, Informacijski pooblaščenec: Nataša Pirc Musar, univ.dipl.prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026