Lekarna kot upravljavec zbirk osebnih podatkov, ki se nanašajo na paciente - IPRS

Lekarna kot upravljavec zbirk osebnih podatkov, ki se nanašajo na paciente + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.11.2006 Številka: 0712-348/2006-2 Kategorije:Register zbirk osebnih podatkov, Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki, Register zbirk osebnih podatkov Spoštovani,Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
4. 2006 prejel vaš dopis. V njem nas sprašujete, ali je lekarne mogoče šteti za upravljavce zbirk osebnih podatkov o pacientih in so zaradi tega dolžne zbirke osebnih podatkov prijaviti Pooblaščencu. Vprašanje se navezuje na dejstvo, da lekarne pri svojem poslovanju zbirajo recepte in jih po izdaji zdravil shranjujejo oziroma arhivirajo. Poleg tega podatke iz recepta in nekatere podatke iz kartice zdravstvenega zavarovanja (v vsebino katere imajo omejen vpogled) vnašajo v posebne računalniške programe in posredujejo ZZZS ter nekaterim komercialnim zavarovalnicam, ki izvajajo dopolnilno zdravstveno zavarovanje. Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
8. UvodnoUvodoma je potrebno pojasnilo o relevantni ureditvi po ZVOP-1, kjer v
9. členu najdemo naslednje opredelitve pojmov, ki so pomembni za razumevanje vašega primera: - Zakon definira upravljavca kot fizično ali pravno osebo ali drugo osebo javnega ali zasebnega sektorja, ki sama ali skupaj z drugimi določa namene in sredstva obdelave osebnih podatkov oziroma osebo, določeno z zakonom, ki določa tudi namene in sredstva obdelave. - Osebni podatek pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Določljiva fizična oseba pa je tista, ki se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.); - Obdelava osebnih podatkov je definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno; - Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.
10. Fizična zbirka receptov na podlagi katerih so bila izdana zdravilaPodatki, ki jih vsebuje recept in podatki, ki so lekarnam dostopni preko odčitavanja kartice zdravstvenega zavarovanja (ter ste jih navedli v svoji vlogi) nedvomno predstavljajo varovane osebne podatke, kadar se pojavljajo v povezanih kombinacijah na podlagi česar je posameznik - pacient določen ali določljiv (npr. na samem receptu).Iz definicije v uvodnem poglavju sledi, da podatki ustrezajo zbirki osebnih podatkov, če zadostijo naslednjim pogojem: - gre za osebne podatke, - gre za niz teh podatkov, - gre za strukturiran niz, - je ta dostopen v skladu s posebnimi merili.Zadnji del definicije zbirke osebnih podatkov predstavlja podlago za široko obravnavo zbirk, ki ustrezajo predhodnim pogojem. Niz podatkov je strukturiran, kadar gre za ponavljanje enakega zaporedja kategorij podatkov, ki je obdelan na način, da je mogoče na podatkih neposredno ali ob minimalnih prilagoditvah izvajati relacijske operacije, ki (z informacijskega vidika) povečujejo informacijsko vsebnost podatkov oziroma zbirke. Strukturiran niz podatkov lahko definiramo tudi kot niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.Glede na to, da gre pri receptih za določeno raven strukturiranosti in da gre za ponavljanje enakega zaporedja kategorij podatkov, ter da so nizi podatkov obdelani na način, da je mogoče na podatkih neposredno ali ob minimalnih prilagoditvah izvajati relacijske operacije, ocenjujemo, da gre v tem primeru za niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika (recimo možnost iskanja po arhivu na podlagi osebnega imena pacienta, vrste zdravila, datuma opravljene storitve itd.). Skladno z zgornjim razumevanjem pojma zbirke osebnih podatkov, zbirko receptov v fizični obliki na podlagi katerih so bila izdana zdravila, štejemo za (ročno vodeno) zbirko osebnih podatkov.
11. Informatizirana zbirka podatkovPodobno kot zgoraj, tudi vse informatizirane zbirke podatkov, ki vsebujejo podatke iz receptov za zdravila ali celo združujejo omenjene podatke in nekatere podatke iz kartice zdravstvenega zavarovanja, štejemo za zbirke osebnih podatkov v smislu ZVOP-
12. Vendar zaradi skopega opisa dejanskega stanja Pooblaščenec ne more natančno oceniti, katere dele poslovanja lekarn v zvezi z obravnavanimi podatki je mogoče umestiti pod pojem »obdelava zbirk osebnih podatkov«.
13. Končno mnenjePooblaščenec zaključuje, da ročno vodene in informatizirane zbirke podatkov, ki se nanašajo na posamezne paciente kot uporabnike lekarniških storitev, katerim so lekarne izdale zdravila na podlagi recepta, štejemo za zbirke osebnih podatkov v smislu ZVOP-
14. Glede teh zbirk, lekarne nastopajo kot upravljavec v smislu ZVOP-1 in so s tem podvržene režimu varstva osebnih podatkov, kot ga določa ZVOP-1 (to vključuje tudi izdelavo in prijavo kataloga zbirk osebnih podatkov in sprejem notranjega akta o zavarovanju osebnih podatkov).Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026