Nadzor nad izdajo HAG testov s strani lekarn - IPRS

Nadzor nad izdajo HAG testov s strani lekarn + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 09.09.2021 Številka: 07120-1/2021/461 Kategorije: --> Kategorije: Pravne podlage, Pridobivanje OP iz zbirk, Posredovanje OP med upravljavci Pri Informacijskem pooblaščencu (IP) smo dne 3. 9. 2021 prejeli vaše vprašanje v zvezi z nadzorom nad izdajo HAG testov. V skladu z Uredbo o izvajanju presejalnih programov za zgodnje odkrivanje okužb z virusom SARS-CoV-2 (Uradni list RS, št. 118/21 in 132/21), Odlokom o začasnih ukrepih za zmanjšanje tveganja okužbe in širjenja okužbe z virusom SARS-CoV-2 (Uradni list RS, št. 129/21 in 136/21), Odlokom o določitvi začasnih pogojev za izvajanje dejavnosti v vzgoji in izobraževanju ter visokem šolstvu (Uradni list RS, št. 132/21 in 133/21) in Pravilnikom o načinu izvajanja samotestiranja za zgodnje odkrivanje okužb z virusom SARS-CoV-2 za učence in dijake (Uradni list RS, št. 133/21) se za učence in dijake izvaja samotestiranje s hitrim antigenskim testom (v nadaljnjem besedilu: HAGT) tako, da testirana oseba sama opravi odvzem brisa in odčita rezultat. Glede na navedeno so bili določeni: standard: cenovni (2,50 Eur) in kakovostni (specifičnost >=97%, občutljivost>=90%), dobavitelji (lekarne), plačnik (Zavod za zdravstveno zavarovanje Slovenije; v nadaljnjem besedilu: ZZZS) izdatkov do dobaviteljev, proračun RS, ki bo plačniku (ZZZS) povrnil plačila, količina in trajnostna doba (5 HAGT na mesec na učenca in dijaka). Ker so upravičenci do HAGT posamezniki rojeni od 1. 1. 2002 do 31. 12. 2009, tj. od 130.000 do 140.00 učencev in dijakov (ter izjeme, ki upravičenost izkazujejo s potrdilom o šolanju), bi bil postopek predpisa HAGT na e-recept oziroma e-naročilnico s strani osebnega zdravnika (pediatra) zaradi dodatne obremenitve zdravnikov neizvedljiv. Zato je trenutno kontrola upravičenosti do HAGT vzpostavljena v lekarnah, po datumu rojstva, zapis izdaje HAGT pa je v skladu z že obstoječimi pravnimi podlagami veljavnimi za medicinske pripomočke vezan zgolj na KZZ številko ter hranjen lokalno pri dobavitelju (lekarni), za namene dokazovanja izdaje, obračuna in nadzora. Izdaj HAGT se iz vsebinskih in tehničnih razlogov (še) ne more zapisovati v On-Line pri ZZZS in posledično se (še) ne more sistemsko nadzirati porabe po upravičencih do HAGT. Zato vas zanima, ali lahko dobavitelji (lekarne), ki pri obveznem zdravstvenem zavarovanju že tako sodelujejo pri nadzoru porabe medicinskih pripomočkov in zdravil po zavarovancih ter izpolnjujejo zahteve ZVOP-1 in Splošne uredbe o varstvu podatkov iste zahteve izpolnjujejo že tudi pogodbeni obdelovalci - programske hiše), vzpostavijo sistemski On - Line nadzor nad izdajo oziroma porabo HAGT po upravičencih po KZZ številkah? To bi pomenilo, da bi v lekarnah informacijski sistemi v novem On-Line servisnem sistemu, ki izpolnjuje vse sodobne tehnične in varnostne standarde, preverjali predhodne izdaje HAGT preko KZZ številke, datum izdaje, lekarno, šifro HAGT, izdano količino HAGT, ter šele zatem izdali HAGT upravičencu. S tem novim On-Line servisnim sistemom bi do vzpostavitve sistemske rešitve učinkovito nadzirali porabo proračunskega oziroma davkoplačevalskega denarja in preprečevali zlorabe z dvigom večje količine testov, kot je določeno z veljavnimi predpisi. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pri tem še pojasnjujemo, da je naš odgovor načelen, ker se IP izven inšpekcijskega postopka ne more konkretno opredeljevati do obdelave osebnih podatkov v posamičnih primerih. Poleg tega nimamo na voljo dovolj informacij o zamišljeni izvedbi sistema izmenjave podatkov, da bi lahko podali dokončno mnenje o zakonitosti. Na splošno IP meni, da novo zamišljene množične obdelave osebnih podatkov terjajo jasno zakonsko ureditev. IP meni, da bi bilo treba z vidika varstva osebnih podatkov pristopiti k takemu načinu razdeljevanja HAG testov, pri oziroma zaradi katerega ne bi prihajalo do množične, prekomerne in tvegane obdelave osebnih podatkov in ne bi prišlo do ustvarjanja novih centralnih zbirk podatkov. Uporaba in pridobivanje nujno potrebnih osebnih podatkov o predhodnih izdajah HAG testov od drugih lekarn s strani lekarne izdajateljice s pomočjo enotne informacijske rešitve za namen izdaje s predpisi skladne izdaje HAG testov, je načeloma lahko dopustno na podlagi: - četrtega odstavka 9. člena ZVOP-1, če so lekarne po splošnih predpisih upravičene do pogojevanja izdaje testov in do izvajanja ustreznih kontrol za ta namen (presojanje slednjega pogoja v izhodišču ne spada v pristojnost IP), in/ali - četrte alineje šestega odstavka 44. člena Zakona o pacientovih pravicah (ZPacP), če je možno tudi izdajanje HAG testov šteti za zdravstveno storitev (presojanje slednjega pogoja v izhodišču ne spada v pristojnost IP). Priporočamo, da se pri pri oblikovanju oziroma uporabi predlagane informacijske rešitve ne ustvarja nova centralna zbirka osebnih podatkov. O b r a z l o ž i t e v: IP-ju ni znana izrecna oziroma neposredna pravna podlaga za tovrstno obdelavo osebnih podatkov uporabnikov testov za samotestiranje. Ta bi bila v predstavljenem primeru namreč dobrodošla, saj je predvidena nova obdelava podatkov velikega števila oseb s strani mnogih udeležencev. Ni pa izključeno, da so v konkretnem primeru izpolnjeni pogoji za sklicevanje na (

1. c)točko »potrebnost obdelave za izvrševanje zakonske obveznosti« ali (
2. e)točko »opravljanje naloge v javnem interesu ali pri izvajanju javne oblasti« prvega odstavka 6. člena Splošne uredbe o varstvu podatkov v povezavi s četrtim odstavkom 9. člena ZVOP-1. Slednji določa tri pogoje: nujnost podatkov (torej njihovo neizogibno potrebnost in primernost za izpolnitev zakonite pristojnosti), zakonita pristojnost upravljavca (v tem primeru vseh lekarn) ali njegovih nalog ali obveznosti in neprizadetost upravičenih interesov posameznikov. Če lahko lekarne utemeljijo izvajanje kontrol kot njihovo zakonito pristojnost, nalogo ali obveznost (tega pogoja IP izven inšpekcijskega postopka ne more ugotavljati), je lahko izpolnjen pogoj iz 2. točke. Odgovoriti je torej treba na vprašanje, ali lekarne lahko pogojujejo izdajo testov in ali lahko te pogoje tudi preverjajo (npr. ali bi lekarne lahko preverjale enake podatke, če bi bil v uporabi sistem izdajanja eReceptov ali pa če bi bil v celoti uporaben on-line sistem zdravstvenega zavarovanja ZZZS). Po mnenju IP je pogoj iz 1. točke lahko izpolnjen, ker drugega načina za preverjanje ni oziroma bi vsi temeljili na podobni medsebojni izmenjavi podatkov o že izdanih testih. Prav tako je po mnenju IP lahko izpolnjen pogoj neprizadetosti interesov posameznikov (3. točka), saj so ti po predpisih upravičeni le do določenega števila določenih testov v določenem obdobju, predvideni podatki pa ne posegajo pretirano v zasebnost in se tičejo le kontrole omenjene omejitve. Druga podlaga v smislu (
3. c)in (
4. e)točke 6. člena Splošne uredbe o varstvu podatkov je pogojno lahko v četrti alineji šestega odstavka 44. člena ZPacP, ki določa, da je uporaba in druga obdelava osebnih podatkov pacientov dopustna tudi, če se zaradi potreb zdravljenja podatki posredujejo drugemu izvajalcu zdravstvene dejavnosti (sem namreč spadajo tudi lekarne). Če gre v vašem primeru za podatke, ki se nanašajo na zdravstveno storitev (in so torej namenjeni zdravstveni oskrbi pacienta v širšem smislu), bi lahko prišla v poštev tudi ta podlaga. Opozarjamo še na naslednje dodatne obveznosti pri uvedbi predlaganega sistema: Ni izključeno, da je v konkretnem primeru treba pred izvedbo informacijske rešitve izvesti oceno učinkov po 35. členu Splošne uredbe o varstvu podatkov, čeprav ne gre za obdelavo zdravstvenih podatkov; Ugotoviti je treba, kdo bi bil ali kdo bi bili upravljavci/obdelovalci/uporabniki v predlaganem sistemu (to namreč ni jasno), ter v odvisnosti od tega določiti pravice in obveznosti udeležencev; Ni izključeno, da bi šlo v konkretnem primeru za primer skupnega upravljanja v smislu 26. člena Splošne uredbe o varstvu podatkov; Če bodo za potrebe izvedbe sistema pogodbeni izvajalci kakorkoli obdelovali osebne podatke, morajo biti z njimi sklenjene ustrezne pogodbe o obdelavi osebnih podatkov v smislu 28. člena Splošne uredbe o varstvu podatkov; Možno je, da je v konkretnem primeru treba izpolnjevati tudi pogoje o povezovanju zbirk osebnih podatkov po 84. členu ZVOP-1 (odgovor je odvisen od izvedbenih podrobnosti); Če bi sistem izmenjave podatkov temeljil na ustvarjanju nove centralne zbirke podatkov (pa bi s tehničnega vidika bile možne tudi druge, zasebnosti bolj prijazne rešitve), bi njeno zakonitost najverjetneje težko utemeljili s sklicevanjem na četrti odstavek 9. člena ZVOP-1 in na ZPacP, saj je možno, da ne bi bil izpolnjen pogoj nujnosti in tudi ne pogoj neprizadetosti posameznikov, in da ne bi šlo le za golo posredovanje podatkov od enega izavajalca k drugemu. Poleg tega nova zbirka podatkov pomeni, da je treba zanjo posebej določiti (so)upravljavca, ki bo imel vrsto posebnih obveznosti, na primer pripravo evidence dejavnosti obdelave ter pripravo in izvajanje pravil o zagotavljanju varnosti podatkov. Lepo vas pozdravljamo, Pripravil: mag. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
5. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026