Občutljivi OP v čakalnici in nadzor nad delom zdrav. osebja + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 14.10.2007 Številka: 0712-896/2007/2 Kategorije:Občutljivi OP, Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki, Občutljivi OP Spoštovani, Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
- 2007 prejel vaše e-sporočilo, v katerem pojasnjujete, da je direktor zdravstvene ustanove, v kateri ste zaposleni, najel službo, ki časovno nadzoruje oziroma nadzira potek dela zaposlenih. Nadalje navajate konkreten primer v eni izmed notranjih organizacijskih enot, kjer naj bi »nadzorni« sedel in imel vpogled v vse pacientove podatke, saj pacienta pokličete po priimku in imenu ter med delom s sodelavci komentirate razloge za obravnavo, to pa je razvidno tudi iz napotnic. Poleg tega so pacienti v večini primerov slečeni. Sprašujete nas, kaj je mogoče narediti in dodajate, da se vam opisan način nadzora zdi neprimeren tudi z vidika pacientovih pravic. Uvodoma je potrebno pojasnilo, da je Pooblaščenec, na podlagi
- člena Zakona o informacijskem pooblaščencu (Uradni list RS št. 113/05 in 51/07-ZUstS; ZInfP), Zakona o dostopu do informacij javnega značaja (Uradni list RS, št. 51/06 – UPB in 117/06 – ZDavP-2; ZDIJZ) in Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04, 113/05, 51/07-ZUstS in 67/07; ZVOP-1), samostojen in neodvisen državni organ, ki ima zlasti naslednje pristojnosti: - odločanje o pritožbi zoper odločbo, s katero je organ zavrgel ali zavrnil zahtevo ali drugače kršil pravico do dostopa ali ponovne uporabe informacije javnega značaja (Pooblaščenec je torej po ZDIJZ pritožbeni oziroma drugostopenjski organ v zadevah dostopa do informacij javnega značaja); - v okviru postopka na drugi stopnji je pristojen tudi za nadzor izvajanja ZDIJZ in predpisov, ki so izdani na njegovi podlagi; - Pooblaščenec je prekrškovni organ pristojen za nadzor nad izvajanjem ZinfP, ZDIJZ v okviru pritožbenega postopka in ZVOP-1; - inšpekcijski nadzor nad izvajanjem ZVOP-1 in drugih predpisov, ki urejajo varstvo in obdelavo osebnih podatkov in v tem okviru odrejanje inšpekcijskih ukrepov po ZVOP-1 in drugih predpisih; - dajanje mnenj o usklajenosti predlogov predpisov z zakoni in drugimi predpisi, ki urejajo osebne podatke; - vodenje upravnih postopkov za izdajo dovoljenj in drugih odločb, ki jih predvideva ZVOP-1; - dajanje neobveznih mnenj, navodil in priporočil glede varstva osebnih podatkov na posameznem področju; - odločanje o pritožbah posameznikov, kadar upravljavec osebnih podatkov ne ugodi njihovim zahtevam (npr. seznanitev z osebnimi podatki itd.), ki jih imajo na podlagi ZVOP-1 ter odločanje o drugih ugovorih posameznikov, ki jih predvideva ZVOP-1; - vodenje in vzdrževanje registra zbirk osebnih podatkov in vodenje drugih evidenc, ki jih predvideva ZVOP-1; - mednarodno sodelovanje na področju varstva osebnih podatkov. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju na podlagi
- člena ZVOP-1 in
- člena ZInfP posredujemo le mnenje glede tistega dela predstavljene problematike, ki se neposredno nanaša na področje varstva osebnih podatkov: Razkrivanje osebnih podatkov pacientov (zlasti t.i. občutljivih osebnih podatkov) osebam, ki v proces zagotavljanja zdravstvene oskrbe pacienta niso neposredno vključene, ni dopustno in predstavlja kršitev določb
- oziroma
- člena ZVOP-
- Kršitev ZVOP-1 predstavlja tudi opustitev izvedbe primernih postopkov in ukrepov za zavarovanje osebnih podatkov, zaradi česar lahko pride do nepooblaščene obdelave osebnih podatkov. O b r a z l o ž i t e v:
- Glede na določbo prvega odstavka
- člena ZVOP-1, ki je sistemski in temeljni predpis s področja varstva osebnih podatkov, se osebni podatki v javnem sektorju (kamor spadajo tudi javni zdravstveni zavodi) lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Podobno izhaja tudi iz
- člena ZVOP-1, ki določa, da se občutljivi osebni podatki (npr. podatki o zdravstvenem stanju) lahko obdelujejo med drugim tudi v primeru: - če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom, - če jih za namene zdravstvenega varstva prebivalstva in posameznikov ter vodenja ali opravljanja zdravstvenih služb obdelujejo zdravstveni delavci in zdravstveni sodelavci v skladu z zakonom, - če tako določa drug zakon zaradi izvrševanja javnega interesa. Potrebno je opozoriti še na načelo sorazmernosti iz
- člena ZVOP-1, ki zahteva, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Kakršnokoli razkrivanje, dajanje na vpogled ali sam vpogled v osebne podatke pacientov, ki so vsebovani v zbirkah osebnih podatkov, predstavlja obdelavo osebnih podatkov v smislu ZVOP-
- Podatke, ki jih vsebuje osnovna zdravstvena dokumentacija, kartica zdravstvenega zavarovanja ter dokumentacija, ki je namenjena organizaciji ter financiranju zdravstvenih storitev, in s katerimi razpolaga konkreten izvajalec zdravstvenih storitev, se lahko obdeluje le za potrebe zagotavljanja zdravstvenega varstva in samo s strani tega izvajalca zdravstvene dejavnosti. Navedeno izhaja iz določb priloge Zakona o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00). Izvajalec zdravstvene dejavnosti tako nastopa kot formalni upravljavec osebnih podatkov v smislu določb ZVOP-1, seveda pa osebne podatke neposredno obdelujejo pri njem zaposlene osebe ali osebe, ki so za obdelavo pooblaščene na drugi pravni podlagi. Druge osebe (npr. varnostniki, drugi pacienti, obiskovalci, ki niso v nikakršnem razmerju s pacientom itd.) niso upravičene do seznanitve z osebnimi podatki določenega pacienta, kar pomeni, da jim zdravstveno osebje tudi ne sme aktivno sporočati osebnih podatkov ali jim na drug način omogočati seznanitve. Razkrivanje osebnih podatkov pacientov in seznanjenje z njimi je torej dopustno samo za namene zdravstvenega varstva oziroma zdravstvene oskrbe v širšem pomenu besede. Poleg tega je tovrstna obdelava dopustna samo s strani oseb, ki so po zaposlitvi (ali drugi podlagi) in funkciji (lahko) neposredno udeležene pri zagotavljanju zdravstvene oskrbe konkretnega pacienta. Navedeno izhaja tudi iz načela sorazmernosti, saj je vrsta in obseg osebnih podatkov, ki se lahko obdelujejo vedno vezana na določen, zakonit namen. Zdravstveno osebje tretjim osebam (npr. »nadzornikom«, ki jih omenjate v sporočilu) tako ne sme dovoliti vpogleda v dokumente, ki jih je moč opredeliti kot zbirko ali del zbirke osebnih podatkov. Pooblaščenec meni, da tudi drug način razkrivanja osebnih podatkov iz dokumentov (npr. preko pogovora) ni dopusten.
- Da se z osebnimi podatki ne bi seznanjale neupravičene osebe, ZVOP-1 od upravljavcev zahteva tudi izvedbo ukrepov in postopkov za t.i. zavarovanje osebnih podatkov. Iz določb
- in
- člena izhaja, da so upravljavci osebnih podatkov dolžni zagotoviti zavarovanje osebnih podatkov, pri čemer zavarovanje obsega organizacijske, tehnične in logično-tehnične postopke in ukrepe, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov tako, da se:
- varujejo prostori, oprema in sistemsko programska oprema, vključno z vhodno-izhodnimi enotami;
- varuje aplikativna programska oprema, s katero se obdelujejo osebni podatki;
- preprečuje nepooblaščen dostop do osebnih podatkov pri njihovem prenosu, vključno s prenosom po telekomunikacijskih sredstvih in omrežjih;
- zagotavlja učinkovit način blokiranja, uničenja, izbrisa ali anonimiziranja osebnih podatkov;
- omogoča poznejše ugotavljanje, kdaj so bili posamezni osebni podatki vneseni v zbirko osebnih podatkov, uporabljeni ali drugače obdelani in kdo je to storil, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja ali obdelave osebnih podatkov. ZVOP-1 nadalje določa še, da morajo v primeru obdelave osebnih podatkov, ki so dostopni preko telekomunikacijskega sredstva ali omrežja, strojna, sistemska in aplikativno programska oprema zagotavljati, da je obdelava osebnih podatkov v zbirkah osebnih podatkov v mejah pooblastil uporabnika osebnih podatkov. Postopki in ukrepi za zavarovanje osebnih podatkov morajo biti ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo. Funkcionarji, zaposleni in drugi posamezniki, ki opravljajo dela ali naloge pri osebah, ki obdelujejo osebne podatke, so dolžni varovati tajnost osebnih podatkov, s katerimi se seznanijo pri opravljanju njihovih funkcij, del in nalog. Dolžnost varovanja tajnosti osebnih podatkov jih obvezuje tudi po prenehanju funkcije, zaposlitve, opravljanja del ali nalog ali opravljanja storitev pogodbene obdelave. Tudi iz
- člena Zakona o zdravstveni dejavnosti (Uradni list RS, št. 23/05-UPB) izhaja dolžnost varovanja poklicne skrivnosti (t.j. podatkov o zdravstvenem stanju posameznika in o vzrokih, okoliščinah in posledicah tega stanja), ki zavezuje zdravstvene delavce, zdravstvene sodelavce in druge osebe, ki so jim podatki dosegljivi zaradi narave njihovega dela.
- Pooblaščenec se do drugih vidikov zasebnosti pacienta ne opredeljuje, saj se njegove pristojnosti ne raztezajo na tisti del pravice do zasebnosti, ki ni v zvezi z varstvom osebnih podatkov posameznika. Kljub temu je potrebno opozoriti na drugi odstavek
- člena predloga Zakona o pacientovih pravicah, ki določa, da je pacientu treba omogočiti, da so pri zdravstveni storitvi ali medicinskem posegu navzoči le: – zdravstveni delavci oziroma zdravstveni sodelavci, ki ga zdravijo ali opravljajo medicinski poseg, – osebe, za katere želi, da so ob tem navzoče, če je to glede na naravo medicinskega posega izvedljivo, – osebe, ki imajo v konkretnem primeru pravico do privolitve v medicinski poseg ali zdravstveno oskrbo, če pacient ni sposoben odločanja o sebi in če je to glede na naravo medicinskega posega izvedljivo, – druge osebe, če tako določa zakon. Poleg tega peti odstavek
- člena določa, da ima pacient pravico zahtevati izvedbo drugih (t.j. tistih, ki niso določeni že v prejšnjih odstavkih) primernih in razumnih ukrepov za varstvo njegove zasebnosti pri zdravstveni oskrbi. Navedeni določbi bosta vsekakor prispevali k bolj učinkovitemu uresničevanju splošne pravice do zasebnosti pacienta, kadar bo ta deležen konkretne zdravstvene oskrbe. Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026