← Slovenija

Pošiljanje zdravstvenih podatkov v CRPP in dostop do podatkov v ZZZS On-line s strani zasebnih ambulant - IPRS

Pošiljanje zdravstvenih podatkov v CRPP in dostop do podatkov v ZZZS On-line s strani zasebnih ambulant + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.03.2022 Številka: 07121-1/2022/313 Kategorije: --> Kategorije: Zdravstveni osebni podatki, Posredovanje OP med upravljavci, Pravne podlage Pri Informacijskem pooblaščencu (IP) smo dne
  4. 2022 prejeli vaše vprašanje v zvezi s pošiljanjem medicinskih podatkov pacientov v IH oziroma CRPP ter branjem podatkov v ZZZS On-line. Gre za zasebnike brez koncesije, ki so vključeni v zNet, torej imajo dostop do ZZZS On-line in CRPP.
  5. Po vašem mnenju Zakon o zbirkah podatkov s področja zdravstvenega varstva (ZZPPZ), kjer so določena pravila obdelave osebnih podatkov, povezanih z zdravjem posameznika, ne razlikuje med opravljanjem zdravniške službe v javnozdravstveni mreži ali v okviru zasebnih ambulant. Iz tega sledi, da ZZPPZ, ki določa obveznost posredovanja podatkov v CRPP, velja tako za javnozdravstveno mrežo in zasebne ambulante (ki so v zNet), torej je pravna podlaga za proces posredovanja medicinskih podatkov pacienta, ki so definirani v 14.č členu ZZPPZ, zakon. Posledično privolitev pacienta za ta proces obdelave ni potrebna. Zanima vas, ali je zgornje stališče ustrezno.
  6. Drugo vprašanje je, ali smejo zasebni zdravstveni izvajalci za preverjanje pravilnosti podatkov pacientov uporabiti ZZZS On-line sistem, torej preko branja pacientove zdravstvene kartice zdravstvenega zavarovanja, brez pacientove izrecne (pisne) privolitve. Menite, da je pacient z izročitvijo KZZ ustanovi že dal privolitev, da kartico uporabi za preverjanje pravilnosti njegovih osebnih podatkov (privolitveno ravnanje), torej ustanova ne potrebuje pisne privolitve za dostop do pacientovih podatkov v ZZZS On-line. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
  7. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  8. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov),
  9. točko prvega odstavka
  10. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
  11. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. Pri tem opozarjamo, da je dokončni odgovor odvisen od odgovora na »predhodno« vprašanje, ki je primarno izven pristojnosti IP. Poleg tega je konkretna presoja možna le v inšpekcijskem postopku.
  12. Po načelnem mnenju IP so uporabniki CRPP (tj. interoperabilne hrbtenice in povzetka podatkov o pacientih) lahko tudi zasebni izvajalci zdravstvene dejavnosti, ne glede na koncesijo, zaradi česar lahko v sistem posredujejo in iz njega pridobivajo podatke brez privolitve pacienta. Toda izhodiščno vprašanje, kateri izvajalci zdravstvene dejavnosti so lahko ali morajo biti vključeni v sistem, ne spada v pristojnost IP, temveč v pristojnost NIJZ in MZ.
  13. Po načelnem mnenju IP pridobivanje podatkov s pomočjo kartice ZZ iz zalednega sistema ZZZS On-line ni dopustno brez privolitve pacienta, če gre za samoplačniško storitev pri zasebnemu izvajalcu. Enako velja za pridobitev osnovnih podatkov iz zapisa v čipu kartice ZZ. Izjema bi veljala, če bi nek predpis določal, da lahko kartico ZZ uporabljajo tudi zasebniki v zvezi s samoplačniškimi zdravstvenimi storitvami; tak predpis v tem trenutku IP-ju ni znan. Zgolj predložitev kartice na zahtevo izvajalca, ne predstavlja veljavne privolitve, saj ji praviloma manjka izrecnost ter informiranost. O b r a z l o ž i t e v:
  14. ZZPPZ v členih od 14 do 14.d in drugih določbah, vključno s prilogo 1 in prilogo 2, iz uporabe ne izključuje zasebnih izvajalcev zdravstvene dejavnosti, s koncesijo ali brez. V
  15. členu je določeno, da »so upravljavci zbirk podatkov s področja zdravstvenega varstva NIJZ in ostali izvajalci zdravstvene dejavnosti v Republiki Sloveniji«. V
  16. členu je določeno, da »so uporabniki eZdravja fizične in pravne osebe, ki uporabljajo storitve eZdravja in enotno informacijsko-komunikacijsko infrastrukturo eZdravja«; »obvezni uporabniki eZdravja so izvajalci, drugi uporabniki eZdravja, določeni v posamezni zbirki eZdravja iz Priloge 2 in drugi obvezni uporabniki eZdravja za posamezne storitve eZdravja, če pravica do obdelave podatkov, vsebovanih v zbirkah podatkov eZdravja, izhaja iz drugega zakona«. Iz 14.b člena izhaja, da se podatki iz CRPP »obdelujejo zato, da se izvajalcem v Republiki Sloveniji omogoča (…)«. Po 14.c členu so »uporabniki podatkov CRPP pacienti, izvajalci in pooblaščene osebe ZZZS, ki za namene iz tretjega odstavka prejšnjega člena obdelujejo podatke iz CRPP«. Tudi Pravilnik o pogojih, rokih, načinu vključitve in uporabe eZdravja za obvezne uporabnike (Uradni list RS, št. 69/15, 25/19, 10/21 in 58/21) in Pravilnik o pooblastilih za obdelavo podatkov v Centralnem registru podatkov o pacientih (Uradni list RS, št. 51/16 in 95/21) nimata posebnih določb, na podlagi katerih bi bilo možno sklepati, da so zasebni izvajalci izključeni iz uporabe. Enako velja za Pravilnik o prepovedi vpogleda v povzetek podatkov o pacientu v Centralnem registru podatkov o pacientih (Uradni list RS, št. 84/15). Zato je lahko upravičeno sklepanje, da relevantne določbe ZZPPZ veljajo za vse tipe izvajalcev. Ker presojanje, ali, v kakšnem obsegu, pod kakšnimi pogoji in na kateri podlagi so čisti zasebniki tudi zakoniti obvezni ali neobvezni uporabniki sistema CRPP, ne spada v pristojnost IP, vam predlagamo, da se z vprašanjem obrnete na NIJZ in MZ. Ne moremo pa se, brez predhodnega stališča NIJZ, opredeliti do dodatnega vprašanja, ki se lahko avtomatično postavlja – ali lahko neobvezni uporabniki svobodno odločajo o posredovanju posameznih dokumentov v CRPP, zlasti v IH. Če bi bilo temu tako, bi se izvajalec s pacientom lahko tudi dogovoril, da se določenih dokumentov oziroma podatkov ne posreduje v sistem, če je tako v interesu pacienta (določeni pacienti se namreč poslužujejo zasebnih storitev tudi zato, ker jim to lahko zagotavlja večjo zasebnost).
  17. Za pridobivanje osebnih podatkov (osnovnih – statusnih in zdravstvenih) prek kartice zdravstvenega zavarovanja oziroma on line sistema ZZZS je pri samoplačniških storitvah pri zasebnikih, potreba privolitev pacienta. Kartica zdravstvenega zavarovanja je namenjena izvrševanju pravic in obveznosti iz obveznega in prostovoljnega zdravstvenega zavarovanja. Brez veljavne privolitve bi bilo kršeno načelo omejitve namena iz (b) točke prvega odstavka
  18. člena Splošne uredbe (EU) o varstvu podatkov. V tretjem odstavku
  19. člena Zakona o zdravstvenem varstvu in zdravstvenem zavarovanju (ZZVZZ) je določeno, da se s kartico zdravstvenega zavarovanja dostopa do podatkov, ki so potrebni za uveljavljanje pravic iz zdravstvenega zavarovanja. To pomeni, da se lahko osebni podatki iz kartice in iz zalednega sistema KZZ avtomatično pridobivajo le pri izvajanju zdravstvenih storitev, ki so vsaj delno krite iz naslova zdravstvenega zavarovanja. Ker pri »čistih« zasebnikih ali pri samoplačniških storitvah ne gre za tak primer, po mnenju IP ni na voljo ustrezne pravne podlage za pridobivanje podatkov o pacientu, z izjemo privolitve. Privolitev mora ustrezati zahtevam členov 4 (
  20. točka), 7, 13 in 14 Splošne uredbe (EU) o varstvu podatkov. Privolitev ni nujno pisna, kar je odvisno zlasti od vrste podatkov. Tudi iz
  21. člena Pravilnika o kartici zdravstvenega zavarovanja (…) izhaja, da je kartica ZZ javna listina, s katero se dokazuje lastnost zavarovane osebe pri uveljavljanju pravic iz obveznega zdravstvenega zavarovanja in s katero se dostopa do podatkov, ki so potrebni za uveljavljanje pravic iz zdravstvenega zavarovanja, če tako določa posebni zakon, pa tudi do drugih podatkov. Dodaten razlog za nedopustnost pridobivanja podatkov je tudi dejstvo, da v tem primeru ne gre za posredovanje oz. izmenjavo zdravstvenih podatkov med izvajalci zdravstvene dejavnosti za potrebe zdravstvene oskrbe (
  22. člen ZPacP), pač pa izvajalec pridobiva podatke od ZZZS, ki ni izvajalec zdravstvene dejavnosti, pridobljeni podatki pa tudi nimajo neposrednega izvora pri drugem izvajalcu zdravstvene dejavnosti. Lepo vas pozdravljamo, Pripravil mag. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.