Razkritje ugotovitev internih kontrol pacientom + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 16.04.2021 Številka: 07120-1/2021/200 Kategorije:Pravica do seznanitve z lastnimi osebnimi podatki, Pravne podlage, Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki, Pravne podlage, Pravica do seznanitve z lastnimi osebnimi podatki Pri Informacijskem pooblaščencu (IP) smo dne 13. 4. 2021 prejeli vaše zaprosilo za mnenje o tem, v kakšnem obsegu lahko, kot izvajalec zdravstvene dejavnosti, pacientom oziroma pritožnikom razkrijete osebne podatke drugih oseb, ki se obdelujejo v internih pritožbenih postopkih. ZPacP v 46. členu določa, da morajo izvajalci zdravstvene dejavnosti vsak ugotovljen ali sporočen primer nedovoljenega sporočanja ali druge nedovoljene obdelave osebnih podatkov o pacientu, ne glede na voljo pacienta, posebej raziskati in ugotoviti morebitno odgovornost zdravstvenih delavcev, zdravstvenih sodelavcev ali drugih oseb ter primer pisno dokumentirati. O tem morajo obvestiti pacienta, pristojnega zastopnika pacientovih pravic in IP. Vprašanje je, ali se pritožnikom lahko razkrijejo osebni podatki zaposlenih, ki so pritožnikove osebne podatke obdelovali nezakonito. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (v nadaljevanju: Splošna uredba o varstvu podatkov), 7. točko prvega odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezujoče mnenje v zvezi z vašim vprašanjem. IP se do konkretne problematike ni more opredeljevati izven inšpekcijskega postopka. Po mnenju IP za tako sporočanje ni pravne podlage: ker ZPacP v 46. členu izrecno ne določa, da se paciente ali pobudnike (pritožnike) obvešča o konkretnih osebah, ki so glede na interne ugotovitve odgovorne za kršitev varstva osebnih podatkov pri izvajalcu, ker če tako razkritje morebiti določajo interna pravila pri izvajalcu, ta ne morejo predstavljati ustrezne pravne podlage v smislu 6. člena Splošne uredbe o varstvu podatkov in 38. člena Ustave RS, ker se (
- c)točka prvega odstavka 15. člena Splošne uredbe o varstvu podatkov (pravica do seznanitve z uporabniki) ne nanaša na zaposlene pri izvajalcu, ker IP-ju tudi ni znana nobena druga podlaga v zakonu ali Splošni uredbi o varstvu podatkov, ki bi to dopuščala, ker prosilec (pacient ali katerakoli druga oseba) tudi po ZDIJZ ne more pridobiti informacij javnega značaja, ki se nanašajo na točno določenega (prosilcu znanega) pacienta. Izjemoma bi bilo možno razkritje na podlagi testa interesa javnosti, ki pa je vedno odvisen od okoliščin konkretnega primera. O b r a z l o ž i t e v: Obravnavani 46. člen ZPacP določa: »Izvajalci zdravstvene dejavnosti morajo vsak ugotovljen ali sporočen primer nedovoljenega sporočanja ali druge nedovoljene obdelave osebnih podatkov o pacientu, ne glede na voljo pacienta, posebej raziskati in ugotoviti morebitno odgovornost zdravstvenih delavcev, zdravstvenih sodelavcev ali drugih oseb ter primer pisno dokumentirati. O tem morajo obvestiti pacienta, pristojnega zastopnika pacientovih pravic in Informacijskega pooblaščenca.«. Zadnji stavek ne določa, da se posredujejo osebni podatki in teh tudi ne našteva (niti po vrstah niti po kategorijah posameznikov), prav tako ne določa konkretnih namenov za posredovanje obvestila posameznim prejemnikom. Določba zapoveduje zgolj, da se »o tem« obvesti prejemnike, zaradi česar se prejemnike obvešča le o dejstvu, da je bil primer raziskan in pisno dokumentiran. Ko tako obvestilo prejme IP, lahko ob uvedbi inšpekcijskega postopka od izvajalca zahteva dodatne (osebne) podatke in dokumentacijo z osebnimi podatki; seveda lahko izvajalec že ob samem obvestilu IP-ju posreduje vso relevantno dokumentacijo. Zastopnik pacientovih pravic pa lahko po prejemu obvestila tudi zahteva dodatna pojasnila in dokumentacijo, a le, če ga pacient pooblasti za reševanje zadeve oziroma spora. Za pacienta to ne velja, ker nima na voljo »dopolnilne« pravne podlage. Glede možnosti pridobitve podatkov o uporabnikih po 15. členu Splošne uredbe oziroma o tem, da uporabniki niso zaposleni pri upravljavcu, je IP že izdal mnenje št. 0712-1/2019/861, ki je dostopno na spletni strani IP. V skladu z dosedanjo prakso IP, na podlagi zahteve za seznanitev z lastnimi osebnimi podatki po 15. členu Splošne uredbe o varstvu podatkov, ni mogoče pridobiti informacij o konkretnih osebah, ki so znotraj upravljavca zakonito ali nezakonito obdelovale osebne podatke posameznika. V primeru suma nezakonite notranje obdelave osebnih podatkov lahko posameznik vloži inšpekcijsko prijavo. Pod določenimi zakonskimi pogoji (gl. ZIN in ZP-1) lahko posameznik pridobi podatke o kršitelju v inšpekcijskem in prekrškovnem postopku pri IP. Iz dosedanje pritožbene prakse IP na področju ZDIJZ izhaja, da prosilec - ne glede na to, ali je pacient ali katera koli druga oseba - ne more pridobiti informacij javnega značaja (npr. podatkov v zvezi z delovnim razmerjem javnega uslužbenca), če se te nanašajo na prosilcu znano osebo, torej na določenega pacienta. Razlog je v izjemi varstva osebnih podatkov (prvi odstavek 6. člena ZDIJZ), v tem primeru osebnih podatkov pacienta. Kadar v postopku po ZDIJZ kot prosilec nastopa sam pacient (na katerega se torej navezujejo informacije v zvezi z delovnim razmerjem javnega uslužbenca), ta ne more prejeti drugačnih informacij, kot če bi zahtevo podal kdo drug. Rezultat dostopa do informacij javnega značaja mora biti za vse prosilce enak. Podlaga za izjemno razkritje takih podatkov, bi lahko bil test interesa javnosti iz drugega odstavka 6. člena ZDIJZ. O tem je na spletni strani IP na voljo pritožbena praksa. Tudi če bi se pobude pacientov za nadzor (prijave) reševale v obliki internega nadzora v smislu druge alineje prvega odstavka 76.a člena ZZDej, tudi ta člen ne določa izrecno, da izvleček poročila, ki ga prejme pobudnik vsebuje konkretne osebne podatke o zaposlenih. Do te problematike se v tem mnenju posebej ne opredeljujemo, ker ni predmet vašega vprašanja. Lepo vas pozdravljamo, Pripravil: mag. Urban Brulc, univ. dipl. prav. samostojni svetovalec IP Mojca Prelesnik, univ. dipl. prav. informacijska pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
- si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026