← Slovenija

Seznanitev posameznika z dokumentacijo - IPRS

Seznanitev posameznika z dokumentacijo + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

  2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 05.10.2021 Številka: 07120-1/2021/528 Kategorije: --> Kategorije: Pravica do seznanitve z lastnimi osebnimi podatki, Zdravstveni osebni podatki Informacijski pooblaščenec (v nadaljevanju IP) je prejel vaše zaprosilo za mnenje. Navajate, da ste dobili zahtevo za seznanitev z lastnimi osebnimi podatki, v kateri pacient zahteva vpogled v vse dokumente Centralnega registra podatkov o pacientih (v nadaljevanju CRPP). Pojasnjujete, da je Nacionalni inštitut za javno zdravje (v nadaljevanju NIJZ) po Zakonu o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00, 47/15, 31/18, 152/20 – ZZUOOP, 175/20 – ZIUOPDVE, 203/20 – ZIUPOPDVE in 112/21 – ZNUPZ; v nadaljevanju ZZPPZ) upravljavec zbirke CRPP, vendar po sprejeti matriki dostopov, ki jo določa Pravilnik o pooblastilih za obdelavo podatkov v Centralnem registru podatkov o pacientih (Uradni list RS, št. 51/16 in 95/21; v nadaljevanju Pravilnik), NIJZ do zdravstvenih podatkov pacientov nima dostopa in v preteklosti tudi ni dostopal, saj je bil dostop omejen le na podatke revizijskih sledi. Izpostavljate še, da posameznik zahteva vpogled v podatke na sami lokaciji inštituta in fotokopije vseh dokumentov. Zanima vas: ali ste dolžni zahtevi v celoti ugoditi oziroma ali morate pacientu omogočiti seznanitev z vsemi podatki in vso zdravstveno dokumentacijo, ki se nahaja v zbirki CRPP; ali bi glede na to, da so avtorji zdravstvene dokumentacije izvajalci zdravstvene obravnave, morali pacienta usmeriti nanje; ali morda zadošča, da posameznika seznanite samo z vrstami dokumentov oziroma zapisov, ne pa tudi z njihovo vsebino. Na podlagi informacij, ki ste nam jih posredovali, vam v nadaljevanju skladno z
  3. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne
  4. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov, v nadaljevanju Splošna uredba),
  5. točko prvega odstavka
  6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1, v nadaljevanju ZVOP-1) ter
  7. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05, v nadaljevanju ZInfP) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji. IP uvodoma izpostavlja, da v okviru mnenja ne sme presojati, ali mora upravljavec v konkretnem primeru zahtevi za seznanitev z lastnimi osebnimi podatki ugoditi, oziroma mu predlagati, kakšno odločitev naj sprejme, saj nastopa v zvezi z uveljavljanjem pravic po Splošni uredbi kot pritožbeni organ in bi s tem lahko prejudiciral svojo odločitev. Zato vam v nadaljevanju podaja splošna pojasnila in usmeritve, ki vam bodo lahko v pomoč pri odločanju o zahtevi. IP poudarja, da je pravica do seznanitve z lastnimi osebnimi podatki, katere izpeljava je tudi pravica do seznanitve z zdravstveno dokumentacijo, ustavna pravica, zagotovljena v tretjem odstavku
  8. člena Ustave Republike Slovenije (Uradni list RS, št. 33/91-I, s spremembami in dopolnitvami). Ta pravica je prav tako varovana v drugem odstavku
  9. člena Listine Evropske unije o temeljnih pravicah. Splošna uredba pa v členu 15 konkretneje ureja to pravico, ki jo imenuje pravica dostopa posameznika, na katerega se nanašajo osebni podatki. Prvi odstavek tega člena določa, da ima posameznik, na katerega se nanašajo osebni podatki, pravico od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in naslednje informacije: (a) namene obdelave; (b) vrste zadevnih osebnih podatkov; (c) uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, zlasti uporabnike v tretjih državah ali mednarodnih organizacijah; (d) kadar je mogoče, predvideno obdobje hrambe osebnih podatkov ali, če to ni mogoče, merila, ki se uporabijo za določitev tega obdobja; (e) obstoj pravice, da se od upravljavca zahteva popravek ali izbris osebnih podatkov ali omejitev obdelave osebnih podatkov v zvezi s posameznikom, na katerega se nanašajo osebni podatki, ali obstoj pravice do ugovora taki obdelavi; (f) pravico do vložitve pritožbe pri nadzornem organu; (g) kadar osebni podatki niso zbrani pri posamezniku, na katerega se ti nanašajo, vse razpoložljive informacije v zvezi z njihovim virom; (h) obstoj avtomatiziranega sprejemanja odločitev, vključno z oblikovanjem profilov iz člena 22

(1)in
(4), ter vsaj v takih primerih smiselne informacije o razlogih zanj, kot tudi pomen in predvidene posledice take obdelave za posameznika, na katerega se nanašajo osebni podatki. Upravljavec je skladno s tretjim odstavkom člena 15 Splošne uredbe dolžan zagotoviti tudi kopijo osebnih podatkov, ki se obdelujejo. Postopkovna pravila pa so urejena v členu 11 in 12 Splošne uredbe. Upravljavec mora o zahtevi odločiti s pisnim obvestilom oziroma z odločbo. Rok za odločitev upravljavca je en mesec od prejema zahteve, ta rok pa se lahko po potrebi podaljša za največ dva dodatna meseca ob upoštevanju kompleksnosti in števila zahtev. Zahtevo je možno zavrniti, če niso izpolnjeni osnovni pogoji za dostop (npr. ker ne gre za osebne podatke), če je zahteva očitno neutemeljena ali pretirana ali če so v ustavi, mednarodnih aktih ali področnih zakonih določene posebne izjeme. Posredovanje zahtevanih osebnih podatkov in informacij se praviloma zagotovi brezplačno. Zoper molk upravljavca (tj. če posamezniku ne odgovori v predpisanem roku) ali zoper zavrnilni odgovor upravljavca je dopustna pritožba, za reševanje katere je pristojen IP. Zakon o pacientovih pravicah (Uradni list RS, št. 15/08 in 55/17; v nadaljevanju ZPacP) v
  1. členu določa seznam pacientovih pravic, med katerimi je tudi pravica do seznanitve z zdravstveno dokumentacijo, ki pacientu omogoča, da vpogleda, prepiše ali pridobi fotokopije zdravstvene dokumentacije, ki se nanaša nanj. Način seznanitve z zdravstveno dokumentacijo je natančneje urejen v
  2. členu ZPacP. Cilj pravice do dostopa je posamezniku omogočiti nadzor nad njegovimi osebnimi podatki. Natančneje, namen pravice do dostopa je omogočiti posamezniku, na katerega se nanašajo osebni podatki, razumeti obdelavo osebnih podatkov in posledice takšne obdelave, preveriti točnost obdelanih podatkov ter druge vidike obdelave v skladu s Splošno uredbo. Kot izhaja iz uvodne izjave 63 Splošne uredbe, je torej smisel pravice do dostopa v tem, da se posameznik seznani z obdelavo in preveri njeno zakonitost. To vključuje tudi pravico posameznikov, na katere se nanašajo osebni podatki, da imajo dostop do podatkov v zvezi s svojim zdravjem, na primer podatkov v njihovi zdravstveni kartoteki, ki vključuje informacije, kot so diagnoze, izvidi preiskav, ocene lečečih zdravnikov in druga zdravljenja ali posegi. Iz navedenih določb izhaja, da mora o zahtevi za dostop odločiti upravljavec. Skladno s 14.a členom ZZPPZ je upravljavec CRPP NIJZ. Kot je pojasnjeno v Smernicah 07/2020 o pojmih upravljavca in obdelovalca v Splošni uredbi, ki jih je izdal Evropski odbor za varstvo podatkov (EDBP), ni potrebno, da ima subjekt dejanski dostop do podatkov, ki se obdelujejo, da se lahko kvalificira kot upravljavec; obdelovalec pa mu je pri izpolnjevanju njegovih obveznosti, da odgovori na zahteve za uresničevanje pravic posameznika, na katerega se nanašajo osebni podatki, po členu 28
(3)(
  1. e)Splošne uredbe dolžan pomagati z ustreznimi tehničnimi in organizacijskimi ukrepi. Zato IP meni, da sama matrika dostopov po Pravilniku ne more vplivati na obveznosti NIJZ v zvezi z izvrševanjem pravic posameznikov po Splošni uredbi, ki jih ima kot upravljavec CRPP. Prav tako tudi, če bi presodili, da so NIJZ in izvajalci zdravstvene obravnave, ki so avtorji zdravstvene dokumentacije, skupni upravljavci, medsebojna ureditev o obveznostih glede obravnavanja zahtev za dostop ne vpliva na pravico posameznikov, da se lahko obrnejo na kateregakoli od skupnih upravljavcev. Glede navedbe, da NIJZ do zdravstvenih podatkov pacientov v CRPP nima dostopa in v preteklosti do njih tudi ni dostopal, saj je bil dostop omejen le na podatke revizijskih sledi, pa IP izpostavlja, da navedeno ne drži in da se je ravno na to NIJZ skliceval v okviru inšpekcijskega postopka IP glede pošiljanja vabil na cepljenje osebam, ki še niso bile cepljene in so starejše od 50 let. V zvezi s tem je tudi sam NIJZ na svoji spletni strani (https://www.nijz.si/sl/pojasnilo-v-zvezi-z-dopisom-prebivalcem-starejsim-od-50-let-ki-smo-jih-pozvali-k-cepljenju) objavil pojasnilo glede pravne podlage za omenjeno obdelavo osebnih podatkov in pri tem zapisal: »Podatke o pacientih, ki še niso bili cepljeni in njihove kontaktne podatke, smo pridobili iz zbirke Centralni register podatkov o pacientih (CRPP).« Nadalje IP pojasnjuje, da dostop do osebnih podatkov pomeni dejanski dostop do samih podatkov in ne le splošen opis, povzetek ali sklicevanje na kategorije podatkov, ki jih upravljavec obdeluje. Zato pri uresničevanju pravice po členu 15 Splošne uredbe nikakor ne zadošča, da upravljavec posameznika seznani samo z vrstami dokumentov oziroma zapisov, ne pa tudi z njihovo vsebino. Če posameznik, na katerega se nanašajo osebni podatki, izrecno ne zahteva drugače, je treba zahtevo za dostop razumeti na splošno, torej da zajema vse osebne podatke, ki se nanašajo nanj. Omejitev dostopa zgolj do dela podatkov bi bila dopustna le, če bi posameznik v zahtevi izrecno in nedvoumno zahteval le določene podatke, ali pa, če bi bila podana omejitev po pravu EU ali nacionalni zakonodaji skladno s členom 23 Splošne uredbe. Ob tem IP izpostavlja, da imajo upravljavci, ki obdelujejo veliko količino osebnih podatkov, možnost, da pred zagotovitvijo podatkov od posameznika, ki je vložil zahtevo za dostop, zahtevajo, da podrobno opredeli, na katere podatke ali dejavnosti obdelave se zahteva nanaša (uvodna izjava 63 Splošne uredbe). Vendar pa je treba poudariti, da se ta pristop ne sme uporabljati za skrivanje kakršnihkoli podatkov oziroma za drugačno izogibanje obveznostim po Splošni uredbi. To pomeni, da če posameznik, od katerega je bilo zahtevano, da opredeli obseg svoje zahteve, potrdi, da zahteva vse osebne podatke, ki se nanašajo nanj, mu jih mora upravljavec seveda posredovati v celoti. Na tem mestu IP še dodaja, da se lahko problematika uresničevanja pravice do dostopa pri upravljavcih, ki obdelujejo veliko količino podatkov, rešuje na različne načine, med drugim tudi z avtomatiziranjem postopkov za obravnavanje zahtev posameznikov, npr. z zagotavljanjem samopostrežnih orodij na spletu. Splošna uredba izrecno spodbuja tak pristop. V uvodni izjavi 63 je namreč navedeno, da bi moral imeti upravljavec možnost zagotoviti dostop na daljavo do varnega sistema, ki bi posamezniku, na katerega se nanašajo osebni podatki, omogočil neposreden dostop do njegovih osebnih podatkov, kadar je to mogoče. Zato bi bilo po mnenju IP v primeru NIJZ, ki nedvomno obdeluje ogromno količino osebnih podatkov, smiselno razmisliti o tovrstnih tehničnih rešitvah, ki bi lahko posameznikom olajšala uveljavljanje pravice do dostopa, upravljavcem pa omogočila učinkovito in pravočasno obravnavanje takšnih zahtev. IP pripominja, da bi si morali prav upravljavci, ki obdelujejo veliko količino podatkov, najbolj prizadevati, da bodo posameznikom zagotovili njihovo pravico do dostopa v pregledni, pregledni, razumljivi in lahko dostopni obliki z uporabo preprostega in jasnega jezika (člen 12 Splošne uredbe). Glede načina izpolnitve zahteve pa IP pojasnjuje, da obveznosti predložitve kopije ne razume kot dodatno pravico posameznika, ampak kot temeljni način zagotavljanja dostopa do podatkov. Z zagotovitvijo kopije se namreč posamezniku načeloma najlažje omogoči, da preveri zakonitost obdelave, saj bo za dosego tega moral v večini primerov videti podatke trajno in ne le začasno, pri čemer IP poudarja, da je treba pojem kopije interpretirati široko. Tudi možnost prenosa podatkov iz spleta tako ustreza zagotovitvi kopije, saj posamezniku omogoča trajno shranjevanje podatkov. Kljub temu IP pojasnjuje, da je lahko v določenih okoliščinah bolj primeren tudi drugačen način dostopa do podatkov, npr. vpogled, kar je v vsaki konkretni situaciji dolžan presoditi upravljavec. IP pa opozarja, da takšen način izpolnitve pravice dostopa načeloma ne izključuje pravice do kopije, razen če bi se posameznik tej pravici izrecno odpovedal. Več o pravici do seznanitve z lastnimi osebnimi podatki si lahko preberete tudi na povezavah https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki/ in https://upravljavec.si/pogosta-vprasanja/. Lep pozdrav, Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenka Pripravila: Tina Ivanc, univ. dipl. prav., svetovalka IP za varstvo osebnih podatkov O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
  2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026

🔗 Na uradni vir

Razlaga UI na podlagi uradnega besedila zakona. Okvirna, ne nadomešča pravnega nasveta.