Ustreznost varovanja in hramba zdravstvene dokumentacije + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 20.12.2006 Številka: 0712-468/2006/3 Kategorije:Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki Spoštovani,Informacijski pooblaščenec je dne
- 2006 prejel vaši e-sporočili, v katerih nas v zvezi s pripravo »Pravilnika o varovanju osebnih podatkov« sprašujete:
- Ali zadostuje, da so zobozdravstvene kartoteke zasebne ordinacije z dvema zaposlenima shranjene v pisarni, ki je v sklopu ordinacije, ta pa je varovana s protivlomnimi vhodnimi vrati? Kartotečna omara je sicer lesena in se nahaja v prostoru, ki je tudi zaklenjen.
- Zdravstvena dokumentacija se v skladu z zakonom hrani trajno, nikjer pa ni navedeno, kako naj zasebnik z njo ravna npr. ob zaprtju ordinacije. Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
- člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05) posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.
- člen ZVOP-1, ki od vsakega upravljavca osebnih podatkov zahteva, da ta v svojih aktih predpiše postopke in ukrepe za zavarovanje osebnih podatkov ter določi osebe, ki so odgovorne za določene zbirke osebnih podatkov in njihovo obdelavo, ne določa natančne vsebine notranjega akta (pravilnika). Z vzorcem(!) internega akta se lahko seznanite tako, da sledite naslednji povezavi na naši spletni strani: http://www.ip-rs.si/index.php?id=505.Ad 1: ZVOP-1 v
- členu zahteva od upravljavcev osebnih podatkov izvedbo organizacijskih, tehničnih in logično-tehničnih postopkov in ukrepov, s katerimi se varujejo osebni podatki, preprečuje slučajno ali namerno nepooblaščeno uničevanje podatkov, njihova sprememba ali izguba ter nepooblaščena obdelava teh podatkov, kar se zagotavlja med drugim tudi z varovanjem prostorov in opreme. Podrobnejših postopkov in ukrepov ZVOP-1, kot splošen in sistemski zakon, ne določa, saj so ti odvisni od različnih okoliščin v katerih se osebni podatki v praksi obdelujejo. Tudi Zakon o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00; ZZPPZ) ne opredeljuje tehničnih in organizacijskih ukrepov za zavarovanje podatkov v zbirkah podatkov. Pravilnik o tehničnih in organizacijskih ukrepih za zavarovanje podatkov v zbirkah podatkov (EVA 2001-2711-0041), ki naj bi na podlagi ZZPPZ podrobneje uredil to materijo, pa še ni bil sprejet.Osebni podatki, ki jih vsebuje zobozdravstvena kartoteka, spadajo med t.i. občutljive osebne podatke, za katere velja strožji režim njihove obdelave in ukrepov za njihovo zavarovanje. Zato prvi odstavek
- člena ZVOP-1 določa, da morajo biti občutljivi osebni podatki pri obdelavi posebej označeni in zavarovani tako, da se nepooblaščenim osebam onemogoči dostop do njih. V drugem odstavku
- člena je določen še način zavarovanja teh podatkov pri njihovem prenosu preko telekomunikacijskih omrežij. Na pomen zdravstvene dokumentacije kaže tudi zahteva ZZPPZ po trajni hrambi.Glede tehničnega zavarovanja nosilcev občutljivih osebnih podatkov (npr. dokumentov v posamezni kartoteki) ZVOP-1 sicer ne predpisuje določenih minimalnih tehničnih standardov, vendar pa je, glede na občutljivost in pomen teh podatkov, mogoče šteti, da je nosilce z občutljivimi osebnimi podatki priporočljivo hraniti v zaklenjenih ognjevarnih omarah, za same prostore, kjer se takšni osebni podatki nahajajo, pa bi bilo priporočljivo zagotoviti tudi varovanje z videonadzornim sistemom, alarmno napravo ter protipožarno zaščito. Protivlomna vrata vsekakor predstavljajo ustrezen ukrep, vendar je v konkretnem primeru, zaradi pomanjkanja poznavanja dejanskega stanja, težko oceniti ali je to tudi zadosten ukrep, predvsem zaradi dejstva, da je osebne podatke potrebno tehnično zavarovati tudi pred drugimi nevarnostmi, na primer pred požarom in izlivi tekočin. Na podlagi povedanega lahko izluščimo naslednje splošno pravilo, po katerem morajo biti postopki in ukrepi za zavarovanje osebnih podatkov: - ustrezni glede na tveganje, ki ga predstavlja obdelava in narava določenih osebnih podatkov, ki se obdelujejo; - ustrezni glede na konkretne okoliščine delovnega procesa v zobozdravstveni ordinaciji (npr. delo mora biti organizirano tako, da kartotečna omara pacientom ne sme biti prosto in nenadzorovano dostopna pred, med ali po zdravstvenem posegu); - ustrezni glede na konkretne arhitekturno-tehnične rešitve zobozdravstvene ordinacije in stavbe, v kateri se nahaja (npr. če je stavba kot taka zadovoljivo tehnično varovana pred požarom in vlomom, potem dodatni ukrepi znotraj ordinacije praviloma niso potrebni).Ad 2: Vprašanje ravnanja z zdravstveno dokumentacijo po morebitnem prenehanju opravljanja dejavnosti, po mnenju Pooblaščenca, ne sodi v sklop ukrepov in postopkov za zavarovanje osebnih podatkov. Zaradi tega tudi ni potrebno, da se ta materija predvidi v internem pravilniku. Iz značilnosti našega sistema zdravstvenega varstva je mogoče sklepati, da se v takem primeru zdravstvena dokumentacija posreduje tistim izvajalcem zdravstvenih storitev, pri katerih bodo pacienti nadaljevali zdravljenje oziroma jim bodo v nadaljevanju zaupali izvajanje zdravstvenih storitev. Zgornje stališče o nerelevantnosti vprašanja, kako ravnati z zdravstveno dokumentacijo po prenehanju dejavnosti, ne velja za tisti del ravnanja, ki je v zvezi z varovanjem osebnih podatkov v času prenosa (npr. potrebno je zagotoviti, da tudi pri prenosu ne pride do nepooblaščenega brisanja, uničenja, vpogleda, reproduciranja itd. osebnih podatkov ter paziti, da je ciljni (novi) upravljavec osebnih podatkov do obdelave osebnih podatkov res upravičen). Na to kažejo tudi določbe ZVOP-1 in določbe predpisov s področja zdravstva, na podlagi katerih je potrebno varovati tajnost osebnih podatkov, s katerimi se seznanijo predstojniki, zaposleni in drugi, ki te podatke obdelujejo tudi po prenehanju opravljanja dejavnosti, zaposlitve ipd.Lepo vas pozdravljamo, Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026