Zahteva zavarovalnice oz. detektiva za zdravstvene podatke + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem
- 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 07.09.2015 Številka: 0712-1/2015/2244 Kategorije:Zavarovalništvo, Zdravstveni osebni podatki --> Kategorije: Zavarovalništvo, Zdravstveni osebni podatki v vaši prošnji za mnenje, poslani po elektronski pošti
- 2015, sprašujete, ali lahko določen zdravstveni dom (v nadaljevanju ZD) na zaprosilo detektiva, kot pooblaščenca določene zavarovalnice, posreduje zahtevane podatke o zdravljenju določenih pacientov (oškodovancev) v tem zdravstvenem domu. Priložili ste tudi zaprosilo detektiva in pooblastilo zavarovalnice.Na podlagi
- točke prvega odstavka
- člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07-UPB1; v nadaljevanju ZVOP–1) vam glede na informacije, ki ste nam jih posredovali, pošiljamo naše neobvezno mnenje. Iz
- člena Zakona o zavarovalništvu izhaja, da lahko zavarovalnica v skladu s predpisi, ki urejajo varstvo osebnih podatkov, zbira tam navedene osebne podatke in da obstaja dolžnost med drugim tudi izvajalcev zdravstvenih storitev, da ji te podatke posredujejo, seveda na podlagi ustrezne oziroma utemeljene zahteve zavarovalnice (ali njenega pooblaščenca), pri čemer mora zavarovalnica upoštevati šesti odstavek tega člena, ki določa, da je obdelava osebnih podatkov v navedenih zbirkah dopustna le v obsegu, ki je potreben za uresničevanje namenov obdelave iz prvega odstavka tega člena, tj. za sklepanje in izvajanje pogodb o zavarovanju. Iz zaprosila za posredovanje osebnih podatkov mora biti namreč razvidno, na kateri pravni podlagi oziroma za kateri namen zavarovalnica potrebuje osebne podatke določenih posameznikov, in v njem tudi izkazana utemeljena potreba po teh podatkih, upoštevajoč omenjeno sorazmernost. V vsakem posamičnem primeru posebej pa mora upravljavec osebnih podatkov ugotoviti, ali so podani vsi pogoji oziroma zadostni podatki za posredovanje osebnih podatkov iz njegovih zbirk osebnih podatkov, zlasti upoštevajoč tudi tretji odstavek
- člena ZVOP–1, po katerem mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje, ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Obrazložitev: V zvezi z vašim vprašanjem oziroma zaprosilom detektiva kot pooblaščenca zavarovalnice Informacijski pooblaščenec (v nadaljevanju IP) najprej navaja, da je treba v prvi vrsti sploh ugotoviti, ali gre za posredovanje osebnih podatkov iz zbirk osebnih podatkov ali ne, saj je od tega odvisno, kako je dolžan postopati ZD oziroma katero zakonodajo mora spoštovati. IP je namreč pristojen le v zvezi s posredovanjem osebnih podatkov, ki so sestavni del oziroma ki izvirajo iz zbirk osebnih podatkov, saj se določbe ZVOP–1 neposredno uporabljajo samo v zvezi temi osebnimi podatki, zato se odgovor v nadaljevanju nanaša le na takšne podatke. Sicer pa lahko detektiv na podlagi
- člena Zakona o detektivski dejavnosti (Uradni list RS, št. 17/11; v nadaljevanju ZDD–1) med drugim pridobiva informacije tudi od drugih oseb, ki s podatki razpolagajo (torej ne neposredno od osebe, na katero se podatki nanašajo), če so jih pripravljene dati prostovoljno, kar pa glede na prej navedeno ni predmet tega odgovora.Na podlagi
- točke
- člena ZVOP–1 je osebni podatek katerikoli podatek, ki se nanaša na posameznika, ne glede na obliko, v kateri je izražen, pri čemer je po
- točki tega člena posameznik določena ali določljiva fizična oseba, na katero se nanaša osebni podatek. Zbirka osebnih podatkov pa je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika (
- točka
- člena ZVOP–1). Obdelavo podatkov in zbirke s področja zdravstvenega varstva podrobneje ureja Zakon o zbirkah podatkov s področja zdravstvenega varstva (Uradni list RS, št. 65/00 in 47/15). Obdelava osebnih podatkov po
- točki
- člena ZVOP–1 pomeni kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani, ali ki so pri ročni obdelavi del zbirke osebnih podatkov, ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, razkritje s prenosom, sporočanje, širjenje ali drugo dajanje na razpolago, razvrstitev ali povezovanje, blokiranje, anonimiziranje, izbris ali uničenje; obdelava je lahko ročna ali avtomatizirana (sredstva obdelave).Če gre za občutljive osebne podatke, torej tudi zdravstvene (kot je to v vašem primeru), ki so občutljivi osebni podatki po
- točki
- člena ZVOP–1, pa ti zaradi svoje subtilnosti potrebujejo posebno varstvo in zaščito. ZVOP–1 tako v
- členu taksativno določa osem pravnih podlag, na podlagi katerih se lahko obdelujejo občutljivi osebni podatki (torej zgolj samo v teh osmih predpisanih primerih), v
- členu pa tudi strožje pogoje zavarovanja oziroma so predpisani postopki in ukrepi za še posebej skrbno ravnanje z njimi. Za obdelavo osebnih podatkov (torej tudi sporočanje, širjenje ali drugo dajanje na razpolago) po ZVOP–1 je treba imeti ustrezno podlago: na podlagi
- člena ZVOP–1 se osebni podatki lahko obdelujejo le, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon, ali če je za obdelavo določenih osebnih podatkov podana osebna privolitev posameznika (prvi odstavek); namen obdelave osebnih podatkov mora biti določen v zakonu, v primeru obdelave na podlagi osebne privolitve posameznika pa mora biti posameznik predhodno pisno ali na drug ustrezen način seznanjen z namenom obdelave osebnih podatkov (drugi odstavek). Ker je ZD javni zavod in torej del javnega sektorja po ZVOP–1, to praviloma pomeni, da mora imeti za obdelavo oziroma posredovanje katerihkoli osebnih podatkov (toliko bolj, če gre za občutljive osebne podatke), izrecno podlago v zakonu (prvi odstavek
- člena ZVOP–1). Iz vaše prošnje namreč ni razvidno, da bi šlo za izjeme od tega pravila, predvidene v drugem, tretjem ali četrtem odstavku
- člena ZVOP–
- To pomeni, da lahko osebne podatke iz zbirk osebnih podatkov, katerih upravljavec je ZD, tretjim osebam posreduje samo v primeru, če tako posredovanje in osebne podatke, ki se posredujejo, določa zakon.Glede na to, da je zaprosilo poslal detektiv, bi lahko bila pravna podlaga podana v ZDD–
- Detektiv lahko opravlja dejavnosti na področjih, ki so določena z ZDD–1, in pridobiva informacije npr. o osebah, ki so pogrešane ali skrite in o povzročiteljih premoženjskih in nepremoženjskih škod, o piscih in odpošiljateljih anonimnih pisanj, dolžnikih in njihovem premoženju itd. (
- člen) in ima v okviru pisnega pooblastila stranke pravico pridobivati podatke iz določenih evidenc, taksativno naštetih v prvem odstavku
- člena, vendar med njimi ni nobenih evidenc s področja zdravstvene dejavnosti oziroma podatkov o zdravstvenem stanju, tako da po tem zakonu ne obstoji neposredna pravna podlaga za posredovanje zahtevanih podatkov detektivu.Upoštevajoč, da je v konkretnem primeru detektiv pooblaščenec zavarovalnice, pa je treba pravne podlage ugotavljati tudi po Zakonu o zavarovalništvu (Uradni list RS, št. 99/10 – ZZavar-UPB7, 90/12, 56/13 in 63/13 – ZS-K; v nadaljevanju ZZavar). Ta v prvem odstavku
- člena določa, da zavarovalnice in Slovensko zavarovalno združenje zbirajo, obdelujejo, shranjujejo, pošiljajo in uporabljajo osebne podatke zaradi sklepanja in izvajanja pogodb o zavarovanju, kar vključuje tudi izterjavo neplačanih obveznosti iz zavarovalnih pogodb, reševanje škod, uveljavljanje povračilnih zahtevkov in drugih pravic ter obveznosti v skladu s predpisi, ki urejajo varstvo osebnih podatkov in zbirke podatkov o zavarovanju. Drugi odstavek istega člena nadalje določa, da lahko zavarovalnice in Slovensko zavarovalno združenje vzpostavijo, vzdržujejo in vodijo zbirko podatkov o zavarovalcih in zavarovancih (
- točka), zbirko podatkov o škodnih dogodkih (
- točka) in zbirko podatkov za presojo zavarovalnega kritja in višine odškodnine oziroma zavarovalnine (
- točka). V zadnji zbirki se med drugim zbirajo tudi osebni podatki, kot so predhodne poškodbe in zdravstveno stanje, vrsta telesnih poškodb, trajanje zdravljenja in posledice za zavarovanca in oškodovanca, stroški za medicinsko oskrbo, zdravila in medicinske pripomočke zavarovanca in oškodovanca (
- in
- točka petega odstavka navedenega člena ZZavar) itd. V skladu s sedmim odstavkom
- člena ZZavar se osebni podatki zbirajo praviloma neposredno od posameznika, na katerega se nanašajo (
- točka), sicer pa lahko tudi od drugih oseb, ki o škodnem dogodku kaj vedo, od izvajalcev zdravstvenih dejavnosti, delodajalca, zavodov itd. (2.–
- točka), tako se npr. prej omenjeni podatki iz
- in
- točke petega odstavka istega člena ZZavar lahko pridobijo tudi iz zbirk podatkov izvajalcev zdravstvenih in z njimi povezanih storitev in Zavoda za zdravstveno zavarovanje (
- točka sedmega odstavka tega člena). Organi, nosilci javnih pooblastil, izvajalci javnih služb idr., ki take podatke oziroma zbirke podatkov imajo, te podatke na pisno zahtevo sporočijo zavarovalnici oziroma Slovenskemu zavarovalnemu združenju (osmi odstavek
- člena ZZavar). Iz navedenega člena torej izhaja, da lahko zavarovalnica v skladu s predpisi, ki urejajo varstvo osebnih podatkov, zbira navedene oziroma v ZZavar določene osebne podatke, in da obstaja dolžnost med drugim tudi izvajalcev zdravstvenih storitev (torej tudi ZD), da ji te podatke posredujejo, seveda na podlagi ustrezne oziroma utemeljene zahteve zavarovalnice (ali njenega pooblaščenca), pri čemer mora zavarovalnica upoštevati šesti odstavek
- člena ZZavar, ki določa, da je obdelava osebnih podatkov v navedenih zbirkah dopustna le v obsegu, ki je potreben za uresničevanje namenov obdelave iz prvega odstavka tega člena, tj. za sklepanje in izvajanje pogodb o zavarovanju. Načelo sorazmernosti je sicer določeno tudi v
- členu ZVOP–1 (osebni podatki, ki se obdelujejo, morajo biti ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo).Čeprav zavarovalnica torej lahko pridobi tudi določene zdravstvene podatke, pa IP pripominja, da iz priloženega pooblastila ni razvidno, da bi konkretna zavarovalnica ta upravičenja prenesla na detektiva, saj v pooblastilu nikjer ni navedeno, da je detektiv pooblaščen zbirati tudi podatke o zdravstvenem stanju oziroma iz evidenc izvajalcev zdravstvene dejavnosti. Tudi v skladu s
- členom ZDD–1 detektiv opravlja dejavnosti izključno na podlagi pisnega pooblastila, iz katerega je razvidno področje zbiranja informacij iz tega zakona, namen zbiranja informacij in obseg danega pooblastila, pri čemer lahko stranka na detektiva prenese samo tiste pravice, ki jih ima sama. IP tudi ugotavlja, da je iz zaprosila razvidno, da naj bi se določeni podatki zahtevali v zvezi s škodnim dogodkom določenega oškodovanca, medtem ko se določeni zdravstveni podatki zahtevajo tudi za neko drugo fizično osebo, za katero sploh ni razvidno, ali oziroma v kakšnem razmerju je do te zavarovalnice oziroma do tega oškodovanca in zakaj so potrebni ti podatki. Iz zaprosila za posredovanje osebnih podatkov mora biti namreč razvidno, na kateri pravni podlagi oziroma za kateri namen zavarovalnica potrebuje osebne podatke določenih posameznikov ter v njem tudi izkazana utemeljena potreba po teh podatkih, upoštevajoč že omenjeno sorazmernost. V vsakem posamičnem primeru posebej (torej tudi v vašem) mora tako upravljavec osebnih podatkov ugotoviti, ali so podani vsi pogoji oziroma zadostni podatki za posredovanje osebnih podatkov iz njegovih zbirk osebnih podatkov. Pri tem IP opozarja še na tretji odstavek
- člena ZVOP–1, po katerem mora upravljavec osebnih podatkov za vsako posredovanje osebnih podatkov zagotoviti, da je mogoče pozneje ugotoviti, kateri osebni podatki so bili posredovani, komu, kdaj in na kakšni podlagi, in sicer za obdobje ko je mogoče zakonsko varstvo pravice posameznika zaradi nedopustnega posredovanja osebnih podatkov. Lepo vas pozdravljamo,Mojca Prelesnik, univ. dipl. prav., informacijska pooblaščenkaPripravila: Jelka Kovačič, univ. dipl. prav., svetovalka Informacijskega pooblaščenca O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026