Zdravnikovo posredovanje zdravstvenega kartona zavarovanca zavarovalnici - IPRS

Zdravnikovo posredovanje zdravstvenega kartona zavarovanca zavarovalnici + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem

2. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 15.02.2007 Številka: 0712-144/2006/2 Kategorije:Zdravstveni osebni podatki --> Kategorije: Zdravstveni osebni podatki Spoštovani,Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je dne
4. 2007 prejel vaše e-sporočilo v katerem nas sprašujete:Kakšna je obveznost in odgovornost zdravnika v primeru, da prejme dopis zavarovalnice, v kateri ga ta poziva, da naj zavarovalniškemu zdravniku cenzorju pošlje fotokopijo ambulantnega kartona ali celoten karton na vpogled, ker naj bi zavarovalnica za določitev temelja potrebovala podatke o celotnem poteku zdravljenja in podatke o tem, če se je oškodovanec na tem delu telesa že zdravil v preteklosti. Zavarovalnica se v svojem dopisu sklicuje na Zakon o varstvu osebnih podatkov, ki naj bi določal, da je zdravnik dolžan na prošnjo pacienta narediti fotokopijo zdravstvene dokumentacije in to brezplačno. Ker lahko avtentično razlago posameznih določb relevantnih predpisov daje le Državni zbor, neobvezno pa predlagatelj zakona, vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi
5. točke prvega odstavka
6. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 86/04 in 113/05 - ZInfP; v nadaljevanju ZVOP-1) ter
7. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05) posredujemo naše neobvezno mnenje v zvezi z vašimi vprašanji.1 UvodnoUvodoma je potrebno pojasnilo o pomenu nekaterih pojmov, kot jih v
8. členu opredeljuje ZVOP-1: - Osebni podatek pomeni katerikoli podatek, ki se nanaša na določeno ali določljivo fizično osebo, torej posameznika, na glede na obliko, v kateri je izražen. Posameznik pa je določena ali določljiva fizična oseba, na katero se nanaša osebni podatek, pri čemer je določljiva, če se jo lahko neposredno ali posredno identificira s pomočjo njenih identifikacijskih številk (npr. EMŠO, davčna številka, številka zdravstvenega zavarovanja, telefonska številka, registrska številka vozila), ali s sklicevanjem na dejavnike, ki so značilni za njeno fizično, fiziološko, duševno, ekonomsko, kulturno ali družbeno identiteto (npr. zaposlitev, naslov, funkcijo, položaj ali status v določenem subjektu, ipd.), pri čemer način identifikacije ne povzroča velikih stroškov, nesorazmerno velikega napora ali ne zahteva veliko časa; - Občutljivi osebni podatki so podatki o rasnem, narodnem ali narodnostnem poreklu, političnem, verskem ali filozofskem prepričanju, članstvu v sindikatu, zdravstvenem stanju, spolnem življenju, vpisu ali izbrisu v ali iz kazenske evidence ali evidenc, ki se vodijo na podlagi zakona, ki ureja prekrške; občutljivi osebni podatki so tudi biometrične značilnosti, če je z njihovo uporabo mogoče določiti posameznika v zvezi s kakšno od prej navedenih okoliščin; - Obdelava osebnih podatkov je definirana kot kakršnokoli delovanje ali niz delovanj, ki se izvaja v zvezi z osebnimi podatki, ki so avtomatizirano obdelani ali ki so pri ročni obdelavi del zbirke osebnih podatkov ali so namenjeni vključitvi v zbirko osebnih podatkov, zlasti zbiranje, pridobivanje, vpis, urejanje, shranjevanje, prilagajanje ali spreminjanje, priklicanje, vpogled, uporaba, sporočanje in podobno; - Zbirka osebnih podatkov je vsak strukturiran niz podatkov, ki vsebuje vsaj en osebni podatek, ki je dostopen na podlagi meril, ki omogočajo uporabo ali združevanje podatkov, ne glede na to, ali je niz centraliziran, decentraliziran ali razpršen na funkcionalni ali geografski podlagi; strukturiran niz podatkov je niz podatkov, ki je organiziran na takšen način, da določi ali omogoči določljivost posameznika.2 Utemeljitev dopustnosti zbiranja in posredovanja zdravstvenih podatkov2.1 Splošna podlaga za obdelavo osebnih podatkov v ZVOP-1ZVOP-1 v prvem odstavku
9. člena določa, da se osebni podatki v zasebnem sektorju (kamor spadajo tudi zavarovalnice) lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon ali če je obdelava določenih osebnih podatkov podana osebna privolitev posameznika. Ker večji del podatkov, ki se nahajajo v zdravstveni dokumentaciji, spada med t.i. občutljive osebne podatke, se kot splošna podlaga za obdelavo tovrstnih podatkov uporablja tudi
10. člen ZVOP-1, ki na podoben način kot prvi odstavek
11. člena dopušča obdelavo, med drugim tudi v primeru, če je posameznik za to podal izrecno osebno privolitev, ki je praviloma pisna, v javnem sektorju pa tudi določena z zakonom (
12. točka) ali če tako določa drug zakon zaradi izvrševanja javnega interesa (
13. točka). 2.2 Podlaga za obdelavo osebnih podatkov v posebnem zakonuOmenjeni
14. člen ZVOP-1 pogojuje obdelavo osebnih podatkov z obstojem posebnega (področnega) zakona, ki določa obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo. V konkretnem primeru je Zakon o zavarovalništvu (Uradni list RS, št. 102/04 – uradno prečiščeno besedilo in 76/05; v nadaljevanju ZZavar) tisti predpis, na katerega napotuje ZVOP-
15. ZZavar je tako v odnosu do ZVOP-1 specialni zakon, zato se po načelu lex specialis derogat legi generali za vprašanja upravičenosti zbiranja osebnih podatkov in vrste osebnih podatkov, ki jih lahko zbirajo zavarovalnice, uporabljajo določbe ZZavar. Te pa zavarovalnicam dajejo vsa pooblastila, da lahko od zavarovalcev zbira in obdeluje osebne podatke.Prvi odstavek
16. člena ZZavar določa, da zavarovalnice in Slovensko zavarovalno združenje zbirajo, obdelujejo, shranjujejo, posredujejo in uporabljajo osebne podatke, potrebne za sklepanje zavarovanj in za likvidacijo škod, ki izvirajo iz zavarovanj po tem zakonu, v skladu z zakonom o varstvu osebnih podatkov in posebnimi predpisi o zbirkah podatkov s področja zavarovanja.Na podlagi drugega odstavka
17. člena ZZavar zavarovalnice in Slovensko zavarovalno združenje lahko vzpostavijo, vzdržujejo in vodijo, med drugim, tudi zbirko podatkov za presojo zavarovalnega kritja in višine odškodnine.V omenjeni zbirki podatkov se na podlagi petega odstavka
18. člena ZZavar zbirajo, med drugim, tudi podatki o predhodnih poškodbah in zdravstvenem stanju, vrsta telesnih poškodb, trajanje zdravljenja in posledice zavarovanca in oškodovanca.Posebej je potrebno pojasniti še, da se na podlagi šestega odstavka
19. člena ZZavar podatki iz obravnavane zbirke zbirajo neposredno od posameznika, na katerega se nanašajo, od drugih oseb (prič škodnih dogodkov) in tudi iz zbirk podatkov zdravstvenih ustanov, delodajalca, Zavoda za pokojninsko in invalidsko zavarovanje in centrov za socialno delo. Organi, organizacije in posamezniki, ki podatke imajo, morajo te na pisno zahtevo posredovati zavarovalnici oziroma Slovenskemu zavarovalnemu združenju (sedmi odstavek
20. člena ZZavar).2.3 Omejitve pri obdelavi osebnih podatkov Zavarovalnica lahko uresničuje zgoraj obravnavano z zakonom določeno možnost pridobivanja relevantnih podatkov samo, če sta izpolnjena dva pogoja: - pridobivanje podatkov je v zvezi z realizacijo konkretne, dejansko sklenjene zavarovalne pogodbe; - iz narave zavarovalne pogodbe mora izhajati, da so za realizacijo pogodbenih pravic in obveznosti potrebni podatki o zdravstvenem stanju.Poleg tega je ob načelni dopustnosti obdelave zdravstvenih podatkov potrebno upoštevati, da zavarovalnico in izvajalca zdravstvenih storitev pri obdelavi osebnih podatkov, ne glede na splošno in široko zasnovano podlago v ZZavar, zavezuje tudi načelo sorazmernosti iz
21. člena ZVOP-1, ki zahteva, da morajo biti osebni podatki, ki se obdelujejo, ustrezni in po obsegu primerni glede na namene, za katere se zbirajo in nadalje obdelujejo. Zato je pri zbiranju podatkov o zdravstvenem stanju zavarovalnica upravičena le do tistih zdravstvenih podatkov, ki so resnično potrebni in primerni za presojo obstoja obveznosti in višine zavarovalnine (odškodnine). ZZavar ne določa natančno, katere podatke o zdravstvenem stanju lahko zavarovalnice zbirajo, zato je potrebno presojati potrebnost in primernost obdelave zahtevanih zdravstvenih podatkov v vsakem konkretnem primeru posebej (prim.
22. člen in drugi odstavek
23. člena ZVOP-1). Čeprav ZZavar govori o podatkih o zdravstvenem stanju na splošno, to še ne pomeni, da lahko zavarovalnica zbira tudi zdravstvene podatke, ki niso v zvezi s posameznim zavarovanjem oziroma niso pomembni presojo obstoja obveznosti in njene višine (torej podatke, ki niso v zvezi z namenom zbiranja). Navedeno pravilo zavezuje tudi izvajalce zdravstvenih storitev v tem smislu, da zavarovalnicam ne smejo posredovati več podatkov kot je to potrebno. Kljub zgornjim navedbam je potrebno opozoriti, da je po naravi stvari pogosto le zavarovalnica tista, ki lahko oceni, kateri dokumenti oziroma kateri deli posameznih dokumentov utegnejo biti zanjo pomembni. Ker je torej z vidika zavarovalnice težko sprejemljivo, da bi tretje osebe (npr. zdravstveno osebje ali zavarovalec) vnaprej ločevale relevantne dele zdravstvene dokumentacije od nerelevantnih, je razumljivo, da zavarovalnice v praksi pogosto zahtevajo celotno zdravstveno dokumentacijo in sicer za obdobje, za katerega same ocenijo, da je odločilno. To pa ne pomeni, da zavarovalnica ni zavezana k načelu sorazmernosti v fazi nadaljnje obdelave osebnih podatkov (po prejemu celotne zdravstvene dokumentacije). Za ugotovitev obstoja obveznosti zavarovalnice in njenega obsega je poleg drugih informacij nujno poznavanje zdravstvenega stanja upravičenca do zavarovalnine ob (oziroma pred) in po nastopu zavarovalnega primera. Z namenom preprečevanja zavarovalniških goljufij je zavarovalnica upravičena preveriti ali so poškodbe nastale izven škodnega dogodka (zavarovalnega primera), ki je krit z zavarovalno pogodbo; tak primer pa je npr. obstoj predhodnih poškodb (vzročna zveza).2.4 Privolitev posameznika na katerega se osebni podatki nanašajoGlede na določbo prvega odstavka
24. člena ZVOP-1, se osebni podatki v javnem sektorju (kamor spadajo tudi javni zdravstveni zavodi) lahko obdelujejo, če obdelavo osebnih podatkov in osebne podatke, ki se obdelujejo, določa zakon. Z zakonom se lahko določi, da se določeni osebni podatki obdelujejo le na podlagi osebne privolitve posameznika. Tak zakon je Zakon o zdravstveni dejavnosti (Uradni list RS, št. 23/05 - uradno prečiščeno besedilo; ZZdej), ki v prvem odstavku
25. člena določa, da so zdravstveni delavci in zdravstveni sodelavci dolžni varovati kot poklicno skrivnost podatke o zdravstvenem stanju posameznika in o vzrokih, okoliščinah in posledicah tega stanja. Tretji odstavek istega člena določa še, da lahko dolžnosti varovanja poklicne skrivnosti zdravstvenega delavca ali zdravstvenega sodelavca razreši prizadeta oseba sama oziroma po zakonitem zastopniku (privolitev!) ali sodišče. Podobno določa tudi
26. člen Zakona o zdravniški službi (Uradni list RS, št. 72/06; ZZdrS). Najpomembnejši argument, ki opravičuje zavarovalnice, da lahko zahtevajo seznanitev z zdravstvenimi podatki in izvajalce zdravstvenih storitev, da lahko te podatke posredujejo, je zakonska podlaga v ZZavar, zaradi česar privolitev posameznika sploh ni potrebna. Poleg tega pa pri vrsti zavarovanj za katere je potrebno poznavanje (sedanjega ali preteklega) zdravstvenega stanja in drugih podatkov v zvezi z zdravstveno oskrbo (npr. nezgodna zavarovanja, nekatera življenjska zavarovanja) zavarovalnice v praksi praviloma pridobijo tudi izrecno pisno privolitev posameznikov, na katere se ti podatki nanašajo. Privolitev pomeni prostovoljno izjavo volje posameznika, da se lahko njegovi osebni podatki obdelujejo za določen namen in se v konkretnem primeru nanaša na »razrešitev varovanja poklicne skrivnosti« (gl.
27. člen ZZDej), posredovanje osebnih podatkov s strani izvajalcev zdravstvenih storitev (gl.
28. točka
29. člena ZVOP-1) in zbiranje ter nadaljnjo obdelavo osebnih podatkov s strani zavarovalnic (gl.
30. odstavek
31. člena ZVOP-1). Zavarovalnice pridobivajo tovrstne privolitve tako v fazi sklepanja zavarovalnih pogodb, kot tudi v izpolnitveni fazi (likvidacija škode po nastanku zavarovalnega primera) in sicer tako, da posameznik poda privolitev v obliki posebne klavzule v zavarovalni pogodbi ali v obliki posebne klavzule v zahtevku za izplačilo zavarovalnine po nastopu zavarovalnega primera (npr. na obrazcu prijave nezgode). 2.5 Dopustnost posredovanja zdravstvenih osebnih podatkov na podlagi pravice do seznanitve z lastnimi osebnimi podatkiZavarovalnica se v svojem dopisu očitno sklicuje tudi na pravico do seznanitve z lastnimi osebnimi podatki, ki jo ZVOP-1 ureja v
32. členu. Pravica obsega med drugim tudi možnost posameznika, da zahteva od upravljavca osebnih podatkov (npr. izvajalca zdravstvenih storitev) vpogled v osebne podatke, ki so vsebovani v zbirki osebnih podatkov in se nanašajo nanj, ter njihovo prepisovanje ali kopiranje. Po določbah
33. člena ZVOP-1 se zahteva iz
34. člena tega zakona se vloži pisno ali ustno na zapisnik pri upravljavcu osebnih podatkov. Zahteva se lahko vloži enkrat na tri mesece, glede obdelave osebnih podatkov po posebnih določbah ZVOP-1 pa enkrat na mesec. Upravljavec osebnih podatkov mora posamezniku omogočiti vpogled, prepis in kopiranje najkasneje v 15 dneh od dneva, ko je prejel zahtevo, ali ga v istem roku pisno obvestiti o razlogih, zaradi katerih vpogleda, prepisa, kopiranja ali izdaje potrdila ne bo omogočil. V primeru, da upravljavec seznanitve z lastnimi osebnimi podatki po
35. členu ne omogoči, ima posameznik, na katerega se osebni podatki nanašajo, pravico vložiti pritožbo pri Pooblaščencu po določbi
36. člena ZInfP. Po tem pa je po
37. členu ZVOP-1 zagotovljeno tudi sodno varstvo v upravnem sporu pred upravnim sodiščem. Sklicevanje na »pravico do seznanitve z lastnimi osebnimi podatki« iz
38. člena ZVOP-1 ni v zvezi z oziroma ne pomeni sklicevanja na »privolitev posameznika v obdelavo osebnih podatkov« iz poglavja 2.
39. Ne glede na to pa velja, da: - se zavarovalnica pod določenimi pogoji lahko sklicuje tudi na pravico do seznanitve z lastnimi osebnimi podatki in - ima sklicevanje na pravico do seznanitve z lastnimi osebnimi podatki podobne učinke kot sklicevanje na privolitev posameznika.»Privolitveno klavzulo« zavarovanca je mogoče tolmačiti kot sklicevanje na pravico do seznanitve z lastnimi osebnimi podatki, le v primeru, da je oblikovana v smislu pooblastitve zavarovalnice, da ta v imenu in na račun zavarovanca (zavarovalca ali upravičenca) od izvajalcev zdravstvenih storitev zahteva seznanitev (v smislu posredovanja fotokopij zdravstvene dokumentacije) z zavarovančevimi osebnimi podatki. V tem primeru torej govorimo o pravnoposlovnem zastopanju zavarovanca - ta zgolj pooblasti zavarovalnico, da namesto njega, kot izvirnega upravičenca do seznanitve, pridobi potrebno zdravstveno dokumentacijo. V takem primeru mora zavarovalnica izvajalcu zdravstvenih storitev ob svoji zahtevi predložiti ustrezno pooblastilo, podpisano s strani zavarovanca.Pooblaščenec opozarja, da je pravica do seznanitve z lastnimi osebnimi podatki po svoji vsebini širša od možnosti obdelave osebnih podatkov zgolj na podlagi ZZavar, saj se posameznik lahko seznani z vsemi osebnimi podatki, ki jih vsebuje neka zbirka osebnih podatkov, zavarovalnica pa na podlagi ZZavar zgolj z nekaterimi v zakonu določenimi osebnimi podatki in še to ob spoštovanju načela sorazmernosti. Po drugi strani pa je ta pravica, za razliko od sklicevanja na ZZavar, relativizirana z določbo
40. člena ZZDej, ki določa, da ima pacient pravico do vpogleda v zdravstveno dokumentacijo, ki se nanaša na njegovo zdravstveno stanje, razen če zdravnik oceni, da bi to škodljivo vplivalo na bolnikovo zdravstveno stanje.Enako kot to velja za privolitev posameznika iz poglavja 2.4, sklicevanje na pravico do seznanitve z lastnimi osebnimi podatki ni potrebna, saj ZZavar nudi zadostno podlago za obdelavo osebnih podatkov v obravnavanem primeru. 3 Odplačnost posredovanja osebnih podatkov3.1 Odplačnost posredovanja osebnih podatkov v primeru sklicevanja zavarovalnice na ZZavar ali na privolitev posameznikaV prvem odstavku
41. člena ZVOP-1 je določeno, da mora upravljavec osebnih podatkov proti plačilu stroškov posredovanja, če zakon ne določa drugače, posredovati osebne podatke uporabnikom osebnih podatkov. To pomeni, da kadar kopije zdravstvene dokumentacije zahtevajo zavarovalnice na podlagi določb
42. člena ZZavar, lahko izvajalec zdravstvenih storitev zaračuna stroške posredovanja. 3.2 Sklicevanje zavarovalnice na pravico do seznanitve z lastnimi osebnimi podatkiZVOP-1 v petem odstavku
43. člena določa, da stroške v zvezi z zahtevo in vpogledom iz
44. člena krije upravljavec zbirke osebnih podatkov. Čeprav je iz predhodnih odstavkov
45. člena ZVOP-1 razvidno, da ima posameznik pravico ne le do vpogleda, temveč tudi do prepisa, kopiranja, potrdila, izpisa, seznama, informacije in pojasnila, je zakonodajalec v petem odstavku
46. člena uporabil ožjo dikcijo in kritje stroškov s strani upravljavca osebnih podatkov omejil samo na »zahtevo« in »vpogled«. Zakon v tem odstavku torej ni izrecno navedel vseh drugih vrst seznanitve z lastnimi osebnimi podatki, kar pomeni, da izvajalec zdravstvenih storitev pacientu ne sme zaračunati zgolj vpogleda v zdravstveno dokumentacijo, čeprav bi pri tem imel določene stroške. Kljub temu Pooblaščenec ocenjuje, da je vsako zaračunavanje cene, ki je višja od tržne cene za fotokopiranje, nedopustno. V kolikor torej upravljavec posamezniku ne omogoča brezplačne fotokopije, je ob pomanjkanju eksplicitne zakonske določbe potrebno kot pravno podlago uporabiti neposredno ustavo. Cena posamezne fotokopije zato nikakor ne bi smela preseči tržne cene, kot je uveljavljena na trgu in to ne glede na to, ali upravljavec osebnih podatkov razpolaga z lastnim fotokopirnim strojem ali pa fotokopiranje omogoča s pomočjo fotokopirnice. Omenjeno stališče Pooblaščenca je skladno tudi z določbami Direktive 95/46/ES, ki v
47. členu nalaga državam članicam, da stroški v zvezi s seznanitvijo z lastnimi osebnimi podatki ne smejo biti pretirani (iz česar izhaja, da se stroški lahko prevalijo na prosilca, op. Pooblaščenca).Lepo vas pozdravljamo,Informacijski pooblaščenec: Nataša Pirc Musar, univ. dipl. prav., pooblaščenka O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.si) Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026