Informacijski pooblaščenec (v nadaljevanju IP) je prejel dopis, v katerem prosilec pojasnjuje, da so prejeli zahtevo enega od staršev po dokumentih o zdravstveni obravnavi za njunega mladoletnega otroka. Prosilec dodaja, da gre v zadevnem primeru za situacijo, ko je ta starš v priporu zaradi domnevnega spolnega nasilja tudi napram otroku. Prosilca zanima, ali je ta starš upravičen do konkretnih zdravstvenih dokumentov? Naknadno naj bi bili tudi seznanjeni, da oseba, ki podatke zahteva, ni navedena v rojstni matični knjigi kot starš tega otroka. Dodatno prosilca zato zanima, ali so pri presoji zahteve vezani na formalni izkaz starševstva ali zadostuje zgolj zatrjevanje drugega starša in isti priimek otroka?
***
Na podlagi informacij IP v nadaljevanju skladno s 5. točko prvega odstavka 55. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 163/22, ZVOP-2), 58. členom Uredbe (EU) 2016/679 Evropskega parlamenta in Sveta z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter razveljavitvi Direktive 95/46/ES (Splošna uredba) ter 2. členom Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, ZInfP) posredujemo nezavezujoče mnenje v zvezi z vprašanjem.
O b r a z l o ž i t e v:
IP uvodoma poudarja, da konkretnega in dokončnega odgovora o zakonitosti obdelave osebnih podatkov v okviru mnenja v nobenem primeru ne more podati, saj lahko IP posamezne primere obdelave podatkov konkretno presoja zgolj v okviru inšpekcijskega ali drugega upravnega postopka.
Vsak upravljavec mora za vsako obdelavo osebnih podatkov, tudi za njihovo posredovanje, imeti zakonito in ustrezno pravno podlago. Po prvem odstavku 6. člena ZVOP-2 se osebni podatki lahko obdelujejo le takrat in v obsegu, kadar je to v skladu s pravnimi podlagami iz prvega odstavka 6. in 9. člena Splošne uredbe.
Podatki o zdravstvenem stanju posameznika so ob enem tudi občutljivi osebni podatki in jih Splošna uredba opredeljuje v 9. členu kot posebne vrste osebnih podatkov, s čimer jim je priznan poseben, strožji režim varstva in jih tako jasno ločuje od ostalih osebnih podatkov.
Tako Splošna uredba kot Ustava RS posameznikom zagotavljata pravico seznanitve z lastnimi osebnimi podatki. Pravica posameznika do seznanitve z lastnimi osebnimi podatki je namreč temeljna človekova pravica, določena v tretjem odstavku 38. člena Ustave Republike Slovenije[1] (v nadaljevanju Ustava), ki predpisuje, da se ima vsakdo pravico seznaniti z zbranimi osebnimi podatki, ki se nanašajo nanj.
Pravico do seznanitve z lastnimi osebnimi podatki zagotavlja tudi Splošna uredbe, ki v prvem odstavek 15. člena Splošne uredbe določa, da mora posameznik od upravljavca dobiti potrditev, ali se v zvezi z njim obdelujejo osebni podatki, in kadar je temu tako, dostop do osebnih podatkov in med drugim naslednje informacije: namen obdelave; vrste zadevnih osebnih podatkov; uporabnike ali kategorije uporabnika, ki so jim bili ali jim bodo razkriti osebni podatki, predvideno obdobje hrambe osebnih podatkov; obstoj pravic posameznika; informacije o virih idr.
Pravico do seznanitve z zdravstveno dokumentacijo pacienta ureja poseben zakon - Zakon o pacientovih pravicah[2] (v nadaljevanju ZPacP) in sicer v 41. členu. Pacient ima ob prisotnosti zdravnika ali drugega zdravstvenega delavca oz. zdravstvenega sodelavca pravico do neoviranega vpogleda in prepisa zdravstvene dokumentacije, ki se nanaša nanj (prvi odstavek). Pacientu oziroma njegovemu pooblaščencu ali drugi osebi, ki ima pravico do seznanitve, se omogoči seznanitev pod pogojem, da je zagotovljena njihova identifikacija in izkazana pravna podlaga (drugi odstavek). Izvajalec zdravstvene dejavnosti mora pravico iz prvega odstavka tega člena pacientu omogočiti takoj ali najpozneje pet delovnih dni po prejemu zahteve. Pacient lahko pri istem izvajalcu zdravstvene dejavnosti vloži zahtevo največ dvakrat mesečno (tretji odstavek). Osebe, ki so po zakonu ali po pooblastilu pacienta upravičene do odločanja o pacientovi zdravstveni obravnavi, imajo pravico do seznanitve s pacientovo zdravstveno dokumentacijo pod pogoji in na način, določen v prejšnjih odstavkih tega člena, le kadar imajo pravico odločanja o konkretni zdravstveni obravnavi pacienta in v obsegu, ki je potreben za odločanje (šesti odstavek). Pacient in druge upravičene osebe imajo ob kršitvi določbe 41. člena ZPacP pravico vložiti pritožbo pri IP.
Osnovne informacije o pravici do seznanitve z lastnimi osebnimi podatki oziroma pravici dostopa po 15. členu Splošne uredbe so dostopne na spletnih straneh IP: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/seznanitev-z-lastnimi-osebnimi-podatki in https://tiodlocas.si/zelim-vedeti-kaj-pocnejo-z-mojimi-podatki/.
Osnovne informacije o pravici dostopa do zdravstvene dokumentacije pacienta pa so na voljo: https://www.ip-rs.si/varstvo-osebnih-podatkov/pravice-posameznika/pravice-pacientov in https://www.ip-rs.si/varstvo-osebnih-podatkov/in%C5%A1pekcijski-nadzor/najbolj-pogoste-kr%C5%A1itve/zdravstveni-podatki
I. Uveljavljanje pravic otroka preko zakonitega zastopnika
V času mladoletnosti otrok za njihove pravice in koristi skrbijo starši. Glede varstva in vzgoje mladoletnega otroka se namreč uporabljajo določila Družinskega zakonika[3] (v nadaljevanju DZ), ki v 6. členu določa, da je starševska skrb celota obveznosti in pravic staršev, da v skladu s svojimi zmožnostmi ustvarijo razmere, v katerih bo zagotovljen celovit otrokov razvoj. Starševska skrb pripada skupaj obema staršema. Nadalje 136. člen določa, da so starševska skrb obveznosti in pravice staršev, ki se nanašajo na skrb za otrokovo življenje in zdravje, njegovo vzgojo, varstvo in nego, nadzor nad otrokom in skrb za njegovo izobraževanje ter obveznosti in pravice staršev, ki se nanašajo na zastopanje in preživljanje otroka ter na upravljanje njegovega premoženja. Pristojni organ lahko omeji ali odvzame starševsko skrb enemu ali obema od staršev pod pogoji, ki jih določa ta zakonik. V času mladoletnosti torej otroke praviloma zastopajo njegovi starši, ki lahko v njihovem imenu med drugim izvršujejo tudi pravico do seznanitve z njegovimi (otrokovimi) osebnimi podatki. Pri skrbi za otrokove pravice in koristi so starši enakopravni, starševska skrb namreč pripada skupaj očetu in materi. Če torej staršu starševska skrb ni odvzeta, ima pravico do seznanitve s podatki svojega otroka.
V primeru seznanitve z zdravstveno dokumentacijo je dodatno treba upoštevati še ZPacP, ki določa, da je izvajalec zdravstvenih storitev vsakemu izmed staršev dolžan omogočiti seznanitev z zdravstveno dokumentacijo njegovega otroka, razen če:
Glede na to, da v času mladoletnosti za pravice in koristi otroka skrbijo starši, je ključnega pomena, da se upravljavec pri vsakršni zahtevi starša za seznanitev z osebnimi podatki otrok, absolutno prepriča, ali je starš, ki zahteva uveljavljanje pravic varstva osebnih podatkov (npr. dostopa do osebnih podatkov) tudi nosilec starševske skrbi. To presojo morate izvesti vi kot upravljavec teh podatkov, ki pa presojate dejstva konkretnega primera glede na vsa razpoložljiva dokazna gradiva, ki so vam pri izvedi take presoje na voljo (npr. predložitev javnih listin i.e. rojstnega lista; izjave drugega starša, pregled podatkov iz uradnih evidenc po 139. členu oz. 34.a členu Zakona o splošnem upravnem postopku[4]…itd.). Izkaz zakonitega zastopstva oz. obstoj starševske skrbi se mora tako absolutno raziskati in razčistiti še preden se kakršnikoli osebni podatki posredujejo.
Za dodatne informacije o tem IP predlaga ogled tudi naslednjih že objavljenih mnenj:
II. Vsebinska presoja glede dostopa do osebnih podatkov
Niti pravica do seznanitve z lastnimi osebnimi podatki po Splošni uredbi, niti pravica seznanitve z zdravstveno dokumentacijo pacienta nista absolutni in neomejeni. Pravica do seznanitve z lastnimi osebnimi podatki se namreč lahko iz utemeljenih razlogov tudi zavrne, in sicer je potrebno izpostaviti zavrnitev zaradi varstva pravic in svoboščin drugih (četrti odstavek 15. člena Splošne uredbe) ter zaradi omejitev, ki jih opredeljuje nacionalna ali evropska zakonodaja.
Prvi odstavek 23. člena Splošne uredbe tako določa, da lahko pravo Unije ali pravo države članice, ki velja za upravljavca ali obdelovalca podatkov, z zakonodajnim ukrepom omeji obseg obveznosti in pravic iz členov 12 do 22 in člena 34, pa tudi člena 5, kolikor njegove določbe ustrezajo pravicam in obveznostim iz členov 12 do 22, če taka omejitev spoštuje bistvo temeljnih pravic in svoboščin ter je potreben in sorazmeren ukrep v demokratični družbi za zagotavljanje, med drugim, »pravic in svoboščin drugih« (točka (i) prvega odstavka 23. člena Splošne uredbe). Medtem, ko daje citirani člen podlago za sprejem omejitev pravice posameznika do dostopa do lastnih osebnih podatkov, mora zakonodajalec na ravni države ali Evropske unije omejitve še podrobno in vsebinsko predpisati.
Na tem mestu IP izpostavlja še omejitev oziroma izjemo iz 20. člena ZVOP-2, ki določa, da lahko upravljavec osebnih podatkov izjemoma zavrne zahtevo posameznika (npr. za dostop do osebnih podatkov), vložen prek zakonitega zastopnika, če obstajajo konkretne in objektivne okoliščine, zaradi katerih bi bilo utemeljeno sklepati, da bi bile zaradi seznanitve z določenimi osebnimi podatki neposredno ali posredno prizadete koristi, pravice ali upravičeni interesi mladoletnih oseb (…), ter če te pravice in interesi pretehtajo nad interesi zakonitega zastopnika za seznanitev. V tem primeru so razlogi za zavrnitev dostopni nadzornemu organu, Varuhu človekovih pravic, kolizijskemu skrbniku, kadar gre za osebne podatke iz zdravstvene dokumentacije, pa zastopniku pacientovih pravic po zakonu, ki ureja pacientove pravice. Če gre po presoji v tem primeru za situacijo iz 20. člena ZVOP-2, staršu kot zakonitemu zastopniku osebnih podatkov otroka (to velja tako za konkretna specialistična mnenja, klinične slike kot tudi za seznam obravnav otroka) pri prosilcu ne smejo posredovati (niti po 15. členu Splošne uredbe, niti po ZPacP).
Ob tem pa je treba poudariti, da so otroci posamezniki, ki so sami nosilci pravice do dostopa do lastnih osebnih podatkov (starši to pravico praviloma izvršujejo zgolj v njihovem imenu) ter da mora biti korist otroka vedno vodilo pri odločitvah, sprejetih v zvezi z uveljavljanjem te pravice, zlasti kadar jo v otrokovem imenu izvršuje nosilec starševske skrbi.
V konkretnem primeru bi tako lahko omejitve glede posredovanja osebnih podatkih otroka njegovemu staršu, izhajale tako iz 20. člena ZVOP-2 kot tudi Zakona o preprečevanju nasilja v družini[5] (v nadaljevanju ZPND), na primer zaradi obveznosti varstva identitete in podatkov o žrtvi, varovanja lokacije žrtve in ukrepov za njeno zaščito, prepovedi približevanja, vzpostavljanja stikov z žrtvijo itd. 5. člen ZPND izrecno določa, da so organi in organizacije dolžni izvesti vse postopke in ukrepe, ki so potrebni za zaščito žrtve glede na stopnjo njene ogroženosti in zaščito njenih koristi in pri tem zagotoviti spoštovanje integritete žrtve. Če je žrtev nasilja otrok, imajo koristi in pravice otroka prednost pred koristmi in pravicami drugih udeleženk oziroma udeležencev postopka.
Podobno tudi DZ v četrtem odstavku 7. člena (načelo otrokove koristi) določa, da morajo državni organi, izvajalci javnih služb, nosilci javnih pooblastil, organi lokalnih skupnosti ter druge fizične in pravne osebe v vseh dejavnostih in postopkih v zvezi z otrokom skrbeti za korist otroka. Tudi Konvencija o otrokovih pravicah, ki jo je ratificirala tudi Republika Slovenija, v prvem odstavku 3. člena določa, da morajo biti pri vseh dejavnostih v zvezi z otroki, bodisi da jih vodijo državne bodisi zasebne ustanove za socialno varstvo, sodišča, upravni organi ali zakonodajna telesa, otrokove koristi glavno vodilo.
Iz navedenega jasno izhaja, da je potrebno v primeru konflikta med dvema človekovima pravicama (v konkretnem primeru pravice starša do seznanitve z osebnimi podatki otroka ter pravicami in koristmi otroka) vedno pretehtati, v kolikšni meri se sme dopustiti izvrševanje ene pravice na račun oziroma v škodo druge pravice. Tehtanje med obema pravicama pa morate kot upravljavci teh podatkov pri prosilcu opravijo sami, saj za obdelavo osebnih podatkov tudi odgovarjajo.
IP dodaja, da v zvezi z uveljavljanjem pravic po Splošni uredbi nastopa kot pritožbeni organ, zato v okviru mnenja ne more presojati, ali lahko v konkretnem primeru zahtevo očeta za posredovanje osebnih podatkov otroka zavrnejo. Če je starš zahteval dostop do osebnih podatkov otroka, morajo kot upravljavec o njegovi zahtevi odločiti skladno z določbama 12. in 15. člena Splošne uredbe ter 14. členom ZVOP-2. O zahtevi posameznika morajo odločiti v roku enega meseca, zoper katero ima posameznik možnost pritožbe v roku 15 dni na IP.
Celotno mnenje je na voljo TUKAJ.