Práva pacientov podľa novej právnej úpravy ochrany osobných údajov

Prevádzkovateľom hrozia za nedodržanie predpisov o ochrane osobných údajov a porušenie práv dotknutých osôb pokuty až do 20 000 000 eur, resp. do 4 % ich celosvetového obratu podľa toho, ktorá suma je vyššia. Je preto nevyhnutné, aby každý prevádzkovateľ, poskytovateľa zdravotnej starostlivosti nevynímajúc, poznal svoje povinnosti, ale tiež práva dotknutých osôb, ktoré musí dodržiavať. S uvedeným na zreteli sme si zvolili za cieľ oboznámiť čitateľov o právach pacientov v súvislosti s novou právnou úpravou ochrany osobných údajov.

Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej len „nariadenie GDPR“) a zákon č. 18/2018 Z. z. o ochrane osobných údajov (ďalej len „zákon o ochrane osobných údajov“) upravujú tieto konkrétne práva dotknutých osôb vo vzťahu k prevádzkovateľovi, ktorými rozvíjajú tzv. základné zásady spracúvania osobných údajov [1]:

1. právo na informácie,
2. právo na prístup k osobným údajom,
3. právo na opravu osobných údajov,
4. právo na výmaz osobných údajov,
5. právo na obmedzenie spracúvania osobných údajov,
6. právo na prenosnosť osobných údajov,
7. právo namietať spracúvanie osobných údajov.

Nariadenie GDPR je na území Slovenskej republiky priamo aplikovateľné a má prednosť pred zákonmi. V prípade rozporu medzi nariadením a zákonom o ochrane osobných údajov je preto potrebné uprednostniť nariadenie.

Právo na informácie

Poskytovatelia zdravotnej starostlivosti spravidla osobné údaje pacientov spracúvajú pri plnení dohody o poskytovaní zdravotnej starostlivosti, resp. na základe zákonnej povinnosti. Osobitný súhlas pacienta na takéto spracúvanie sa preto nevyžaduje. To však nezbavuje poskytovateľa zdravotnej starostlivosti povinnosti informovať pacienta o spracúvaní osobných údajov.

Poskytovateľ zdravotnej starostlivosti je aj bez žiadosti pacienta povinný dôsledne ho informovať o spracúvaní osobných údajov. Informáciu o spracúvaní osobných údajov je pacientovi potrebné poskytnúť ešte predtým, než sa osobné údaje začnú od pacienta získavať. Poučiť pacienta o spracúvaní osobných údajov je preto vhodné už pri prvej komunikácii s ním. Z dôvodov právnej istoty bude vhodné zabezpečiť, aby poučenie o spracúvaní osobných údajov bolo pacientom k dispozícii v čakárni, resp. na výveske a prípadne aj na internete. Ako vhodnú prax možno odporučiť pripájať pacientom podpísanú informáciu o spracúvaní osobných údajov k informovanému súhlasu.

Obsah informácie o spracúvaní osobných údajov podrobne upravujú príslušné ustanovenia nariadenia GDPR a zákona o ochrane osobných údajov [2], v nasledujúcom texte sa budeme preto venovať len najdôležitejším informáciám.

Poskytovateľ zdravotnej starostlivosti musí pacienta predovšetkým informovať o účele spracúvania osobných údajov. Treba mať na pamäti, že účelom spracúvania nie je len plnenie dohody o poskytovaní zdravotnej starostlivosti, resp. poskytovanie zdravotnej starostlivosti ako také, ale tiež spracúvanie napríklad na účel verejného zdravotného poistenia, na účel vykazovania do národných zdravotných registrov, na účel zabezpečenia ochrany verejného zdravia, ale tiež napríklad aj na účel prípadného uplatňovania nárokov poskytovateľa zdravotnej starostlivosti voči pacientovi.

Pacient má ďalej právo byť informovaný, komu sa jeho osobné údaje poskytnú alebo sprístupnia. Nepôjde pritom len o subjekty, ktorým sa odovzdávajú, poskytujú alebo sprístupňujú údaje zo zdravotnej dokumentácie [3], ale tiež aj zdravotné poisťovne, Národné centrum zdravotníckych informácií, a subjekty, voči ktorým má poskytovateľ zdravotnej starostlivosti oznamovaciu povinnosť [4]. V súvislosti s uvedeným má pacient právo