Preverovanie dodržiavania ochrany osobných údajov v zdravotníckych zariadeniach

Na základe skúseností z uplynulých rokov, kedy Úrad na ochranu osobných údajov SR (ďalej len „Úrad“) riešil viacero oznámení dotknutých osôb, ktoré smerovali voči prevádzkovateľom z radov poskytovateľov zdravotnej starostlivosti, boli do plánu úloh na rok 2010 zaradené celoslovenské kontrolné akcie zamerané na rezort zdravotníctva. V uvedenom období Úrad v rámci výkonu dozoru uskutočnil kontroly z vlastnej iniciatívy s cieľom celoplošne preveriť, či prevádzkovatelia v rezorte zdravotníctva dodržiavajú ustanovenia zákona č. 428/2002 Z. z. o ochrane osobných údajov v znení neskorších predpisov (ďalej len „zákon o ochrane osobných údajov“) pri spracúvaní osobných údajov dotknutých osôb, t. j. pacientov.

Podľa plánu úloh sa kontroly uskutočnili u prevádzkovateľov z radov štátnych aj neštátnych zdravotníckych zariadení ustanovených zákonom č. 578/2004 Z. z. o poskytovateľoch zdravotnej starostlivosti, zdravotníckych pracovníkoch, stavovských organizáciách v zdravotníctve a o zmene a doplnení niektorých zákonov v z. n. p. (ďalej len „zákon o poskytovateľoch zdravotnej starostlivosti“). Dozorná činnosť bola zameraná na spracúvanie osobných údajov gynekologicko-pôrodníckymi klinikami a oddeleniami nemocníc.

Dôvod kontrol

V roku 2008 bolo Úradu doručené oznámenie o podozrení zo závažného porušenia zákona o ochrane osobných údajov, ktorého sa mal dopustiť prevádzkovateľ/zdravotnícke zariadenie. Išlo o prípad, keď dotknutá osoba – tehotná žena pri nástupe do pôrodnice pri vyplňovaní formulárov uviedla ako telefónny kontakt na najbližšieho príbuzného pracovný mobil manžela. Nanešťastie dieťa pár dní po pôrode zomrelo. O niekoľko dní neskôr volal na tento pracovný mobil manžela zástupca firmy/poisťovací agent, ktorý rodičom gratuloval k narodeniu dieťaťa a ponúkol im možnosť dieťa poistiť. Rodičia – dotknuté osoby sa obrátili so žiadosťou o prešetrenie na Úrad. Vzhľadom na to, že telefónne číslo bolo u telefónneho operátora vedené na meno firmy, kde pracoval manžel dotknutej osoby a nebolo ho možné priradiť ku konkrétnemu pracovníkovi, Úrad sa domnieval, že jedna z možností pravdepodobného zdroja, z ktorého poisťovací agent získal neoprávnene telefónne číslo, bola tá, že mu ho poskytla oprávnená osoba prevádzkovateľa/zdravotníckeho zariadenia. Mimoriadna závažnosť následkov úniku osobných údajov v tomto prípade, ale aj ďalšie podobné prípady, motivovali Úrad celoplošne preveriť dodržiavanie zákona o ochrane osobných údajov zdravotníckymi zariadeniami, a to konkrétne spracúvanie osobných údajov na gynekologicko-pôrodníckych klinikách/ /oddeleniach.

Úrad do plánu kontrol na rok 2010 zaradil výkon dozoru nad spracúvaním osobných údajov u 24 vybraných prevádzkovateľov spomedzi 56 existujúcich v celej SR. Kontrolná činnosť sa realizovala v 22 mestách Slovenska tak, aby boli zastúpené všetky kraje v SR.

Konkrétne povinnosti a pochybenia prevádzkovateľov zdravotníckych zariadení

Na začiatku každej kontroly Úrad skúmal povinnosť prevádzkovateľa poveriť zodpovedné osoby výkonom dohľadu nad ochranou osobných údajov, a teda vyžadoval predloženie:

• poverenia zodpovednej osoby výkonom dohľadu nad ochranou osobných údajov,
• výpisu z registra trestov, platného ku dňu poverenia zodpovednej osoby,
• osvedčenia o školení zodpovednej osoby,
• dôkazu o tom, že prevádzkovateľ nahlásil Úradu doporučene do 30 dní odo dňa poverenia zodpovednej osoby, tzv. Oznámenie prevádzkovateľa o poverení zodpovednej osoby (kópiu podacieho lístka).