Spracúvanie osobných údajov zdravotnými poisťovňami

Prípadné ohrozenie integrity, dostupnosti alebo dôvernosti osobných údajov dotknutých osôb spracúvaných v informačných systémoch zdravotných poisťovní preto môže pre dotknuté osoby, najmä poistencov, predstavovať vážnu a ťažko napraviteľnú ujmu. Úspešný útok na informačné systémy zdravotných poisťovní tiež môže ohroziť alebo spomaliť poskytovanie zdravotnej starostlivosti jednotlivých poskytovateľov zdravotnej starostlivosti, ktorých interné informačné systémy sú s informačnými systémami zdravotných poisťovní prepojené.

V tomto príspevku sa v súvislosti s novou právnou úpravou účinnou od 25. mája 2018 zameriame na spracúvanie osobných údajov dotknutých osôb zdravotnými poisťovňami.

Dotknuté osoby, právny základ a účel spracúvania

Zdravotné poisťovne spracúvajú osobné údaje predovšetkým nasledujúcich fyzických osôb:

• poistenci a ich zákonní zástupcovia,
• dieťa poistenca do veku šiestich rokov, o ktoré sa poistenec celodenne stará, fyzická osoba s ťažkým zdravotným postihnutím alebo blízka osoba, ktorá je staršia ako 80 rokov, ktorú poistenec opatruje a manžel alebo manželka, ktorí vykonávajú štátnu službu v cudzine alebo ktorí podľa pracovnej zmluvy vykonávajú prácu vo verejnom záujme v zahraničí (ďalej len „blízke osoby“) podľa § 23 ods. 3 zákona č. 580/2004 Z. z. o zdravotnom poistení a o zmene a doplnení zákona č. 95/2002 Z. z. o poisťovníctve a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o zdravotnom poistení“),
• vlastní zamestnanci poisťovne a členovia jej štatutárnych orgánov,
• poskytovatelia zdravotnej starostlivosti, resp. všeobecný lekár poistenca a zdravotnícki pracovníci,
• platitelia poistného.

Podstatnú časť osobných údajov budú zdravotné poisťovne spracúvať na základe nasledujúcich ustanovení všeobecného nariadenia o ochrane údajov [Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (ďalej len „všeobecné nariadenie o ochrane údajov“) (Ú. v. EÚ L 119, 4. mája 2016)]:

• čl. 6 ods. 1 písm. e), pretože spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi,
• čl. 6 ods. 1 písm. c), pretože spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa a
• čl. 6 ods. 1 písm. b), pretože spracúvanie je nevyhnutné na plnenie zmluvy, konkrétne zmluvy o poskytovaní zdravotnej starostlivosti uzatváranej medzi zdravotnou poisťovňou a poskytovateľom zdravotnej starostlivosti, ale napríklad aj pracovných zmlúv so zamestnancami zdravotnej poisťovne.

Zdravotné poisťovne sú síce akciové spoločnosti, a ako také nie sú štátnymi orgánmi, pri výkone svojej činnosti však rozhodujú o právach a povinnostiach fyzických alebo právnických osôb (napr. pri vydávaní výkazu nedoplatkov alebo pri vydávaní súhlasu na poskytovanie cezhraničnej zdravotnej starostlivosti). V týchto prípadoch je zdravotným poisťovaniam zverený výkon verejnej moci.

Vnútroštátnymi právnymi predpismi, ktoré upravujú činnosť zdravotných poisťovní a spracúvanie osobných údajov pri tejto činnosti sú predovšetkým zákon č. 581/2004 Z. z. o zdravotných poisťovniach, dohľade nad zdravotnou starostlivosťou a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o zdravotných poisťovniach“), zákon o zdravotnom poistení, zákon č. 576/2004 Z. z. o zdravotnej starostlivosti, službách súvisiacich s poskytovaním zdravotnej starostlivosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „zákon o zdravotnej starostlivosti“) a zákon č. 577/2004 Z. z. o rozsahu zdravotnej starostlivosti uhrádzanej na základe verejného zdravotného poistenia a o úhradách za služby súvisiace s poskytovaním zdravotnej starostlivosti v znení neskorších predpisov (ďalej len „zákon o úhrade zdravotnej starostlivosti zo zdravotného poistenia“).

Medzi zákonné povinnosti, pri ktorých budú zdravotné poisťovne nevyhnutne spracúvať osobné údaje patrí najmä:

• vykonávanie činnosti tak, aby sa zabezpečila poistencom dostupnosť zdravotnej starostlivosti (§ 15 ods. 1 zákona o zdravotných poisťovniach),
• vykonávanie kontrolnej činnosti (§ 9 zákona o zdravotných poisťovniach),
• vedenie účtov poistencov [§ 15 ods. 1 písm. h) a § 16 ods. 2 zákona o zdravotných poisťovniach],
• vedenie a uchovávanie dokumentácie [§ 15 ods. 1 písm. i) a § 16 zákona o zdravotných poisťovniach],
• oznamovanie a poskytovanie údajov ministerstvu zdravotníctva napr. o spotrebe kategorizovaných liekov, o nákladoch na zdravotnú starostlivosť [§ 15 ods. 1 písm. p) zákona o zdravotných poisťovniach], Národnému centru zdravotníckych informácií napr. údaje o dohodách o poskytovaní všeobecnej