20.500.12556/DKUM-79399 Analiza izvajanj načel v zvezi z obdelavo osebnih podatkov v zdravstvu magistrsko delo The analysis of the implementation of the principles relating to the processing of personal data in healthcare Zakonodaja je na področju zdravstva izjemno razpršena, posledično so tudi določila o varstvu osebnih podatkov v zdravstvu določena v različnih aktih, kar lahko privede do nepreglednosti. Po uveljavitvi Splošne uredbe o varstvu podatkov se postavi vprašanje, kako ta vpliva na zahteve varstva osebnih podatkov ter kako se v zdravstvu odražajo načela v zvezi z obdelavo osebnih podatkov. Splošna uredba o varstvu podatkov na področju varstva osebnih podatkov v zdravstvu ni prinesla šokantnih vsebinskih sprememb, kar lahko povežemo z dejstvom, da obdelava osebnih podatkov v zdravstvu večinoma temelji na zakonski pravni podlagi (ki se s sprejetjem Splošne uredbe o varstvu podatkov ni spremenila). Vsekakor pa prinaša višjo stopnjo zavedanja pomembnosti varstva osebnih podatkov ter seveda za kršitelje predpisuje znatno višje kazni. Zraven zakonskih določb morajo izvajalci zdravstvene dejavnosti dosledno spoštovati tudi načela v zvezi z varstvom osebnih podatkov, ki predstavljajo temeljna vodila pri obdelavi osebnih podatkov. Tako na primer ni nujno, da je vse, kar je zakonito, tudi v skladu z načelom najmanjšega obsega podatkov, zakonsko predpisani rok hrambe se pod določenimi pogoji lahko izjemoma podaljša in podobno. Kljub podrobni zakonski ureditvi varstva osebnih podatkov v zdravstvu, pa se konkretne zahteve varstva osebnih podatkov določajo v praksi, torej pri vsakemu upravljavcu posebej. Konkretne smernice glede ustreznosti določenih ukrepov varstva osebnih podatkov je zaradi različnosti narave obdelav, izjemno težko (če ne nemogoče) zastaviti. Ker so zahteve varstva osebnih podatkov v veliki meri vezane tudi na razvoj informacijske in druge tehnologije, lahko določeni ukrepi varovanja čez noč postanejo nezadostni (npr. zaradi ugotovitve varnostnih napak v informacijskem sistemu). Izvajalci zdravstvene dejavnosti imajo glede obdelave osebnih podatkov izjemno težko nalogo – nenehno morajo spremljati razvoj zahtev ter zaščitnih ukrepov varstva osebnih podatkov ter predviditi varnostna tveganja in narediti vse, kar je v njihovi moči, da preprečijo nezakonito obdelavo. Posebno pozornost morajo nameniti tudi izobraževanju (in opominjanju) zaposlenih. Po preučitvi odločb Informacijskega pooblaščenca o prekršku namreč ugotovimo, da veliko večino kršitev v zdravstvu predstavljajo neupravičeni vpogledi v zdravstvene podatke pacientov. Pravica do zasebnosti pacienta vsekakor ni novost, kar pomeni, da bi se je moral zavedati popolnoma vsak zaposleni v zdravstvu. Nepooblaščeni vpogledi v zdravstvene podatke pomenijo grobo kršitev zasebnosti pacienta. Da bi izvajalec zdravstvene dejavnosti v čim večji meri preprečil kršitve varstva osebnih podatkov, mora poskrbeti, da zaposleni glede varstva osebnih podatkov prejmejo izčrpna navodila, da se izvajanje ukrepov redno preverja ter da se o njih zaposlene tudi redno izobražuje. Ključno je, da se izvajalci zdravstvene dejavnosti zavedajo, da gre pri kršitvi varstva zdravstvenih osebnih podatkov za poseg v temeljno človekovo pravico do zasebnosti ter da je treba storiti vse, da se kršitve preprečijo. Healthcare legislation in Slovenia is governed by numerous laws, regulations and policies. Many of them has data protection provisions and guidelines, which regulate data protection in more detail, than Slovenian data protection law (Personal Data Protection Act). Consequently, many of the data protection legislation is dispersed, which can cause non-transparency. After General Data Protection Regulation (GDPR) entered in force, many questions arose, specifically as how this affects the personal data protection legislation in healthcare. It must be emphasized, that Slovenia already had very high standards of personal data protection before GDPR entered in force. Additionally, processing of personal data in healthcare is mostly based on a lawful basis (GDPR has not changed that). Therefore, data protection in healthcare did not bring any fundamental changes. It had, however caused a higher level of awareness on the importance of personal data protection, which can also be connected to higher fines under GDRP for violators. Healthcare providers must also strictly follow the principles relating to processing of personal data. Although the Slovenian law is very detailed about processing personal data in healthcare, many times the specific requirements for personal data protection can be only determined in practice, i.e. for each controller individually. Due to the vast diversity of the data processing, it is extremely difficult (if almost not impossible) to set specific guidelines on the adequacy of certain personal data protection measures. Often personal data protection requirements are linked to the development of technology, which can lead to situations, when completely adequate security measures become insufficient overnight. Healthcare providers have a difficult task regarding processing of personal data - they must constantly monitor the development of personal data protection requirements, anticipate security risks, regularly educate their employees and do everything in their power to ensure lawful processing of data. After analyzing Information Commissioners decisions on a misdemeanor, we find that the vast majority of violations in health care are unjustified accesses into the health data of patients. Patients right to privacy is certainly not a novelty brought by GDPR, therefore every healthcare employee was fully aware of unlawfulness of data processing. Unauthorized access to medical data constitutes a gross violation of patient privacy. It is crucial that healthcare professionals are aware that every patient has a right to privacy. Breaching right to privacy is violation of a fundamental human rights, therefore every effort must be made to prevent the breach. Varstvo osebnih podatkov v zdravstvu zdravstveni osebni podatki posebne vrste osebnih podatkov splošna načela varstva osebnih podatkov minimalni standardi varstva osebnih podatkov obdelava osebnih podatkov kršitev varstva osebnih podatkov varnostni incident. Protection of personal data in healthcare data concerning health special categories of personal data principles relating to processing of personal data processing of personal data breach of personal data protection security incident. true true false [N. Gradišnik] Slovenski jezik Angleški jezik Magistrsko delo/naloga 2021-06-23 16:30:15 2021-07-28 11:00:48 2022-08-09 20:31:07 0000-00-00 00:00:00 2021 0 Maribor 0 Maribor 70 str. 0000-00-00 NiDoloceno NiDoloceno NiDoloceno 0000-00-00 0000-00-00 0000-00-00 339.732(043.3) 71666691 MAG_Gradisnik_Nina_2021.pdf MAG_Gradisnik_Nina_2021.pdf 1 A2361804EF43F7687C13F5B8F886BE30 69bfe73ef9f54831e8403c6baa8b1e28c6081b363df5807fee24531901a65a0f 23363cd3-da5a-11eb-b6e4-00155d581298 20.500.12556/dkum/e575abe1-328e-40df-81dc-a7906e24bebd https://dk.um.si/Dokument.php?lang=slv&id=151051 Pravna fakulteta 0 0 0