Informacijski pooblaščenec (IP)  je mnenju obravnaval vprašanje, kako ravnati, ko se obveznost preiskave nedovoljene obdelave osebnih podatkov pacientov po 46. členu ZPacP prepleta z varovanjem identitete prijavitelja po Zakonu o zaščiti prijaviteljev (ZZPri).

V obravnavanem primeru so bile medijem posredovane fotografije zaslona informacijskega sistema, na katerih so bili vidni osebni podatki pacientov. Hkrati je šlo za prijavo nepravilnosti, pri kateri ZZPri prepoveduje razkritje oziroma ugotavljanje identitete prijavitelja.

IP poudarja, da zaščita identitete prijavitelju ne daje imunitete za morebitne kršitve varstva osebnih podatkov. Če bi nekdo brez ustrezne pravne podlage dostopal do podatkov pacientov ali jih razkril medijem, je treba takšno ravnanje ustrezno raziskati.

Izvajalec zdravstvene dejavnosti mora namreč po 46. členu ZPacP vsak primer nedovoljene obdelave podatkov pacientov raziskati, ugotoviti morebitno odgovornost in primer pisno dokumentirati. Vendar mora biti preiskava izvedena tako, da ni usmerjena v iskanje zaščitenega prijavitelja.

IP zato priporoča ustrezno omejitev obsega revizije, skrbno določitev dostopov do dokumentacije ter organizacijsko ločitev postopkov po ZPacP in ZZPri. Če je ista oseba hkrati pooblaščena oseba za varstvo podatkov in zaupnik po ZZPri, je smiselno razmisliti, da revizijo nedovoljene obdelave izvede druga oseba, ki ni seznanjena s podrobnostmi prijave.

Več si lahko preberete tukaj.