Je povinností lékařů poskytnout své osobní údaje SÚKLu pro potřeby aplikace eRecept?
Dotaz: Pro potřeby aplikace eRecept hodlá naše nemocnice poskytnout SÚKLu osobní údaje všech lékařů – zaměstnanců, tj. jména, dosažené tituly, rodná čísla, adresy trvalého pobytu, čísla mobilních telefonů. Je, prosím, mou povinností sdělovat SÚKLu mé rodné číslo, domácí adresu nebo privátní mobil, musím-li v souvislosti s mou prací od 1. 1. 2018 psát recepty přes portál SÚKLu?
Neexistuje zákonné ustanovení, které by ukládalo povinnost poskytnout Státnímu ústavu pro kontrolu léčiv dané osobní údaje. V souladu se zákonem na ochranu osobních údajů je tedy poskytnutí osobních údajů dobrovolné.
Pro účely přesné a jednoznačné identifikace žadatele o přístup do Centrálního uložiště a za účelem ověření podmínky výkonu povolání SÚKL v současné době požaduje poskytnutí:
- Jména, příjmení, titulu, rodného čísla lékaře;
- Doručovací adresy lékaře (nikoliv výslovně adresy trvalého bydliště lékaře, tzn. lékař může jako doručovací adresu označit i adresu zdravotnického zařízení);
- A dále také kontaktní údaje, které ovšem SÚKL označuje jako nepovinné i z pohledu přístupu do CU. Jedná se o email, pevnou linku, mobilní číslo a fax.
Formulář, který je nutno pro přístup vyplnit, je dostupný na adrese SÚKL.
Adresa trvalého pobytu, číslo mobilního telefonu lékaře tedy není SÚKLem vyžadována a proto není povinností lékaře tyto údaje sdělovat.
Ohledně ostatních výše zmíněných osobních údajů, je tedy otázkou, zda bude bez poskytnutí těchto údajů přístup do CU možný. Od 1. 1. 2018 navíc vstupuje v účinnost novela zákona o léčivech, která stanovuje povinnost vystavovat recepty v elektronické podobě.
Zákon č. 378/2007 Sb. o léčivech stanovuje SÚKLu pouze povinnost zřídit Centrální úložiště elektronických receptů a dále dle §81 odst. 1, písm. d) zákona zabezpečit bezúplatně nepřetržitý přístup do databáze elektronických receptů předepisujícím lékařům a farmaceutům vydávajícím v lékárnách předepsané léčivé přípravky. Zákon ovšem nespecifikuje podrobnosti, jak tento přístup lékařům zajistit a jaké údaje k tomu je oprávněn vyžadovat.
SÚKL tak jen při žádosti o přístup do CU, v souladu s § 11, odstavec 1 zákona č. 101/2000 Sb. o ochraně osobních údajů, informuje o tom v jakém rozsahu a pro jaký účel budou uvedené osobní údaje zpracovány, kdo a jak bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny. SÚKL informuje, že údaje mimo jiné také zpracovává za účelem ověření splnění podmínky výkonu daného povolání. Poskytnutí není dle zákona na ochranu osobních údajů povinné. Povinnost poskytnout údaje není zákonem stanovena a žadatel o přístup poskytuje tedy tyto údaje dobrovolně, jak také SÚKL informuje.
Vzhledem k tomu, že zákon přímo nespecifikuje jakým způsobem má být zajištěn přístup lékařů do CU a nestanovuje podrobně, které údaje si má SÚKL vyžádat k ověření identifikace a splnění podmínek výkonu povolání, lze se domnívat, že lékař je oprávněn odmítnout poskytnutí konkrétně těchto údajů. Musí ovšem poskytnout jiné podklady, na základě nichž bude možné přístup zřídit a ověřit splnění podmínek.
Lze se také domnívat, že není správné podmiňovat zřízení přístupu právě a pouze poskytnutím těch údajů, které SÚKL požaduje v žádosti o přístup do CU, je-li možné skutečnosti doložit a osvědčit i poskytnutím jiných údajů. Je ovšem zřejmé, že pro splnění povinnosti vystavovat lékařský předpis pouze v elektronické podobě (od 1. 1. 2018) je nutné lékaře určitým způsobem a dostatečně identifikovat.
Lze dodat, že SÚKL je zároveň povinen dané osobní údaje chránit dle zákona č. 101/2000 Sb. o ochraně osobních údajů a nesmí dané údaje použít k jiným než žadatelem schváleným účelům. Je povinen uchovávat údaje jen po dobu nezbytně nutnou k účelu jejich zpracování (§ 5), veškeré osoby, které přicházejí v rámci SÚKL do styku s těmito údaji, jsou vázány mlčenlivostí (§ 15), poskytovat osobní údaje dalším subjektům může pouze v rámci plnění zákonných povinností (orgány státní správy, soudy, orgány dohledu, atp.) nebo dalším subjektům, a to pouze se souhlasem žadatele.
Důležitou roli v souvislosti s ochranou osobních údajů, a to i v tomto případě, bude hrát nové nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, nebo-li GDPR, které vstoupí v platnost 25. května 2018. Povinnosti na základě tohoto nařízení budou přímo vynutitelné a budou mít aplikační přednost před ustanoveními českých právních předpisů. S porušením pravidel nařízení jsou spojeny signifikantní sankční opatření.
Zdroj: PwC Legal