Úřad pro ochranu osobních údajů

Účastník řízení je správcem osobních údajů svých pacientů ve smyslu § 4 písm. j) zákona č. 101/2000 Sb., a proto je povinen dle § 5 odst. 1 písm. f) zákona č. 101/2000 Sb. zpracovávat osobní údaje pacientů pouze v souladu s účelem, k němuž byly shromážděny. Kód diagnózy pacienta je zpracováván za účelem informace o onemocnění pacienta a provedení vyšetřovacích výkonů, nikoli pro to, aby byl uváděn na zaslané faktuře, kde byl pro účely vyúčtování provedených vyšetřovacích výkonů také zcela nadbytečný.

Účastník řízení je povinen přihlédnout k charakteru osobních údajů a zvolit odpovídající relevantní opatření pro zajištění bezpečnosti při jejich předávání, čemuž výše popsaný způsob uvedení kódu diagnózy pacienta ve faktuře neodpovídá, když jeho uvedení nebylo nutné pro určení pacienta, ani pro určení rozsahu a předmětu plnění a faktura, která není zdravotnickou dokumentací (ta, nikoliv faktura, obsahuje všechny informace potřebné pro zajištění návaznosti poskytování zdravotní péče) a která se zakládá do účetnictví, splňuje i bez kódu diagnózy pacienta náležitosti daňového dokladu.

Správní orgán tedy na základě výše uvedeného považuje za prokázané, že účastník řízení zvoleným způsobem zpracování osobního údaje kódu diagnózy pacienta, ohrozil bezpečnost zpracovaných osobních údajů, protože faktura se stává součástí účetnictví s přístupem třetích osob, a to tím, že informaci o kódu diagnózy pacienta použil k jinému účelu, než ke kterému byla shromážděna. (čj. SPR-0496/10)