Reikšminga administracinio teismo praktika sveikatos priežiūros įstaigoms dėl pacientų artimųjų duomenų
Iš pirmo žvilgsnio atrodo lengva nustatyti ar informacija yra asmens duomenys ar ne, mat apibrėžimas gana aiškus. Asmens duomenys, tai bet kokia informacija, apie fizinį asmenį, kurio tapatybę galima nustatyti. Šiame apibrėžime kartu pateikiama ir duomenų subjekto sąvoka. Tačiau praktikoje dažnai daroma klaidų.
Tokia klaida buvo padaryta vienoje sveikatos priežiūros įstaigoje, kai duomenys paciento ligos istorijos epikrizėje apie paciento artimąjį asmenį nebuvo palaikyti jo asmens duomenimis. Pozicijos, kad minėta informacija nėra paciento artimojo asmens duomenys laikėsi ir Valstybinė duomenų apsaugos inspekcija (VDAI). Tačiau Lietuvos vyriausiasis administracinis teismas (Teismas) 2022 m. kovo 2 d. nutartyje administracinėje byloje Nr. A-233-525/2022 nurodė, kad ginčo ligos istorijos epikrizėje užfiksuoti duomenys apie paciento artimąjį laikytini pastarojo asmens duomenimis.
Ši Teismo nutartis yra svarbi sveikatos priežiūros įstaigoms, nes pirmą kartą teismų praktikoje buvo išaiškinta, kad pacientų artimieji, kurių duomenys nurodyti pacientų ligos istorijos epikrizėse, net ir nesant įvardintų jų vardų ir pavardžių, taip pat šių duomenų atžvilgiu laikomi duomenų subjektais. Šie asmenys turi visas duomenų subjektų teises pagal Bendrąjį duomenų apsaugos reglamentą (BDAR). Ar įmanoma jas įgyvendinti – kitas klausimas.
VDAI pozicija palankesnė sveikatos priežiūros įstaigoms
VDAI laikėsi pozicijos, kad duomenys epikrizėje yra tik paciento asmens duomenys, nes tai informacija apie pacientą, o jos rinkimo tikslas, susijęs tik su pacientu. VDAI nuogąstavo, kad sveikatos priežiūros įstaiga, gavusi paciento artimojo prašymą dėl teisių įgyvendinimo, turėtų pareigą peržiūrėti visų dokumentų tekstus, ieškodama, ar toks asmuo niekur nepaminėtas, ar nėra netiesioginės informacijos apie jį, pagal kurią būtų galima nustatyti asmens tapatybę. Aptariamoje byloje VDAI taip pat nurodė, kad duomenys buvo sisteminami pagal paciento vardą ir pavardę, o ne pagal paciento artimojo, todėl, VDAI nuomone, paciento artimieji, nurodytų duomenų atžvilgiu, neturėjo būti laikomi duomenų subjektais pagal BDAR.
Suprantama VDAI pozicija neapsunkinti sveikatos priežiūros įstaigų papildoma administracine našta, atsakinėjant į pacientų artimųjų klausimus, tačiau tokia VDAI argumentacija diskutuotina. Tam, kad informacija būtų laikoma asmens duomenimis, t. y. susijusia su asmeniu, turi būti bent vienas iš elementų: turinio, tikslo arba rezultato elementas.
Turinio elementas, atsiranda tais atvejais, kai tiesiog renkama informacija apie konkretų asmenį, neatsižvelgiant į tokio pateikimo tikslą, nei poveikį asmeniui. Tikslo elementas būna tada, kai duomenys naudojami siekiant įvertinti arba nagrinėti asmens padėtį ar elgesį arba daryti jam įtaką. Rezultato elementas yra tada, kai naudojantis duomenimis gali būti daromas poveikis konkretaus asmens teisėms, nepaisant to, kad nėra turinio ar tikslo elemento (pvz., taksi automobilio stebėsena tikslu nustatyti laisvų taksi automobilių buvimo vietą esamuoju laiku).
Manytina, kad VDAI teikė prioritetą tikslo ir rezultato elementams, argumentuodama, kad sveikatos priežiūros įstaiga turėjo tikslą tvarkyti paciento, o ne jo artimojo asmens duomenis ir paciento epikrizė darė poveikį būtent pacientui, o ne jo artimajam. Visgi, tam, kad informacija būtų laikoma asmens duomenimis, pakanka bent vieno iš elementų buvimo. Šiuo atveju, manytina, kad egzistavo tiek turinio, tiek rezultato elementas.
Susiaurintas asmens duomenų ir duomenų subjekto sąvokų aiškinimas sukeltų neapibrėžtumą
Asmens duomenų ir duomenų subjekto sąvokos BDAR yra pakankamai aiškiai apibrėžtos. Nors ligos istorijos epikrizėje nebuvo paciento artimojo vardo ir pavardės, tačiau buvo informacija, leidžianti identifikuoti konkretų fizinį asmenį – paciento artimąjį: sūnaus vardas, pavardė ir gimimo data, paciento artimojo adresas, darbovietės pavadinimas ir einamos pareigos, anksčiau eitos pareigos, šeiminė padėtis ir kt. Tokie duomenys neabejotinai patenka į paciento artimojo asmens duomenų sąvoką pagal BDAR ir jų traktavimui neturi įtakos duomenų subjektų teisių įgyvendinimo sudėtingumas ar aplinkybė, kad jie yra ir duomenimis apie kitą asmenį. Priešingas aiškinimas praktikoje sukeltų daug netikrumo ir neaiškumo, apribotų asmenų teises, garantuojamas BDAR. Kaip tokiu atveju traktuoti panašias situacijas, pavyzdžiui, kai tvarkomi darbuotojo artimųjų kontaktai susisiekti nelaimės atveju, kai vardas ir pavardė netvarkomi? Turime aiškias taisykles, kas laikoma asmens duomenimis bei duomenų subjektu, ir jomis turėtumėme vadovautis, nes priešingu atveju ne tik kiltų teisinių neapibrėžtumų, bet ir galimų piktnaudžiavimo atvejų.
Paciento artimųjų, kaip duomenų subjektų, teisių įgyvendinimas apsunkintas, o gal ir neįmanomas
Šiuo atveju pripažinus pacientų artimųjų informaciją asmens duomenimis, kyla rimtų sunkumų dėl pastarųjų asmenų teisių įgyvendinimo. Paciento artimajam kreipusis į sveikatos priežiūros įstaigą, jo identifikuoti beveik neįmanoma. Be to, vien patvirtinimas, kad paciento artimojo asmens duomenys tvarkomi, jau gali pažeisti paciento teises, mat specialus įstatymas garantuoja paciento duomenų paslaptį. Tačiau vien šios aplinkybės nesudaro prielaidų tokios informacijos nelaikyti paciento artimųjų asmens duomenimis. Sveikatos priežiūros įstaiga turėtų motyvuotai atsakyti paciento artimajam kodėl negali įgyvendinti jo prašymų.
Asmens duomenų sąvoka turi būti aiškinama plečiamai
29 straipsnio Duomenų apsaugos darbo grupė savo Nuomonėje 4/2007 dėl asmens duomenų sąvokos nurodė „raginama plėtoti tokią politiką, kuria būtų siekiama plataus asmens duomenų sąvokos aiškinimo ir tinkamo direktyvos taisyklių taikymo pusiausvyros“.
Minėtoje nuomonėje taip pat pateikiamas pavyzdys, kai nagrinėjant bylą dėl mergaitės globos atliekant neuropsichiatrijos tyrimą analizuojamas mergaitės piešinys. Piešinyje ji nupiešė savo šeimą. Piešinys suteikia informacijos apie mergaitės nuotaiką ir tai, ką ji jaučia kiekvienam savo šeimos nariui. Darbo grupė nurodė, kad „Dėl to piešinį būtų galima laikyti asmens duomenimis. Iš tikrųjų piešinys atskleis su vaiku susijusią informaciją (jo sveikatos būklę psichiatrijos požiūriu) ir informaciją, pavyzdžiui, apie jos tėvo ar motinos elgesį. Šiuo atveju tėvams turėtų būti suteikta galimybė pasinaudoti savo teise gauti tokią ypatingą informaciją.“. Taigi, asmens duomenų ir duomenų subjekto sąvokos turi būti aiškinamos plačiai, tačiau tik tiek, kiek taikomas BDAR.
Kokios klaidos nelaikyti informacijos asmens duomenimis pasekmės?
Neidentifikavus, kad tam tikra informacija yra asmens duomenys, gali būti pažeistas BDAR. Pavyzdžiui, netinkamai pildomi duomenų tvarkymo veiklos įrašai, netinkamai grindžiamas atsisakymas pateikti asmens duomenis pagal asmens prašymą, skaidrumo pareigos pažeidimas, negaunamas sutikimas, kai jo reikia, ir kt. Toks aplaidumas gali užtraukti BDAR numatytą baudą.
Tekstą parengė Asta Macijauskienė, advokatų kontoros ILAW LEXTAL partnerė, asmens duomenų apsaugos ekspertė
