Novela zákona o veřejném zdravotním pojištění uložila mj. zdravotním pojišťovnám povinnost zveřejňovat smlouvy s poskytovateli zdravotních služeb týkající se poskytování a úhrady hrazených služeb, jakož i smlouvy s osobami, které mají oprávnění k distribuci léčivých přípravků podle zákona o léčivech. Tyto smlouvy musejí pojišťovny zveřejnit do 60 dní od jejich uzavření, přičemž však nesmějí být zveřejněny informace a údaje, které jsou předmětem ochrany podle jiných právních předpisů.

Toto ustanovení se velmi často týká osobních údajů smluvních stran, konkrétně statutárních zástupců právnických osob a také tehdy, pokud v pozici poskytovatele zdravotních služeb vystupuje podnikající fyzická osoba.

Úřad pro ochranu osobních údajů (ÚOOÚ) obdržel již v průběhu legislativního procesu řadu dotazů, jak se vypořádat s případnými nejasnostmi ve znění zákona. Jelikož zveřejňované smlouvy obsahují identifikační údaje poskytovatelů zdravotních služeb, je jasné, že nově stanovená povinnost dopadá též do oblasti zpracování osobních údajů.

ÚOOÚ proto vydal stanovisko, jehož cílem je sjednotit praxi při zveřejňování smluv mezi zdravotními pojišťovnami a poskytovateli zdravotní péče z pohledu zákona o ochraně osobních údajů.

V obecné rovině lze uvést, že zákon o ochraně osobních údajů považuje za osobní údaje jakékoli informace, na jejichž základě lze identifikovat fyzickou osobu. Takovéto informace budou zveřejňované smlouvy nepochybně obsahovat. Zdravotní pojišťovny se proto při zveřejňování smluv s poskytovateli zdravotních služeb nacházejí v pozici správce osobních údajů. K jejich základní povinnosti nyní patří získání souhlasu dotčených osob se zveřejněním jejich osobních údajů. Výjimku však tvoří situace, kdy se zpracování osobních údajů děje na základě zákona, což je i případ smluv pojišťoven s poskytovateli.

I v tomto případě však zpracování osobních údajů musí probíhat pouze v souladu s účelem, k němuž byly osobní údaje shromážděny, a současně v rozsahu nezbytném pro naplnění stanoveného účelu. Úmyslem zákonodárce v případě novely zákona o veřejném zdravotním pojištění je umožnit transparentní kontrolu zacházení s veřejnými finančními prostředky a avizovaná veřejná kontrola by se tedy měla realizovat prostřednictvím dohledu nad obsahem smluv.

Přiměřený či nezbytný rozsah osobních údajů zahrnuje takový výčet osobních údajů, které ještě postačují k naplnění stanoveného účelu, ovšem na straně druhé nejsou nadbytečné. Zveřejnění osobních údajů se tedy předpokládá pouze v nezbytném rozsahu a ostatní údaje musejí být přiměřeným způsobem chráněny z důvodu možného nepřiměřeného zásahu do jiných práv, např. do soukromí dotčených subjektů.

V případě fyzických osob podnikajících je nutné vzít v potaz, že řada jejich osobních údajů je na základě různých právních předpisů součástí veřejných rejstříků. Při jejich dalším využití jde tedy o zpracování nevyžadující souhlas subjektu údajů (podnikatele), neboť jde o zpracování oprávněně zveřejněných údajů v režimu zákona ochraně osobních údajů. Za zásah do soukromého a osobního života by přitom šlo považovat zveřejňování dalších informací spadajících nejen pod podnikatelskou aktivitu subjektu (například bydliště podnikající fyzické osoby za předpokladu, že se liší od sídla podnikání).

Zveřejňování údajů týkajících se podnikatelské činnosti v rozsahu jméno, příjmení, sídlo a identifikační číslo podnikající fyzické osoby lze využít také jako návod při zveřejňování osobních údajů ve smlouvách mezi pojišťovnami a poskytovateli.

Součástí smluv uzavíraných mezi zdravotními pojišťovnami a poskytovateli zdravotních služeb z podstaty věci obvykle bude také informace o bankovním spojení poskytovatele. Podnikatelé, za předpokladu, že jsou registrovanými plátci DPH, mají povinnost zveřejnit všechny bankovní účty využívané pro ekonomickou činnost. Naproti tomu fyzická osoba podnikající, která není registrovaným plátcem DPH, povinnost uvádět své bankovní účty nemá. Kritérium pro posouzení, zda ve smlouvách zveřejňovat příslušné bankovní spojení, závisí především na tom, zda je podnikatel plátcem DPH, či nikoli. Pokud samozřejmě účty nezveřejňuje o své vůli např. na webových stránkách.

Řada dotazů směřovaných Úřadu pro ochranu osobních údajů upozorňuje na sporné zveřejnění podpisů konkrétních osob v textu zveřejňovaných smluv. Problematikou zveřejňování listin s podpisem konkrétní osoby se ÚOOÚ ve své praxi zabýval opakovaně. Zveřejnění podpisů se nepochybně může stát skutečností zneužitelnou třetími subjekty, zejména v kombinaci se zveřejněním čísla bankovního účtu a jména či názvu jednajícího subjektu.

Byť v některých případech mohou již být podpisy, například jednatele společnosti s ručením omezeným, zveřejněny např. ve sbírce listin, s ohledem na povinnost minimalizovat zásahy do soukromí dotčených fyzických osob i s ohledem na rovný přístup a efektivitu úprav zveřejňovaných smluv, lze doporučit, aby podpisy fyzických osob zveřejňovány nebyly. Zveřejnění podpisu konkrétní fyzické osoby v návaznosti na povinnost zveřejňování smluv totiž není nezbytné. V případě takto zveřejněných podpisů hrozí riziko jejich zneužití zvláště z pohledu některých druhů kriminální aktivity.

Podle stanoviska Úřadu pro ochranu osobních údajů při posuzování rozsahu osobních údajů, které mohou být o subjektech zveřejněny s odkazem na zákon o poskytování zdravotních služeb, je nutné přihlédnout k rozsahu osobních údajů zveřejňovaných v rámci veřejných seznamů a jiných zákonných veřejných evidencí. A také je nutné využít princip minimalizace zásahu do soukromí, resp. povinnosti zveřejnit osobní údaje jen v takovém rozsahu, který je nezbytný vzhledem k účelu dané právní úpravy.

Vybrané osobní údaje lze o těchto osobách ponechat v textu zveřejňovaných smluv, pakliže jde o údaje veřejně dostupné. Shodná situace nastane, pokud je zpracování těchto osobních údajů nezbytné k naplnění účelu dané normy.

.