Neoprávněné čtení zdravotní dokumentace: odpovědnost nesla zaměstnankyně

Islandský dozor posoudil pracovnici nemocnice jako správkyni údajů pro nahlížení, které nesouviselo s péčí o pacientku. Technická možnost otevřít záznam sama o sobě neznamenala oprávnění jej použít.

Islandský úřad Persónuvernd rozhodl 5. října 2026 ve věci 2025051308 o neoprávněném nahlížení pracovnice nemocnice Landspítali do zdravotní dokumentace. Udělil jí napomenutí. Posuzované přístupy spadaly do let 2021 až 2024; výsledek proto nelze popisovat jako incident, který se odehrál až při vydání rozhodnutí.

Pacientka podala stížnost v květnu 2025 poté, co se věcí zabýval nemocniční dohled nad elektronickou zdravotní dokumentací. Z přehledu přístupů vyplývalo devět nahlédnutí v pěti dnech: v prosinci 2021, v dubnu a prosinci 2022, v červenci 2023 a v červenci 2024. Pacientka namítala, že pracovnice neměla s její léčbou nic společného. Nemocniční kontrola již v prosinci 2024 konstatovala, že pro uvedené přístupy nebyl doložen oprávněný důvod.

Persónuvernd při vyšetřování požádal nemocnici o podklady včetně přehledu nahlížení a výsledku interní kontroly. Pracovnice dostala možnost se ke stížnosti vyjádřit, ale v určené lhůtě neodpověděla. Dozor vyšel z dostupných podkladů; neuzavřel případ pouze na základě obecného předpokladu, že jakýkoli zaměstnanecký přístup ke zdravotnickému systému je automaticky zpracováním jménem nemocnice.

V odůvodnění rozlišil dva režimy. Pokud zdravotník potřebuje informace o pacientovi pro poskytování péče, je správcem takového zpracování zpravidla nemocnice. Jestliže však pracovník překročí meze oprávněného přístupu a jedná mimo tento účel, může sám nést roli správce pro konkrétní operaci. V tomto případě zaměstnankyně neprokázala, že nahlížení mělo právní základ nebo odpovídající důvod pro zpracování zdravotních údajů.

Úřad nepřezkoumával odbornou medicínskou otázku, kdy je určitá informace nezbytná pro léčbu. Posuzoval zákonnost zpracování včetně vztahu ke konkrétně vymezenému účelu a dostupných vysvětlení. U uvedených přístupů zjistil nesoulad s islandskou úpravou ochrany osobních údajů, která provádí rámec GDPR v Evropském hospodářském prostoru. Přihlížel také k požadavkům na obecný právní základ a na zpracování zvláštních kategorií údajů.

Výsledkem bylo napomenutí zaměstnankyně, nikoli peněžitá pokuta. Dozor po posouzení okolností a přiměřenosti neshledal důvod finanční sankci uložit. Rozhodnutí se týká odpovědnosti za popsané nahlížení. Není obecným zbavením nemocnic jejich vlastních povinností k zabezpečení, nastavení oprávnění a kontrole přístupů.

Pro zdravotnické organizace má případ konkrétní provozní význam. Přidělená přístupová role musí být spojena s účelem práce a kontrolou skutečného používání. Záznamy o nahlížení umožnily odlišit technický přístup od oprávněné potřeby. Při školení zaměstnanců je vhodné vysvětlit i možné osobní důsledky čtení záznamu ze zvědavosti nebo pro soukromý účel. Vedle omezení oprávnění pomáhá průběžná kontrola neobvyklých přístupů a dostupná cesta, jak může pacient požádat o prověření.