Становище на КЗЛД относно искане на управителя на Национална здравноосигурителна каса по въпроси, касаещи предоставянето от страна на НЗОК на данни, които се събират и съхраняват в информационните регистри на НЗОК и РЗОК

Комисията за защита на личните данни (КЗЛД) в състав: Председател: Венета Шопова и членове: Красимир Димитров, Валентин Енев, Мария Матева, и Веселин Целков на заседание, проведено на 10.07.2013г., разгледа преписка с вх.№П-3991/ 11.06.2013г.,заявена от управителя на Национална здравноосигурителна каса (НЗОК).

В искането си управителят на НЗОК посочва, че поставеният от неговъпрос евъв връзка с постъпващи искания в Националната здравноосигурителна каса (НЗОК) и Районните здравноосигурителни каси (РЗОК) за предоставяне на данни, които се събират в техните информационни регистри, представляващи лични данни, включително и „специално защитени данни“ по чл.5, ал.1 от ЗЗЛД. Тези искания са свързани основно с настъпили застрахователни събития по сключени застраховки „Гражданска отговорност“ и „Живот“ и се отправят от различни застрахователни дружества.

В посочените по-горе искания застрахователните компании желаят да получат информация, позовавайки се на чл.106 и чл.243, ал.2 от Кодекса на застраховането (КЗ).

Съгласно чл.106, ал.1 от КЗ „За нуждите на установяване на застрахователното събитие и на вредите, причинени от него, застрахователят, лицето което търси обезщетение, Гаранционен фонд или Националното бюро на българските автомобилни застрахователи има право да получи необходимата информация, съхранявана от органите на МВР, разследващите органи, другите държавни органи, личният лекар лечебните и здравните заведения и лицата, които имат право да удостоверяват настъпването на обстоятелства, както и заверени преписи от документи. Когато исканата информация е част от материалите по предварителното производство, прокурорът разрешава достъпа до нея“.

Съгласно чл.243, ал.2 от КЗ, на застрахователите е предоставена правна възможност, при настъпване на застрахователно събитие, за достъп до цялата медицинска документация във връзка със здравословното състояние на лицето, чийто живот е застрахован, като той (застрахователят) може да я изисква от всички лица, съхраняващи такава информация.

Във връзка с обстоятелството, че ЗЗЛД е общ закон, управителят на НЗОК, моли КЗЛД да коментира далиНЗОК е включена в кръга на задължените субекти да предоставят информация на застрахователи, на посочените основания (чл. 106 и чл.243 от КЗ), като се има предвид, че специалния за НЗОК закон, а именно Законът за здравното осигуряване, в чл.68, ал.1 и ал.2, изрично и изчерпателно е изброил случаите, при които данни, свързани с личността на осигурения, респективно – данни, свързани с изпълнителя на медицинската помощ, могат да бъдат използвани. В чл.68, ал.4 е предвидена възможност, по изключение, НЗОК да предостави такива данни на държавни органи, ако това е предвидено със закон. Застрахователните дружества, според тълкуването от страна на НЗОК, не попадат в кръга на „държавни органи“.

Представляващият НЗОК информира Комисията, че касата е администратор на лични данни по смисъла на чл.3 от ЗЗЛД, с издадено удостоверение с идентификационен номер 52412 от КЗЛД за вписване в регистъра на администраторите на лични данни и водените от тях регистри, а Районните здравноосигурителни каси са „обработващи лични данни“, съгласно легалното определение, разписано в параграф 1, т.3 от Допълнителните разпоредби на ЗЗЛД.

По повод изложеното, представляващият НЗОК се обръща към КЗЛД за становище допустимо ли е, съгласно Закона за защита на личните данни, в контекста на чл.68 от ЗЗО, НЗОК да предостави, в качеството си на администратор на лични данни, указание към обработващите лични данни (Районните здравноосигурителни каси) по повод искания за предоставяне лични данни на застрахователни дружества по реда на чл.106 и чл.243 от КЗ. Следва ли да бъде предоставена информация, представляваща лични данни, в това число и „чувствителни данни“ по смисъла на ЗЗЛД, на застрахователни дружества, на основание чл.106 и чл.243 от КЗ, или има законова пречка за това, имайки предвид, че специалният на НЗОК закон – Закона за здравното осигуряване – чл.68, ал.1, ал.2 и ал.4 не предвижда такава възможност.

Съгласночл.223 от Кодекса на застраховането (КЗ) с договора за застраховка "Гражданска отговорност" застрахователят се задължава да покрие в границите на определената в договора застрахователна сума отговорността на застрахования за причинените от него на трети лица имуществени и неимуществени вреди. С договора за застраховка "Гражданска отговорност" застрахователят може да се задължи да покрие в границите на определената в договора застрахователна сума отговорността на застрахования за неизпълнение на негово договорно задължение. Застрахователят заплаща обезщетение, включително за пропуснати ползи, които представляват пряк и непосредствен резултат от непозволено увреждане, и за лихви за забава, когато застрахованият отговаря за тяхното плащане пред увреденото лице. Застрахователят отговаря за лихвите за забава, присъдени в тежест на застрахования, считано от датата на съобщаването, като застрахованият е длъжен в 7-дневен срок от узнаването да съобщава на застрахователя обстоятелствата, които биха могли да доведат до възникване на гражданска отговорност. В същия срок застрахованият е длъжен да уведоми застрахователя за предявените срещу него искове или за плащанията, които е извършил. За отговорност за пропуснати ползи в резултат на неизпълнение на договорно задължение застрахователят може да осигури покритие срещу заплащане на допълнителна премия, освен ако е уговорено друго. Застрахователят заплаща до размера на застрахователната сума и разноските по дела, водени срещу застрахования за установяване на гражданската му отговорност, когато е привлечен в процеса.

Разпоредбите на чл.230 от КЗуреждат правилата във връзка със сключване на договорите за застраховки "Живот" и "Злополука". Същите се сключват срещу събития, свързани с живота, здравето или телесната цялост на физическо лице. Договорът за застраховка "Живот" може да бъде с покритие за случай на смърт или за случай на доживяване на определена възраст, или да бъде със смесено покритие. Недействителен е договор за застраховка "Живот" или "Злополука" с покритие за случай на смърт на малолетно лице или на лице, поставено под пълно запрещение, както и с покритие на рисковете от аборт или раждане на мъртво дете. Застрахователят е длъжен да върне застрахователните премии, получени в изпълнение на договор за застраховка "Живот" или "Злополука" с покритие на тези рискове. Когато застрахованият съзнателно е укрил информация относно лицата по изречение първо, чийто живот е предмет на договор за застраховка "Живот" или "Злополука", застрахователят има право да прихване стойността на направените разходи за сключване на договора за застраховка от размера на премията, която подлежи на връщане.

Информацията, която следва да се предостави на застрахователя, преди сключване на договор за застраховка "Живот" или "Злополука",е регламентирана в чл.243 от КЗ, както и по време на действието на договора, застрахователят има право да получи подробна и точна информация относно възрастта, пола и здравословното състояние на лицето, чийто живот, здраве или телесна цялост са предмет на застраховане. При настъпване на застрахователно събитие застрахователят има право на достъп до цялата медицинска документация във връзка със здравословното състояние на лицето, чийто живот е застрахован, и може да я изисква от всички лица, съхраняващи такава информация.

Доказателствата, които се предоставят във връзка със завеждане на застрахователни претенции и съдействието на държавните органи и трети лица, при завеждане на застрахователни претенции са регламентирани в чл.106 от Кодекса на застраховането. За нуждите на установяване на застрахователното събитие и на вредите, причинени от него, застрахователят, лицето, което търси обезщетение, Гаранционният фонд или Националното бюро на българските автомобилни застрахователи има право да получи необходимата информация, съхранявана от органите на Министерството на вътрешните работи, разследващите органи, другите държавни органи, личния лекар, лечебните и здравните заведения и лицата, които имат право да удостоверяват настъпването на обстоятелства, както и заверени преписи от документи.

Във връзка с информационното осигуряване на дейността на Националната здравноосигурителна каса, същата (чл. 63, ал.1 от Закона за здравното осигуряване) изгражда информационна система, която съдържа:

1. регистър на осигурените лица, включващ: паспортни данни; уникален идентификационен номер; основанието за осигуряване; заплатените вноски; основанието за заплащане от НЗОК на оказаната медицинска помощ на осигурените лица в друга държава членка в съответствие с правилата за координация на системите за социална сигурност;

2. регистър на лицата, осигурени в друга държава членка, които имат право да получават медицинска помощ в страната за сметка на НЗОК в съответствие с правилата за координация на системите за социална сигурност;

3. регистър на изпълнителите на медицинска помощ с паспортните и професионалните данни на изпълнителя, договора, сключен с него;

4. регистър на производители, вносители и дистрибутори на лекарства и аптеки, сключили договори с НЗОК;

5. информация от дейността на контролните органи;

6. административна информация, осигуряваща дейността на НЗОК.

Всеки осигурен има право да получи от НЗОК наличната информация за ползваната от него през последните пет години медицинска помощ и нейната цена по ред, определен от касата. Всеки осигурен има право при поискване да получи достъп от съответната РЗОК до необходимата информация за изпълнителите на медицинска помощ и аптеките, сключили договори с РЗОК в съответния регион, съдържаща следните данни:

1. за извънболнична помощ- име, вид на лечебното заведение, адрес, управителни органи, лекари и лекари по дентална медицина, работещи в него, техните специалности, служебни телефони, извършвани високоспециализирани медицински дейности по НРД;

2. за болнична помощ- име, вид на болницата, адрес, управителни органи, телефони, отделения, акредитационна оценка, извършвани медицински дейности по НРД;

3. за аптеки- име, адрес, управител, телефони, работно време, отпускани групи лекарства, съгласно индивидуалния договор с НЗОК.

Предпоставките за използване на данни свързани с личността на осигурения са изрично изброени в чл.68 от ЗЗО.

Съгласно чл.68, ал.4 от ЗЗО НЗОК може да предостави данни на държавни органи за личността на осигурено лице или за изпълнител, ако това е предвидено със закон.

От друга страна в чл.68, ал.5 от ЗЗО също е предвидена хипотеза, съгласно която служителите на централното управление на НЗОК или на РЗОК нямат право да разпространяват данни, свързани с личността на осигурено лице, изпълнител на медицинска помощ или работодател освен в случаите, предвидени със закон. Законово определените случаи са предвидени в:

– хипотезата на чл.106, ал.1 от Кодекса на застраховането, където е уредено, че за нуждите на установяване на застрахователното събитие и на вредите, причинени от него, застрахователят има право да получи необходимата информация, освен от органите на МВР, разследващите органи, другите държавни органи, личния лекар, лечебните и здравните заведения, така и от лицата, които имат право да удостоверяват настъпването на обстоятелства, както и заверени преписи от документи. В конкретния случай НЗОК попада в хипотезата на „други лица, имащи право да удостоверяват настъпването на определени обстоятелства“.

– хипотезата на чл.243, ал.2 от Кодекса на застраховането, а именно, че при настъпване на застрахователно събитие застрахователят има право на достъп до цялата медицинска документация във връзка със здравословното състояние на лицето, чийто живот е застрахован, и може да я изисква от всички лица, съхраняващи такава информация.

Законът за защита на личните данни (ЗЗЛД) урежда защитата на правата на физическите лица при обработването на личните им данни. Целта на ЗЗЛД е гарантиране на неприкосновеността на личността и личния живот чрез осигуряване на защита на физическите лица при неправомерно обработване на свързаните с тях лични данни в процеса на свободно движение на данните.

В параграф първи от Допълнителните разпоредби на ЗЗЛД се съдържа законовото определение на понятието „обработване на лични данни”. В настоящия случай, запитването касае възможността за обработване на лични данни под формата на предоставяне.

Разпоредбите на чл.4, ал.1 от ЗЗЛД въвеждат случаите, в които е допустимо обработването на лични данни, а именно когато е налице поне едно от алтернативно изброените условия, като чл.4, ал.1, т.1 предвижда, че обработването на лични данни на физически лица е допустимо в случай, че е необходимо за изпълнение на нормативно установено задължение на администратора на лични данни (в конкретния случай за Националната здравноосигурителна каса съществува нормативно установено задължение да предостави, исканите данни, съгласно разпоредбите на чл.106, ал.1 и чл.243, ал.2 от Кодекса на застраховането). От друга страна чл.4, ал.1, т.6 от ЗЗЛД предвижда допустимостта на обработването на лични данни, когато обработването е необходимо, за упражняване на правомощия, предоставени със закон на администратора или на трето лице, на което се разкриват данните (правомощията на застрахователните дружества, предоставени им с чл.106, ал.1 и чл.243, ал.2 от Кодекса на застраховането) .

Относно обстоятелството, че исканата информация попада в категорията на т.нар. „чувствителни данни”, специално защитени от ЗЗЛД, следва да се анализират и разпоредбите на чл.5, ал.2 от ЗЗЛД, където са разписани хипотезите, при които е допустимо предоставянето на информация, съдържаща чувствителни данни. В конкретния случай може да намери приложение разпоредбата на чл.5, ал.2, т.2 от ЗЗЛД, съгласно която обработването е допустимо и без наличие на съгласие, ако в специален закон е предвидено друго. В случая може да сеприеме, че такъв специален закон се явяват нормите на чл.106, ал.1 и чл.243, ал.2 от КЗ.

С оглед на гореизложеното и на основание чл.10, ал.1, т 4 от ЗЗЛД Комисията за защита на лични данни изразява следното

На основание чл.4, ал.1, т.1 и т.6 и чл.5, ал.2, т.2 от Закона за защита на личните данни във връзка с чл.106, ал.1 и чл.243, ал.2 от Кодекса на застраховането, Националната здравноосигурителна каса и Районните здравноосигурителни каси могат да предоставят лични данни, съхранявани в поддържаните от тях информационни регистри, при постъпване на искане за това от страна на застрахователни дружества, във връзка с настъпване на застрахователни събитияпо сключени застраховки „Гражданска отговорност” или „Живот”.

Администраторите на лични данни (различните застрахователни дружества), получили информация във връзка с настъпване на застрахователни събитияпо сключени застраховки „Гражданска отговорност” или „Живот”, следва да обработват данните при условията на чл.2, ал.2 от Закона за защита на личните данни.

Преценката за наличие или липса на законово основание за предоставяне на лични данни е изцяло на администратора на лични данни, предоставящ данните.