Производството е по чл. 208 и следващите от Административнопроцесуалния кодекс (АПК).

Образувано е по две касационни жалби срещу решение № 7620/09.07.2025 г., постановено по адм. дело № 1729/2025 г. по описа на ВАС, първо отделение.

Първата касационна жалба е подадена от министъра на здравеопазването чрез юрисконсулт Здравкова, само в частта, в която се отменят чл. 1, ал. 1, т.1 в частта "видът на информацията и начинът", чл. 1, ал. 1, т. 4; чл. 1, ал. 2 в частта "и съдържанието на електронния здравен запис на гражданите" и чл. 27, ал. 11, изр. трето от Наредба № Н-6/21.12.2022 г. за функционирането на Националната здравноинформационна система.

Втората касационна жалба е подадена от А. П. Ч. и Б. В. А., чрез адвокат Докова, в частта, в която е отхвърлена жалбата им.

Настоящият състав на Върховния административен съд, като взе предвид, че разглежда делото като последна инстанция, чието решение не подлежи на обжалване, и съобразявайки, че за правилното разрешаване на спора е необходимо тълкуване на относими норми на правото на Европейския съюз, намира за необходимо на основание чл. 267, параграф 1, б. б) и параграф 3 от Договора за функционирането на Европейския съюз (ДФЕС), да отправи до Съда на Европейския съюз (СЕС) преюдициално запитване, както следва:

I. СТРАНИ ПО ДЕЛОТО:

1. Касационни жалбоподатели

a. Mинистърът на здравеопазването, адрес: гр. София, площад Света Неделя № 5, тел.: 00359 2 9301302

b. А. П. Ч., адрес: гр. София, [адрес], [тел. номер]

c. Б. В. А., адрес: гр. София, [жк], [улица], [тел. номер]

2. Върховна касационна прокуратура, адрес: гр. София, бул. „Витоша“ 2

II. ПРЕДМЕТ НА ДЕЛОТО:

3. Производството пред Върховния административен съд е касационно. Образувано е по две касационни жалби на министъра на здравеопазването и на А. П. Ч. и Б. В. А. против решение № 7620/09.07.2025 г., постановено по адм. дело № 1729/2025 г. по описа на ВАС, първо отделение, с което е отменен чл. 1, ал. 1, т. 1 в частта „видът на информацията и начинът“, чл. 1, ал. 1, т. 4, чл. 1, ал. 2 в частта „и съдържанието на електронния здравен запис на гражданите“ и чл. 27, ал. 11, изр. 3 от Наредба № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система, издадена от министъра на здравеопазването, обн. ДВ. бр. 103 от 24 декември 2022 г., в сила от 01.01.2023 г., изм. и доп., бр. 57 от 5.07.2024 г. и е отхвърлена жалбата на А. П. Ч. и на Б. В. А. срещу останалите разпоредби от Наредба № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система, издадена от министъра на здравеопазването, обн. ДВ. бр. 103 от 24 декември 2022 г., в сила от 01.01.2023 г., изм. и доп., бр. 57 от 5.07.2024 г.

III. ФАКТИ ПО ДЕЛОТО:

4. Със Заповед № РД-02-18/15.02.2022 г. на министъра на здравеопазването е създадена работна група за изготвяне проект на наредба по чл. 28г, ал. 6 и ал. 7 и чл. 28д, ал. 2 от ЗЗ, като за целта използва при съобразяване на закона постъпилия в министерството на здравеопазването проект за Наредба за изграждането и функциониране на Национална здравноинформационна система вх. № 26-00-391/01.02.2022 г. от „Информационно обслужване“ АД.

5. Според проекта за подзаконов нормативен акт негова цел е въвеждането на необходимата уредба на основните въпроси от значение за структурирането и функционирането на Националната здравноинформационна система, очертани в Закона за здравето.

6. С решение по т. 12 от Протокол-решение № 10 от проведено на 05.04.2022 г. заседание ръководството на министерството на здравеопазването е одобрило проекта за наредба. Заедно с мотивите той е публикуван на 07.04.2022 г. на интернет страницата на ведомството, както и на Портала за обществени консултации на Министерския съвет, за което е определен срок 30 дни. Постъпилите становища са обобщени в доклад на заместник министъра на здравеопазването изх. № 26-00-391/17.06.2022 г.

7. С писмо изх. № 37-00-111/08.07.2022 г. министърът на здравеопазването е заявил предварителна консултация на проекта за наредба до председателя на Комисията за защита на личните данни съгласно чл. 36 от Регламент (ЕС) 2016/679 като е приложил и мотивите към него и оценката за въздействие върху защита на данните.

8. Проектът е съгласуван и с министъра на електронното управление.

9. С Протокол-решение № 68/13.12.2022 г. ръководството на министерството на здравеопазването е приело проекта на Наредба № Н-6 за функционирането на Националната здравноосигурителна система и е изпратило същата за обнародване в ДВ, бр. 103 от 24.12.2022 г. Подзаконовият нормативен акт е влязъл в сила на 01.01.2023 г.

10. С нормативния административен акт започва функционирането на създадената със Закона за здравето Национална здравноинформационна система, в която се събира, обработва и съхранява информация за здравното състояние на населението чрез създаването и поддържането на електронен здравен запис на гражданите, който по дефиниция на чл. 13, ал.1 от Наредбата представлява структура от данни за всяка от извършените от медицинските и немедицинските специалисти в лечебните и здравните заведения дейности, с които се създава или използва здравна информация за гражданина или които са относими към неговото здравно състояние независимо от неговия здравен статус и източника на финансиране на съответната дейност.

11. В ДВ бр. 57 от 05.07.2024 г. са обнародвани изменения и допълнения на Наредбата.

12. За да оспорят процесната Наредба, А. Ч. и Б. А. твърдят, че чрез Националната здравноинформационна система се събират, съхраняват и обработват данни относно тяхното здравословно състояние, представляващи специални категории лични данни по смисъла на член 9 от Регламент (ЕС) 2016/679, без те да са предоставили изрично съгласие за това обработване и без тяхното знание.

13. А. Ч. посочва, че през 2023 г. са му извършени дентални прегледи и екстракция на мъдреци, отразени в амбулаторни листове, съдържащи информация относно неговото здравословно състояние. Съгласно оспорената Наредба тази информация е била предоставена на НЗИС от съответното лечебно заведение независимо от факта, че извършените медицински дейности не са били финансирани от Националната здравноосигурителна каса, а са били заплатени лично от жалбоподателя.

14. Жалбоподателят поддържа още, че не разполага с пълен и ефективен достъп до всички данни, съдържащи се в неговото електронно здравно досие, нито с възможност да проследява в достатъчна степен обработването и достъпа до тях. Той има единствено генерирания Национален референтен номер при издаване на съответното направление или амбулаторен лист.

15. Б. А. твърди, че през 2023 г. е преминала през медицински прегледи при мамолог и гинеколог, при които са били установени обстоятелства, свързани с нейното репродуктивно и гинекологично здраве. Жалбоподателката поддържа, че информацията, съдържаща се в съответните медицински документи, включително данни относно нейното здравословно състояние и анатомични особености, е била предоставена и съхранявана в НЗИС без нейно изрично съгласие.

16. Според жалбоподателите оспорената Наредба допуска систематично и централизирано обработване на чувствителна медицинска информация относно гражданите, без законът сам по себе си да съдържа достатъчно ясни и предвидими правила относно обхвата на обработването и гаранциите за защита на техните права.

17. С Решение № 1242/12.02.2025 г. по адм. д. № 7740/2024 г. на Върховния административен съд, петчленен състав на Втора колегия е отменено Решение № 7609/19.06.2024 г. по адм. д. №10565/2023 г. на ВАС, тричленен състав на Шесто отделение, с което е отхвърлено оспорването на А. П. Ч. и на Б. В. А. срещу Наредба № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система, издадена от министъра на здравеопазването, обн. ДВ. бр. 103 от 24 декември 2022 г., в сила от 01.01.2023г., изм. и доп., бр. 57 от 5.07.2024 г. като постановено при съществени нарушения на съдопроизводствените правила и делото е върнато за ново разглеждане от тричленен състав на ВАС при спазване на указанията, дадени в мотивите на касационната инстанция.

18. С обжалваното пред настоящата инстанция решение на тричленен състав на Върховния административен съд е отмененен чл. 1, ал. 1, т. 1 в частта „видът на информацията и начинът“, чл. 1, ал. 1, т. 4, чл. 1, ал. 2 в частта „и съдържанието на електронния здравен запис на гражданите“ и чл. 27, ал. 11, изр. 3 от Наредба № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система, издадена от министъра на здравеопазването, обн. ДВ. бр. 103 от 24 декември 2022 г., в сила от 01.01.2023 г., изм. и доп., бр. 57 от 5.07.2024 г. и е отхвърлена жалбата на А. П. Ч. и на Б. В. А. срещу останалите разпоредби от Наредба № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система, издадена от министъра на здравеопазването, обн. ДВ. бр. 103 от 24 декември 2022 г., в сила от 01.01.2023 г., изм. и доп., бр. 57 от 5.07.2024 г.

IV. ПРИЛОЖИМО ПРАВО

ПРАВОТО НА СЪЮЗА

Общ регламент относно защитата на данните

19. Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1; наричан по-нататък „ОРЗД“).

Съображения 2, 4, 35, 53, 54, 63, 71 и 73 от ОРЗД гласят:

„(2) Принципите и правилата относно защитата на физическите лица във връзка с обработването на личните им данни следва, независимо от тяхното гражданство или местопребиваване, да са съобразени с техните основни права и свободи, и по-конкретно — с правото на защита на личните им данни. …

…

(4) Обработването на лични данни следва да е предназначено да служи на човечеството. Правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност. Настоящият регламент е съобразен с всички основни права и в него се спазват свободите и принципите, признати от Хартата на основните права на Европейския съюз, както са залегнали в Договорите, и по-специално зачитането на личния и семейния живот, дома и комуникациите, защитата на личните данни, свободата на мисълта, съвестта и религията, свободата на изразяване на мнение и свободата на информацията, свободата на стопанската инициатива, правото на ефективни правни средства за защита и на справедлив съдебен процес, както и културното, религиозното и езиковото многообразие.

…

(35) Личните данни за здравословното състояние следва да обхващат всички данни, свързани със здравословното състояние на субекта на данните, които разкриват информация за физическото или психическото здравословно състояние на субекта на данните в миналото, настоящето или бъдещето. Това включва информация относно физическото лице, събрана в хода на регистрацията за здравни услуги или тяхното предоставяне, както е посочено в Директива 2011/24/EС на Европейския парламент и на Съвета, на същото физическо лице; номер, символ или характеристика, определени за дадено физическо лице с цел уникалното му идентифициране за здравни цели; информация, получена в резултат от изследването или прегледа на част от тялото или на телесно вещество, включително от генетични данни и биологични проби; и всякаква информация, например за заболяване, увреждане, риск от заболяване, медицинска история, клинично лечение или физиологично или биомедицинско състояние на субекта на данните, независимо от източника на информация, като например лекар или друг медицински специалист, болница, медицинско изделие или ин витро диагностично изследване.

…

(53)Специални категории лични данни, които се нуждаят от по-голяма защита, могат да бъдат обработвани единствено за здравни цели, когато е необходимо тези цели да бъдат постигнати в полза на отделни физически лица и на обществото като цяло, по-специално в рамките на управлението на услугите и системите за здравеопазване или социални грижи, включително обработването от страна на органите за управление и от централните национални здравни органи на такива данни за целите на контрола на качеството, информацията за управлението и общото наблюдение на национално и местно равнище на системата за здравеопазване или социални услуги, както и за осигуряване на непрекъснатост на здравното обслужване или на социалните услуги и на трансграничното здравно обслужване или за целите на сигурността, наблюдението и предупрежденията в сферата на здравеопазването, или за целите на архивирането в обществен интерес, за целите на научни или исторически изследвания или за статистически цели въз основа на правото на Съюза или националното право, което трябва да отговаря на цел от обществен интерес, както и за проучванията в областта на общественото здраве, провеждани в обществен интерес. Поради това настоящият регламент следва да предвижда хармонизирани условия за обработването на специални категории лични данни за здравословното състояние по отношение на специфични нужди, по-специално когато обработването на тези данни се извършва за определени цели, свързани със здравето, от лица, обвързани от правното задължение за професионална тайна. Правото на Съюза или националното право следва да предвижда конкретни и подходящи мерки за защита на основните права и личните данни на физическите лица. Държавите членки следва да разполагат с възможност да запазят или да въведат допълнителни условия, включително ограничения, по отношение на обработването на генетични, биометрични или данни за здравословното състояние. Това обаче не следва да възпрепятства свободното движение на лични данни в рамките на Съюза, когато тези условия се прилагат за трансгранично обработване на такива данни.

(54) Обработването на специални категории лични данни може да е необходимо по съображения от обществен интерес в областта на общественото здраве, без съгласието на субекта на данните. Такова обработване следва да бъде предмет на подходящи и конкретни мерки с оглед защита на правата и свободите на физическите лица. В този контекст понятието „обществено здраве“ следва да се тълкува по смисъла на Регламент (ЕО) № 1338/2008 на Европейския парламент и на Съвета (11) и означава всички елементи, свързани със здравето, а именно здравословно състояние, включително заболеваемост и инвалидност, решаващи фактори, които оказват влияние върху това здравословно състояние, потребности от здравно обслужване, средства, отделени за здравно обслужване, предоставяне на здравни грижи и всеобщ достъп до тях, разходи и финансиране на здравното обслужване, както и причини за смъртност. Такова обработване на данни за здравето по съображения от обществен интерес не следва да води до обработването на лични данни за други цели от трети страни като работодатели или застрахователни дружества и банки.

…

(63) Всяко физическо лице следва да има право на достъп до събраните лични данни, които го засягат, и да упражнява това право лесно и на разумни интервали, за да бъде осведомено за обработването и да провери законосъобразността му. Това включва правото на субектите на данни на достъп до данните за здравословното им състояние, например данните в медицинските им досиета, които съдържат информация като диагнози, резултати от прегледи, становища на лекуващите лекари и проведени лечения или извършени операции. Поради това всеки субект на данни следва да има правото да е запознат и да получава информация, по-специално относно целите, за които се обработват личните данни, когато е възможно — срока, за който се обработват личните данни, получателите на личните данни,логиката на автоматизираното обработване на личните данни и последствията от такова обработване, най-малкото когато се извършва на основата на профилиране. Когато е възможно, администраторът следва да може да предоставя достъп от разстояние до сигурна система, която да предоставя на субекта на данните пряк достъп до неговите лични данни. Това право не следва да влияе неблагоприятно върху правата или свободите на други лица, включително върху търговската тайна или интелектуалната собственост, и по-специално върху авторското право за защита на софтуера. Тези съображения обаче не следва да представляват отказ за предоставяне на цялата информация на съответния субект на данни. Когато администраторът обработва голямо количество информация относно субекта на данни, администраторът следва да може да поиска от субекта на данните, преди да бъде предадена информацията, да посочи точно информацията или дейностите по обработването, за които се отнася искането.

…

(71) Субектът на данни следва да има право да не бъде обект на решение, което може да включва мярка, за оценка на свързани с него лични аспекти единствено въз основа на автоматично обработване, и което поражда правни последствия за него или го засяга също толкова значително, като например автоматичен отказ на онлайн искания за кредит или електронни практики за набиране на персонал без човешка намеса. Това обработване включва „профилиране“, което се състои от всякакви форми на автоматизирано обработване на лични данни за оценка на личните аспекти във връзка с дадено физическо лице, по-специално анализирането или прогнозирането на различни аспекти, имащи отношение към резултатите в работата на субекта на данни, икономическото състояние, здравето, личните предпочитания или интереси, благонадеждността или поведението, местоположението или движенията, когато то поражда правни последствия по отношение на лицето или го засяга също толкова значително. Въпреки това, вземането на решения въз основа на такова обработване, включително профилиране, следва да бъде позволено, когато е изрично разрешено от правото на Съюза или правото на държава членка, под чиято юрисдикция е администраторът, включително за целите на наблюдението и предотвратяването на измами и укриването на данъци, осъществявани в съответствие с разпоредбите, стандартите и препоръките на институциите на Съюза или националите надзорни органи, и за гарантиране на сигурността и надеждността на услугите, предоставяни от администратора, или когато е необходимо за сключването или изпълнението на договор между субект на данни и администратор, или когато субектът на данни е дал изричното си съгласие. Във всеки случай такова обработване следва да подлежи на подходящи гаранции, които следва да включват конкретна информация за субекта на данните и правото на човешка намеса, на изразяване на мнение, на получаване на обяснение за решението, взето в резултат на такава оценка и на обжалване на решението. Такава мярка не следва да се отнася до дете.

С цел да се осигури добросъвестно и прозрачно обработване по отношение на субекта на данните, като се отчитат конкретните обстоятелства и контекстът, при които се обработват личните данни, администраторът следва да използва подходящи математически или статистически процедури за профилирането, да прилага съответните технически и организационни мерки, по-специално за да гарантира, че факторите, които водят до неточности в личните данни, се коригират, а рискът от грешки се свежда до минимум, да защити личните данни по начин, който отчита потенциалните заплахи за интересите и правата на субекта на данните и който не поражда, inter alia, ефект на дискриминация за физическите лица въз основа на тяхната раса или етнически произход, политически възгледи, вероизповедание или убеждения, членство в синдикални организации, генетичен или здравен статус или сексуална ориентация или от който не произтичат мерки с такъв ефект. Автоматизираното вземане на решения и профилирането на базата на специални категории лични данни следва да бъде разрешено само при определени условия.

(73) Ограничения относно специални принципи и относно правото на информация, достъп до, и коригиране или изтриване на лични данни, правото на преносимост на данните, правото на оспорване на решения, основани на профилиране, както и уведомяването на субекта на данни за нарушение на сигурността на личните данни и определени свързани с това задължения на администраторите, могат да бъдат налагани от правото на Съюза или от правото на държава членка, доколкото това е необходимо и пропорционално в едно демократично общество с оглед защитата на обществената сигурност, включително защитата на човешкия живот, особено при природни или предизвикани от човека бедствия, предотвратяването, разследването и наказателното преследване на престъпления или изпълнението на наложените наказания, включително защитата срещу заплахи пред обществената сигурност и тяхното предотвратяване, или нарушения на етичните кодекси при регламентираните професии, други важни цели от общ обществен интерес на Съюза или на държава членка, и по-специално важен икономически или финансов интерес на Съюза или на държава членка, поддържането на публичен регистър поради причини от широк обществен интерес, по-нататъшното обработване на архивирани лични данни с цел предоставяне на конкретна информация, свързана с политическото поведение по време на бивши режими в тоталитарни държави или защитата на субекта на данни или на правата и свободите на други лица, включително социалната защита, общественото здраве и хуманитарните цели. Тези ограничения следва да бъдат в съответствие с изискванията, определени в Хартата на основните права и в Европейската конвенция за защита на правата на човека и основните свободи“.

20. 4 Член 1 („Предмет и цели“) от този регламент предвижда:

„1. С настоящия регламент се определят правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и правилата по отношение на свободното движение на лични данни.

2. С настоящия регламент се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни.

3. Свободното движение на лични данни в рамките на Съюза не се ограничава, нито се забранява по причини, свързани със защитата на физическите лица във връзка с обработването на лични данни“.

5 Член 4 („Определения“) от посочения регламент гласи в точка 1, че понятието „лични данни“ трябва да се разбира като „всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни“); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице“.

21. Член 9 озаглавен „ Обработване на специални категории лични данни“, предвижда:

„1. Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.

2. Параграф 1 не се прилага, ако е налице едно от следните условия:

a)субектът на данни е дал своето изрично съгласие за обработването на тези лични данни за една или повече конкретни цели, освен когато в правото на Съюза или правото на държава членка се предвижда, че посочената в параграф 1 забрана не може да бъде отменена от субекта на данни;

б)обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора или на субекта на данните по силата на трудовото право и правото в областта на социалната сигурност и социалната закрила, дотолкова, доколкото това е разрешено от правото на Съюза или правото на държава членка, или съгласно колективна договореност в съответствие с правото на държава членка, в което се предвиждат подходящи гаранции за основните права и интересите на субекта на данните;

в)обработването е необходимо, за да бъдат защитени жизненоважните интереси на субекта на данните или на друго физическо лице, когато субектът на данните е физически или юридически неспособен да даде своето съгласие;

г)обработването се извършва при подходящи гаранции в хода на законните дейности на фондация, сдружение или друга структура с нестопанска цел, с политическа, философска, религиозна или синдикална цел, при условие че обработването е свързано единствено с членовете или бившите членове на тази структура или с лица, които поддържат редовни контакти с нея във връзка с нейните цели, и че личните данни не се разкриват без съгласието на субектите на данните;

д)обработването е свързано с лични данни, които явно са направени обществено достояние от субекта на данните;

е)обработването е необходимо с цел установяване, упражняване или защита на правни претенции или винаги, когато съдилищата действат в качеството си на правораздаващи органи;

ж)обработването е необходимо по причини от важен обществен интерес на основание правото на Съюза или правото на държава членка, което е пропорционално на преследваната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните;

з)обработването е необходимо за целите на превантивната или трудовата медицина, за оценка на трудоспособността на служителя, медицинската диагноза, осигуряването на здравни или социални грижи или лечение, или за целите на управлението на услугите и системите за здравеопазване или социални грижи въз основа на правото на Съюза или правото на държава членка или съгласно договор с медицинско лице и при условията и гаранциите, посочени в параграф 3;

и)обработването е необходимо от съображения от обществен интерес в областта на общественото здраве, като защитата срещу сериозни трансгранични заплахи за здравето или осигуряването на високи стандарти за качество и безопасност на здравните грижи и лекарствените продукти или медицинските изделия, въз основа на правото на Съюза или правото на държава членка, в което са предвидени подходящи и конкретни мерки за гарантиране на правата и свободите на субекта на данните, по-специално опазването на професионална тайна;

й)обработването е необходимо за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели съгласно член 89, параграф 1, на основание правото на Съюза или правото на държава членка, което е пропорционално на преследваната цел, зачита същността на правото на защита на данните и предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните.

3. Личните данни, посочени в параграф 1, могат да бъдат обработвани за целите, посочени в параграф 2, буква з), когато въпросните данни се обработват от или под ръководството на професионален работник, обвързан от задължението за професионална тайна по силата на правото на Съюза или правото на държавата членка или правилата, установени от националните компетентни органи или от друго лице, също обвързано от задължение за тайна по силата на правото на Съюза или правото на държавата членка или правилата, установени от националните компетентни органи.

4. Държавите членки могат да запазят или да въведат допълнителни условия, включително и ограничения, по отношение на обработването на генетични данни, биометрични данни или данни за здравословното състояние.“

БЪЛГАРСКОТО ПРАВО

Закон за здравето

22. Член 28г от Закона за здравето (ДВ, бр. бр. 70 от 10.08.2004 г., в сила от 1.01.2005 г.) в приложимата му към спора в главното производство редакция (25.11.2022 г.) (наричан по-нататък „ЗЗ“) предвижда, че

(6) За създаването и поддържането на електронните здравни записи на гражданите лечебните и здравните заведения подават информация в Министерството на здравеопазването, като видът на информацията, начинът на нейното предоставяне, както и условията и редът за предоставянето й се определят с наредба на министъра на здравеопазването.

(7) С наредбата по ал. 6 се определят и условията и редът за водене на регистрите, информационните бази от данни и системи, включени в Националната здравноинформационна система.

23. Член 28д, алинея 2 предвижда, че

Предоставянето на достъп до информацията в електронния здравен запис на гражданите и на лицата по ал. 1, т. 2, 3 и 4 се извършва само след изрично писмено съгласие при условия и по ред, определени с наредбата по чл. 28г, ал. 6.

Наредба № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система

24. Член 1 от Наредба № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система (oбн., ДВ, бр. 103 от 24.12.2022 г., в сила от 1.01.2023 г., изм. и доп., бр. 57 от 5.07.2024 г.) в приложимата й към спора в главното производство редакция (наричана по-нататък „Наредбата“) предвижда, че

(1) С тази наредба се уреждат:

1. видът на информацията и начинът, условията и редът, по които тя се предоставя от лечебните и здравните заведения в Министерството на здравеопазването за създаването и поддържането на електронните здравни записи на гражданите в Националната здравноинформационна система (НЗИС), администрирана и поддържана от Министерството на здравеопазването;

2. условията и редът за водене на регистрите, информационните бази от данни и системи, включени в НЗИС;

3. условията и редът за предоставяне на достъп до информацията в електронния здравен запис;

4. информационната сигурност и защитата на личните данни в НЗИС;

5. обменът на информация с други регистри, информационни бази от данни и системи.

(2) За целите на ал. 1 с наредбата се уреждат и структурата на НЗИС и съдържанието на електронния здравен запис на гражданите.

25. Член 13 от Наредбата № Н-6 от 21.12.2022 г. за функционирането на Националната здравноинформационна система (oбн., ДВ, бр. 103 от 24.12.2022 г., в сила от 1.01.2023 г., изм. и доп., бр. 57 от 5.07.2024 г.) в предвижда, че

(1) Електронният здравен запис представлява структура от данни за всяка една от извършените от медицинските и немедицинските специалисти в лечебните и здравните заведения дейности, с които се създава или използва здравна информация за гражданина или които са относими към неговото здравно състояние независимо от неговия здравен статус и източника на финансиране на съответната дейност.

(2) Медицинските и немедицинските специалисти в лечебните и здравните заведения са длъжни да оформят електронния здравен запис по ал. 1 като стандартизиран електронен документ със структурирана информация в НЗИС чрез интегрираните софтуерни платформи/специализирани медицински софтуери на лечебните и здравните заведения и съобразно индивидуална автоматизирана оторизация в НЗИС.

(3) Съдържанието на електронния здравен запис като структурирана информация произтича от вида извършвана дейност по ал. 1 и от вида медицинска документация, приложима съобразно тази наредба или друг нормативен акт.

(4) Към електронния здравен запис се прилагат и електронни образи на резултати от образни изследвания, които се съхраняват отделно и се достъпват по заявка. В срок до 24 часа от постъпването на заявката на заявителя се изпраща линк за ръчно изтегляне на електронните образи.

(5) В НЗИС се събира и съхранява и неструктурирана информация от електронни образи на резултати по ал. 4 и от съгласия и удостоверявания на гражданина, както и друга неструктурирана информация по изключение, при осигурена защита на личните данни съобразно тази наредба. Допустимите формати за събираната и съхранявана неструктурирана информация се одобряват и публикуват по реда на чл. 12.

26. член 14 предвижда

(1) При постъпване в НЗИС на документ по чл. 13, ал. 2 от лечебно или здравно заведение системата автоматизирано генерира електронен здравен запис и уникален Национален референтен номер (НРН) на издадения документ, както и референтен номер на операцията/услугата.

(…)

(4) Когато нормативен акт изисква гражданинът да удостовери свое изявление или да изрази свое съгласие с подписа си върху медицински документ, при издаването му като електронен документ за нуждите на НЗИС за полагането на подписа от лицето се прилага съответно чл. 25, ал. 2. Прегледът на пациент задължително се удостоверява от него в НЗИС по един от посочените в чл. 25, ал. 2 начини.

27. Член 15 предвижда

(1) Всички здравни записи в НЗИС за гражданина образуват електронно здравно досие на лицето. Електронното здравно досие се генерира автоматично с генерирането на първия електронен здравен запис за гражданина. За всяко живо новородено дете първият електронен здравен запис е информацията за раждането.

(…)

(3) Електронното здравно досие има следната структура:

1. идентификационни данни на лицето: имена; ЕГН/ЛНЧ, а за чуждите граждани без ЛНЧ – дата на раждане във формaта, приложим за ЕГН, или социално-осигурителен номер, или номер на документ за самоличност; гражданство;

2. информация за новороденото;

3. медицински прегледи, в това число информация за контакт на лицето със заразно болни лица;

4. направления;

5. резултати от медико-диагностични дейности;

6. хоспитализации;

7. имунизации;

8. рецепти (електронни предписания);

9. диспансеризация;

10. медицинска експертиза на временната неработоспособност, експертиза на трайно намалената работоспособност/вид и степен на увреждане;

11. информация за изразено несъгласие за донорство съгласно Закона за трансплантация на органи, тъкани и клетки и Наредба № 21 от 3.05.2007 г. за обстоятелствата и данните, които се вписват в регистрите на Изпълнителната агенция "Медицински надзор", редът за вписване и ползване на информацията (ДВ, бр. 39 от 2007 г.);

12. други данни за лицето: постоянен и настоящ адрес, статут на пребиваване, телефон и други средства за контакт;

13. данни за контакт с близки (имена, телефон и др.);

14. дата на смъртта.

(4) Електронното здравно досие осигурява бърз достъп до здравна информация за лицето, необходима при спешни състояния, в следния обхват:

1. имена и ЕГН;

2. кръвна група;

3. алергии;

4. задължителни и други проведени имунизации;

5. прекарани остри инфекциозни заболявания;

6. установени хронични заболявания или увреждания;

7. провеждано или провеждащо се медикаментозно или друго лечение;

8. вложени медицински изделия;

9. данни за контакти с близки (имена, телефон и др.).

(…)

28. Член 16 предвижда, че

(3) Коригирането на здравни записи по ал. 1, т. 2 представлява промяна на един или повече здравни записи в електронното здравно досие на гражданина поради неточност или непълнота на съдържащите се в тях данни.

(4) В зависимост от характера на електронния здравен запис и от това дали той е функционално свързан с други електронни здравни записи, коригирането се извършва по един от следните начини: чрез промяна на данни в здравните записи, анулиране на цели здравни записи или анулиране на записи и създаване на нови записи.

(5) В срок до 7 дни от генерирането на здравния запис лечебното или здравното заведение, което го е извършило, по своя инициатива или по искане на гражданина, субект на данните, има право самостоятелно да коригира записа, без да е необходимо уведомяване или намеса от страна на администратора на НЗИС.

29. Според чл. 17

(1) Електронното здравно досие на гражданина се отнася като неактивно след неговата смърт, удостоверена по надлежния ред в Регистъра на населението – Национална база данни "Население".

(2) Електронното здравно досие се съхранява за срок петдесет години от датата на смъртта на лицето.

(3) Информация от електронните здравни досиета на починали лица може да се ползва за статистически и научни цели, както и за други цели във връзка с управлението на услугите в системата на здравеопазването, включително след срока по ал. 2, след като бъде анонимизирана.

30. Член 18 предвижда, че

(1) Регистрите, информационните бази от данни и системи, водени от Министерството на здравеопазването и от второстепенните разпоредители с бюджет към министъра на здравеопазването, се организират като функционална част (подсистеми) на НЗИС или чрез създаване на възможности за интеграция и обмен на данни в реално време (автоматизирано).

(2) Регистрите, извън тези по ал. 1, се включват в НЗИС чрез създаване на възможности за интеграция за обмен на данни в реално време (автоматизирано).

(3) Регистрите, информационните бази от данни и системи по ал. 1 и 2 се водят от органите и лицата и съобразно условията и реда, определени с нормативен акт и при съобразяване на относимите образци, формати, номенклатури, интерфейси и други елементи и изисквания по чл. 12.

(4) В здравноинформационния уеб портал на системата www.his.bg се публикува актуална информация за начина на включване на регистрите, информационните бази от данни и системи в НЗИС.

(5) Органите и лицата по ал. 3, както и държавните органи, за които е предвиден в закон достъп до регистри с национално значение, разполагат с достъп за служебни цели до НЗИС, пропорционален на осъществяваните от тях функции.

31. Член 19 предвижда, че

Когато за воденето на регистрите, информационните бази от данни и системи по чл. 18, ал. 1 е необходима здравна информация за гражданина, която е налична в неговото електронно здравно досие, същата се въвежда от НЗИС в съответния регистър, информационна база от данни или система автоматизирано.

32. Член 22 предвижда, че

(3) Достъпът за служебни цели се осигурява през здравноинформационния уеб портал на системата www.his.bg чрез ресурсите на системната интеграция (автоматизирано):

1. посредством защитена комуникационна връзка/канал за обмен на данни – за интегрираните софтуерни платформи/специализирани медицински софтуери на лечебните и здравните заведения;

2. за застрахователните дружества, лицензирани по т. 2 или по т. 1 и 2 от раздел II, буква "А" на приложение № 1 към Кодекса за застраховането;

3. за държавни органи, за които е предвиден в закон достъп до регистри с национално значение.

(4) Извън случаите по ал. 3 достъпът за служебни цели на други информационни системи, в това число на Министерството на здравеопазването и НЗОК, се осъществява чрез системната интеграция, като се предоставя само до анонимизирани данни, освен ако с нормативен акт е определено друго.

(…)

(7) При техническа възможност в НЗИС се поддържат механизми против копиране на данни.

33. Съгласно чл. 25, ал. 1

(1) Достъпът за служебни цели се осигурява въз основа на съгласие на гражданина, съответно на неговия родител, настойник или попечител.

34. Съгласно чл. 27, ал. 1

Чл. 27. (1) При необходимост от оказване на медицинска помощ при пациент в спешно състояние медицинските специалисти от лечебните заведения имат право на достъп до информацията по чл. 15, ал. 4 от електронното здравно досие на пациента и без наличието на съгласие по чл. 25, ал. 1, когато такова липсва в електронното здравно досие и не е възможно своевременното му получаване. Необходимостта от достъп до информацията се декларира от съответния лекар по електронен път в НЗИС посредством КЕП. Пациентът се уведомява за извършения достъп.

(2) При и по повод осъществяване на функциите си медицинските специалисти от лечебните заведения за първична извънболнична медицинска помощ имат право на неограничен достъп до всички здравни записи в електронното здравно досие на пациентите от техните регистри, както и на обърналите се към тях пациенти извън техните регистри. Необходимостта от достъп до здравните записи на пациентите извън регистъра на лечебното заведение се декларира от съответния лекар по електронен път в НЗИС посредством КЕП.

(3) При и по повод осъществяване на функциите си медицинските специалисти от лечебните заведения за специализирана извънболнична медицинска помощ имат право на достъп до всички здравни записи в електронното здравно досие на пациента за срок не по-дълъг от тридесет календарни дни от извършения от тях първичен преглед.

(4) При и по повод осъществяване на функциите си медицинските специалисти от болничната медицинска помощ имат право на достъп до всички здравни записи в електронното здравно досие на пациента във връзка с неговата хоспитализация и за срок не по-дълъг от тридесет календарни дни от изписването на пациента, както и в периода на осъществяване на медицинска дейност при пациента, която не изисква неговата хоспитализация.

(5) Медицинските специалисти от здравните заведения имат право на достъп до здравните записи на пациента, които се отнасят до изпълнението на конкретна тяхна дейност по отношение на същия, при и по повод осъществяване на функциите си.

(6) Застрахователните дружества по чл. 22, ал. 3, т. 2 имат право на достъп до относимите здравни записи на пациента при и по повод осъществяване на функциите си във връзка с настъпило конкретно застрахователно събитие по негово доброволно здравно осигуряване въз основа на договор за медицинска застраховка по смисъла на глава четиридесета, раздел IV от Кодекса за застраховането.

(7) Държавните органи по чл. 22, ал. 3, т. 3 имат право на достъп до необходимата им информация от съответните регистри с национално значение, посочени в закона.

(8) Достъпът по ал. 2 – 7 се осигурява съобразно чл. 25, ал. 1. Достъпваната информация се ограничава до необходимата.

(9) Органите на досъдебното производство, съда и определените от тях вещи лица имат право на достъп до здравните записи от електронното здравно досие на гражданина във връзка с висящи досъдебни или съдебни производства чрез съответното лечебно или здравно заведение, извършило записите, въз основа на определение на съда или постановление на наблюдаващия прокурор

(10) Достъпът до информацията по чл. 15, ал. 3, т. 11 се извършва съгласно Закона за трансплантация на органи, тъкани и клетки и Наредба № 21 от 3.05.2007 г. за обстоятелствата и данните, които се вписват в регистрите на Изпълнителната агенция "Медицински надзор", редът за вписване и ползване на информацията.

(11) В случаите на достъп до данни в електронното здравно досие на гражданин НЗИС осигурява проследимост (одитен дневник) на действията на всеки потребител. Атрибутите, които се запазват при достъп в тези случаи, включват като минимум следните данни: дата/час на действието; модул на системата, в който се извършва действието; действие; обект, над който е извършено действието; IP адрес. При необходимост гражданите се уведомяват за извършения достъп.

(12) Одитните записи по ал. 11 се съхраняват в рамките на срока на съхранение на електронното здравно досие по чл. 17, ал. 2.

35. Съгласно чл. 28

(1) Националната здравноинформационна система се изгражда по начин, който позволява обмен на информация за целите на управлението на системата на здравеопазването, медицинската наука, финансирането и статистиката.

(2) При всеки обмен по ал. 1 информацията от електронните здравни записи на гражданите се анонимизира. Предоставяната информация се ограничава до необходимата.

(3) Националната здравноинформационна система генерира справки за наличието/липсата и съответствието/несъответствието на конкретни изисквания или обстоятелства по отношение на лицата, съдържащи се в електронното здравно досие.

36. Член 29 предвижда, че

(5) Интеграцията с информационните системи и бази от данни на Националната агенция за приходите се осъществява с цел осигуряването на възможност за проверка на здравноосигурителния статус на гражданите. Обменът на информация се осъществява по начин, позволяващ достъп до актуална информация в реално време при издаване и изпълнение на електронни рецепти и направления в системата на НЗИС.

(6) Националната здравноинформационна система може да осигурява и интеграция с други информационни системи, поддържани от Министерството на електронното управление, както и с информационни системи на Министерството на вътрешните работи (МВР), Министерството на образованието и науката, Националния осигурителен институт и други органи, когато закон предвижда това.

(7) Националната здравноинформационна система поддържа интеграция с регистрите, информационните бази от данни и системи на всички второстепенни разпоредители с бюджет към министъра на здравеопазването.

(…)

(9) Системата осигурява достъп до регистъра на овластяванията на МВР по Закона за електронната идентификация и правилника за прилагането му.

37. Член 31, съдържащ се в раздел VII, озаглаваен „Защита на лични данни“, предвижда, че 1) Личните данни на физическите лица в системата, включително здравните им данни, се обработват чрез НЗИС единствено за целите на НЗИС съгласно посоченото в тази наредба при условията на Общия регламент относно защитата на данните и на Закона за защита на личните данни и актовете по прилагането му и при спазване на реда и условията на тази наредба.

(2) Администратор на личните данни в системата е Министерството на здравеопазването.

(3) Лечебните и здравните заведения, които въвеждат, достъпват или по друг начин обработват лични данни в НЗИС, са самостоятелни администратори на лични данни. Администратори на лични данни са и органите, които водят регистри, информационни бази от данни и системи, включени в НЗИС.

(4) Администраторите могат да извършват обработването на личните данни чрез системата и чрез възлагането му на обработващ личните данни от името на администратора.

(5) Обменът и предоставянето на личните данни чрез системата се извършва по отношение на получатели на данните съобразно тази наредба.

(6) При събирането и съхраняването на данни в НЗИС се съобразява и политика за поверителност при обработване на лични данни чрез НЗИС, която се одобрява и публикува по реда на чл. 12 и е съобразена с политиката за поверителност при обработване на лични данни на Министерството на здравеопазването.

38. Чл. 32. (1) Извън случаите по чл. 16, ал. 3 и 4 гражданите могат да упражнят правата си по Общия регламент относно защитата на данните със заявление до администратора, въвел данните, съответно до Министерството на здравеопазването. Заявлението се разглежда от администратора, до който е подадено.

39. (2) Изтриване на здравни данни и записи в НЗИС е допустимо само ако се установи, че същите са събрани и обработвани незаконосъобразно или не са повече необходими за целите, за които са събрани и обработвани.

40. (3) Администраторите предоставят на гражданите по ясен и прозрачен начин с всички допустими средства необходимата информация по чл. 12 – 15 от Общия регламент относно защитата на данните и за възможностите за последващо упражняване на техните права във връзка с данните.

41. (4) Заявленията на гражданите за упражняване на права по Общия регламент относно защитата на данните са писмени, като могат да се подават и по електронен път, а при техническа възможност на администратора – и чрез действия в потребителския интерфейс, съгласно чл. 37б от Закона за защита на личните данни.

42. § 7. Наредбата се издава на основание чл. 28г, ал. 6 и 7 и чл. 28д, ал. 2 от Закона за здравето и влиза в сила от 1 януари 2023 г.

Закон за нормативните актове

43. Член 3 от Закона за нормативните актове (Обн., ДВ, бр. 27 от 3.04.1973 г.) в относимата му към главното производство редакция (наричан по-долу ЗНА) предвижда, че

(1)Законът е нормативен акт, който урежда първично или въз основа на Конституцията, обществени отношения, които се поддават на трайна уредба, според предмета или субектите в един или няколко института на правото или техни подразделения.

(2) За уреждане на другите отношения по тази материя законът може да предвиди да се издаде подзаконов акт.

44. Член 10 от ЗНА предвижда, че

(1) Обществени отношения от една и съща област се уреждат с един, а не с няколко нормативни актове от същата степен.

(2) Обществени отношения, които спадат към област, за която има издаден нормативен акт, се уреждат с неговото допълнение или изменение, а не с отделен акт от същата степен.

V. ДОВОДИ НА СТРАНИТЕ

45. С подадените касационни жалби страните поддържат противоположни становища относно съвместимостта на оспорената Наредба с изискванията на правото на Европейския съюз и по-специално с Регламент (ЕС) 2016/679.

46. А. Ч. и Б. А. поддържат, че оспорената Наредба въвежда първична правна уредба относно събирането, съхраняването, обработването, достъпа и обмена на специални категории лични данни, свързани със здравословното състояние на гражданите, без достатъчно ясна и предвидима законова основа.

47. Според жалбоподателите Законът за здравето не определя в достатъчна степен нито категориите здравни данни, които подлежат на обработване, нито обхвата на достъпа до тях, нито гаранциите за защита на субектите на данни, като същевременно тези въпроси са уредени преимуществено на подзаконово равнище.

48. Жалбоподателите считат, че подобна уредба засяга пряко правото на зачитане на личния живот и правото на защита на личните данни, гарантирани от членове 7 и 8 от Хартата, доколкото се допуска централизирано събиране и съхраняване на чувствителна медицинска информация относно цялото население, включително данни относно репродуктивното, психическото и сексуалното здраве на лицата.

49. Те поддържат още, че Наредбата допуска прекомерен достъп до здравни данни от широк кръг субекти, включително различни административни органи и застрахователни дружества, без достатъчно ясни ограничения относно необходимостта и обхвата на достъпваната информация.

50. Жалбоподателите изтъкват също, че уведомяването на гражданите за достъп до техните здравни данни не е гарантирано във всички случаи, а възможностите им за ефективен контрол върху обработването на данните са ограничени.

51. Министърът на здравеопазването поддържа, че Наредбата е издадена въз основа на изрична законова делегация, съдържаща се в Закона за здравето, и единствено конкретизира техническите и организационните правила за функционирането на Националната здравноинформационна система. Наредбата указва по-детайлно и в практически план коя информация е относно здравни данни и се отнася до здравословното състояние на лицата, как се подава, по какъв начин намира мястото си в електронното здравно досие на лицето в НЗИС, както и необходимостта всички медицински и немедицински специалисти да въвеждат данни за всички дейности по отношение на пациента, които касаят здравни данни, здравословното му състояние, и тези данни ще са оформени като електронен документ, за да станат част от електронното здравно досие в НЗИС. Посочва, че Наредбата предвижда възможност гражданите да бъдат уведомявани за осъществен достъп до електронното им здравно досие.

VI. ПРЕДПОСТАВКИ ЗА ДОПУСТИМОСТ НА ЗАПИТВАНЕТО

52. Настоящият спор попада в материалния обхват на правото на Европейския съюз, доколкото се отнася до обработването чрез автоматизирани средства на специални категории лични данни, свързани със здравословното състояние на физически лица, по смисъла на член 9 от Регламент (ЕС) 2016/679.

53. Оспорената Наредба урежда условията, реда, обхвата и целите на събирането, съхраняването, обработването, достъпа и обмена на здравни данни в рамките на Националната здравноинформационна система. С нея се въвежда цялостен модел на централизирано обработване на здравна информация относно практически всички граждани, ползващи медицинска помощ на територията на Република България.

54. Според запитващата юрисдикция предметът на главното производство поставя въпроси относно тълкуването на член 9 от ОРЗД, разглеждан във връзка с членове 7 и 8 от Хартата на основните права на Европейския съюз, както и относно изискванията за необходимост, пропорционалност, предвидимост и наличие на достатъчни гаранции при обработването на специални категории лични данни.

55. Запитващата юрисдикция изпитва съмнения дали национална правна уредба, която предвижда централизирано и мащабно обработване на данни относно здравословното състояние на цялото население, може да бъде установена чрез подзаконов нормативен акт, който не определя достатъчно ясно:

- категориите обработвани данни;

- обхвата на лицата с достъп до тях;

- конкретните цели на обработването;

- условията за достъп, обмен и последващо използване на данните;

-както и гаранциите срещу неправомерен достъп, прекомерно обработване или несъвместимо последващо използване.

56. В това отношение следва да се отбележи, че съгласно практиката на Съда на Европейския съюз всяко ограничение на основните права, гарантирани от членове 7 и 8 от Хартата, трябва да бъде предвидено в закон, да зачита същността на тези права и при спазване на принципа на пропорционалност да бъде ограничено до строго необходимото за постигането на легитимна цел от общ интерес.

57. Запитващата юрисдикция счита, че в случая възниква въпросът дали самото създаване на национална система за централизирано събиране, съхраняване и обмен на данни относно здравословното състояние на гражданите представлява намеса с особена интензивност в правата по членове 7 и 8 от Хартата, която изисква достатъчно ясна, точна и предвидима законова уредба, установяваща минимални гаранции относно:

- категориите данни, които могат да бъдат обработвани;

- субектите, които могат да имат достъп до тях;

- условията и продължителността на съхраняването;

- проследимостта на достъпа;

- както и ефективните средства за защита на субектите на данни.

58. Запитващата юрисдикция изпитва съмнения и относно това дали предвидените в оспорената Наредба гаранции могат да бъдат квалифицирани като „подходящи и конкретни мерки“ по смисъла на член 9, параграф 2, букви ж), з) и и) от ОРЗД, доколкото:

- обработването обхваща практически всички здравни данни на населението;

- достъп до данните е предоставен на широк кръг публични и частноправни субекти;

- уведомяването на гражданите за достъп до техните данни не е безусловно;

- а възможността за ефективен контрол от страна на субекта на данните върху обработването на информацията изглежда ограничена.

59. В този контекст запитващата юрисдикция счита, че тълкуването на разпоредбите на ОРЗД е необходимо за решаването на спора по главното производство.

60. Следва да бъде припомнено, че ОРЗД е основният акт на Съюза, който урежда защитата на физическите лица при обработването на техните лични данни. За разлика от неговия предшественик, Директива 95/46/ЕО, ОРЗД е приет въз основа на член 16 ДФЕС. Това правно основание предоставя възможност на законодателя на Съюза да защитава основното право на защита на личните данни, предвидено в член 8, параграф 1 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“).

61. Когато се обработват лични данни, ОРЗД вменява на „администратора на данни“ задължението за спазване на този акт, съгласно чл. 5, пар. 2 от ОРЗД.

62. Предметът на настоящето производство попада изцяло в приложното поле на правото на ЕС. Обжалва се приет подзаконов нормативен акт в неговата цялост, с което се създава първична правна уредба на събиране на информация, начинът на нейното събиране, съхранение и управление, визирана в наредбата, която е свързана с чувствителни лични данни за здравния статус на гражданите.

63. Материалният обхват на ОРЗД е определен в член 2, параграф 1, като е възприет по-скоро функционален, а не институционален подход. Приложимостта на ОРЗД се обуславя по-скоро от това какво се прави (дейността по обработване на лични данни), а не от това кой я извършва.

64. Изброените в член 2, параграф 2 от ОРЗД хипотези, които са изключени от обхвата му, са също така функционални по своя характер. Тъй като представляват изключение от приложното поле на ОРЗД, Съдът счита, че те трябва да се тълкуват стеснително (СЕС, Решение от 9 юли 2020 г., Land Hessen (C-272/19, EU:C:2020:535, т. 68).

65. Следователно дейностите на публичните органи не са изключени от обхвата на ОРЗД като такива, а по-скоро само във връзка с дейностите, изброени в член 2, параграф 2 от ОРЗД.

66. Следва да се отбележи, че член 2, параграф 1 от ОРЗД предвижда, че този регламент се прилага за всяко „обработване… на лични данни изцяло или частично с автоматични средства, както и за обработването с други средства на лични данни, които са част от регистър с лични данни или които са предназначени да съставляват част от регистър с лични данни“, без да се прави разграничение в зависимост от самоличността на лицето, което извършва съответното обработване. От това следва, че освен в случаите, посочени в член 2, параграфи 2 и 3 от ОРЗД, този регламент се прилага към дейностите по обработване, извършвани както от частноправни субекти, така и от публични органи, (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 26)

67. Съгласно член 4, точка 2 от този регламент понятието „обработване“ на лични данни включва, inter alia, всяка операция, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни. (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 27)

68. Настоящият случай е свързан с обработване на лични данни, което попада в материалния обхват на ОРЗД. Създаването и поддържането на електронна здравна система и съответно Наредба, която предвижда видът на събираната информация, начинът на нейното събиране, съхранение и управление на здравни данни и здравословно състояние на лицата се отнася до обработване на лични данни.

69. В този смисъл е важно да се отбележи, че съгласно чл. 4, пар. 15 от ОРЗД, е дефинирано понятието „данни за здравословно състояние“, съгласно което представлява лични данни, получени в резултат на специфично техническо обработване, които са свързани с физическите, физиологичните или поведенческите характеристики на дадено физическо лице и които позволяват или потвърждават уникалната идентификация на това физическо лице, като лицеви изображения или дактилоскопични данни;

VII. МОТИВИ ЗА ОТПРАВЯНЕ НА ПРЕЮДИЦИАЛНО ЗАПИТВАНЕ

70. За да достигне до извод за отправяне на преюдициално запитване относно валидността на процесната Наредба спрямо ОРЗД, настоящият състав съобрази, че Съдът на Европейския съюз (СЕС), вече се е произнасял по необходимост от висока закрила на личните данни свързани със здравнословното състояние на лицата, което представлява и чувстивителни лични данни. В този смисъл мотивите по дело F-46/09 се посочва, че

71. Съгласно практиката на Съда правото на зачитане на личния живот, прогласено в член 8 от ЕКПЧ, което произтича от конституционните традиции, общи за държавите членки, представлява едно от основните права, защитавани от правния ред на Съюза. То обхваща по-специално правото на дадено лице да запази в тайна здравословното си състояние (вж. по-специално Решение на Съда от 5 октомври 1994 г. по дело X/Комисия, C-404/92 P, точка 17, вж. също Решение на ЕСПЧ от 25 февруари 1997 г. по дело Z c/у Финландия, Recueil des arrкts et dйcisions 1997-I, § 71 и Решение на ЕСПЧ от 4 декември 2008 г. по дело S. и Marper c/у Обединеното кралство, no30562/04 и no30566/04, § 66).

72. 112 Прехвърлянето на трето лице, включително на друга институция, на събрани от институция лични данни за здравословното състояние на лице само по себе си може да представлява намеса в личния живот на заинтересованото лице, независимо от последващото използване на така предоставените данни (вж. по аналогия Решение на Съда от 20 май 2003 г. по дело Цsterreichischer Rundfunk и др., C-465/00, C-138/01 и C-139/01, точки 73?75).

73. 113 Прието е обаче, че върху основните права могат да се налагат ограничения, при условие че те действително отговарят на цели от общ интерес и че не представляват по отношение на преследваната цел непропорционална и нетърпима намеса, която би могла да накърни самата същност на защитеното право (Решение от 5 октомври 1994 г. по дело X/Комисия, посочено по-горе, точка 18). В това отношение член 8, параграф 2 от ЕКПЧ следва да се приеме като отправна точка. Съгласно тази разпоредба намесата на държавните власти в личния живот може да бъде обоснована, доколкото i) става въпрос за „случаите, предвидени в закона“, ii) тя преследва една или повече от целите — лимитативно изброени, и iii) е „необходима“ за постигането на тази цел или тези цели.

74. 114 Поради това в конкретния случай следва да се провери дали прехвърлянето на медицински данни от една институция на друга с цел улесняване работата на медицинското лице във връзка с преглед при наемане на работа може да се счита за законно с оглед посочените по-горе три условия.

75. 115 На първо място, що се отнася до първото условие, разпоредбите на Регламент № 45/2001 позволяват прехвърлянето на лични данни от една институция на друга да се разглежда като извършено „в случаите, предвидени в закона“.

76. 116 Всъщност разпоредбите на член 7 от Регламент № 45/2001 уреждат този вид обработване на лични данни.

77. 117 Следва обаче да се установи дали този член е формулиран достатъчно точно, така че да даде възможност на адресатите на закона да съобразят поведението си и по този начин да съответства на поставеното от практиката на Европейския съд по правата на човека изискване за предвидимост (вж. по-специално Решение на ЕСПЧ по дело Rekvйnyi c/у Унгария от 20 май 1999 г. Recueil des arrкts et dйcisions, 1999-III, § 34). Всъщност в член 7 от Регламент № 45/2001 се предвижда много общо, че прехвърлянето на данни между институциите е възможно само ако изпратените данни „са необходими за законното изпълнение на задачи от компетенциите на получателя“.

78. 118 Освен това член 6 от Регламент № 45/2001 изрично предвижда, че „лични данни се обработват за цели, различни от тези, за които са били събрани, само ако промяната на целта е изрично разрешена от вътрешния правилник на институцията или органа на Съюза“.

79. Налага се обаче изводът, че Парламентът изобщо не се позовава на съществуването на каквото и да е писано правило, с което се предвижда прехвърлянето на медицински данни между институциите или обмен на медицинска информация между медицинските служби на институциите, отнасяща се не до заемащите длъжност в тези институции лица, а до кандидати за наемане на работа.

80. 120 На второ място, Парламентът твърди, че прехвърлянето на медицински данни от една институция на друга имало за цел да позволи проверката дали даден кандидат отговаря на условията за физическа годност да изпълнява предложената му длъжност и дали при наемане на работа той действително ще може да изпълнява посочените служебни задължения. В това отношение Съдът е приел, че извършването на преглед при наемане на работа обслужва легитимен интерес на институциите на Съюза (Решение от 5 октомври 1994 г. по дело X/Комисия, посочено по-горе, точка 20). В този смисъл изложената цел може да обоснове намеса в правото на зачитане на личния живот по смисъла на член 8, параграф 2 от ЕКПЧ.

81. 121 На трето място, следва да се провери дали разглежданата намеса е необходима в демократично общество за постигане на преследваната легитимна цел.

82. 122 Според Европейския съд по правата на човека в едно демократично общество дадена намеса се разглежда като необходима за постигането на легитимна цел, ако тя съответства на императивна социална необходимост, и по-специално ако е пропорционална на преследваната легитимна цел и ако съображенията, на които се позовават националните органи, за да я обосноват, изглеждат относими и достатъчни. Националните органи разполагат с определена свобода на преценка в това отношение. Обхватът на тази свобода обаче е различен и зависи от определен брой фактори, сред които естеството на разглежданото право, гарантирано от ЕКПЧ, неговото значение за съответното лице, естеството на намесата и нейната цел. Тази свобода е толкова по-ограничена, колкото разглежданото право е важно с оглед гарантирането на лицето на действителното упражняване на признатите му основни права или права от „интимен“ порядък. Когато е заложен особено важен за съществуването или идентичността на дадено лице аспект, предоставената на държавата свобода на преценка е ограничена (Решение на ЕСПЧ от 10 април 2007 г. по дело Evans с/у Обединено кралство no6339/05, § 77).

83. 123 В случая, както беше посочено по-горе, защитата на личните данни играе основна роля за упражняването на прогласеното в член 8 от ЕКПЧ право на зачитане на личния и семейния живот. Спазването на поверителния характер на информацията относно здравето представлява едно от основните права, защитавани от правния ред на Съюза (вж. Решение на Съда от 8 април 1992 г. по дело Комисия/Германия, C-62/90, точка 23 и Решение на Съда от 5 октомври 1994 г. по дело X/Комисия, посочено по-горе, точка 17). Този принцип е основополагащ не само за да защити личния живот на болните, но и за да запази тяхното доверие в медицинския персонал и медицинските служби като цяло (Решение на ЕСПЧ по дело Z с/у Финландия, посочено по-горе, § 95). Като се има предвид изключително интимния и чувствителен характер на медицинските данни, възможността за прехвърляне или съобщаване на такава информация на трето лице дори ако става въпрос за друга институция или друг орган на Съюза, без съгласието на съответното лице налага особено строга проверка (вж. по аналогия Решение на ЕСПЧ по дело Z с/у Финландия, § 95, посочено по-горе и Решение на ЕСПЧ по дело S. и Marper с/у Обединено кралство, § 103, посочено по-горе). В това отношение Регламент № 45/2001 гласи в член 10, параграф 1 от същия, че обработването на медицински данни по принцип е забранено освен при прилагане на посочените в параграф 2 от посочения член дерогации.

84. 124 Ето защо следва да се претегли интересът, който Парламентът има да се увери, че наема на работа лице, годно да изпълнява служебните задължения, които ще му бъдат поверени, и тежестта на нарушението на правото на съответното лице на зачитане на личния му живот.

85. В случая обаче Съдът на публичната служба смята, че макар прегледът при наемане на работа да обслужва легитимния интерес на институциите на Съюза, които трябва да бъдат в състояние да изпълняват задачата си, този интерес не обосновава прехвърляне на медицински данни от институция на друга институция без съгласието на заинтересованото лице (вж. по аналогия Решение от 5 октомври 1994 г. по дело X/Комисия, посочено по-горе, точка 20). Всъщност най-напред следва да се посочи, че както вече беше отбелязано, медицинските данни представляват особено чувствителни данни. По-нататък, тези данни са събрани две години преди това с ясно определена цел от институция, с която, в резултат на процедурата за проверка на годността от медицинска гледна точка при наемане на работа, жалбоподателката не е влязла в трудово правоотношение. Накрая Парламентът е могъл да изпълни задачата си при условия, които не засягат в такава степен основните права на жалбоподателката. Така например той е могъл да извърши определения за 7 януари 2009 г. медицински преглед, евентуално да разпореди извършването на нови медицински прегледи или да поиска разрешение от жалбоподателката да му бъдат прехвърлени спорните медицински данни, или също да се основе на информацията, която жалбоподателката се е ангажирала да му изпрати през януари 2009 г.

86. 126 Обратно на онова, което твърди Парламентът, решението, с което неговото медицинско лице е поискало прехвърлянето на събраните от Комисията медицински данни, не е акт с изцяло медицинско значение, който е освободен от контрола на съда. Всъщност прехвърлянето е поискано дори преди медицинското лице да е прегледало жалбоподателката и дори преди тя да е предала на медицинската служба поисканата от нея информация.

87. 127 От всички изложени по-горе съображения следва, че становището на медицинското лице е дадено в нарушение на правото на зачитане на личния живот на жалбоподателката и поради това спорното решение също е опорочено от незаконосъобразност. Следователно първата част на правното основание трябва да се уважи.– Що се отнася до втората част на правното основание, изведена от нарушаването на членове 6 и 7 от Регламент № 45/2001

88. 128 В самото начало следва да се припомни, че член 1 от Регламент № 45/2001 предвижда изрично, че институциите и органите на Съюза защитават в съответствие с посочения регламент основните права и свободи на физическите лица. Също така разпоредбите на този регламент не могат да се тълкуват в смисъл, че обосновават нарушаване на правото на зачитане на личния живот, гарантирано от член 8 от ЕКПЧ (вж. Решение по дело Цsterreichischer Rundfunk и др., посочено по-горе, точка 91).

89. 129 От член 7 от Регламент № 45/2001 следва, че институция или орган на Съюза може да прехвърли лични данни на друга институция или друг орган на Съюза, ако те са необходими за законното изпълнение на задачи от компетенциите на получаващата ги институцията или получаващия ги орган на Съюза.

90. 130 В случая не може да се оспори, че проверката на физическата годност на жалбоподателката за наемане на работа от службите на Парламента е част от законното изпълнение на задачите на тази институция.

91. 131 Както обаче основателно посочва ЕНОЗД в писменото си становище при встъпване, тази констатация сама по себе си не позволява да се докаже, че спорното прехвърляне на медицинските данни на жалбоподателката било в съответствие с разпоредбите на Регламент № 45/2001. Всъщност, от една страна, прехвърлянето трябва да бъде „необходимо“ за законното изпълнение на задачите на институцията. Ето защо в настоящия спор трябва да се установи, че прехвърлянето е било абсолютно необходимо, за да могат службите на Парламента да преценят дали жалбоподателката е физически годна. От друга страна, член 7 от посочения регламент предвижда изрично, че той се прилага, „без да се засягат разпоредбите на членове 4, 5, 6 и 10“ от същия текст.

92. 132 Ето защо, за да се произнесе по твърдението на жалбоподателката за нарушение на регламента, и по-специално на член 7 от него, Съдът на публичната служба следва да провери дали това прехвърляне е извършено при спазване на изложеното в този член изискване за необходимост и в съответствие с разпоредбите, към които препраща този член, по-специално член 6 от регламента. В настоящия спор най-напред следва да се пристъпи към разглеждането на членове 4, 6 и 10 от Регламент № 45/2001, за които жалбоподателката твърди, че са нарушени, преди да се провери дали посоченото в член 7 от същия регламент изискване за необходимост от прехвърлянето може да се приеме за изпълнено.

93. 133 На първо място, що се отнася до членове 4 и 6 от Регламент № 45/2001, следва да се отбележи, че по силата на член 4, параграф 1 от този регламент, личните данни трябва да бъдат обработвани безпристрастно и законно и събирани за конкретни, изрично указани и законни цели и впоследствие да не бъдат обработвани по несъвместим с тези цели начин. Освен това член 6 от посочения регламент предвижда, че личните данни се обработват за цели, различни от тези, за които са били събрани, само ако промяната на целта е изрично разрешена от вътрешния правилник на институцията или органа на Съюза.

94. 134 В случая, както основателно твърдят жалбоподателката и ЕНОЗД, е безспорно, че медицинските данни, събрани от Комисията в рамките на предвидения от разпоредбите на член 83 от УРДС медицински преглед при наемане на работа, които се отнасят до жалбоподателката, имат изключително за цел да позволят да се определи дали към момента на назначаването ѝ на работа заинтересованата страна е физически годна да изпълнява служебните си задължения в службите на Комисията.

95. 135 Следва да се посочи обаче, от една страна, че последващото обработване на тези медицински данни, за да се провери способността на жалбоподателката да изпълнява служебни задължения в Парламента през декември 2008 г., представлява цел, различна от тази, за която първоначално са били събрани. В това отношение Парламентът не може валидно да се позовава на обстоятелството, че извършените от всички институции медицински прегледи почивали на същото правно основание, ставали при същия ред и условия и се основавали на идентични критерии за годност. Всъщност съдът на Съюза обръща внимание в няколко от своите решения на значението на автономията на всяка институция в качеството ѝ на работодател, като отхвърля доводите, изведени от единството на публичната служба на Съюза. В този смисъл е прието, че назначените от дадена институция длъжностни лица не могат да претендират за същото класиране като предоставеното на длъжностни лица от друга институция, въпреки че всички тези длъжностни лица са издържали успешно един и същ конкурс (Решение на Съда на публичната служба от 9 декември 2010 г. по дело Liljeberg и др./Комисия, F-83/05, точка 58). Освен това, макар според принципа за единство на публичната служба, прогласен в член 9, параграф 3 от Договора от Амстердам, за всички длъжностни лица от всички институции на Съюза да се прилага единен правилник, такъв принцип не означава, че институциите трябва да си служат по идентичен начин с предоставеното им с Правилника право на преценка, при положение че обратно, при управлението на техния персонал последните се ползват от „принципа на автономия“, според използваната от Първоинстанционния съд на Европейските общности формулировка в Решение от 16 септември 1997 г. по дело Gimenez/Комитет на регионите (T-220/95, точка 72).

96. 136 От друга страна, при положение че по силата на член 6 от Регламент № 45/2001 промяна на целта, за която се събират данни, трябва изрично да е предвидена във вътрешен правилник на институцията, от писмените изложения и от съдебното заседание се установява, че промяната на целта, с която медицинските данни на жалбоподателката са събрани от Комисията през 2006 г и 2007 г., не е предвидена в нито един приет от тази институция или от Парламента текст. Прехвърлянето на такива данни между съответните институции се основава само на обикновена практика, за която кандидатите за работа изобщо не са уведомени. Освен това ЕНОЗД твърди в съдебното заседание, без това да се оспорва, че не е уведомен за практиката на Парламента, състояща се в искане за прехвърляне на отнасящите се до кандидатите за работа медицински данни, въпреки че член 27 от Регламент № 45/2001 изисква такова уведомяване. Що се отнася до Комисията, ЕНОЗД уточнява, че в становище от 10 септември 2007 г., издадено в рамките на неговия предварителен контрол на досието на тази институция, озаглавено „Управление на дейностите на медицинската служба Брюксел-Люксембург, по-специално чрез компютърното приложение SERMED“, той е разгледал изключително съвместимостта с разпоредбите на Регламент № 45/2001 на прехвърлянето на медицински данни в изключителни случаи на правната служба на Комисията, на Съда на публичната служба или на Европейския омбудсман по негово искане. За сметка на това ЕНОЗД изобщо не разглежда в това становище въпроса за прехвърлянето на медицински данни, събрани от институция във връзка с медицински преглед при назначаване на работа, на друга институция или друг орган на Съюза, тъй като длъжностното лице за защита на данните към Комисията не е обявило този вид прехвърляне на данни. ЕНОЗД отбелязва, че в това становище препоръчва на Комисията събраните в рамките на процедурата за наемане на работа медицински данни за кандидатите, обявени за физически непригодни да бъдат наети на работа, да се съхраняват само за ограничен период от време, който би могъл да съответства на периода, през който е възможно да се оспорват данните или взетото въз основа на тях решение. В този смисъл е законосъобразно Комисията да съхранява събраните през 2006 г. и 2007 г. данни, отнасящи се до здравословното състояние на жалбоподателката, но само с оглед образуваните по нейна инициатива съдебни производства пред юрисдикциите на Съюза по дело F-33/08 и T-510/09 P в резултат на отказа на Комисията да я наеме на работа.

97. 137 На второ място, що се отнася до член 10 от Регламент № 45/2001, трябва да се отбележи, че по силата на параграф 1 от този член обработването на медицински данни по принцип е забранено. В параграф 2 от посочения член 10 се предвижда по-специално, че параграф 1 не се прилага, ако субектът е дал съгласието си за обработването или ако обработването е необходимо с цел спазване на специфични права и задължения на администриращия лични данни орган в областта на трудовото право.

98. 138 От една страна, обаче е безспорно, че жалбоподателката не е дала съгласието си за прехвърлянето на отнасящите се до нея медицински данни от Комисията на Парламента.

99. 139 От друга страна, макар да е вярно, че спорното прехвърляне е извършено, за да се даде възможност на Парламента да провери дали жалбоподателката е физически годна да изпълнява служебните си задължения в тази институция, задължение, което произтича от членове 82 и 83 от УРДС и може да се разглежда като „задължение в областта на трудовото право“ по смисъла на член 10, параграф 2, буква б) от Регламент № 45/2001, не е доказано, че това прехвърляне е било „необходимо“ с оглед спазването на това задължение. Както отбелязва ЕНОЗД и както беше посочено в точка 125, били са възможни други мерки, които не засягат в такава степен личния живот и позволяват на Парламента да осигури пълното прилагане на членове 82 и 83 от УРДС. По-специално, преди да поиска от Комисията да му прехвърли тези данни, Парламентът е могъл да прикани жалбоподателката да му предостави определена информация относно нейни предходни заболявания и да проведе необходимите медицински прегледи чрез собствените си служби. Освен това фактът, че прехвърлените данни са сравнително стари, събрани през 2006 г. и 2007 г., повече от година и половина преди приемането на спорното решение, не подкрепя тезата на Парламента, че това прехвърляне е било необходимо.

100. 140 Както основателно посочва жалбоподателката, Парламентът не може да претендира и че спорното прехвърляне било извършено на основание член 10, параграф 3 от Регламент № 45/2001. Всъщност, макар този член да оправомощава членовете на медицинската служба на дадена институция да обработват данните, необходими за медицинско диагностициране във връзка с годността на лице да изпълнява служебните си задължения, той няма за цел, нито за последица да се разреши прехвърляне на медицински данни като оспорваното в настоящия спор прехвърляне, дори то да е извършено между членовете на съответните медицински служби на въпросните две институции.

101. 141 На трето място, що се отнася до член 7 от Регламент № 45/2001, следва да се приеме за установено, както основателно твърди жалбоподателката, че прехвърляне, което не се счита за необходимо по смисъла на член 10 от регламента, не може да бъде такова и по смисъла на член 7 от същия текст, след като става въпрос за същата съответна задача, а именно проверката дали жалбоподателката е физически годна, за да бъде наета на работа.

102. 142 От изложеното по-горе следва, че предвид особено чувствителния характер на медицинските данни на жалбоподателката и условията, при които те са получени, Съдът на публичната служба счита, че при обработването на тези данни Парламентът не е изпълнил законосъобразно поверената му по силата на разпоредбите на членове 82 и 83 от УРДС задача. За да направи това, той е трябвало да поиска съгласието на жалбоподателката за прехвърлянето на данните или да извърши специални медицински прегледи, а не без предварително разрешение от заинтересованото лице да се основава на получените в рамките на друга процедура от друга институция медицински данни.

103. 143 Поради това жалбоподателката има основание да твърди, че като е поискало от Комисията прехвърлянето на тези медицински данни, медицинското лице на Парламента е нарушило разпоредбите на членове 6 и 7 от Регламент № 45/2001 и като се е основало на тези данни, е дало нередовно становище относно нейната физическа годност. Ето защо втората част на правното основание трябва бъде уважена. (виж СПС, Решение от 5 юли 2011 г., V с. European Parliament, F-46/09, ECLI:EU:F:2011:101, т. 111-143)

104. Отделно от тази практика, следва да се посочи и относима практика на Европейския съд по правата на човека (ЕСПЧ)

105. 38. Съдът припомня, че личната информация, свързана с пациент, принадлежи към неговия или нейния личен живот (I. v. Finland, no. 20511/03, § 35, 17 July 2008, and L.L. v. France, no. 7508/02, § 32, ECHR 2006‑XI). Защитата на личните данни, и по-специално на медицинските данни, е от основополагащо значение за упражняването от дадено лице на правото му на зачитане на личния и семейния живот, гарантирано от член 8 от Конвенцията. Спазването на поверителността на здравните данни е основен принцип в правните системи на всички държави – страни по Конвенцията. Това е от решаващо значение не само за зачитане на чувството за неприкосновеност на пациента, но и за запазване на доверието му в медицинската професия и в здравните услуги като цяло (Z v. Finland, 25 February 1997, § 95, Reports of Judgments and Decisions 1997‑I; P. и S. v. Poland, no. 57375/08, § 128, 30 October 2012; and L.H. v. Latvia, no. 52019/07, § 56, 29 April 2014). Без такава защита лицата, нуждаещи се от медицинска помощ, биха могли да бъдат възпрени да разкриват информация от личен и интимен характер, необходима за получаване на подходящо лечение, а дори и да се въздържат от търсене на такава помощ, като по този начин застрашават собственото си здраве и, в случай на заразни заболявания, здравето на обществото. Следователно вътрешното право трябва да предоставя подходящи гаранции за предотвратяване на всяко съобщаване или разкриване на лични здравни данни, което би било несъвместимо с гаранциите по член 8 от Конвенцията (Z v. Finland, цитирано по-горе).

106. 39. Съдът по-рано е установил, че разкриването — без съгласието на пациента — на медицински досиета, съдържащи силно лични и чувствителни данни за пациента, включително информация, свързана с аборт, от клиника на Службата за социално осигуряване, а следователно и на по-широк кръг държавни служители, представлява намеса в правото на пациента на зачитане на личния живот (M.S. v. Sweden, 27 August 1997, § 35, Reports 1997‑IV). Разкриването на медицински данни от лечебни заведения на прокуратурата и на работодателя на пациент, както и събирането на медицински данни на пациент от институция, отговаряща за контрола върху качеството на медицинските грижи, също са били приети за намеса в правото на зачитане на личния живот (Avilkina and Others v. Russia, no. 1585/09, § 32, 6 June 2013; Radu v. the Republic of Moldova, no. 50073/07, § 27, 15 April 2014; и L.H. v. Latvia, § 33).

107. 40. В настоящия случай медицинските досиета на жалбоподателката и на нейните деца са били събрани и прегледани от Комитета по здравеопазване към администрацията на град Санкт Петербург, действащ по искане на Министерството на здравеопазването на Руската федерация, предизвикано от жалби на майката на жалбоподателката. Докладът, изготвен от Комитета и изпратен до Министерството, е съдържал информация от тези досиета, по-специално информация от личен и чувствителен характер относно жалбоподателката, включително броя на предходните ѝ бременности, които не са завършили с раждане. На нито един етап от този процес не е било поискано или получено съгласието на жалбоподателката. (виж ЕСПЧ, Решение от 23 февруари 2016 г., Y.Y. v. RUSSIA, ECLI:CE:ECHR:2016:0223JUD004037806, т. 38-40)

108. Освен това, в друго решение на ЕСПЧ е посочено, че

109. 56. Съдът припомня, че защитата на личните данни, и по-специално на медицинските данни, е от основополагащо значение за упражняването от дадено лице на правото му на зачитане на личния живот, гарантирано от член 8 от Конвенцията. Спазването на поверителността на здравните данни е основен принцип в правните системи на всички държави – страни по Конвенцията. Това е от решаващо значение не само за зачитане на чувството за неприкосновеност на пациента, но и за запазване на доверието в медицинската професия и в здравните услуги като цяло (Z v. Finland, § 95, и Varapnickaitл-Maюylienл v. Lithuania, no. 20376/05, § 44, 17 January 2012).

110. 57. Съдът отбелязва, че приложимото законодателство не е ограничавало по никакъв начин обхвата на личните данни, които могат да бъдат събирани от MADEKKI. В настоящия случай MADEKKI е събрала медицински данни на жалбоподателката за период от седем години, започващ една година преди спорната стерилизация чрез лигиране на маточните тръби и завършващ шест години след нея. Събраната и анализирана от MADEKKI медицинска информация е произхождала от три различни лечебни заведения. Значимостта и достатъчността на основанията за събиране на информация за жалбоподателката, която не е била пряко свързана с процедурите, извършени в болницата в Цесис през 1997 г., изглежда не са били разгледани на нито един етап от вътрешното производство (Z v. Finland, § 110).

111. 58. Съдът отбелязва, че изглежда MADEKKI е събрала медицинските данни на жалбоподателката безразборно, без предварителна преценка дали събраните данни биха били „потенциално решаващи“, „относими“ или „от значение“ (M.S. v. Sweden, §§ 38, 42 и 43, и L.L. v. France, no. 7508/02, § 46, ECHR 2006‑XI) за постигането на каквато и да е цел, преследвана от разследването на MADEKKI. В този контекст става по-малко релевантно дали служителите на MADEKKI са имали законово задължение да пазят поверителността на личните данни (M.S. v. Sweden, § 43).

112. 59. В светлината на горните съображения Съдът не може да приеме, че приложимото латвийско законодателство е било формулирано с достатъчна точност и е предоставяло адекватна правна защита срещу произвол. То също така не е посочвало с достатъчна яснота обхвата на правото на преценка, предоставено на компетентните органи, и начина на неговото упражняване.. (виж ЕСПЧ, Решение от 29 април 2014 г., L.H. v. LATVIA, ECLI:CE:ECHR:2014:0429JUD005201907, т. 56-59)

113. С оглед на тази специфика на защита на чувствителните лични данни, в частност тези свързани със здравословния статус на лицата, настоящият съд поставя под съмнение дали така създадената Наредба отговаря на завишения стандарт посочен по-горе както изрично предвидена в разпоредбата на чл. 9 ОРЗД, така и от практика на СЕС и ЕСПЧ.

114. По-конкретно поставя се под съмнение дали уредбата на ниво Наредба съответства на необходимата форма на защита на чувствителните данни на лицата, предвид улеснения начин за приемане, изменение и допълнение на подзаконов нормативен акт, от изпълнителната власт за разлика от законите и кодексите приемани от законодателя.

115. Това е така, тъй като как беше посочено изначално идеята за въвеждането на специална категория лични данни, визирани в чл. 9 ОРЗД, но и в други нормативни източници, включително международни такива, е следствие за една по-засилена защита и поради това необходимост от предвиждането на специални задължения на длъжностните лица, които обработват такива данни, както и необходимост от специална защита на самите лица, до които се отнася тази информация.

116. В този смисъл защита на личните данни и в частност на тези за здравословното състояние на лицата, следва да се разглеждат през светлината на основни права и попадащи в обхвата на чл. 8 ЕКПЧ, която урежда защитата на лични и семейния живот. В този смисъл тази връзка между основни права и защита на чувствителна лична информация ясно е обоснована в решението по GC и други срещу CNIL, посочено по-горе.

117. В допълнение в изрична практика на ЕСПЧ, е посочено, че за пропорционална защита на основното право закрепено в чл. 8 ЕПКЧ, е необходимо да има нормативна основа за обработката на чувствителна лична информация, която следва да бъде ясно обособена в правото и по начин, по които да бъде предвидима на лицата които са субекти на обработката на личните им данни. В този смисъл Решение на ЕСПЧ от 4 декември 2008 г. по дело S. и Marper c/у Обединеното кралство, no30562/04 и no30566/04,; Решение на ЕСПЧ от 7 юли 1989 г. по дело Gaskin v. U.K., ECLI:CE:ECHR:1989:0707JUD001045483; Решение на ЕСПЧ от 2 август 1984 г. по дело Malone v. U.K., ECLI:CE:ECHR:1984:0802JUD000869179.

118. На следващо място, следва да се отбележи, че ефективната защита на чувствителните лични данни предполага наличието на ясна, специална и последователна правна рамка, която да урежда условията и гаранциите за тяхното обработване. (Z. v. Finland, App. No. 22009/93)

119. В тази връзка възниква основателно съмнение доколко в рамките на Наредбата действително е изградена засилена защита на тази категория лични данни, надхвърляща общия режим за обработване на лични данни. Макар Наредбата да представлява нормативен акт, в нея липсват изрични и специални разпоредби относно обработването на чувствителни лични данни, като са предвидени единствено общите правила, приложими към всички категории лични данни. Поради това, независимо от наличието на формално нормативно основание, не може да се приеме, че е установен действително засилен режим на защита, съобразен със спецификата и чувствителния характер на тези данни.

120. Следва също така да се отчете, че достъп до тези данни се предоставя на широк кръг субекти, включително застрахователни дружества и други лица, определени в специални закони. Същевременно липсват достатъчно ясни гаранции относно необходимостта от предварително, изрично и информирано съгласие на засегнатите лица, както и относно задължението те да бъдат уведомявани за обхвата на достъпа, целите на обработването и категориите субекти, които ще използват техните данни.

121. Посочените обстоятелства пораждат сериозни съмнения относно съответствието на разглежданата уредба с изискванията на Общ регламент относно защитата на данните (ОРЗД) и с установените в правото на Европейския съюз стандарти за защита на личните данни, по-специално по отношение на принципите на необходимост, пропорционалност, предвидимост и правна сигурност.

122. В допълнение, именно с оглед на завишения стандарт на защита, приложим към чувствителните лични данни, следва да се постави въпросът дали е допустимо основните правила относно обработването на такава категория данни да бъдат уредени единствено на равнище подзаконов нормативен акт, издаден от министъра на здравеопазването въз основа на законова делегация. С оглед изискванията за предвидимост, правна сигурност и ефективна защита на основните права, може да се поддържа, че съществените елементи на режима за обработване на чувствителни лични данни следва да бъдат уредени пряко със закон, приет в рамките на обикновената законодателна процедура, а не оставени на преценката на орган на изпълнителната власт.

123. В този смисъл следва да бъде посочено, че съгласно практика на ЕСПЧ, предоставянето единствено на обща нормативна рамка за защита на чувствителни лични данни не може да се приеме за достатъчно. (виж ЕСПЧ, решение от 29 април 2014 г. L.H. v. Latvia, ECLI:CE:ECHR:2014:0429JUD005201907). В този контекст защитата на данните относно здравния статус не следва да се разглежда единствено като обикновен въпрос на обработване и анонимизиране на лични данни, а като съществен елемент от гарантирането на основното право на зачитане на личния и семейния живот.

124. Следва също така да бъде отбелязано, че самият ОРЗД предвижда засилени ограничения по отношение на автоматизираното обработване на лични данни, свързани със здравословното състояние на лицата. Съгласно чл. 22, ал. 4 ОРЗД подобно обработване е допустимо единствено при наличие на подходящи мерки за защита на правата, свободите и законните интереси на субекта на данните, което потвърждава засиления стандарт на защита, приложим към тази категория данни.

125. В допълнение, ОРЗД въвежда и специфични организационни и административни задължения при мащабно обработване на чувствителни лични данни, включително данни относно здравословното състояние на лицата. Така съгласно чл. 37, § 1, б. „в“ е предвидено задължение за определяне на длъжностно лице по защита на данните, а съгласно чл. 35, § 3, б. „б“ – извършване на оценка на въздействието върху защитата на данните, когато обработването е вероятно да породи висок риск за правата и свободите на физическите лица. Посочените изисквания допълнително подчертават необходимостта от наличието на конкретни и ефективни гаранции при обработването на чувствителни данни.

126. Основателно се поставя и въпросът дали уредбата относно вида на информацията, начина на нейното предоставяне, както и условията и реда за водене на регистрите, информационните бази данни и системите, включени в Националната здравноинформационна система, не следва да бъде установена пряко със закон. Това се отнася и до правилата относно предоставянето на достъп до информацията, съдържаща се в електронния здравен запис. Предвид трайния характер на тези обществени отношения и значимостта им за упражняването на основни права, възниква съмнение дали уреждането им на подзаконово ниво съответства на принципа на (пропорционалност) на държавната намеса в индивидуалните права на гражданите (чл.4 АПК).

127. Практика на ЕСПЧ и СЕС последователно изисква при всяка намеса в основните права най-напред да бъде установено наличието на ясно определена легитимна цел, оправдаваща съответното ограничение. Едва след това следва да се преценява дали използваните средства са необходими и пропорционални за постигането на тази цел. В този смисъл колкото по-значим е общественият интерес, който преследва съответната мярка, и колкото по-ясно е нормативно формулирана нейната цел, толкова по-сериозна намеса в индивидуалните права би могла да бъде оправдана. Именно поради това възниква въпросът доколко легитимните цели, обосноваващи процесната Наредба, са достатъчно ясно и конкретно установени на нормативно равнище.

128. Следва също така да бъде отчетено, че ОРЗД въвежда изрични ограничения относно събирането и обработването на лични данни чрез принципите, установени в чл. 5 от Регламента. В конкретния случай особено значение имат принципите на „ограничение на целите“, „свеждане на данните до минимум“, „ограничение на съхранението“, както и принципът на „цялостност и поверителност“. Тези принципи представляват основополагащи гаранции срещу прекомерно, неопределено или непропорционално обработване на чувствителни лични данни.

129. В тази връзка основателно възниква съмнение дали процесната в главното производство Наредба осигурява достатъчни гаранции за реалното спазване на посочените принципи. В уредбата липсват конкретни разпоредби, които изрично да определят механизмите и мерките, чрез които ще бъдат гарантирани принципите на минимизация, ограничение на целите, ограничение на съхранението и поверителност на данните. Вместо това се съдържа единствено общо препращане към разпоредбите на Закон за защита на личните данни и ОРЗД. Подобен подход изглежда недостатъчен, особено предвид обстоятелството, че се касае до мащабно обработване на чувствителни лични данни, свързани със здравословното състояние на гражданите.

130. Следва да се подчертае, че освен при предвидените в член 23 изключения всяко обработване на лични данни трябва да зачита принципите за обработването на лични данни, както и правата на съответното физическо лице, посочени съответно в глави II и III от този регламент. По-конкретно всяко обработване на лични данни, от една страна, трябва да е в съответствие с принципите, прогласени в член 5 от посочения регламент, и от друга страна, да отговаря на изискванията за законосъобразност, изброени в член 6 от същия (вж. в този смисъл решение от 6 октомври 2020 г., La Quadrature du Net и др., C-511/18, C-512/18 и C-520/18, EU:C:2020:791, т. 208 и цитираната съдебна практика).

131. В това отношение следва да припомни, че следва да се гарантира защитата на физическите лица във връзка с обработването на лични данни, която е основно право, закрепено в член 8, параграф 1 от Хартата и в член 16 ДФЕС. Този съд трябва също така да гарантира правото на зачитане на личния живот, прогласено в член 7 от Хартата, което е тясно свързано с правото на защита на личните данни. Както обаче се посочва в съображение 4 от ОРЗД, правото на защита на личните данни не е абсолютно право, а трябва да бъде разглеждано във връзка с функцията му в обществото и да бъде в равновесие с другите основни права съгласно принципа на пропорционалност, като правото на ефективна съдебна защита, гарантирано от член 47 от Хартата (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 48-49).

132. Също така следва отчитането на съответните интереси да е част от проверката на изискванията за необходимост и пропорционалност на мярката, които са предвидени в член 6, параграфи 3 и 4 от ОРЗД и които обуславят законосъобразността на обработването на лични данни. Следователно в това отношение трябва да се държи сметка и за член 5, параграф 1 от ОРЗД, и по-специално за принципа на „свеждане на данните до минимум“, предвиден в буква в) от тази разпоредба, който дава израз на принципа на пропорционалност. Съгласно принципа за свеждане на данните до минимум личните данни трябва да бъдат подходящи, релевантни и ограничени до необходимото във връзка с целите, за които се обработват (вж. в този смисъл решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни нарушения), C-439/19, EU:C:2021:504, т. 98 и цитираната съдебна практика) (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 54).

133. Трябва да се подчертае, че всяко обработване на лични данни, включително обработване от публични органи, трябва да отговаря на установените в член 6 от ОРЗД условия за законосъобразност (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 29)

134. В това отношение следва да се отбележи, първо, че съгласно член 6, параграф 1, буква д) от ОРЗД обработването на лични данни е законосъобразно ако е необходимо за изпълнението на задача от обществен интерес или при упражняването на официални правомощия, които са предоставени на администратора СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 30).

135. Съгласно член 6, параграф 3 във връзка със съображение 45 от ОРЗД основанието за обработването, посочено в член 6, параграф 1, буква д) от този регламент, е установено от правото на Съюза или от правото на държавата членка, което се прилага спрямо администратора. Освен това правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 31).

136. Следователно разпоредбите на член 6, параграф 1, буква д) във връзка с член 6, параграф 3 от ОРЗД изискват по-специално да е налице национално правно основание въз основа на което да се извършва обработването на лични данни от администраторите, които действат в изпълнение на задача от обществен интерес или при упражняване на официални правомощия, както действат съдилищата при осъществяване на правораздавателните си функции (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 32).

137. Второ, когато обработването на лични данни се извършва с цел, различна от тази, за която са събрани данните, от член 6, параграф 4 във връзка със съображение 50 от ОРЗД следва, че такова обработване е допустимо, при условие че се извършва въз основа по-специално на правото на държава членка и представлява необходима и пропорционална мярка в едно демократично общество, за да се гарантира една от целите, посочени в член 23, параграф 1 от ОРЗД. Както се посочва в това съображение, за да се гарантират тези важни цели от широк обществен интерес, на администратора следва да се позволи да извърши последващо обработване на личните данни, независимо дали това обработване е съвместимо с целите, за които първоначално са събрани личните данни (СЕС, Решение от 02 март 2023 г., Norra Stockholm Bygg, C-268/21, ECLI:EU:C:2023:145, т. 33).

138. На следващо място, следва да се посочи, че в основата си се поставя въпросът до колко обработване на лични данни може да се счита за законосъобразно с оглед на всички принципи, свързани с обработването на лични данни, и по-специално с оглед на принципа на пропорционалност. От това следва, че в отговора, който следва да се предостави на тази юрисдикция, трябва да се вземат предвид и принципите, прогласени в член 5, параграф 1 от посочения регламент и член 6, параграф 1 от посочената директива, и по-специално принципът на „свеждане на данните до минимум“, съгласно който личните данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, и който дава израз на посочения принцип на пропорционалност (СЕС, решение от 22 юни 2021 г., Latvijas Republikas Saeima (Наказателни точки) (C-439/19, EU:C:2021:504, т. 97 и 98).

139. В този смисъл интересите на субектите на данни ще бъдат защитени, когато обработването на личните им данни става в съответствие с членове 5 и 6 от ОРЗД (Решения от 16 януари 2019 г., Deutsche Post (C-496/17, EU:C:2019:26, т. 57), и от 6 октомври 2020 г., La Quadrature du Net и др. (C-511/18, C-512/18 и C-520/18, EU:C:2020:791, т. 208). Съдът преди е стигал до същия извод във връзка с Директива 95/46. Вж. например решения от 20 май 2003 г., Цsterreichischer Rundfunk и др. (C-465/00, C-138/01 и C-139/01, EU:C:2003:294, т. 65), и от 13 май 2014 г., Google Spain and Google (C-131/12, EU:C:2014:317, т. 71).

140. Съответствието с членове 5 и 6 от ОРЗД осигурява защитата на правото на личен и семеен живот и защитата на личните данни, както е гарантирано съответно от членове 7 и 8 от Хартата.

141. Легитимните цели на обработването са изброени в член 6 от ОРЗД (Съдът счита, че списъкът в член 6 от ОРЗД с хипотезите, в които обработването на лични данни може да се счита за законно, е изчерпателен и ограничителен. Вж. решение от 22 юни 2021 г., Latvijas Republikas Saeima (Точки за пътнотранспортни произшествия) (C-439/19, EU:C:2021:504, т. 99). В контекста на Директива 95/46 Съдът възприема същия подход за законосъобразност на обработването в решения от 4 май 2017 г., Rоgas satiksme (C-13/16, EU:C:2017:336, т. 25), и от 11 декември 2019 г., Asociaюia de Proprietari bloc M5A-ScaraA (C-708/18, EU:C:2019:1064, т. 37 и 38).

142. Както член 6, така и член 5 от ОРЗД обаче изискват не само легитимна цел, но и конкретното обработване да е необходимо за постигане на тази цел.

143. В това отношение член 6, параграф 4 от ОРЗД изисква националното право, на което се основава повторното обработване с променена цел, да бъде необходима и пропорционална мярка за гарантиране на една от целите, изброени в член 23, параграф 1 от ОРЗД. Освен това член 6, параграф 3 от ОРЗД изисква обработването при упражняване на официални правомощия да е необходимо за упражняването на тези официални правомощия, предоставени на администратора.

144. Националното право, което е основанието за обработване, може in abstracto да съответства на изискванията на членове 6, параграфи 3 и 4 от ОРЗД. Законосъобразността на всяко отделно обработване обаче зависи от претеглянето на всички засегнати интереси, като се има предвид легитимната цел.

145. Що се отнася до условието обработването на данните да е необходимо, следва да се припомни, че дерогации и ограничения на принципа за защита на личните данни се предвиждат само доколкото това е строго необходимо (решения от 9 ноември 2010 г., Volker und Markus Schecke и Eifert, C-92/09 и C-93/09, EU:C:2010:662, т. 86, от 7 ноември 2013 г., IPI, C-473/12, EU:C:2013:715, т. 39, и от 11 декември 2014 г., Ryneљ, C-212/13, EU:C:2014:2428, т. 28).

146. Що се отнася до изискваното претегляне на съответните противоположни права и интереси, то по принцип зависи от обстоятелствата на конкретния случай (вж. в този смисъл решения от 24 ноември 2011 г., Asociaciуn Nacional de Establecimientos Financieros de Crйdito, C-468/10 и C-469/10, EU:C:2011:777, т. 40, и от 19 октомври 2016 г., Breyer, C-582/14, EU:C:2016:779, т. 62).

147. В това отношение Съдът е постановил, че е възможно да се вземе предвид обстоятелството, че тежестта на засягане на основните права на лицето, до което се отнасят съответните данни, може да е различна според това дали тези данни могат да бъдат получени чрез общодостъпни източници (вж. в този смисъл решение от 24 ноември 2011 г., Asociaciуn Nacional de Establecimientos Financieros de Crйdito, C-468/10 и C-469/10, EU:C:2011:777, т. 44).

148. В това отношение принципът на свеждане на данните до минимум, посочен в член 5, параграф 1, буква в) от ОРЗД, е от съществена важност. Това изискване, както отбелязва Съдът, е израз на пропорционалност. Този принцип изисква личните данни да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват.

149. Настоящият състав счита, че спорът по главното производство поставя въпрос от принципно значение относно допустимите граници на централизираното, задължително и мащабно обработване на специални категории лични данни, свързани със здравословното състояние на физическите лица, в национална електронна здравна система.

150. Става въпрос не за отделно или инцидентно обработване на медицинска информация, а за нормативно предвиден модел на систематично събиране, съхраняване, структуриране, достъпване и обмен на здравни данни относно практически неограничен кръг лица. Поради това интензитетът на намесата в правата, гарантирани от членове 7 и 8 от Хартата, е особено висок.

151. В този контекст настоящият състав счита, че не е достатъчно да се установи единствено наличието на общ обществен интерес, свързан с функционирането на електронното здравеопазване. Необходимо е да се провери дали конкретният модел на обработване, предвиден в националната уредба, отговаря на изискванията за законност, предвидимост, необходимост, пропорционалност и наличие на подходящи и конкретни гаранции.

152. Съгласно практиката на Съда на Европейския съюз защитата на личните данни е основно право, гарантирано от член 8 от Хартата и член 16 ДФЕС. Когато обработването засяга данни относно здравословното състояние, намесата е още по-интензивна, тъй като тази информация принадлежи към най-интимната сфера на личността.

153. Именно поради това член 9, параграф 1 от ОРЗД установява принципна забрана за обработване на данни за здравословното състояние, а хипотезите по член 9, параграф 2 имат характер на изключения, които следва да се тълкуват стриктно.

154. Настоящият състав счита, че член 9, параграф 2, букви ж), з) и и) от ОРЗД не могат да се разбират като общо разрешение за всякакво централизирано събиране и съхраняване на здравни данни. Тези разпоредби допускат обработване само доколкото то е необходимо за ясно определена цел и доколкото националното право предвижда подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните.

155. Следователно решаващият въпрос не е само дали електронното здравеопазване преследва легитимна цел. Такава цел по принцип може да бъде призната. Решаващият въпрос е дали избраният от националния законодател и от изпълнителната власт модел е ограничен до необходимото и дали съдържа достатъчно ефективни гаранции срещу прекомерен достъп, функционално разширяване на целите и последващо несъвместимо използване на данните.

156. В разглеждания случай оспорената Наредба предвижда създаване на електронно здравно досие, в което се включват широк кръг данни - медицински прегледи, направления, резултати от изследвания, хоспитализации, имунизации, рецепти, хронични заболявания, алергии, проведено лечение, медицински изделия и други данни, свързани със здравословното състояние на лицето.

157. Част от тези данни могат да разкриват изключително интимни аспекти от личния живот - репродуктивно здраве, психично здраве, сексуално здраве, заболявания със социална стигма, естетични или хирургични интервенции, както и обстоятелства относно телесната и психологическата идентичност на лицето.

158. Поради това настоящият състав счита, че национална уредба, която допуска централизирано обработване на подобни данни, трябва да съдържа особено висока степен на нормативна яснота относно: - кои категории данни се събират; - за какви конкретни цели се обработват; - кой има достъп до тях; - при какви условия се предоставя достъп; – за какъв срок се съхраняват; - как се гарантира минимизацията на достъпа; - как се уведомява субектът на данните; - и какви средства за контрол и защита има той.

159. Настоящият състав изпитва съмнения дали общото препращане към целите на управлението на здравната система е достатъчно конкретно, за да удовлетвори изискването за ограничение на целите по член 5, параграф 1, буква б) от ОРЗД.

160. При мащабно обработване на здравни данни целите не могат да бъдат формулирани твърде широко, защото това би позволило последващо разширяване на обработването отвъд първоначално необходимото. Колкото по-чувствителни са данните, толкова по-точно трябва да бъде очертан предметният и функционалният обхват на обработването.

161. Настоящият състав изпитва съмнения и относно спазването на принципа за свеждане на данните до минимум по член 5, параграф 1, буква в) от ОРЗД. Този принцип изисква обработваните лични данни да бъдат подходящи, свързани със и ограничени до необходимото спрямо конкретната цел.

162. В разглеждания случай възниква въпросът дали е необходимо всички здравни записи на лицето да бъдат достъпни в широк обем при различни хипотези на медицински, административен или застрахователен достъп, или правото на Съюза изисква системата да бъде изградена така, че да допуска диференциран, контекстуален и технически ограничен достъп само до релевантните категории данни.

163. Особено значение има обстоятелството, че в редица случаи достъпът изглежда организиран чрез последваща отчетност, а не чрез предварително техническо ограничаване на обема на достъпваната информация. Одитният дневник е важна гаранция, но той не предотвратява самото прекомерно достъпване, той само позволява последваща проверка.

164. Следователно възниква въпросът дали при обработване на специални категории лични данни, и особено на здравни данни, последващата проследимост е достатъчна гаранция, или ОРЗД изисква предварителни технически и организационни механизми за ограничаване на достъпа според конкретната медицинска или правна необходимост.

165. Настоящият състав счита, че особено проблематичен е въпросът за достъпа „при и по повод осъществяване на функциите“ на съответните субекти. Подобна формулировка може да има твърде широк обхват, ако не е съчетана с конкретни критерии за необходимост, релевантност и пропорционалност на достъпа.

166. При здравни данни не е достатъчно достъпът да бъде функционално свързан с дейността на съответния субект. Необходимо е да се установи дали достъпът до конкретни категории данни е действително необходим за конкретната дейност, преглед, лечение, административна проверка или застрахователно събитие.

167. Същият проблем се поставя и във връзка с достъпа на застрахователни дружества. Макар обработването на определени здравни данни да може да бъде необходимо във връзка с конкретно застрахователно събитие, достъпът следва да бъде ограничен до строго относимите данни и да бъде съпроводен от ясни гаранции срещу използване за други цели, включително оценка на риск, отказ от покритие или бъдещо профилиране.

168. Настоящият състав счита, че съществува необходимост Съдът на Европейския съюз да изясни дали член 9, параграф 2 от ОРЗД допуска национална уредба, която предоставя достъп до здравни данни на частноправни субекти, каквито са застрахователните дружества, при обща формулировка за „относимост“ към конкретно застрахователно събитие, без по-детайлна нормативна конкретизация на категориите данни, условията за достъп и забраните за последващо използване.

169. Отделен въпрос възниква относно съгласието на пациента. Ако националната система допуска достъп със съгласие, но това съгласие не може да бъде дадено частично, за конкретни категории данни, за конкретен срок или за конкретна медицинска цел, възниква съмнение дали то може да бъде разглеждано като действително свободно, конкретно, информирано и недвусмислено по смисъла на ОРЗД.

170. Съгласието не следва да функционира като формално разрешение за пълен достъп до цялото електронно здравно досие, когато за конкретната медицинска дейност е необходима само ограничена част от информацията. В противен случай съгласието рискува да се превърне в механизъм за дерогиране на принципа за минимизация на данните.

171. В това отношение настоящият състав счита, че Съдът следва да изясни дали при електронни здравни системи правото на Съюза изисква възможност за частично съгласие или за технически ограничен достъп, съобразен с конкретната медицинска необходимост.

172. Допълнителни съмнения възникват относно уведомяването на гражданите. Уведомяването „при необходимост“ не изглежда равнозначно на системно, ефективно и леснодостъпно информиране на субекта на данните за това кой, кога, на какво основание и до какви данни е получил достъп.

173. При особено чувствителни данни правото на информация и правото на достъп по членове 12-15 от ОРЗД имат не само формален, но и гаранционен характер. Без ефективно уведомяване или лесна проверка на достъпите субектът на данните трудно може да упражни правата си на възражение, коригиране, ограничаване на обработването или защита срещу неправомерен достъп.

174. Ето защо настоящият състав счита, че е необходимо да се изясни дали членове 5, 9, 12, 13, 14 и 15 от ОРЗД, разглеждани във връзка с членове 7 и 8 от Хартата, допускат правна уредба, при която уведомяването за достъп до здравни данни не е безусловно и автоматично, а зависи от допълнителна преценка за необходимост.

175. Особено значение има и въпросът за нормативното равнище на уредбата. Настоящият състав не поставя под съмнение възможността технически и организационни правила да бъдат уредени в подзаконов нормативен акт. Съмнението се отнася до това дали съществените елементи на обработването на специални категории лични данни могат да бъдат оставени преимуществено на подзаконово регулиране.

176. Когато правната уредба допуска централизирано обработване на здравни данни на цялото население, съществените елементи на тази намеса следва да бъдат определени с достатъчно ясна и предвидима нормативна основа. Такива елементи са най-малко: категориите данни, целите на обработването, категориите получатели, условията за достъп, сроковете за съхранение и гаранциите за защита.

177. В противен случай съществува риск изпълнителната власт чрез подзаконов акт да определя практическия обхват на намесата в основните права, без достатъчна парламентарна легитимация и без достатъчна стабилност на правната уредба.

178. Този въпрос е особено релевантен в светлината на изискването всяка намеса в правата по членове 7 и 8 от Хартата да бъде „предвидена в закон“ по смисъла на член 52, параграф 1 от Хартата. Понятието „закон“ в този контекст не се изчерпва с формалния източник на правото, а включва изисквания за достъпност, яснота, предвидимост и защита срещу произвол.

179. Поради това настоящият състав счита, че Съдът следва да изясни дали член 9 от ОРЗД във връзка с членове 7, 8 и 52, параграф 1 от Хартата допуска национална уредба, при която основни параметри на централизираното обработване на здравни данни са определени не в закон, а в подзаконов нормативен акт, издаден въз основа на обща законова делегация.

180. Настоящият състав отчита, че електронното здравеопазване може да преследва важни цели от обществен интерес - подобряване на качеството на медицинската помощ, осигуряване на непрекъснатост на лечението, избягване на медицински грешки, улесняване на достъпа при спешни състояния и по-добро управление на здравната система.

181. Тези цели обаче не освобождават националната уредба от изискването да бъде структурирана така, че да не допуска по-широко от необходимото събиране и достъпване на данни. Общественият интерес в ефективно здравеопазване следва да бъде балансиран с основното право на лицето да запази контрол върху най-интимната информация относно себе си.

182. Именно този баланс е в основата на ОРЗД. Регламентът не забранява обработването на здравни данни, но изисква то да бъде ограничено, обосновано, проследимо, предвидимо и съпроводено с конкретни гаранции.

183. В разглеждания случай настоящият състав изпитва съмнения дали общите гаранции, предвидени в Наредбата - включително одитен дневник, общо препращане към ОРЗД и ЗЗЛД, възможност за уведомяване и задължение за ограничаване на достъпваната информация до необходимата - са достатъчни с оглед мащаба и чувствителността на обработването.

184. Съмнението произтича от това, че гаранциите изглеждат формулирани предимно като общи задължения, а не като конкретни, технически и правно приложими ограничения върху достъпа и последващото използване на данните.

185. При обработването на здравни данни не е достатъчно да се заяви, че достъпът се ограничава до необходимото. Правната уредба трябва да съдържа механизъм, който прави това ограничение реално приложимо - чрез категории достъп, ролеви профили, времеви ограничения, предварително определени групи данни, автоматизирани филтри, задължително мотивиране на достъпа и ефективно уведомяване на субекта на данните.

186. Липсата на подобни конкретни механизми поставя въпроса дали националната уредба действително осигурява „подходящи и конкретни мерки“ по смисъла на член 9, параграф 2, букви ж), з) и и) от ОРЗД.

187. Допълнително следва да се отчете, че централизираната система увеличава не само ползите, но и рисковете. Колкото повече данни се събират на едно място и колкото повече субекти имат достъп до тях, толкова по-високи са рисковете от неоторизиран достъп, функционално разширяване на обработването, грешки, злоупотреби или използване на данните извън първоначалния контекст.

188. Следователно мащабът на системата сам по себе си изисква по-висока степен на защита. Масовото обработване на здравни данни не може да бъде приравнено на обикновено административно обработване на лични данни.

189. Ето защо настоящият състав счита, че за правилното решаване на спора е необходимо Съдът на Европейския съюз да даде тълкуване относно: - минималните изисквания към правната основа за централизирано обработване на здравни данни; - съдържанието на изискването за „подходящи и конкретни мерки“ по член 9, параграф 2 от ОРЗД; - приложението на принципите за минимизация, ограничение на целите и пропорционалност при национални електронни здравни системи; - допустимостта на широк достъп до електронно здравно досие без технически филтри и значението на ефективното уведомяване и контрола от страна на субекта на данните.

190. Поради изложеното настоящият състав приема, че тълкуването на правото на Съюза е необходимо за постановяване на решението по главното производство, доколкото от отговора на Съда зависи преценката дали оспорената Наредба е съвместима с член 9 от ОРЗД, разглеждан във връзка с членове 5, 6, 12 - 15 от ОРЗД и членове 7, 8 и 52, параграф 1 от Хартата.

С оглед гореизложеното и на основание чл. 267, пар. 1, б. „б“ от ДФЕС, Върховния административен съд,

ОПРЕДЕЛИ:

ОТПРАВЯ преюдициално запитване до Съда на Европейския съюз съгласно чл. 267, пар. 1, б. „б“ от ДФЕС със следните въпроси:

1. Трябва ли член 9 от от Регламент (ЕС) 2016/679 на Европейския парламент и Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (ОРЗД) във връзка с членове 7, 8 и 52, параграф 1 от Хартата на основните права на Европейския съюз (Хартата), да се тълкуват в смисъл, че допускат национална уредба, при която основни параметри на централизираното обработване на лични данни за здравословно състояние са определени не в закон, а в подзаконов нормативен акт, издаден от орган на изпълнителната власт, въз основа на обща законова делегация?

2. Трябва ли член 9, параграф 2, б. „в“, „ж“, „з“ и „и“ от Регламент (ЕС) 2016/679 на Европейския парламент и Съвета от 27 април 2016 г. относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (ОРЗД) и член 7 и член 8 от Хартата на основните права на Европейския съюз (Хартата), да се тълкуват в смисъл, че допускат създаването и поддържането на обща национална информационна система, в която задължително се вписват данни за идентификация на лицето (имена, единен граждански номер, документ за самоличност, гражданство), както и всички медицински данни за лицето, като проведени медицински прегледи, издадени медицински направления, резултати от извършени медико-диагностични дейности, хоспитализации, имунизации, издадени рецепти, диспансеризация, кръвна група, алергии, прекарани остри инфекциозни заболявания, установени хронични заболявания или увреждания, провеждано медикаментозно лечение, вложени медицински изделия и др., включително данни за естетични хирургични процедури, извършвани от медицински центрове, включително такива, извършвани в интимната зона на пациентите ?

3. Трябва ли член 9, параграф 2, б. „в“, „ж“, „з“ и „и“ от ОРЗД и член 7 и член 8 от Хартата на основните права на Европейския съюз (Хартата), да се тълкуват в смисъл, че допускат информационна система, с характеристиките на описаната в предходния въпрос, да може да бъде достъпвана в пълнота, без съгласието на пациентите при „спешни състояния“, когато не е възможно своевременно получаване на съгласие на пациента?

4. Трябва ли член 9, параграф 2, б. „в“, „ж“, „з“ и „и“ от ОРЗД и член 7 и член 8 от Хартата на основните права на Европейския съюз (Хартата), да се тълкуват в смисъл, че допускат информационна система, с характеристиките на описаната във втория въпрос, да може да бъде достъпвана в пълнота, със съгласието на пациентите, което обаче не може да бъде изразено частично (само за част от информацията в електронното досие, ограничаваща се до необходимата за съответния преглед, манипулация или друга медицинска интервенция или само за определен период) и нормативно се свързва с :

a. Даване на неограничен достъп до всички здравни записи в електронното здравно досие на пациентите на медицинските специалисти от лечебните заведения за първична здравна помощ „при и по повод осъществяване на функциите им“, но без системата да използва „филтър“, т.е преценката с каква част от данните е необходимо да се запознае е предоставена изцяло на медицинския специалист, съгласно чл. 27, ал. 2 от Наредбата, във връзка с чл. 27, ал. 8 от Наредбата.

b. Даване на неограничен достъп до всички здравни записи в електронното здравно досие на пациентите на медицинските специалисти от лечебните заведения за извънболнична здравна помощ „при и по повод осъществяване на функциите им“ за срок не по-дълъг от тридесет календарни дни от извършения от тях първичен преглед, но без системата да използва „филтър“ т.е преценката с кои данни да се запознае и колко пъти да влиза в досието в рамките на 30-дневния срок, е изцяло предоставена на медицинския специалист, съгласно чл. 27, ал. 3 от Наредбата, във връзка с чл. 27, ал. 8 от Наредбата

c. Даване на неограничен достъп до всички здравни записи в електронното здравно досие на пациентите на медицинските специалисти от болничната медицинска помощ, „при и по повод осъществяване на функциите им“ във връзка с хоспитализацията, за срок не по-дълъг от тридесет календарни дни от изписване на пациента, но без системата да използва „филтър“, т.е преценката с каква част от данните да се запознае и колко пъти да влиза в досието в рамките на 30-днвения сок, е изцяло предоставена на медицинския специалист.

d. Даване на неограничен достъп до всички здравни записи в електронното здравно досие на пациентите на медицинските специалисти от здравните заведения, които се отнасят до изпълнението на конкретна тяхна дейност по отношение на същия, но без времево ограничение и без системата да използва „филтър“, т.е преценката с каква част от данните да се запознае и колко пъти да влиза в досието в рамките на 30-дневния срок, е изцяло предоставена на медицинските специалисти, съгласно чл. 27, ал. 5 от Наредбата, във връзка с чл. 27, ал. 8 от Наредбата.

e. Даване на неограничен достъп до всички здравни записи в електронното здравно досие на пациентите на застрахователни дружества до „относимите здравни записи на пациента, при и по повод осъществяване на функциите им във връзка с конкретно застрахователно събитие“ по доброволно здравно осигуряване, въз основа на договор за медицинска застраховка, но без системата да използва „филтър“, т.е преценката с кои данни да се запознае е изцяло предоставена на застрахователното дружество, съгласно чл. 27, ал. 6 от Наредбата, във връзка с чл. 27, ал. 8 от Наредбата

5. Трябва ли член 9, параграф 2, б. „в“, „ж“, „з“ и „и“ от ОРЗД и член 7 и член 8 от Хартата на основните права на Европейския съюз (Хартата), да се тълкуват в смисъл, че допускат информационна система, с характеристиките на описаната във втория въпрос, да може да бъде достъпвана в пълнота, без съгласието на пациентите от органите на досъдебното производство във връзка с висящи досъдебни или съдебни производства, въз основа на постановление на наблюдаващия прокурор, но без системата да използва „филтър“, т.е преценката с кои данни да се запознае е предоставена изцяло на наблюдаващия прокурор, съгласно чл. 27, ал. 9 от Наредбата?

6. Трябва ли член 9, параграф 2, б. „в“, „ж“, „з“ и „и“ от ОРЗД и член 7 и член 8 от Хартата на основните права на Европейския съюз (Хартата), да се тълкуват в смисъл, че допускат пациентите да не бъдат уведомявани винаги за извършения достъп до данните им в информационна система, като разглежданата в главното производство, а само „при необходимост“, като хипотезите на „необходимост“ не са посочени в закона или Наредбата, съгласно чл. 27, ал. 11, изречение трето?

СПИРА производството по административно дело № 11030 по описа на Върховния административен съд за 2025 г.

ОПРЕДЕЛЕНИЕТО не подлежи на обжалване.