(1) Обработването на данни за здравословното състояние на физически лица чрез Информационната система, включително данните по чл. 10, ал. 2, чл. 18, т. 4, 5 и 6 и чл. 22, се извършва на основание чл. 9, параграф 2, буква "ж" от Регламент (ЕС) 2016/679, доколкото е необходимо по съображения от важен обществен интерес, пропорционално на преследваната цел, при зачитане на същността на правото на защита на данните и при предвиждане на подходящи и конкретни мерки за защита на основните права и интересите на субекта на данните.
(2) При автоматизираното обработване на данни за здравословното състояние се прилагат следните допълнителни предпазни мерки:
- 1. данните за здравословното състояние се обработват единствено в обем, необходим за установяване на правото на статут, без да се съхраняват конкретни медицински диагнози, а само информация за наличие или липса на определен критерий;
- 2. достъпът до данните за здравословното състояние е ограничен до оправомощени служители, пряко ангажирани с удостоверяването на статут;
- 3. субектът на данни има право да оспори решение, взето въз основа на обработване на неговите данни за здравословно състояние;
- 4. администраторът на лични данни провежда периодична оценка на пропорционалността на обработваните данни за здравословното състояние и при необходимост предприема съвместно с обработващия лични данни мерки за допълнително ограничаване на обема на обработваните данни.
(3) Данните за здравословното състояние, получени от НЕЛК и НЗОК, не се предоставят на ползвателите по чл. 16, ал. 2 и 3 освен в анонимизиран вид за статистически цели.