L'autorité croate de protection des données (AZOP) a clarifié l’étendue du droit d’accès d’un patient à l’identité du personnel hospitalier ayant consulté son dossier médical via le système d’information hospitalier.

Saisie d'une question sur la communication des journaux d'accès aux dossiers médicaux, l'autorité distingue deux catégories de personnel. Pour le personnel ayant directement fourni des soins de santé, l'établissement est tenu de communiquer les noms, prénoms et spécialisations en vertu de l'article 12 de la Loi sur la protection des droits des patients. Cette divulgation constitue une obligation légale au sens de l'article 6, paragraphe 1, point c) du RGPD et ne peut être refusée en invoquant les droits et libertés des employés. Pour les autres membres du personnel (administratifs, informatiques, etc.) ayant accédé au dossier, leur identité n'est pas automatiquement communicable au titre de l'article 15 du RGPD, en s'appuyant sur l'arrêt de la Cour de justice de l'Union européenne dans l'affaire C-579/21. Ces derniers ne sont pas considérés comme des destinataires.

La communication de l'identité de ces autres employés doit faire l'objet d'une évaluation au cas par cas, afin de déterminer si elle est indispensable à l'exercice effectif des droits du patient, tout en tenant compte des droits et libertés de ces employés. L'hôpital doit fournir des informations suffisantes sur les accès (date, heure, finalité) pour permettre au patient de vérifier leur légalité. En tant que responsable du traitement, il doit mettre en œuvre des mesures techniques et organisationnelles pour garantir que seuls les personnels autorisés accèdent aux données, en documentant les habilitations et en contrôlant les accès. Tout accès non autorisé doit être traité comme une potentielle violation de données au sens des articles 33 et 34 du RGPD. La réponse à la demande d'accès doit être fournie sous un mois, et tout refus partiel ou total doit être motivé.