Zdravotnické zařízení, které je v této situaci správcem osobních údajů (včetně údaje, že určitý pacient je hospitalizovaný), nesmí osobní údaje zpracovávat, tedy ani poskytovat, bez právního důvodu.

Ve vámi popsaném případě takový důvod v podobě zákonného zmocnění neexistuje. Informaci o hospitalizaci pacienta by tedy mohl poskytovat „neznámému“ žadateli jen na základě výslovného souhlasu daného pacienta. Například ten by sdělil, že je možné komukoliv, kdo se bude po něm ptát, sdělit, že je hospitalizovaný a např. na kterém oddělení.

Zdravotnické zařízení nemá žádnou obecnou povinnost vyřídit pacientovi, že jej určitá osoba hledá, a zeptat se ho, zda souhlasí s poskytnutím údaje o své hospitalizaci této osobě. Nicméně dalo by se to považovat za rozumnou praxi. To je také jediné doporučení, které lze dát: požádat zdravotnické zařízení (personál) vyřídit takovou prosbu a zjistit, zda pacient dá souhlas.

Osobní návštěva na tom nic nemění, pouze by mohla usnadnit identifikaci toho, komu lze na základě souhlasu pacienta informaci poskytnut.

Lze tedy uzavřít, že z hlediska zákona o ochraně osobních údajů zdravotník nemůže tuto informaci poskytnout. Fakticky však často tak striktně nepostupuje a nějaká „úniková“ cestička se najde, často na základě důvěryhodnosti tvrzení tazatele, že by pacient souhlasil.

Na uvedených závěrech nemění nic to, zda daná nemocnice je či není povinným subjektem podle Infozákona.