RODO w ochronie zdrowia – wdrażajmy, ale z rozwagą

Pacjenta informujemy

Zbieranie danych od osoby, której one dotyczą, wiąże się z koniecznością spełnienia obowiązku informacyjnego i przekazania wiadomości dotyczących podmiotu odpowiedzialnego za przetwarzanie danych osobowych wraz z danymi kontaktowymi tego podmiotu (w tym IODO, o ile został powołany). Ponadto powinno dojść do wskazania, dlaczego dochodzi do przetwarzania danych osobowych i na jakiej podstawie oraz czy dane są przekazywane do państwa trzeciego (poza UE), a także jak długo są przetwarzane. Istotne jest również poinformowanie o prawach przysługujących osobie, której dane przetwarzamy – należy wskazać, że istnieje możliwość żądania do nich dostępu, prawo ich sprostowania, ograniczenia przetwarzania lub ich usunięcia, a także żądania ich przeniesienia (np. do innej placówki) czy wniesienia w dowolnym momencie sprzeciwu wobec przetwarzania danych. Osoba, której dane przetwarzamy, powinna być również poinformowana o możliwości wniesienia skargi do organu nadzorczego, tj. do Prezesa Urzędu Ochrony Danych Osobowych, w przypadku uznania, że przetwarzanie danych osobowych narusza przepisy RODO. Co istotne – podanie tych wszystkich informacji powinno nastąpić w sposób przystępny, choć przepisy nie przewidują konieczności zachowania szczególnej formy. Dopuszczalne jest w związku z tym wywieszenie stosownych informacji w miejscu, w którym dokonuje się rejestracji wizyty. W miarę możliwości rekomenduje się przedłożenie osobie, której dane przetwarzamy, pisemnej informacji o wszystkich wymienionych powyżej aspektach, a także odebranie od niej podpisanego oświadczenia o spełnieniu przez placówkę obowiązku informacyjnego. Nie zawsze będzie to jednak możliwe, a czasami będzie wiązać się z niewspółmiernym wysiłkiem organizacyjnym.

Pacjenta nie zapominamy

A przynajmniej „nie zapominamy” przez pewien czas z uwagi na obowiązki wynikające z przepisów szczególnych. Podstawowym okresem w sektorze medycznym jest okres 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu w dokumentacji medycznej (por. art. 29 ust. 1 Ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta).

Prawo do bycia zapomnianym oznacza możliwość żądania od administratora niezwłocznego usunięcia danych związanych z określoną osobą. Jest to jednak możliwe w konkretnych sytuacjach, które wymienia art. 17. Przewiduje on taką możliwość w szczególności względem osoby, która wyraziła zgodę na przetwarzanie swoich danych, a następnie zgodę taką cofnęła. Jak wskazano jednak we wcześniejszych fragmentach artykułu – zasadniczo podstawy przetwarzania danych w sektorze ochrony zdrowia są związane nie tyle ze zgodą pacjenta, co z obowiązkami wynikającymi wprost z ustawy. Tym samym trudno stwierdzić istnienie sprzeczności pomiędzy regulacjami polskimi, a tymi, które wprowadzono na poziomie unijnym (co sugerowano w licznych publikacjach).

Istotne jest natomiast to, by minimalizować ilość przetwarzanych danych osobowych. Odwołując się do przykładu Ustawy o leczeniu niepłodności – ustawa ta podkreśla konieczność przechowywania danych niezbędnych do monitorowania komórek rozrodczych i zarodków na wszystkich etapach przez 90 lat (!) od dnia jej utworzenia w celu zastosowania u ludzi w procedurze medycznie wspomaganej prokreacji, w sposób umożliwiający identyfikację dawców i biorczyni komórek rozrodczych i zarodków (art. 47 ust. 1 ustawy). Zakres danych został sprecyzowany w Rozporządzeniu Ministra Zdrowia z dnia 15 października 2015 r. w sprawie szczegółowych wymagań, jakim powinna odpowiadać dokumentacja dotycząca komórek rozrodczych i zarodków (por. § 3 pkt 2). Analizując zakres przetwarzanych danych, można zauważyć, że kliniki dysponują taką dokumentacją, która zawiera w części dane, które powinna przechowywać 90 lat, a w części takie, których tak długo przechowywać nie powinna. Jeżeli wraz z upływem okresu przewidzianego ustawą (20 lat) przetwarzanie części danych nie wiąże się z realizacją uzasadnionego interesu podmiotu – powinny być one usuwane. Warto w związku z tym czytelnie rozdzielać dokumentację medyczną w taki sposób, by usuwanie danych nie stanowiło dla nas za kilka lat zbyt dużego wyzwania organizacyjnego.

Mając powyższe na względzie, niezwykle ważne jest, by przy realizacji wdrożeń współpracować z takimi podmiotami, które znają specyfikę ram legislacyjnych związanych z określonym sektorem albo chętnie konsultują podejmowane czynności z przedstawicielami zawodów medycznych.