Prowadzenie przychodni, gabinetu lekarskiego bądź innego podmiotu leczniczego to nie tylko zapewnienie wysokiej jakości świadczeń zdrowotnych. Na co dzień oznacza także przetwarzanie szczególnie wrażliwych danych o zdrowiu pacjentów, za które placówka ponosi pełną odpowiedzialność. Właściciele podmiotów leczniczych często zastanawiają się czy ich dokumentacja RODO jest wystarczająca i czy spełniają wszystkie wymagania przepisów dotyczące ochrony danych osobowych.
Już na początku warto podkreślić, że odpowiednio przygotowana dokumentacja to nie tylko formalność. To przede wszystkim praktyczne narzędzie, które pozwala ograniczyć ryzyko ewentualnych naruszeń ochrony danych osobowych i uporządkować procesy przetwarzania danych w podmiocie leczniczym.
Szczególna ochrona danych medycznych – kiedy można je przetwarzać?
Wszelkie informacje dotyczące zdrowia, tj. dane w zakresie stanu fizycznego i psychicznego pacjenta należą do szczególnej kategorii danych osobowych nazywanej „danymi wrażliwymi”. Ich zakres jest szeroki, gdyż obejmują nie tylko rozpoznanie choroby, ale również wyniki badań, historię leczenia, informacje o przyjmowanych dotychczas lekach bądź planowanych zabiegach. Przetwarzanie takich danych podlega znacznie bardziej rygorystycznym zasadom niż w przypadku zwykłych danych osobowych, takich jak np. imię i nazwisko czy adres e-mail.
Skontaktuj się z nami!
KontaktTym samym, z uwagi na szczególny charakter danych dotyczących zdrowia konieczne jest precyzyjne określenie podstawy prawnej ich przetwarzania, czyli wskazanie, z jakiego powodu gabinet lekarski jest uprawniony do przetwarzania danych konkretnego pacjenta. W przypadku działalności leczniczej podstawę tę stanowi przede wszystkim art. 9 ust. 2 lit. h Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej jako: „RODO”), który dopuszcza przetwarzanie szczególnych kategorii danych osobowych, jeżeli jest to niezbędne do celów profilaktyki zdrowotnej, medycyny pracy, oceny zdolności pracownika do pracy, postawienia diagnozy medycznej, zapewnienia opieki zdrowotnej lub leczenia pacjenta, a także leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego.
Dodatkowo obowiązek prowadzenia dokumentacji medycznej wynika z przepisów prawa krajowego, w związku z czym podstawą przetwarzania jest również obowiązek prawny ciążący na administratorze.
Powyższe oznacza, że podmiot leczniczy może przetwarzać dane pacjenta w zakresie niezbędnym do udzielenia świadczenia zdrowotnego bez konieczności uzyskiwania dodatkowych zgód.
W takim razie co ze zgodą pacjenta na przetwarzanie danych osobowych – zgoda to wyjątek czy reguła?
Jednym z najczęściej powielanych mitów dotyczących RODO jest przekonanie, że na przetwarzanie jakichkolwiek danych potrzebna jest zgoda pacjenta. Tymczasem w ochronie zdrowia zgoda jest wyjątkiem, a nie regułą.
W większości przypadków, takich jak np. udzielanie świadczeń zdrowotnych, prowadzenie dokumentacji medycznej, medycyny pracy czy oceny zdolności pracownika do pracy, diagnozy medycznej oraz obowiązku zaraportowania danych do NFZ, podmiot leczniczy nie ma obowiązku uzyskiwania zgody pacjenta na przetwarzanie jego danych osobowych.
Zgoda pacjenta będzie potrzebna wtedy, gdy dane miałyby zostać wykorzystywane w innych celach niż medyczne. Dotyczy to między innymi działań marketingowych, publikacji zdjęć pacjentów na stronie internetowej lub w mediach społecznościowych czy wykorzystania ich opinii w materiałach promocyjnych.
W opisywanych przypadkach zgoda pacjenta musi być dobrowolna, konkretna, świadoma i jednoznaczna. Ponadto sama klauzula zgody powinna wprost wskazywać co najmniej kto jest administratorem (jego pełną nazwę, adres), a także zakres i cele przetwarzania danych oraz informację o możliwości i sposobie jej wycofania. Nie może być ona ukryta w dokumentach podmiotu leczniczego, np. w regulaminie ani łączona z innymi oświadczeniami, np. zgodą na wykonanie zabiegu. Pacjent powinien mieć możliwość wycofania swojej zgody w każdym czasie, a procedura cofnięcia zgody powinna być równie prosta jak jej udzielenie.
Warto również podkreślić, że każda zgoda udzielona przez pacjenta powinna zostać należycie udokumentowana. Rekomendowanym rozwiązaniem jest również prowadzenie przez administratora danych rejestru uzyskanych zgód, gdyż w przypadku ewentualnej kontroli administrator danych zobowiązany jest wykazać, że zgoda została udzielona w sposób ważny i zgodny z wymaganiami przepisów o ochronie danych osobowych.
Przykład z praktyki: Gabinet stomatologiczny planuje opublikować w swoich mediach społecznościowych zdjęcia pacjenta przedstawiające efekty leczenia ortodontycznego przed i po jego zakończeniu. W takim przypadku konieczne jest uzyskanie od pacjenta odrębnej zgody (najlepiej w formie pisemnej) na publikację tych zdjęć. Podmiot leczniczy nie może przyjąć, że skoro był uprawniony do przeprowadzenia leczenia i prowadzenia dokumentacji medycznej, to może również bez dodatkowej zgody pacjenta opublikować jego wizerunek. Jednocześnie pacjent nie ma obowiązku udzielenia takiej zgody.
Jakie dokumenty RODO powinien przygotować podmiot medyczny?
Jednym z najczęściej zadawanych pytań przez właścicieli podmiotów leczniczych jest to, które z dokumentów dotyczących ochrony danych osobowych należy wdrożyć i jak je prawidłowo przygotować. W takich sytuacjach wyjaśniamy, że RODO to nie tylko klauzule informacyjne. Choć mają one kluczowe znaczenie, to jednak stanowią wyłącznie jeden z elementów całego systemu ochrony danych osobowych.
Ponadto już na początku należy podkreślić, że nie istnieje jeden uniwersalny pakiet dokumentów RODO dla pacjenta. Zakres dokumentacji z obszaru ochrony danych osobowych powinien odpowiadać skali działalności, liczbie przetwarzanych danych oraz związanemu z tym poziomowi ryzyka ich naruszenia. Dlatego do każdego podmiotu leczniczego należy podchodzić indywidualnie, najlepiej poprzedzając przygotowanie dokumentacji weryfikacją planowanych procesów przetwarzania danych.
Poniżej omówione zostaną kluczowe dokumenty RODO, które co do zasady powinny znaleźć się w większości placówek medycznych.
Podstawowym dokumentem jest polityka ochrony danych osobowych, która w sposób przejrzysty określa zasady przetwarzania i zabezpieczenia danych w codziennej działalności podmiotu leczniczego, w szczególności wskazując kto jest administratorem danych osobowych, a więc podmiotem odpowiedzialnym za ich przetwarzanie, oraz kto może zostać upoważniony do przetwarzania danych oraz na jakich zasadach dochodzi do takich upoważnień, zasady i zakres przetwarzania danych osobowych, w tym zasady postępowania w przypadku naruszenia ochrony danych oraz sposób monitorowania przestrzegania wymogów w tym zakresie, a także uregulowanie zasad korzystania z systemów IT i nośników danych oraz w odniesieniu do podmiotu leczniczego zasady przetwarzania danych w ramach dokumentacji medycznej, w szczególności jej przechowywania i niszczenia.
Kolejnym kluczowym dokumentem jest rejestr czynności przetwarzania danych osobowych, o którym mowa w art. 30 RODO. Rejestr powinien obejmować wszystkie zasadnicze procesy zachodzące w placówce, począwszy od rejestracji pacjentów, zakładania i prowadzenia dokumentacji medycznej, dalszego udzielania świadczeń, a także obsługi kadrowej oraz współpracy z kontrahentami podmiotu medycznego. Celem rejestru jest przejrzyste przedstawienie jakie dane są przetwarzane, w jakim celu oraz na jakiej podstawie prawnej.
Ponadto w przypadku operacji mogących powodować wysokie ryzyko naruszenia praw lub wolności pacjentów, takich jak przetwarzanie na dużą skalę danych medycznych, administrator jest dodatkowo zobowiązany do przeprowadzenia oceny skutków dla ochrony danych („DPIA”) zgodnie z art. 35 RODO. DPIA powinno zawiera opis planowanych operacji, ocenę ich konieczności i proporcjonalności, szczegółową ocenę ryzyka oraz plan środków zaradczych, które mają zapewnić bezpieczeństwo danych i wykazać przestrzeganie RODO w działalności leczniczej.
Wartym przygotowania są również: wzory pisemnych upoważnień do przetwarzania danych osobowych, wzory oświadczeń o zachowaniu tajemnicy i poufności dla osób upoważnionych do przetwarzania danych, w tym danych dotyczących zdrowia, procedura nadawania, zmiany i odbierania upoważnień oraz rejestr nadanych upoważnień.
Na zakończenie warto również wspomnieć o przywoływanych wcześniej klauzulach informacyjnych, które służą realizacji obowiązku informacyjnego placówki medycznej wobec pacjenta i stanowią podstawowy element dokumentacji RODO. Obowiązek ten polega na przekazaniu pacjentowi kluczowych informacji o przetwarzaniu jego danych osobowych.
Ponadto bardzo ważnym jest, aby obowiązek informacyjny był realizowany wobec pacjenta już w momencie pozyskiwania jego danych osobowych, tak aby został on poinformowany w szczególności o tym kto przetwarza jego dane, w jakim celu oraz jakie prawa mu przysługują. Wynika to z zasady przejrzystości przetwarzania danych osobowych, zgodnie z którą pacjent powinien mieć możliwość łatwego ustalenia, co dzieje się z jego danymi oraz kto i z jakiego powodu je przetwarza.
Dokumentacja, a w szczególności klauzule informacyjne, powinny zostać napisanym prostym i zrozumiałym językiem, bez zbędnego posługiwania się skomplikowaną terminologią.
Powyższe wyliczenie dokumentów nie stanowi katalogu zamkniętego, lecz jedynie przykładowe wskazanie dokumentów, o których warto pamiętać przy wdrażaniu systemu ochrony danych osobowych w podmiocie leczniczym.
Jak długo można przechowywać dane pacjenta w placówce medycznej?
Jedną z naczelnych zasad wynikających z przepisów ochrony danych osobowych jest zasada ograniczenia przechowywania danych, która oznacza, że dane nie mogą być przechowywane (a tym samym przetwarzane) dłużej, niż jest to niezbędne do realizacji celu, dla którego je pozyskano.
W przypadku podmiotów leczniczych zasada ta doznaje pewnego wyjątku, z uwagi na fakt, że okres przechowywania dokumentacji medycznej został określony w przepisach ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta.
Co do zasady dokumentacja medyczna pacjenta powinna być przechowywana przez podmiot leczniczy przez 20 lat, licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu w dokumentacji. Powyższe oznacza, że podmiot leczniczy nie może zniszczyć dokumentacji medycznej, nawet w przypadku zgłoszenia takiego żądania przez pacjenta.
Od tej zasady przewidziano w ustawie kilka wyjątków. Dokumentacja medyczna jest przechowywana przez 30 lat, jeżeli dotyczy pacjenta, który zmarł na skutek uszkodzenia ciała lub zatrucia, a także gdy zawiera dane niezbędne do monitorowania losów krwi i jej składników.
Z kolei zdjęcia rentgenowskie przechowywane poza dokumentacją medyczną przechowuje się przez 10 lat, a skierowanie na badania lub zlecenia lekarza przechowuje się przez 5 lat od końca roku kalendarzowego, w którym udzielono świadczenia zdrowotnego będącego ich przedmiotem. Jeżeli jednak pacjent nie zgłosił się na wyznaczone świadczenie, skierowanie przechowuje się przez 2 lata od końca roku kalendarzowego, w którym zostało wystawione, chyba że zostało ono odebrane przez pacjenta. Natomiast dokumentację medyczną dzieci do ukończenia drugiego roku życia należy przechowywać przez 22 lata.
Po upływie powyżej wymienionych okresów podmiot leczniczy zobowiązany jest zniszczyć dokumentację medyczną w sposób uniemożliwiający identyfikację pacjenta, którego dotyczyła. Jednak w sytuacji, gdy zażądałby tego pacjent, dokumentacja medyczna przeznaczona do zniszczenia może być wydana pacjentowi, jego przedstawicielowi ustawowemu lub osobie upoważnionej przez pacjenta.
Praktyczne wskazówki
Prawidłowe wdrożenie ochrony danych osobowych w placówce medycznej nie może ograniczać się do wypełnienia kilku wzorów dokumentów bądź przekazania pacjentowi wyłącznie klauzuli informacyjnej. Ochrona danych osobowych wymaga stworzenia spójnego systemu ochrony danych dostosowanego do rodzaju prowadzonej działalności, liczby przetwarzanych danych oraz poziomu ryzyka związanego z ich przetwarzaniem.
Każdy podmiot leczniczy powinien pamiętać, że przetwarzanie danych dotyczących zdrowia wymaga określenia odpowiedniej podstawy prawnej przetwarzania danych, a także wdrożenia właściwych procedur, prowadzenia adekwatnej dokumentacji, stosowania środków organizacyjnych i technicznych zapewniających bezpieczeństwo danych pacjentów.
Tym samym przed wdrożeniem dokumentacji należy przeanalizować zachodzące w określonym podmiocie procesy przetwarzania danych i w oparciu o ich wyniki przygotować rozwiązania odpowiadające rzeczywistym potrzebom danego podmiotu.
W razie dodatkowych pytań zapraszamy do kontaktu.
Daria Biały
aplikant radcowski
opis
