RODO w podmiocie leczniczym: podstawa prawna i praktyka

Przetwarzanie danych osobowych w sektorze ochrony zdrowia wiąże się z najwyższym stopniem odpowiedzialności prawnej i organizacyjnej. Podmioty wykonujące działalność leczniczą – od indywidualnych gabinetów lekarskich po wielospecjalistyczne szpitale – każdego dnia przetwarzają ogromne ilości informacji o stanie zdrowia pacjentów. Dane te, na gruncie Ogólnego Rozporządzenia o Ochronie Danych (RODO), zaliczane są do szczególnych kategorii danych osobowych, potocznie nazywanych danymi wrażliwymi. Właściwe wdrożenie zasad ochrony danych w podmiocie leczniczym to nie tylko kwestia uniknięcia dotkliwych kar finansowych nakładanych przez organ nadzorczy, ale przede wszystkim fundament budowania zaufania pacjentów oraz zapewnienia bezpieczeństwa prawnego samej placówki.

Specyfika danych medycznych w świetle przepisów RODO

Aby zrozumieć, jak funkcjonuje RODO w podmiocie leczniczym, należy w pierwszej kolejności zdefiniować charakter przetwarzanych tam informacji. Zgodnie z art. 9 ust. 1 RODO, zabrania się przetwarzania danych ujawniających m.in. pochodzenie rasowe, poglądy polityczne, przekonania religijne, a także danych genetycznych, danych biometrycznych oraz danych dotyczących zdrowia, seksualności lub orientacji seksualnej osoby. Dane dotyczące zdrowia oznaczają dane osobowe należące do szczególnej kategorii, które odnoszą się do fizycznego lub psychicznego zdrowia osoby fizycznej – w tym do korzystania z usług opieki zdrowotnej – i ujawniają informacje o stanie jej zdrowia.

W podmiocie leczniczym przetwarzane są zarówno dane zwykłe (takie jak imię, nazwisko, PESEL, adres zamieszkania, numer telefonu), jak i dane szczególnej kategorii (informacje o chorobach, wynikach badań, przebytych zabiegach, nałogach czy uwarunkowaniach genetycznych). Taka struktura danych nakłada na administratora obowiązek zastosowania zaostrzonych środków bezpieczeństwa, zarówno o charakterze technicznym, jak i organizacyjnym. Każda osoba wchodząca w skład personelu medycznego i pomocniczego musi mieć świadomość, że ochrona tych informacji jest jej ustawowym obowiązkiem.

Podstawa prawna przetwarzania danych w placówkach medycznych

Podstawowym pytaniem, przed którym staje każdy administrator danych w podmiocie leczniczym, jest kwestia legalności przetwarzania danych. Skoro art. 9 ust. 1 RODO wprowadza ogólny zakaz przetwarzania danych o stanie zdrowia, placówka musi wykazać istnienie jednej z przesłanek uchylających ten zakaz, wymienionych w art. 9 ust. 2 RODO. W praktyce medycznej najczęściej zastosowanie mają następujące podstawy prawne:

Profilaktyka zdrowotna i medycyna pracy: Przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej, medycyny pracy, oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej (art. 9 ust. 2 lit. h RODO).
Ochrona żywotnych interesów: Przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody (art. 9 ust. 2 lit. c RODO) – sytuacja ta dotyczy przede wszystkim stanów nagłych, np. przyjęcia nieprzytomnego pacjenta na szpitalny oddział ratunkowy.
Względy interesu publicznego w dziedzinie zdrowia publicznego: Przetwarzanie jest niezbędne ze względów interesu publicznego w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych (art. 9 ust. 2 lit. i RODO).

Warto podkreślić, że w przypadku rutynowego udzielania świadczeń zdrowotnych podmiot leczniczy nie musi, a wręcz nie powinien, odbierać od pacjenta zgody na przetwarzanie danych osobowych w celach leczniczych. Przetwarzanie to wynika bezpośrednio z przepisów prawa (w połączeniu z polską ustawą o prawach pacjenta i Rzeczniku Praw Pacjenta oraz ustawą o działalności leczniczej). Zgoda pacjenta jako podstawa prawna (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO) będzie wymagana jedynie w sytuacjach wykraczających poza standardowy proces leczenia, np. przy udziale w badaniach klinicznych, marketingu usług własnych placówki czy wysyłaniu newslettera medycznego.

Kluczowe obowiązki podmiotu leczniczego jako administratora danych

Każdy podmiot leczniczy, niezależnie od swojej skali, pełni rolę administratora danych osobowych (ADO). Z tą rolą wiąże się szereg formalnych i praktycznych obowiązków, które muszą być realizowane w sposób ciągły i udokumentowany. Do najważniejszych z nich należą:

Wyznaczenie Inspektora Ochrony Danych (IOD): W świetle art. 37 RODO, wyznaczenie IOD jest obowiązkowe m.in. wtedy, gdy główna działalność administratora polega na przetwarzaniu na dużą skalę szczególnych kategorii danych, o których mowa w art. 9. Choć pojęcie "dużej skali" nie zostało precyzyjnie zdefiniowane w przepisach, przyjmuje się, że szpitale, przychodnie sieciowe czy publiczne zakłady opieki zdrowotnej bezwzględnie muszą takiego inspektora powołać. W przypadku małych, indywidualnych gabinetów lekarskich obowiązek ten zazwyczaj nie występuje, jednak powołanie IOD może być rekomendowane jako dobra praktyka.
Prowadzenie Rejestru Czynności Przetwarzania (RCP): To dokument, w którym placówka szczegółowo opisuje, jakie procesy przetwarzania danych zachodzą w jej strukturach (np. rejestracja pacjentów, proces leczenia, wystawianie recept, rozliczenia z NFZ, medycyna pracy, rekrutacja personelu). Rejestr ten musi być stale aktualizowany i udostępniany na żądanie organu nadzorczego.
Wdrożenie odpowiednich środków technicznych i organizacyjnych: Placówka medyczna must zabezpieczyć dane przed nieuprawnionym dostępem, utratą, uszkodzeniem czy kradzieżą. Obejmuje to m.in. szyfrowanie dysków komputerowych, stosowanie silnych haseł dostępu, fizyczne zabezpieczenie szaf z dokumentacją papierową, wdrożenie polityki czystego biurka i czystego ekranu, a także regularne szkolenia personelu.
Zawieranie umów powierzenia przetwarzania danych (DPA): Podmiot leczniczy często korzysta z usług firm zewnętrznych, takich jak dostawcy oprogramowania medycznego, serwisu sprzętu IT, zewnętrznych laboratoriów analitycznych czy biur rachunkowych. W każdym takim przypadku konieczne jest zawarcie pisemnej umowy powierzenia, która gwarantuje, że podmiot przetwarzający spełnia wymogi RODO.
Spełnienie obowiązku informacyjnego: Pacjent już przy pierwszym kontakcie z placówką (np. podczas rejestracji) musi zostać poinformowany o tym, kto jest administratorem jego danych, w jakim celu i na jakiej podstawie prawnej są one przetwarzane, komu mogą być udostępniane oraz jakie prawa mu przysługują. Informacja ta powinna być sformułowana jasnym, prostym językiem i być łatwo dostępna (np. na tablicy informacyjnej w rejestracji oraz na stronie internetowej placówki).

Prawa pacjenta a RODO: Jak prawidłowo obsłużyć wniosek?

RODO wyposaża osoby, których dane dotyczą, w szereg uprawnień, których realizacja przez podmiot leczniczy jest bezwzględnym obowiązkiem. Pacjent ma prawo m.in. do dostępu do swoich danych, ich sprostowania, ograniczenia przetwarzania, a w określonych przypadkach do przenoszenia danych czy wniesienia sprzeciwu. W praktyce funkcjonowania placówek medycznych najwięcej kontrowersji i trudności budzą dwa uprawnienia: prawo do usunięcia danych ("prawo do bycia zapomnianym") oraz prawo dostępu do danych realizowane poprzez udostępnienie dokumentacji medycznej.

Warto pamiętać, że prawo do usunięcia danych (art. 17 RODO) w podmiocie leczniczym podlega istotnym ograniczeniom. Zgodnie z polskim prawem medycznym, podmiot leczniczy ma ustawowy obowiązek przechowywania dokumentacji medycznej przez określony czas – co do zasady jest to okres 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (z pewnymi wyjątkami, np. 30 lat w przypadku zgonu pacjenta na skutek uszkodzenia ciała lub zatrucia). W związku z tym, jeśli pacjent złoży wniosek o usunięcie jego danych zawartych w historii choroby, placówka ma obowiązek odmówić realizacji tego żądania, powołując się na konieczność wywiązania się z prawnego obowiązku przechowywania dokumentacji (art. 17 ust. 3 lit. b RODO w zw. z przepisami krajowymi).

Inaczej sytuacja wygląda w przypadku prawa dostępu do danych (art. 15 RODO). Pacjent ma pełne prawo do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe go dotyczące, a także do uzyskania kopii tych danych. W kontekście medycznym prawo to najczęściej realizowane jest poprzez wydanie kopii dokumentacji medycznej. Pierwsza kopia dokumentacji medycznej, zgodnie z interpretacją organów nadzorczych oraz orzecznictwem sądowym, powinna być udostępniona pacjentowi bezpłatnie, co wynika bezpośrednio z przepisów RODO, mimo że krajowe przepisy o prawach pacjenta przewidywały możliwość pobierania opłat za każdą kopię. Obecnie pierwsze udostępnienie musi nastąpić bez pobierania jakichkolwiek opłat.

Termin na realizację wniosku pacjenta

Kluczowym elementem procedury obsługi wniosków pacjentów jest czas reakcji. Zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić informacji o działaniach podjętych w związku z wnioskiem bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Termin ten ma charakter instrukcyjny, ale jego przekroczenie bez uzasadnionej przyczyny stanowi naruszenie przepisów.

W sytuacjach szczególnie skomplikowanych lub przy dużej liczbie wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. W takim przypadku podmiot leczniczy musi jednak w ciągu pierwszego miesiąca poinformować pacjenta o takim przedłużeniu, podając konkretne przyczyny opóźnienia. Brak jakiejkolwiek odpowiedzi w ciągu miesiąca otwiera pacjentowi drogę do złożenia skargi do organu nadzorczego.

Rola organu nadzorczego i konsekwencje naruszeń

Organem nadzorczym w Polsce, dbającym o przestrzeganie przepisów o ochronie danych osobowych, jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Organ ten posiada szerokie uprawnienia kontrolne i śledcze. Może przeprowadzać planowane lub doraźne kontrole w podmiotach leczniczych, żądać dostępu do wszelkich dokumentów i systemów informatycznych, a w przypadku stwierdzenia nieprawidłowości – nakładać kary administracyjne oraz nakazywać dostosowanie operacji przetwarzania do przepisów prawa.

W przypadku dojścia do naruszenia ochrony danych osobowych (np. wyciek danych na skutek ataku hakerskiego, zgubienie dokumentacji papierowej, wysłanie wyników badań do niewłaściwego adresata), podmiot leczniczy ma obowiązek:

Zgłosić naruszenie do organu nadzorczego bez zbędnej zwłoki, w miarę możliwości nie później niż w terminie 72 godzin po stwierdzeniu naruszenie, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
Zawiadomić o naruszeniu pacjenta (osobę, której dane dotyczą) bez zbędnej zwłoki, jeżeli naruszenie ochrony danych osobowych może powodować wysokie ryzyko naruszenia jego praw lub wolności. Informacja ta musi być sformułowana jasnym i prostym językiem, zawierać opis charakteru naruszenia oraz zalecenia dotyczące minimalizacji potencjalnych negatywnych skutków (np. zastrzeżenie numeru PESEL).

Najczęstsze błędy w praktyce podmiotów leczniczych

Analiza decyzji wydawanych przez organ nadzorczy oraz codzienna praktyka audytorska pozwalają na wskazanie najczęstszych uchybień, jakie popełniają placówki medyczne w obszarze ochrony danych osobowych. Należą do nich:

Niewłaściwa weryfikacja tożsamości: Udostępnianie informacji o stanie zdrowia pacjenta przez telefon lub osobom trzecim bez uprzedniego, rzetelnego zweryfikowania ich tożsamości oraz uprawnień do dostępu do dokumentacji.
Brak kontroli nad dostępem do systemów IT: Korzystanie przez personel z uniwersalnych, wspólnych kont użytkowników w systemach medycznych, co uniemożliwia późniejsze ustalenie, kto dokładnie wprowadzał, modyfikował lub przeglądał dane pacjenta.
Pozostawianie dokumentacji bez nadzoru: Pozostawianie kart pacjentów, wyników badań czy skierowań na biurkach w rejestracji lub gabinetach lekarskich, do których dostęp mają osoby postronne (naruszenie zasady poufności).
Nieterminowe reagowanie na wnioski: Ignorowanie wniosków pacjentów o udostępnienie dokumentacji lub sprostowanie danych, bądź realizowanie ich z przekroczeniem ustawowego terminu jednego miesiąca.
Brak umów powierzenia: Współpraca z zewnętrznymi podmiotami (np. informatykami, serwisantami sprzętu medycznego) bez podpisania wymaganych umów powierzenia przetwarzania danych osobowych.

Praktyczny przykład: Obsługa wniosku o udostępnienie dokumentacji medycznej

Aby zilustrować, jak powinna wyglądać prawidłowa procedura w podmiocie leczniczym, przeanalizujmy praktyczny scenariusz:

Do rejestracji przychodni zgłasza się pacjent z pisemnym wnioskiem o wydanie kopii całej jego historii choroby z ostatnich trzech lat. Twierdzi, że jest to jego pierwszy taki wniosek w tej placówce i żąda bezpłatnego wydania dokumentów w terminie 7 dni.

Krok 1: Weryfikacja tożsamości. Pracownik rejestracji prosi pacjenta o okazanie dokumentu tożsamości ze zdjęciem w celu potwierdzenia, że osoba składająca wniosek jest rzeczywiście pacjentem, którego dane dotyczą. Po potwierdzeniu tożsamości, pracownik odnotowuje ten fakt (bez kopiowania dowodu osobistego!).

Krok 2: Analiza wniosku pod kątem opłat. Pracownik weryfikuje w systemie medycznym, czy pacjent rzeczywiście nie pobierał wcześniej kopii wnioskowanej dokumentacji. Po ustaleniu, że jest to pierwszy wniosek, placówka kwalifikuje go jako bezpłatny na mocy przepisów RODO.

Krok 3: Określenie terminu realizacji. Choć pacjent żąda wydania dokumentów w ciągu 7 dni, maksymalny ustawowy termin wynosi miesiąc. Placówka dokłada jednak starań, aby zrealizować wniosek bez zbędnej zwłoki. Informuje pacjenta, że dokumentacja będzie gotowa do odbioru za 5 dni roboczych.

Krok 4: Przygotowanie i wydanie dokumentacji. Upoważniony pracownik przygotowuje kopię dokumentacji, dbając o to, aby nie ujawnić danych innych pacjentów (jeśli np. w historii choroby znalazły się wzmianki o osobach trzecich). Przy odbiorze pacjent podpisuje potwierdzenie odbioru kopii dokumentacji medycznej, co stanowi dowód dla administratora na prawidłową realizację wniosku.

Podsumowanie i rekomendacje dla placówek medycznych

Wdrożenie i przestrzeganie zasad RODO w podmiocie leczniczym to proces wymagający systematyczności, czujności oraz ciągłego edukowania personelu. Dane medyczne, jako informacje o najwyższym stopniu wrażliwości, muszą być chronione w sposób szczególny. Każda placówka medyczna powinna regularnie przeprowadzać audyty wewnętrzne, aktualizować rejestry czynności przetwarzania oraz dbać o to, aby wszelkie procedury – od rejestracji pacjenta po niszczenie dokumentacji – były zgodne z obowiązującymi przepisami.

Sprawne zarządzanie wnioskami pacjentów, przestrzeganie terminów oraz natychmiastowe reagowanie na wszelkie incydenty bezpieczeństwa to klucz do zminimalizowania ryzyka prawnego i finansowego. W przypadku wątpliwości interpretacyjnych, warto skorzystać z pomocy wykwalifikowanego Inspektora Ochrony Danych lub wyspecjalizowanego doradcy prawnego, co pozwoli na bezpieczne i zgodne z prawem prowadzenie działalności leczniczej.