Dane osobowe wrażliwe... 2 Obowiązki informacyjne... 2 Kontakt do inspektora ochrony danych... 3 Zabezpieczenie danych osobowych... 3 Sankcje za naruszenia... 5 Wejście w życie RODO stało się wyzwaniem dla funkcjonowania placówek medycznych. Nowym regulacjom muszą także sprostać jednoosobowe praktyki lekarskie. Sprawdź, jak je stosować w codziennej praktyce. Niezależnie od skali działalności, lekarz prowadzący praktykę lekarską jest administratorem danych osobowych swoich pacjentów, a więc obowiązują go przepisy ustawy o ochronie danych osobowych (dalej ustawa lub UDO) Podstawą do takiego stwierdzenia jest brzmienie art. 3 ust. 2 pkt 2 UDO zgodnie z którym, przepisy ustawy stosuje się do: osób fizycznych i osób prawnych oraz jednostek organizacyjnych niebędących osobami prawnymi, jeżeli przetwarzają dane osobowe w związku z działalnością zarobkową lub zawodową. Obok działalności leczniczej, jednym z podstawowych obowiązków nałożonych na podmioty udzielające świadczenia medyczne jest prowadzenie dokumentacji medycznej. Wiąże się to z dostępem do danych osobowych pacjentów. Szpitale, przychodnie zdrowia, jednoosobowe gabinety lekarskie i stomatologiczne oraz inne podmioty świadczące usługi lecznicze są zobligowane do przestrzegania restrykcyjnych przepisów prawnych dotyczących ochrony danych osobowych, w tym zwłaszcza informacji o stanie zdrowia pacjentów. Obowiązujący w Polsce system prawny w zakresie ochrony danych osobowych wciąż stwarza wiele kłopotów w wymiarze praktycznym. W obliczu restrykcyjnych przepisów, zarówno placówki świadczące usługi w ochronie zdrowia, jak i jednoosobowe praktyki lekarskie, chcąc trzymać się litery prawa, niejednokrotnie napotykają na trudności w realizowaniu powierzonych im zadań. Sytuację dodatkowo komplikuje uchwalone nowe unijne rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 26 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO), które 25 maja 2018 r. weszło w życie we wszystkich krajach członkowskich. Zmienione regulacje, wprowadzone w postaci unijnego rozporządzenia, będą miały bezpośredni wpływ na polski porządek prawny, bez konieczności ich implementacji przez krajowe ustawy. W związku z tym od 25 maja 2018 r. cała Unia Europejska, w tym także Polska i jej podmioty lecznicze, znalazły się w nowej rzeczywistości ochrony danych osobowych. Jak przetwarzać dane sensytywne zgodnie z RODO w gabinecie lekarskim 1
Lekarz, który prowadzi gabinet lekarski w formie praktyki zawodowej czy w formie przedsiębiorstwa podmiotu leczniczego, przetwarza oprócz danych osobowych osób przez niego zatrudnianych (personelu), przede wszystkim dane osobowe pacjentów. Z punktu widzenia gabinetów leczniczych przetwarzanymi danymi osobowymi będą w znacznej większości dane sensytywne. W odniesieniu do dokumentacji medycznej pacjenta, która zawiera nie tylko dane podstawowe, takie jak imię, nazwisko czy PESEL, ale także dane wrażliwe, dotyczące stanu zdrowia, powinny znaleźć zastosowanie najwyższe standardy bezpieczeństwa. W rozumieniu przepisów, przetwarzanie danych wrażliwych jest zabronione. Ustawodawca umożliwia jednak przetwarzanie informacji o stanie zdrowia, jeżeli jest ono prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i kiedy są stworzone pełne gwarancje ochrony danych osobowych. Zgodnie zaś z RODO danymi sensytywnymi są m.in. dane genetyczne, dane biometryczne, które umożliwiają jednoznaczne zidentyfikowanie osoby fizycznej i dane dotyczące zdrowia. Ich przetwarzanie jest obwarowane szczególnymi przesłankami. Wśród nich najistotniejszymi dla branży medycznej są te dotyczące celu przetwarzania. Na gruncie RODO dopuszczalne jest przetwarzanie danych dotyczących pacjentów w zakresie, w jakim jest to konieczne dla procesu diagnostycznego lub terapeutycznego lub w interesie publicznym w dziedzinie zdrowia publicznego, jak chociażby w celu poprawy standardów opieki zdrowotnej. Jeżeli przetwarzanie danych jest konieczne z punktu widzenia zapewnienia pacjentowi opieki zdrowotnej, nie jest konieczne odbieranie od pacjenta dodatkowej zgody na przetwarzanie jego danych osobowych. Przetwarzanie danych osobowych pacjenta nie odbywa się bowiem na podstawie zgody w rozumieniu ustawy o ochronie danych osobowych, a na podstawie brzmienia art. 23 ust. 1 pkt 3 (konieczność realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną). Nie ma zatem potrzeby uzyskiwania odrębnego oświadczenia woli (np. w formie odrębnego podpisu pod zgodą na przetwarzanie danych). Pamiętaj o wypełnieniu obowiązków informacyjnych. Zalicza się do nich poinformowanie o: adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna o miejscu swojego zamieszkania oraz imieniu i nazwisku, Jak przetwarzać dane sensytywne zgodnie z RODO w gabinecie lekarskim 2
celu zbierania danych, a zwłaszcza o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, prawie dostępu do treści swoich danych i ich poprawiania, dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Przy zbieraniu danych osobowych od pacjenta RODO rozszerza wymieniony zakres obowiązku informacyjnego, jakim jest obciążony administrator danych. Trzeba będzie przekazywać m.in. dane kontaktowe inspektora ochrony danych, podstawę przetwarzania danych osobowych, okres przechorowywania danych, rozszerzone informacje o prawach podmiotu czy informacje o zamiarze przekazania danych osobowych do państwa trzeciego. Każdy podmiot leczniczy przed wejściem w życie RODO powinien zabezpieczyć w ramach wewnętrznych procedur przekazywanie odpowiednich informacji pacjentom. Przepisy ustawy nakładają na lekarza prowadzącego gabinet lekarski jako administratora danych osobowych obowiązek zastosowania odpowiednich środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych, odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Innymi słowy lekarz ma obowiązek zabezpieczenia danych osobowych w gabinecie, w taki sposób by uniemożliwić dostęp do nich osobom nieupoważnionym, zapobiec zabraniu danych przez osobę nieuprawnioną, zapobiec przetwarzaniu danych z naruszeniem ustawy i zapobiec ich zmianie, utracie, uszkodzeniu lub zniszczeniu. Żeby wypełnić te obowiązki jako administrator danych, lekarza zobligowano do prowadzenia dokumentacji opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych, a także do wyznaczenia administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, jeżeli sam nie wykonuje tych czynności. Do najważniejszych dokumentów, jakie musi mieć i prowadzić każdy administrator danych osobowych, zatem i lekarz prowadzący indywidualną praktykę lekarską, należy zaliczyć: Politykę bezpieczeństwa. Jak przetwarzać dane sensytywne zgodnie z RODO w gabinecie lekarskim 3
Instrukcję Zarządzania Systemem Informatycznym (służącym do przetwarzania danych osobowych). Ewidencję osób upoważnionych do przetwarzania danych. Jeżeli chodzi o Politykę bezpieczeństwa, powinna ona zawierać takie elementy, jak: wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; sposób przepływu danych pomiędzy poszczególnymi systemami; określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych. Jeżeli z kolei chodzi o Instrukcję zarządzania systemem informatycznym służącym do przetwarzania danych osobowych, powinna ona zawierać: procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu; procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; sposób, miejsce i okres przechowywania elektronicznych nośników informacji zawierających dane osobowe i kopii zapasowych, sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego sposób realizacji wymogu odnotowania informacji o odbiorcach którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia (ten warunek nie dotyczy udostępnienia osobom, których dane dotyczą, osobom posiadającym upoważnienie do przetwarzania danych, Jak przetwarzać dane sensytywne zgodnie z RODO w gabinecie lekarskim 4
organów państwowych lub organów samorządu terytorialnego, którym dane są udostępniane w związku z prowadzonym postępowaniem) procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych. Dokumentację przetwarzania danych należy prowadzić w formie pisemnej. A zatem takie dokumenty, jak np. Polityka bezpieczeństwa, Instrukcja zarządzania systemem informatycznym wraz z innymi załącznikami i ewidencjami powinny być prowadzone w formie papierowej. Należy przy tym rozróżnić takie określenia, jak dokumentacja medyczna i dokumentacja przetwarzania danych o ile sama dokumentacja medyczna może być prowadzona w formie jedynie elektronicznej, to już dokumentację przetwarzania danych osobowych, określającą w jakich formach dane osobowe są przetwarzane i zabezpieczone należy bezwarunkowo prowadzić w formie pisemnej. Z wyliczenia dokumentów i obowiązków nałożonych na lekarza jako administratora danych wynika zatem, że inny (szerszy) będzie sposób czy metody ochrony danych osobowych w gabinecie lekarskim, w którym lekarz stosuje nowoczesne metody przechowywania danych pacjentów, a zatem gabinet ma już elektroniczną bazę pacjentów i dokumentuje udzielane świadczenia zdrowotne w formie zapisów na nośnikach elektronicznych, a ponadto zatrudnia osoby mające dostęp do danych osobowych i dokumentacji medycznej pacjentów, a inny (znacznie węższy) będzie sposób i metody ochrony danych osobowych w gabinecie lekarskim, w którym lekarz prowadzi dokumentację wyłącznie w formie papierowej i nie zatrudnia personelu medycznego. Lekarz, który przetwarza dane osobowe pacjentów w sposób niezgodny z przepisami powszechnie obowiązującego prawa, powinien liczyć się zarówno z możliwością nałożenia na niego sankcji karnych, jak i sankcji o charakterze administracyjnym. I tak ustawa o ochronie danych osobowych określiła szczególne rodzaje przestępstw karnych polegających na: przetwarzaniu danych osobowych z pominięciem trybów wskazanych w przepisach o ochronie danych osobowych podlega karze grzywny, karze ograniczenia wolności albo pozbawienia wolności do lat 2 lub do lat 3, gdy dotyczy to przestępstwo danych o stanie zdrowia pacjenta; udostępnieniu przez administratora danych osobowych, osobom nieupoważnionym podlega karze grzywny, karze ograniczenia wolności albo pozbawienia wolności do lat 2, jeśli sprawca działał nieumyślnie to podlega karze ograniczenia wolności albo pozbawienia wolności do roku; Jak przetwarzać dane sensytywne zgodnie z RODO w gabinecie lekarskim 5
naruszeniu choćby nieumyślnie przez administratora obowiązku zabezpieczenia danych przed zabraniem przez osobę nieuprawnioną, uszkodzeniem lub zniszczeniem podlega karze grzywny, karze ograniczenia wolności albo pozbawienia wolności do roku. Od 25 maja 2018 r. organy odpowiadające za zapewnienie przestrzegania ochrony danych osobowych dysponują uprawnieniem nałożenia dotkliwej kary pieniężnej. Ponadto nowe obowiązki są zabezpieczone bardzo wysokimi sankcjami karnoadministracyjnymi. W przypadku naruszenia przepisów dotyczących: zgłaszania GIODO i osobie, której dane dotyczą, przypadków naruszenia, wdrożenia środków technicznych i organizacyjnych ochrony danych, rejestrowania czynności przetwarzania raz współpracy z organem nadzorczym będzie to 2% całkowitego rocznego światowego obrotu lub 10 mln euro. Natomiast za naruszenie przepisów dotyczących: podstawowych zasad przetwarzania danych, przetwarzania danych wrażliwych, obowiązków informacyjnych, prawa do bycia zapomnianym, będzie to aż 4% całkowitego rocznego obrotu lub 20 mln euro. Podstawa prawna: ustawa z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 100), rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Autor: Marzena Pytlarz prawnik Jak przetwarzać dane sensytywne zgodnie z RODO w gabinecie lekarskim 6
Redaktor: Anna Rubinkowska ISBN: 978-83-269-7788-6 E-book nr: Firma: Adres: Kontakt: 2HH0805 Wiedza i Praktyka sp. z o.o. 03-918 Warszawa, ul. Łotewska 9a Telefon 22 518 29 29, faks 22 617 60 10, e-mail: cok@wip.pl NIP: 526-19-92-256 Numer KRS: 0000098264 Sąd Rejonowy dla m.st. Warszawy, Sąd Gospodarczy XIII Wydział Gospodarczy Rejestrowy. Wysokość kapitału zakładowego: 200.000 zł, Nr rejestrowy BDO: 000008579 Copyright by: Wiedza i Praktyka sp. z o.o. Warszawa 2018 Jak przetwarzać dane sensytywne zgodnie z RODO w gabinecie lekarskim 7