RODO w medycynie: podstawa prawna i praktyka w praktyce prawnej

Przetwarzanie danych osobowych w sektorze medycznym należy do jednych z najbardziej wymagających obszarów praktyki prawnej. Dane dotyczące zdrowia, jako dane szczególnej kategorii (tzw. dane wrażliwe), podlegają wyjątkowo rygorystycznej ochronie prawnej. Każdy podmiot wykonujący działalność leczniczą – od indywidualnego gabinetu lekarskiego po wielospecjalistyczny szpital – musi wdrożyć odpowiednie środki techniczne i organizacyjne, aby sprostać wymogom Ogólnego Rozporządzenia o Ochronie Danych (RODO). W niniejszej analizie przyjrzymy się kluczowym aspektom prawnym i praktycznym wyzwaniom, z jakimi mierzą się placówki medyczne.

1. Specyfika danych o stanie zdrowia w świetle RODO

Zgodnie z art. 4 pkt 15 RODO, dane dotyczące zdrowia oznaczają dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia. Są to informacje o wyjątkowo prywatnym charakterze, których ujawnienie osobom nieuprawnionym może skutkować poważnym naruszeniem praw i wolności pacjenta. Z tego względu, co do zasady, przetwarzanie takich danych jest zabronione na mocy art. 9 ust. 1 RODO. Aby przetwarzanie było legalne, placówka medyczna musi legitymować się jedną z przesłanek uchylających ten zakaz.

2. Podstawa prawna przetwarzania danych w medycynie

W praktyce medycznej najczęstszą i najważniejszą podstawą prawną pozwalającą na przetwarzanie danych o zdrowiu jest art. 9 ust. 2 lit. h RODO. Przepis ten zezwala na przetwarzanie, gdy jest ono niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej. Co istotne, w tym przypadku nie jest wymagana zgoda pacjenta na przetwarzanie jego danych w celach leczniczych – obowiązek ten wynika bezpośrednio z przepisów prawa krajowego, m.in. z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz ustawy o działalności leczniczej.

Inną istotną podstawą może być art. 9 ust. 2 lit. c RODO, czyli ochrona żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, gdy osoba ta jest fizycznie lub prawnie niezdolna do wyrażenia zgody (np. w stanach nagłych, gdy pacjent jest nieprzytomny). Zgoda pacjenta (art. 9 ust. 2 lit. a RODO) jako podstawa przetwarzania danych o zdrowiu ma charakter uzupełniający i jest stosowana głównie w celach marketingowych, udziału w badaniach klinicznych czy programach lojalnościowych, a nie w procesie standardowego leczenia.

3. Obowiązek informacyjny wobec pacjenta

Każdy administrator danych, czyli w tym przypadku placówka medyczna, ma prawny obowiązek poinformować pacjenta o zasadach przetwarzania jego danych. Obowiązek ten realizuje się najczęściej przy pierwszej wizycie pacjenta, poprzez przedłożenie tzw. klauzuli informacyjnej. Zgodnie z art. 13 RODO, klauzula ta musi zawierać m.in. tożsamość i dane kontaktowe administratora, dane kontaktowe Inspektora Ochrony Danych (jeśli został powołany), cele i podstawy prawne przetwarzania, informacje o odbiorcach danych, okres przechowywania danych oraz prawa przysługujące pacjentowi.

W medycynie klauzula ta powinna być sformułowana jasnym, prostym i zrozumiałym językiem. Może być udostępniona w formie papierowej, wyświetlona na ekranie w rejestracji, zawieszona w widocznym miejscu w placówce lub opublikowana na stronie internetowej.

4. Wyznaczenie Inspektora Ochrony Danych (IOD)

Jednym z kluczowych pytań dla menedżerów placówek medycznych jest to, czy istnieje obowiązek powołania Inspektora Ochrony Danych. Zgodnie z art. 37 ust. 1 lit. c RODO, wyznaczenie IOD jest obowiązkowe, jeżeli główna działalność administratora polega na przetwarzaniu na dużą skalę szczególnych kategorii danych, do których należą dane o zdrowiu. Choć pojęcie „dużej skali” nie zostało precyzyjnie zdefiniowane w przepisach, unijne wytyczne wskazują, że szpitale, przychodnie wielospecjalistyczne czy sieci laboratoriów medycznych bez wątpienia przetwarzają dane na dużą skalę i muszą powołać IOD. W przypadku indywidualnych praktyk lekarskich taki obowiązek zazwyczaj nie występuje, choć powołanie IOD może być dobrą praktyką ułatwiającą zarządzanie bezpieczeństwem informacji.

5. Realizacja praw pacjenta i terminy

RODO przyznaje pacjentom szereg uprawnień, których realizacja w sektorze medycznym wymaga szczególnej uwagi. Pacjent ma prawo do:

Prawa dostępu do danych: Pacjent ma prawo uzyskać od administratora potwierdzenie, czy przetwarzane są jego dane, a także otrzymać ich kopię (w tym kopię dokumentacji medycznej). Pierwsza kopia dokumentacji medycznej musi być wydana bezpłatnie.
Prawa do sprostowania danych: Pacjent może żądać poprawienia nieprawidłowych danych. Warto jednak pamiętać, że prawo to nie pozwala na wsteczne zmienianie diagnoz lekarskich, a jedynie na poprawę błędów formalnych (np. literówki w nazwisku).
Prawa do usunięcia danych (prawo do bycia zapomnianym): To uprawnienie jest w medycynie mocno ograniczone. Placówka medyczna ma prawny obowiązek przechowywania dokumentacji medycznej przez określony czas (co do zasady 20 lat). W związku z tym wniosek pacjenta o usunięcie danych z historii choroby nie może zostać spełniony przed upływem tego okresu.

Każdy wniosek pacjenta dotyczący realizacji jego praw musi zostać rozpatrzony bez zbędnej zwłoki. RODO wyznacza maksymalny termin na udzielenie odpowiedzi – wynosi on miesiąc od otrzymania żądania. W sprawach skomplikowanych termin ten może zostać przedłużony o kolejne dwa miesiące, o czym należy poinformować pacjenta przed upływem pierwszego miesiąca, podając przyczyny opóźnienia.

6. Umowy powierzenia przetwarzania danych (DPA)

Placówki medyczne na co dzień korzystają z usług podmiotów zewnętrznych, takich jak dostawcy oprogramowania gabinetowego, laboratoria analityczne, firmy niszczące dokumenty czy zewnętrzne biura rachunkowe. Przekazywanie im danych pacjentów wymaga zawarcia umowy powierzenia przetwarzania danych osobowych (zgodnie z art. 28 RODO). Brak takiej umowy stanowi rażące naruszenie przepisów i naraża placówkę na odpowiedzialność prawną oraz finansową.

7. Najczęstsze błędy i ryzyka w praktyce

Analiza decyzji wydawanych przez organ nadzorczy, jakim w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (UODO), pozwala zidentyfikować najczęstsze błędy popełniane w medycynie:

Udostępnianie dokumentacji medycznej osobom nieuprawnionym (np. członkom rodziny bez pisemnego upoważnienia pacjenta).
Niewłaściwe zabezpieczenie fizyczne dokumentacji (pozostawianie kart pacjentów na biurkach w miejscach dostępnych dla osób postronnych).
Brak szyfrowania przesyłanych danych medycznych drogą elektroniczną (np. wysyłanie wyników badań zwykłym, niezabezpieczonym e-mailem).
Niedopełnienie obowiązku zgłoszenia naruszenia ochrony danych do organu nadzorczego w ciągu 72 godzin od wykrycia incydentu.

8. Praktyczny przykład

Wyobraźmy sobie sytuację, w której pacjent składa wniosek o wydanie kopii swojej historii choroby drogą mailową. Pracownik rejestracji, chcąc pomóc, odsyła skany dokumentów na wskazany adres e-mail, nie weryfikując tożsamości nadawcy. Okazuje się, że konto mailowe zostało zhakowane, a dane medyczne pacjenta trafiły do osoby nieuprawnionej. Jest to poważne naruszenie ochrony danych osobowych. Placówka medyczna ma w tej sytuacji obowiązek zgłosić ten incydent do organu nadzorczego (UODO) w terminie 72 godzin oraz zawiadomić pacjenta o naruszeniu, a także wdrożyć procedury bezpiecznej weryfikacji tożsamości przy kolejnych wnioskach.

9. Podsumowanie i wnioski dla praktyki prawnej

Zapewnienie zgodności z RODO w medycynie to proces ciągły, wymagający ścisłej współpracy personelu medycznego, kadry zarządzającej oraz ekspertów prawnych. Prawidłowe stosowanie przepisów chroni nie tylko pacjentów, ale również samą placówkę przed dotkliwymi karami finansowymi nakładanymi przez organ nadzorczy oraz roszczeniami odszkodowawczymi. Kluczem do sukcesu jest wdrożenie przejrzystych procedur wewnętrznych, regularne szkolenia personelu oraz stały monitoring przestrzegania zasad ochrony danych osobowych.