Wdrożenie RODO w placówkach medycznych to nie jest dla mnie teoria ani „projekt z checklisty”. Wdrażałem RODO w wielu przychodniach, gabinetach lekarskich, centrach diagnostycznych i placówkach specjalistycznych – i za każdym razem punkt wyjścia był podobny: dobre intencje, ogromna odpowiedzialność i bardzo realne ryzyko błędu ludzkiego. Właśnie dlatego w tej branży nie da się mówić o ochronie danych wyłącznie przez pryzmat dokumentów. Tu kluczowe są procesy. Ich nazwanie, zrozumienie i urealnienie.
Jednym z najczęściej niedoszacowanych obszarów jest proces zgłaszania naruszeń ochrony danych osobowych. W placówkach medycznych ryzyko naruszeń jest po prostu wyższe niż w wielu innych sektorach. Codzienna praca pod presją czasu, duża liczba pacjentów, podobne lub identyczne imiona i nazwiska, błędy w systemach informatycznych, nieuwaga przy wysyłce dokumentów – to nie są sytuacje hipotetyczne. To codzienność. W praktyce bardzo często spotykałem się z przypadkami przesłania wyników badań do innej pacjentki tylko dlatego, że w systemie widniały dwa niemal identyczne rekordy, a jedna decyzja została podjęta „automatycznie”.
Problem polega na tym, że wynik badań to nie jest zwykła informacja. W zdecydowanej większości przypadków zawiera on numer PESEL, a bardzo często także dane dotyczące stanu zdrowia, czyli szczególne kategorie danych osobowych w rozumieniu art. 9 ust. 1 RODO. Oznacza to, że mamy do czynienia z danymi o podwyższonej wrażliwości, których ochrona wymaga znacznie większej staranności. W praktyce takie naruszenie rzadko kiedy można zakwalifikować jako „nieistotne”.
Z mojego doświadczenia wynika jednoznacznie, że w tego typu sytuacjach administrator danych niemal zawsze powinien rozważać obowiązek zgłoszenia naruszenia do Prezesa Urzędu Ochrony Danych Osobowych na podstawie art. 33 RODO, a w wielu przypadkach również obowiązek poinformowania osoby, której dane dotyczą, zgodnie z art. 34 RODO. Wbrew powszechnemu przekonaniu, to nie skala placówki decyduje o obowiązkach, lecz charakter danych i potencjalne ryzyko dla praw i wolności pacjenta.
Dlatego wdrożenie RODO w placówkach medycznych nie może kończyć się na polityce ochrony danych czy upoważnieniach dla personelu. Musi obejmować realne procedury reagowania na błędy, jasne ścieżki decyzyjne, świadomość personelu i umiejętność szybkiej oceny ryzyka. Bo w tej branży jeden moment nieuwagi może uruchomić całą sekwencję obowiązków prawnych – i bardzo poważne konsekwencje wizerunkowe.
Spis treści
RODO w ochronie zdrowia od kiedy obowiązuje?
Dane osobowe pacjentów należą do najbardziej wrażliwych kategorii informacji przetwarzanych w obrocie – w szczególności dane dotyczące zdrowia, historii leczenia, wyników badań czy zastosowanych terapii. Z tego powodu szpitale, przychodnie, gabinety lekarskie, placówki diagnostyczne i inne podmioty wykonujące działalność leczniczą podlegają w tym zakresie podwyższonym standardom ochrony danych oraz zwiększonej odpowiedzialności za bezpieczeństwo przetwarzania.
Przestrzeganie wymogów RODO w placówkach medycznych nie jest wyłącznie formalnym obowiązkiem prawnym. W praktyce stanowi jeden z filarów jakości organizacyjnej i zaufania – pacjent ma prawo oczekiwać, że informacje o jego stanie zdrowia nie „wyjdą” poza proces leczenia ani nie trafią w niepowołane ręce, a dostęp do nich będzie ograniczony do osób i sytuacji rzeczywiście uzasadnionych.
W niniejszym artykule omawiamy, jak w praktyce wygląda wdrożenie RODO w medycynie: w jakim zakresie przepisy mają zastosowanie do opieki zdrowotnej, jakie elementy powinna zawierać prawidłowa klauzula informacyjna (tzw. klauzula RODO), gdzie należy ją udostępnić pacjentom oraz jakie rozwiązania organizacyjne i techniczne pomagają realnie chronić dane pacjentów w codziennej pracy placówki.
RODO w ochronie zdrowia - kiedy obowiązuje?
RODO, czyli rozporządzenie (UE) 2016/679, stosuje się w całej Unii Europejskiej od 25 maja 2018 r. i obejmuje również sektor ochrony zdrowia. W medycynie kluczowe znaczenie ma to, że dane o stanie zdrowia pacjenta są szczególną kategorią danych (art. 9 RODO), a więc mogą być przetwarzane tylko w ściśle określonych sytuacjach. Najczęściej chodzi o przypadki, gdy przetwarzanie jest niezbędne do: profilaktyki i medycyny pracy, oceny zdolności do pracy, diagnozy, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia oraz organizacji i zarządzania systemami i usługami opieki zdrowotnej.
W praktyce RODO wiąże każdą placówkę medyczną – publiczną i prywatną – niezależnie od formy prawnej, zakresu świadczeń czy skali działalności. Obowiązki dotyczą zarówno szpitali i przychodni, jak i gabinetów lekarskich czy innych podmiotów, które przetwarzają dane pacjentów.
Czy mała placówka też musi przestrzegać RODO?
Tak. Wielkość działalności nie zwalnia z obowiązków. Nawet niewielki gabinet przetwarza dane pacjentów (a często także ich bliskich), a dodatkowo dane personelu lub współpracowników. Różnice między dużą placówką a małą praktyką dotyczą zwykle zakresu i sposobu wdrożenia (np. liczby procesów, ilości dokumentacji, poziomu zabezpieczeń), a nie samej zasady podlegania RODO.
Mówiąc wprost: jeśli przyjmujesz pacjentów i gromadzisz informacje o ich zdrowiu, musisz zapewnić zgodność przetwarzania z RODO oraz realne bezpieczeństwo danych – niezależnie od tego, czy obsługujesz setki pacjentów dziennie, czy kilku tygodniowo.
Rodzaje danych wrażliwych w dokumentacji medycznej
Do tej grupy danych wrażliwych należą np. dane: dotyczące pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych, genetyczne i biometryczne, które pozwalają na jednoznaczne zidentyfikowanie osoby fizycznej, dotyczące zdrowia, seksualności lub orientacji seksualnej. W placówkach medycznych przetwarzamy przede wszystkim dane osobowe pacjentów, przechowywane w dokumentacji medycznej. Zaliczamy do nich przede wszystkim informacje dotyczące zdrowia, które mogą obejmować:
- Wyniki badań laboratoryjnych,
- Informacje o diagnozie, historii choroby, leczeniu,
- Dane genetyczne i biologiczne.
Oprócz danych dotyczących zdrowia nie możemy zapominać o informacjach dotyczących rasowego lub etnicznego pochodzenia, przekonań religijnych, orientacji seksualnej oraz innych aspektów, które mogą być wykorzystane do dyskryminacji.
Zasady przetwarzania danych wrażliwych
Przetwarzanie danych wrażliwych jest zasadniczo ograniczone, jednak istnieją wyjątki, które pozwalają na ich obróbkę w celach medycznych. Możliwe jest to, gdy:
- Pacjent wyrazi na to zgodę,
- Przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody,
- Przetwarzanie jest niezbędne dla profilaktyki zdrowotnej, diagnozy, leczenia lub opieki zdrowotnej,
- Istnieje konieczność ochrony zdrowia publicznego.
Przetwarzanie danych wrażliwych jest zasadniczo ograniczone, jednak istnieją wyjątki, które pozwalają na ich obróbkę w celach medycznych. Możliwe jest to, gdy:
- Pacjent wyrazi na to zgodę,
- Przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody,
- Przetwarzanie jest niezbędne dla profilaktyki zdrowotnej, diagnozy, leczenia lub opieki zdrowotnej,
- Istnieje konieczność ochrony zdrowia publicznego.
W kontekście zgodności z RODO w placówkach medycznych, kluczowe jest nie tylko rozważenie przetwarzania danych wrażliwych pacjentów, ale również danych pracowników tych instytucji. Ochrona danych osobowych w placówkach medycznych nie ogranicza się wyłącznie do informacji dotyczących zdrowia pacjentów. Równie ważne jest bezpieczne i zgodne z prawem przetwarzanie danych osobowych pracowników, w tym informacji pochodzących z badań medycyny pracy.
Dane wrażliwe pracowników szpitali i innych placówek medycznych obejmują wszelkie informacje dotyczące ich zdrowia, wyniki badań przeprowadzanych w ramach medycyny pracy, a także inne dane osobiste, które mogą ujawnić informacje o stanie zdrowia, przekonaniach religijnych czy przynależności do związków zawodowych. Ze względu na swoją naturę, te informacje wymagają szczególnego poziomu ochrony.
Prawa osób, których to dane dotyczą.
W rozporządzeniu ogólnym o ochronie danych (RODO) termin „osoby, których dane dotyczą” odnosi się do zidentyfikowanych lub możliwych do zidentyfikowania osób fizycznych, których dane osobowe są przetwarzane przez administratora danych lub podmiot przetwarzający. Osoba fizyczna uznawana jest za „możliwą do zidentyfikowania”, jeśli może być bezpośrednio lub pośrednio zidentyfikowana, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, danych o lokalizacji, identyfikatora internetowego lub na podstawie jednej bądź większej liczby czynników specyficznych dla danej osoby fizycznej.
Zrozumienie Pojęcia „Osoby, Których Dane Dotyczą” w RODO – Zidentyfikowana vs Możliwa do Zidentyfikowania Osoba Fizyczna:
- Zidentyfikowana osoba fizyczna jest to osoba, którą można bezpośrednio zidentyfikować za pomocą dostępnych danych, takich jak imię i nazwisko lub numer PESEL.
- Możliwa do zidentyfikowania osoba fizyczna to taka, która może być zidentyfikowana pośrednio, poprzez dodatkowe informacje. Na przykład, połączenie danych lokalizacyjnych z czasem może pozwolić na zidentyfikowanie osoby nawet bez wiedzy o jej imieniu i nazwisku.
Zrozumienie, kim są osoby, których dane dotyczą, jest kluczowe dla wszystkich organizacji przetwarzających dane osobowe, ponieważ nakłada na nie obowiązek zapewnienia zgodności z RODO. To obejmuje zapewnienie prawidłowego informowania osób, których dane dotyczą, o przetwarzaniu ich danych, udzielanie odpowiedzi na wnioski dotyczące wykonywania praw przez te osoby oraz wdrażanie odpowiednich środków technicznych i organizacyjnych w celu ochrony danych osobowych.
Każdy pacjent ma prawo do:
- Dostępu do swoich danych,
- Sprostowania nieprawidłowości,
- Usunięcia danych (w pewnych okolicznościach),
- Ograniczenia przetwarzania,
- Wniesienia sprzeciwu przeciwko przetwarzaniu.
Wdrożenie RODO w placówkach medycznych: jak to zrobić krok po kroku?
Jeśli prowadzisz placówkę medyczną lub pracujesz w takiej, na pewno zdajesz sobie sprawę z ogromnej ilości danych, jakie codziennie przetwarzasz. W dużej mierze są to dane szczególnie, zostały one określone w art. 9 RODO. W skład danych szczególnych, również zwanych jako dane wrażliwe wchodzą informacje o pacjentach, ich chorobach, przebiegu leczenia, ale też dane osobowe pracowników – medycyna pracy. Dane te muszą być przechowywane i przetwarzane zgodnie z obowiązującymi przepisami. W dzisiejszych czasach ochrona danych osobowych jest bardzo ważnym zagadnieniem, szczególnie w branży medycznej. Wdrożenie RODO w placówkach medycznych jest obowiązkowe, a nieprzestrzeganie przepisów grozi surowymi karami finansowymi. W tym artykule przedstawimy Ci krok po kroku, jak wdrożyć RODO w Twojej placówce medycznej, abyś mógł czuć się pewnie i bezpiecznie.
Krok 1: Zidentyfikuj zbiory danych osobowych
Jakie dane osobowe przetwarzasz w placówce medycznej?
Gdzie są one przechowywane i jak są zabezpieczone?
Czy dane są przetwarzane zgodnie z obowiązującymi przepisami?
Pierwszym krokiem jest dokładne zidentyfikowanie danych osobowych, jakie przetwarzasz w swojej placówce medycznej. Mogą to być m.in. imiona i nazwiska pacjentów, numery PESEL, wyniki badań czy dane o chorobach i przebiegu leczenia. Warto również sprawdzić, gdzie przechowywane są te dane i czy są one odpowiednio zabezpieczone. Ważne jest, abyś był świadomy przepisów dotyczących przetwarzania danych osobowych i przestrzegał ich.
Krok 2: Podejmij decyzję o powołaniu Inspektora Ochrony Danych
Zgodnie z art. 37 ust. 1 RODO administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy:
- przetwarzania dokonuje organ lub podmiot publiczny, z wyjątkiem sądów w zakresie sprawowania przez nie wymiaru sprawiedliwości;
- główna działalność administratora lub podmiotu przetwarzającego polega na operacjach przetwarzania, które ze względu na swój charakter, zakres lub cele wymagają regularnego i systematycznego monitorowania osób, których dane dotyczą, na dużą skalę;
- główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę wrażliwych danych osobowych oraz danych osobowych dotyczących wyroków skazujących i naruszeń prawa.
Zasadniczą kwestią jest dokonanie oceny, co oznaczają pojęcia „główna działalność” oraz „duża skala”, które nie zostały doprecyzowane przez RODO. Również polski organ nadzorczy nie przedstawił własnej interpretacji omawianego pojęcia. W tematyce powyższych pojęć Prezes UODO odwołuje się w swych wystąpieniach do wytycznych Grupy Roboczej Art. 29. W których jako przykłady „dużej skali” wskazano przetwarzanie danych osobowych pacjenta przez szpital. Jednocześnie podano jednak adnotację, iż „dużą skalą” możemy nie mieć do czynienia w przypadku przetwarzanie danych osobowych pacjentów przez prywatną praktykę lekarską. Warto również pamiętać, iż szpital, bądź inna jednostka medyczna NFZ jest zobligowana do powołania IOD, z racji bycia podmiotem publicznym. W przypadku prywatnych praktyk lekarskich dokonując oceny czy powołanie IOD jest obligatoryjne sprawa jest indywidualna, należy uwzględnić następujące czynniki:
a) liczby osób, których dane dotyczą,
b) rodzaje danych osobowych,
c) okres, przez jaki dane są przechowywane,
d) a także zakres geograficzny przetwarzania danych osobowych.
Ich łączne przeanalizowanie powinno prowadzić do wniosku, czy mamy do czynienia z przetwarzaniem danych osobowych na dużą skalę. Chętnie posłużymy jako Twój prywatny punkt doradczy i pomożemy Ci określić, czy jesteś zobligowany do powołania IOD – napisz do nas!
Jeśli podejmiesz decyzje o powołaniu IOD pamiętaj, że Inspektor Ochrony Danych pełni wyłącznie funkcję doradczą i monitorująca przestrzeganie przepisów ochrony danych, nie jest on odpowiedzialny za przetwarzanie danych osobowych. Odpowiedzialność za przetwarzanie danych osobowych spoczywa wyłącznie na osobie administratora.
Jako, że inspektor jest bezpośrednim punktem kontaktowym z UODO powinien posiadać odpowiednie kwalifikacje i doświadczenie, aby móc skutecznie zabezpieczać dane osobowe. Warto również, aby inspektor miał stały kontakt z pacjentami i pracownikami placówki medycznej oraz dbał o ich prywatność.
Krok 3: Przygotuj dokumentację
Jakie dokumenty powinny zostać przygotowane przed wdrożeniem RODO?
Co powinno się znaleźć w polityce prywatności placówki medycznej?
Jakie procedury powinny być wprowadzone w celu ochrony danych osobowych?
W kolejnym kroku warto przygotować dokumentację dotyczącą przetwarzania danych osobowych w Twojej placówce medycznej. Najważniejszym dokumentem jest polityka prywatności, która powinna zawierać informacje o tym, jakie dane osobowe przetwarzasz, w jaki sposób są one zabezpieczone i jakie prawa przysługują pacjentom. Odpowiednio udokumentowaną analiza ryzyka pomaga wykazać wymóg rozliczalności zgodnie z Art. 5 ust. 2 RODO, dlatego warto również zadbać o jej wykonanie. Dodatkowo należy wdrożyć m.in. procedury dotyczące przetwarzania danych osobowych oraz plan działań w przypadku naruszenia ochrony danych.
Prowadzenie rejestru czynności przetwarzania danych
Ostatnim, ale bardzo ważnym krokiem jest prowadzenie rejestru czynności przetwarzania danych osobowych. Rejestr powinien zawierać informacje o celach, w jakich przetwarzane są dane, odbiorcach danych, sposobie ich przetwarzania oraz terminach przechowywania danych. Rejestr powinien być aktualizowany na bieżąco oraz udostępniany organom nadzorczym w razie kontroli.
Krok 4: Szkolenie pracowników
Jakie szkolenia powinny odbyć się przed wdrożeniem RODO?
Jakie zagadnienia powinny zostać poruszone na szkoleniach?
Jakie przepisy dotyczące ochrony danych osobowych powinny być znane pracownikom placówki medycznej?
Następnym krokiem jest przeprowadzenie szkoleń dla pracowników placówki medycznej. Szkolenia powinny obejmować zagadnienia dotyczące przetwarzania danych osobowych, a także zasady bezpieczeństwa i ochrony danych. Pracownicy powinni również poznać prawa pacjentów oraz wiedzieć, jak postępować w przypadku naruszenia ochrony danych.
Krok 5: Wdrożenie procedur ochrony danych osobowych
Jakie procedury powinny zostać wprowadzone w celu ochrony danych osobowych?
Jakie narzędzia informatyczne powinny zostać wykorzystane?
Jakie praktyczne kroki należy podjąć w celu zabezpieczenia danych?
Po przygotowaniu dokumentacji i przeprowadzeniu szkoleń, czas na w drożenie procedur ochrony danych osobowych w Twojej placówce medycznej. Warto zacząć od zabezpieczenia lokalizacji, w której przechowywane są dane osobowe. Powinny być one przechowywane w zamkniętych szafach lub szufladach, a jedynie wybrane osoby powinny mieć dostęp do nich. Warto również zadbać o zabezpieczenie elektronicznych systemów przetwarzania danych, takich jak komputery, bazy danych czy programy medyczne. Zalecane jest stosowanie silnych haseł i regularne zmienianie ich, a także korzystanie z oprogramowania antywirusowego i firewalla.
Krok 6: Wdrożenie zasad informowania pacjentów
Kolejnym krokiem jest wdrożenie zasad informowania pacjentów o przetwarzaniu ich danych osobowych. Każdy pacjent powinien być informowany o celach, w jakich przetwarzane są jego dane, a także o swoich prawach związanych z przetwarzaniem danych. Warto również przygotować formularze zgody na przetwarzanie danych oraz formularze informacyjne, które pacjent może wypełnić.
Krok 7: Monitorowanie i ocena
Monitorowanie przetwarzania danych osobowych to proces analizowania i kontrolowania sposobu, w jaki dane są gromadzone, przetwarzane i przechowywane. Celem jest aktywna ochrona prywatności i zapewnienie bezpieczeństwa danych osobowych oraz regularne poddawanie ocenie aktualnie wdrożonych środków ochrony danych osobowych, zgodnie z obecną technologia, ryzkiem wynikającym przetwarzania oraz możliwości finansowych administratora.
Podsumowanie wdrożenia RODO w placówkach medycznych
Chodź RODO nakłada na placówki medyczne obowiązki, pamiętajmy o najważniejszym, czyli o ochronie danych osobowych pacjentów oraz pracowników. Aby skutecznie chronić dane pacjentów, placówki medyczne powinny implementować szereg procedur i rozwiązań technicznych, takich jak:
- Szyfrowanie danych przechowywanych i przesyłanyc