Piątek, 17:30. Wysyłasz pacjentce wyniki mailem i orientujesz się, że trafiły do złego adresata. W załączniku – dane o zdrowiu. Serce podchodzi Ci do gardła i pojawia się pytanie: co teraz? Odpowiedź brzmi – masz 72 godziny. Jeśli doszło do naruszenia najpierw musisz przeanalizować ryzyko i podjąć decyzję co do dalszych kroków – czy naruszenie wymaga zgłoszenia do Prezesa Urzędu Ochrony Danych Osobowych, czy zawiadomienie również pacjenta. I tu jest cała różnica między gabinetem przygotowanym a nieprzygotowanym na wypadek takich sytuacji. Jeden sięga po gotową procedurę RODO w gabinecie medycznym i wypełnia formularz. Drugi w piątek wieczorem nerwowo szuka w internecie co robić i traci cenne godziny.
Nie, RODO nie zwalnia małych gabinetów
Krąży mit, że przepisy o ochronie danych „są dla szpitali“. Nieprawda. Przepisy RODO obejmują zarówno duże podmioty lecznicze, jak i jednoosobowe praktyki zawodowe, a decydujące znaczenie ma fakt przetwarzania danych osobowych pacjentów, nie liczba zatrudnionych osób. Dodatkowo RODO nie przewiduje wyłączeń dla małych placówek ani uproszczonych obowiązków tylko z uwagi na ograniczoną liczbę pacjentów.
Dlaczego akurat w medycynie tak to wygląda? Bo pracujesz na danych o najwyższej kategorii ryzyka. Dane o zdrowiu pacjenta to szczególne kategorie danych w rozumieniu RODO, objęte podwyższonym zakresem ochrony. A przetwarzanie zaczyna się znacznie wcześniej niż myślisz – ma miejsce już na etapie rejestracji pacjenta, przy zakładaniu dokumentacji, w trakcie leczenia i przy archiwizacji.
„Przecież pacjentka podpisała zgodę na RODO“
To zdanie słyszę bardzo często.
Nie potrzebujesz jednak zgody pacjenta, żeby prowadzić dokumentację medyczną. Podstawa jest zupełnie inna – podstawą jest art. 9 ust. 2 lit. h RODO w połączeniu z tajemnicą zawodową, nie zgoda pacjenta. Zasadą jest zakaz przetwarzania danych o zdrowiu (art. 9 ust. 1 RODO), a placówka medyczna korzysta z wyjątku z art. 9 ust. 2 lit. h, czyli przetwarzania w celach profilaktyki zdrowotnej, diagnozy medycznej czy zapewnienia opieki zdrowotnej, przy czym wyjątek ten działa tylko razem z ust. 3, czyli gdy dane przetwarzają osoby objęte tajemnicą zawodową.
Wniosek praktyczny? Zgodę na przetwarzanie danych zbieraj tam, gdzie jest naprawdę potrzebna, np. przy zapisie do newslettera czy zdjęciach „przed i po“ do social mediów.
Zamiast zgody potrzebujesz czegoś innego – klauzuli informacyjnej. Każda placówka medyczna jako administrator danych ma obowiązek poinformować pacjenta, w jaki sposób przetwarzane są jego dane, a obowiązek ten powstaje już w momencie pozyskania danych, czyli najczęściej przy rejestracji.
Co musi być w teczce RODO Twojego gabinetu
Sedno RODO to zasada rozliczalności. Jako administrator odpowiadasz za rozliczalność (art. 5 ust. 2 RODO). Oznacza to, że musisz nie tylko przestrzegać przepisów, ale też umieć to wykazać dokumentami. Właśnie dlatego dokumentacja jest obowiązkowa, a nie jest jedynie „dobrą praktyką“.
Podstawy, które dotyczą nawet jednoosobowej praktyki
Polityka ochrony danych osobowych (art. 24 i 32 RODO), rejestr czynności przetwarzania (art. 30 ust. 1 RODO), klauzule informacyjne dla pacjenta, pracownika i kontrahenta (art. 13 RODO), upoważnienia do przetwarzania danych wraz z ewidencją, umowy powierzenia, procedura naruszeń i analiza ryzyka.
Zwróć szczególną uwagę na rejestr czynności przetwarzania. To ten dokument, w którym wykazujesz, jakie dane zbierasz, w jakim celu i jak długo je przechowujesz. Wiele gabinetów błędnie uważa, że to ich nie dotyczy. Zwolnienie nie ma zastosowania do podmiotów przetwarzających dane wrażliwe, dlatego prowadzenie rejestru czynności przetwarzania należy do obowiązków podmiotów leczniczych także tych zatrudniających mniej niż 250 osób.
Dodatkowe obowiązki, gdy zatrudniasz pracowników
Tu wchodzą w grę upoważnienia do przetwarzania danych. Nie tylko dla medyków, dla personelu pomocniczego też. Pracownik na recepcji, pielęgniarka, asystentka medyczna – wszystkie te osoby mają dostęp do danych osobowych w Twojej placówce, więc jeśli chcesz wykazać zgodność z RODO, powinnaś/powinieneś nadać im upoważnienia. Formalnie RODO nie wskazuje formy upoważnienia, ale większość podmiotów stosuje formę pisemną. Rób to pisemnie – w razie kontroli to jedyny dowód, jaki się liczy.
Warto też prowadzić ewidencję. Dobrą praktyką jest prowadzenie rejestru upoważnień, zawierającego co najmniej: osobę, której dotyczy upoważnienie, okres jego obowiązywania, osobę wydającą i datę wystawienia.
Umowy powierzenia – dokument, o którym często się zapomina
Korzystasz z programu do rezerwacji wizyt w chmurze? Z biura rachunkowego? Z zewnętrznego IT? Współpracując z laboratoriami czy firmami IT, zawrzyj umowy powierzenia przetwarzania danych (art. 28 RODO), które definiują obowiązki procesora.
A czy potrzebuję inspektora ochrony danych?
Stanowiska są podzielone i warto to wiedzieć.
Jedna linia interpretacyjna mówi, że podmiot leczniczy jest zobligowany do powołania IOD, bo zgodnie z art. 37 ust. 1 lit. c RODO administrator wyznacza inspektora, gdy jego główna działalność polega na przetwarzaniu na dużą skalę danych wrażliwych, a realizacja świadczeń wobec każdego pacjenta wiąże się z przetwarzaniem danych o zdrowiu.
Druga, bardziej liberalna dla małych gabinetów – zwykle nie, bo obowiązek z art. 37 RODO dotyczy przetwarzania na dużą skalę, a motyw 91 RODO wprost wyłącza z tego pojedynczego lekarza czy innego pracownika medycznego działającego samodzielnie – w praktyce dotyczy to raczej szpitali i dużych przychodni. Przy tym podejściu w małej placówce nie masz obowiązku oceny skutków dla ochrony danych, raportów z oceny skutków ani ryzyka czy powołanie inspektora.
Jeśli prowadzisz gabinet samodzielnie lub z jedną/dwiema osobami, najprawdopodobniej nie musisz powoływać IOD, ale warto udokumentować tę decyzję. Zapisz, dlaczego uznałaś, że nie przetwarzasz danych na dużą skalę. To jeden dokument, który może Ci się przydać przy kontroli. Ale pamiętaj – nawet jeśli nie powołałaś/eś IOD – ktoś w placówce musi realnie odpowiadać za zgodność z RODO.
Ile to naprawdę kosztuje, gdy coś pójdzie nie tak
Tutaj nie chcę straszyć, a podać fakty. Brak któregoś z elementów dokumentacji to najczęstszy powód kar UODO w placówkach medycznych. Dla przykładu: 10 000 zł dla szpitala w Warszawie za brak zgłoszenia naruszenia organowi i brak zawiadomienia pacjenta oraz 40 000 zł dla ZOZ w Pajęcznie, gdzie naruszenie zgłoszono, ale zabrakło zawiadomienia osób i adekwatnych zabezpieczeń.
Zwróć uwagę na drugi przypadek. Placówka zgłosiła naruszenie i mimo to zapłaciła cztery razy więcej niż szpital w Warszawie – bo procedura była niepełna.
Pułapka, w którą wpada wiele gabinetów – za długo albo za krótko
RODO i ustawa o prawach pacjenta działają tu jak dwa ograniczniki. Trzymanie dokumentacji medycznej „na wszelki wypadek“, bezterminowo to błąd. Po upływie odpowiedniego okresu podmiot leczniczy niszczy dokumentację w sposób uniemożliwiający identyfikację pacjenta, a trzymanie jej dłużej łamie zasadę minimalizacji danych z RODO. Natomiast zbyt wczesne pozbycie się dokumentacji łamie ustawę o prawach pacjenta.
Przykład: zdjęcia rentgenowskie przechowywane poza dokumentacją medyczną pacjenta – 10 lat od końca roku wykonania zdjęcia; skierowania na badania lub zlecenia lekarza – 5 lat (2 lata, jeśli świadczenie nie zostało udzielone z powodu niezgłoszenia się pacjenta).
RODO a dzieci
Fizjoterapia dziecięca, wizyty patronażowe, konsultacje laktacyjne. Przy małoletnich pacjentach dochodzą dwa dodatkowe pytania – kto jest przedstawicielem ustawowym i komu wolno wydać dokumentację medyczną.
Te zasady muszą współgrać ze standardami ochrony małoletnich z tzw. ustawy Kamilka. Pamiętaj przy tym, że to dokument systemowy, dotyczący całego podmiotu, opisujący zasady bezpieczeństwa, weryfikacji personelu i reagowania na krzywdzenie wobec wszystkich małoletnich pacjentów i nie zastąpi go zgoda rodzica.
RODO w gabinecie medycznym – zacznij od rozmowy
Jest jedna rzecz, której nie da się obejść – skompletowanie dokumentacji i przeszkolenie personelu. To jednorazowa większa praca, ale musi być dopasowana do tego, jak faktycznie działa Twoja placówka, a nie do uniwersalnego wzoru z Internetu.
Zamiast „doklejać” kolejne pliki, zacznij od krótkiej konsultacji wstępnej. W jej trakcie omówimy, jak pracujesz – stacjonarnie, mobilnie, z dziećmi czy tylko z dorosłymi, solo czy z zespołem – i na tej podstawie ustalimy, jakie dokumenty z obszaru RODO są Ci realnie potrzebne oraz w jakiej kolejności najlepiej je wdrożyć.
Jeśli masz już konkretny problem, np. wątpliwość co do zakresu dokumentacji, pytanie po incydencie z danymi, albo chcesz po prostu zrobić przegląd RODO w swoim gabinecie, możesz od razu umówić się na regularną konsultację. Podczas spotkania przeanalizujemy Twoją sytuację i wskażę Ci brakujące dokumenty, luki w procedurach i kolejne kroki żebyś wiedział/a, co dokładnie zrobić po wylogowaniu się ze spotkania.
Nie czekaj na incydent. Umów konsultację wstępną albo regularną konsultację online – przejrzymy Twoją sytuację krok po kroku i ustalimy plan działania w zakresie RODO w Twoim gabinecie.
