Polityka RODO w gabinecie lekarskim

Polityka RODO w gabinecie lekarskim w Polsce to dokument wewnętrzny podmiotu leczniczego, określający zasady przetwarzania danych osobowych pacjentów, personelu medycznego i kontrahentów, zgodny z rozporządzeniem (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) i ustawą z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 ze zm., dalej: u.o.d.o.) oraz ustawą z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. 2009 nr 52 poz. 417 ze zm.). Każdy podmiot leczniczy — szpital, prywatna przychodnia, gabinet specjalistyczny, gabinet stomatologiczny, praktyka lekarska, gabinet fizjoterapeutyczny, laboratorium diagnostyczne — jest administratorem danych osobowych i danych zdrowotnych swoich pacjentów, a zatem podlega obowiązkom wynikającym z RODO.

Dane zdrowotne pacjentów stanowią szczególną kategorię danych osobowych (art. 9 ust. 1 RODO) i podlegają podwyższonej ochronie. Ich przetwarzanie przez podmioty lecznicze jest dopuszczalne na podstawie art. 9 ust. 2 lit. h RODO — przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub leczenia. W Polsce dodatkową podstawę dostarcza art. 3 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, który wyłącza stosowanie art. 9 ust. 1 RODO w zakresie danych dotyczących zdrowia, przetwarzanych przez podmioty zobowiązane do zachowania tajemnicy zawodowej (lekarzy, pielęgniarki, fizjoterapeutów).

Polski organ nadzorczy właściwy ds. ochrony danych osobowych to Prezes Urzędu Ochrony Danych Osobowych (PUODO) z siedzibą przy ul. Stawki 2 w Warszawie. PUODO może przeprowadzać kontrole podmiotów leczniczych, nakładać administracyjne kary pieniężne (do 20 mln EUR lub 4% rocznego obrotu globalnego) i wydawać decyzje nakazujące zmianę sposobu przetwarzania danych.

Polityka RODO w gabinecie lekarskim służy realizacji kilku kluczowych celów: spełnieniu obowiązku dokumentacyjnego z art. 24 RODO (wykazanie zgodności z RODO — zasada rozliczalności), zapewnieniu pracownikom wytycznych co do prawidłowego przetwarzania danych pacjentów, podstawie do szkoleń personelu medycznego i administracyjnego, a także informacji dla pacjentów o sposobie przetwarzania ich danych medycznych. Polityka musi być aktualizowana co najmniej raz w roku lub każdorazowo po istotnej zmianie przepisów lub sposobu działania podmiotu leczniczego.

Polityka RODO jest ściśle powiązana z innymi dokumentami systemu ochrony danych w podmiocie leczniczym: rejestrem czynności przetwarzania (art. 30 RODO), klauzulami informacyjnymi przekazywanymi pacjentom przy pierwszej wizycie (art. 13 RODO), umowami powierzenia przetwarzania zawieranymi z laboratoriami, dostawcami oprogramowania medycznego i inymi procesorami (art. 28 RODO) oraz upoważnieniami dla pracowników i personelu medycznego do przetwarzania danych zdrowotnych (art. 29 RODO).

Polityka RODO w gabinecie lekarskim w Polsce jest obowiązkiem każdego podmiotu leczniczego przetwarzającego dane osobowe i zdrowotne pacjentów — niezależnie od wielkości i formy organizacyjno-prawnej.

Otwarcie nowego gabinetu lub podmiotu leczniczego. Każdy nowo otwierający się gabinet lekarki lub podmiot leczniczy musi przed przyjęciem pierwszego pacjenta opracować i wdrożyć politykę ochrony danych osobowych. Rejestracja w RPWDL bez wdrożenia RODO naraża podmiot na kontrolę PUODO i sankcje.

Audit zgodności z RODO. Istniejące gabinety i podmioty lecznicze powinny regularnie (co najmniej raz na rok) aktualizować politykę ochrony danych. Jeżeli gabinet nie posiada żadnej dokumentacji RODO — opracowanie polityki jest bezwzględnym priorytetem.

Zmiana zakresu działalności. Rozszerzenie usług (np. dodanie diagnostyki laboratoryjnej, telemedycyny, psychiatrii lub leczenia uzależnień) wiąże się z nowymi kategoriami danych i wymaga aktualizacji polityki.

Wdrożenie systemu Elektronicznej Dokumentacji Medycznej (EDM). Od 2021 r. prowadzenie dokumentacji medycznej w formie elektronicznej jest obowiązkowe. Wdrożenie EDM wymaga umowy powierzenia przetwarzania z dostawcą oprogramowania (art. 28 RODO) i aktualizacji polityki.

Wyznaczenie Inspektora Ochrony Danych (IOD). Publiczne podmioty lecznicze i duże prywatne, przetwarzające dane na dużą skalę, są zobowiązane do wyznaczenia IOD (art. 37 RODO). Wyznaczenie IOD powinno być odzwierciedlone w polityce.

Skargi pacjentów lub kontrola PUODO. Skarga pacjenta złożona do PUODO lub wszczęcie kontroli PUODO wymaga niezwłocznego przeglądu i aktualizacji polityki, aby wykazać zgodność z RODO.

Szkolenie nowego personelu medycznego. Polityka RODO stanowi podstawę szkoleń personelu medycznego i administracyjnego dotyczących zasad ochrony danych zdrowotnych pacjentów i obowiązku zachowania tajemnicy lekarskiej.

Polityka RODO w gabinecie lekarskim w Polsce powinna zawierać następujące kluczowe elementy, zapewniające jej zgodność z RODO i polskim prawem medycznym.

Dane administratora danych. Pełna nazwa i adres podmiotu leczniczego (administratora danych), NIP, numer RPWDL, dane kontaktowe ds. ochrony danych (e-mail, adres, telefon) oraz dane Inspektora Ochrony Danych (IOD), jeżeli został wyznaczony (art. 37 RODO). Dane administratora muszą być zgodne z wpisem do RPWDL.

Kategorie danych i podstawy prawne. Wyliczenie kategorii przetwarzanych danych: dane zwykłe (identyfikacyjne, adresowe, kontaktowe) i dane szczególnej kategorii — dane zdrowotne (art. 9 ust. 1 RODO). Dla każdej kategorii wskazanie podstawy prawnej: dla danych zdrowotnych — art. 9 ust. 2 lit. h RODO w związku z art. 3 ust. 1 u.o.d.o.; dla danych identyfikacyjnych i kontaktowych — art. 6 ust. 1 lit. b RODO (wykonanie umowy) lub art. 6 ust. 1 lit. c RODO (obowiązek prawny — dokumentacja medyczna).

Cele przetwarzania. Szczegółowe wyliczenie celów: udzielanie świadczeń zdrowotnych i prowadzenie dokumentacji medycznej, wystawianie recept i skierowań, rozliczenia z Narodowym Funduszem Zdrowia (NFZ), prowadzenie statystyki medycznej, spełnienie obowiązków prawnych wobec Zakładu Ubezpieczeń Społecznych (ZUS), ochrona mienia i bezpieczeństwo (monitoring, jeśli stosowany).

Okresy przechowywania dokumentacji medycznej. Konkretne terminy zgodnie z art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta: 20 lat (zasada ogólna), 22 lata (dzieci do 2 lat), 30 lat (zgon z powodu uszkodzenia ciała, krew i jej składniki). forms-legal.com podkreśla, że zbyt krótkie okresy przechowywania naruszają prawo, a zbyt długie — zasadę minimalizacji przechowywania z art. 5 ust. 1 lit. e RODO.

Prawa osób, których dane dotyczą. Opis praw pacjentów (art. 15-22 RODO): dostępu, sprostowania, usunięcia (z zastrzeżeniem obowiązku dokumentacyjnego), ograniczenia przetwarzania, przenoszenia, sprzeciwu, niepodlegania zautomatyzowanym decyzjom. Tryb realizacji wniosków i terminy (1 miesiąc, z możliwością przedłużenia o 2 miesiące).

Odbiorcy danych. Kategorie podmiotów, którym dane są udostępniane: laboratoria, podmioty lecznicze przyjmujące skierowania, NFZ, ZUS, towarzystwa ubezpieczeniowe (za zgodą pacjenta), organy państwowe (na podstawie przepisów prawa). Dostawcy systemów IT i oprogramowania medycznego — jako podmioty przetwarzające na podstawie umów z art. 28 RODO.

Bezpieczeństwo danych. Środki techniczne i organizacyjne (art. 32 RODO): szyfrowanie danych, pseudonimizacja, kontrola dostępu, szkolenia personelu, polityka czystego biurka, regularne kopie zapasowe.

Naruszenia ochrony danych. Procedura zgłaszania naruszeń do PUODO (w terminie 72 godzin — art. 33 RODO) i powiadamiania pacjentów (art. 34 RODO). Prowadzenie rejestru naruszeń (art. 33 ust. 5 RODO).

Polityka RODO dla gabinetu lekarskiego w Polsce powinna być opracowywana i wdrażana w następujących krokach.

Krok 1 — oznacz administratora danych. Wpisz pełną nazwę podmiotu leczniczego (administratora danych), adres siedziby, NIP i numer RPWDL. Dane te muszą być zgodne z wpisem do rejestru podmiotów wykonujących działalność leczniczą (RPWDL) prowadzonego przez właściwego wojewodę.

Krok 2 — wyznacz IOD lub potwierdź brak obowiązku. Oceń, czy podmiot jest zobowiązany do wyznaczenia Inspektora Ochrony Danych (IOD) na podstawie art. 37 RODO. Publiczne podmioty lecznicze i podmioty prywatne przetwarzające dane zdrowotne na dużą skalę są zobowiązane do wyznaczenia IOD. Podaj dane IOD lub wyraźnie wskaż, że IOD nie został wyznaczony.

Krok 3 — zidentyfikuj kategorie danych i podstawy prawne. Sporządź wykaz kategorii danych przetwarzanych przez gabinet: dane zwykłe (identyfikacyjne, adresowe, kontaktowe) i dane szczególnej kategorii (dane zdrowotne). Dla każdej kategorii wskaż podstawę prawną przetwarzania: dla danych zdrowotnych — art. 9 ust. 2 lit. h RODO w związku z art. 3 ust. 1 ustawy o ochronie danych osobowych; dla danych kontaktowych — art. 6 ust. 1 lit. b lub c RODO.

Krok 4 — określ okresy przechowywania. Wskaż konkretne terminy przechowywania danych medycznych zgodne z art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Pamiętaj o wyjątkach: dzieci, zgon z powodu urazu lub zatrucia, krew i jej składniki.

Krok 5 — opisz prawa pacjentów. Wymień prawa z art. 15-22 RODO, wskazując tryb i termin realizacji wniosków oraz dane kontaktowe administratora do składania wniosków. Procedura musi być zgodna z art. 12 RODO (1 miesiąc, z możliwością przedłużenia o 2 miesiące).

Krok 6 — zidentyfikuj odbiorców danych. Wymień kategorie podmiotów, którym dane są udostępniane. Dla dostawców IT i laboratoriów sprawdź, czy zawarto umowy powierzenia przetwarzania (art. 28 RODO).

Krok 7 — opisz środki bezpieczeństwa. Wpisz stosowane środki techniczne i organizacyjne (szyfrowanie, pseudonimizacja, kontrola dostępu, szkolenia). Prowadź rejestr czynności przetwarzania (art. 30 RODO) jako odrębny dokument.

Krok 8 — wdróż i zaktualizuj politykę. Data wejścia w życie polityki. Zapewnij szkolenie wszystkich pracowników mających dostęp do danych pacjentów. Przeglądaj i aktualizuj politykę co najmniej raz na rok lub po każdej istotnej zmianie przepisów lub sposobu działalności.

Polityka RODO w gabinecie lekarskim w Polsce podlega złożonym regulacjom prawnym, których naruszenie może skutkować poważnymi sankcjami ze strony Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Rozporządzenie (UE) 2016/679 (RODO) — zasady przetwarzania danych. Art. 5 RODO określa zasady przetwarzania danych: zgodność z prawem, rzetelność i przejrzystość, ograniczenie celu, minimalizacja danych, prawidłowość, ograniczenie przechowywania, integralność i poufność, rozliczalność. Podmiot leczniczy jako administrator danych musi być w stanie wykazać przestrzeganie każdej z tych zasad (art. 24 RODO — zasada rozliczalności).

Dane zdrowotne — art. 9 RODO. Dane zdrowotne są szczególną kategorią danych wymagającą podwyższonej ochrony. Przetwarzanie danych zdrowotnych bez odpowiedniej podstawy prawnej jest zakazane. Dla podmiotów leczniczych kluczową podstawą jest art. 9 ust. 2 lit. h RODO w związku z art. 3 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.

Rejestr czynności przetwarzania — art. 30 RODO. Każdy podmiot leczniczy jest zobowiązany do prowadzenia rejestru czynności przetwarzania zawierającego: dane administratora, cele przetwarzania, kategorie osób i danych, odbiorców, terminy usunięcia danych i opis środków bezpieczeństwa. Obowiązek ten dotyczy wszystkich podmiotów (bez progu liczby pracowników) ze względu na przetwarzanie szczególnych kategorii danych.

Inspektor Ochrony Danych — art. 37 RODO. Publiczne podmioty lecznicze mają bezwzględny obowiązek wyznaczenia IOD. Prywatne podmioty lecznicze przetwarzające dane zdrowotne na dużą skalę — co PUODO i EROD (Europejska Rada Ochrony Danych) interpretują jako regularnie i dużą liczbę pacjentów — są również zobowiązane do wyznaczenia IOD. Małe prywatne gabinety mogą nie mieć takiego obowiązku, jednak wyznaczenie IOD jest zawsze zalecane.

Obowiązek informacyjny — art. 13 RODO. Podmiot leczniczy musi przekazać pacjentowi przy pierwszym kontakcie klauzulę informacyjną (formularz RODO) zawierającą: dane administratora i IOD, cele i podstawy przetwarzania, odbiorców danych, okresy przechowywania, prawa pacjenta (art. 15-22 RODO), informację o prawie do skargi do PUODO.

Naruszenia ochrony danych — art. 33-34 RODO. Wyciek danych medycznych, nieautoryzowany dostęp lub utrata dokumentacji musi być zgłoszona do PUODO w ciągu 72 godzin. Jeżeli naruszenie stwarza wysokie ryzyko dla praw pacjentów — należy ich powiadomić bez zbędnej zwłoki. Brak zgłoszenia grozi karą administracyjną PUODO do 10 mln EUR lub 2% obrotu globalnego.

Administracyjne kary pieniężne PUODO. Na podstawie art. 83 RODO PUODO może nałożyć karę do 10 mln EUR lub 2% obrotu globalnego za naruszenia zasad technicznych i organizacyjnych; do 20 mln EUR lub 4% obrotu globalnego za naruszenia podstawowych zasad przetwarzania (cel, podstawa prawna) lub naruszenia praw osób. Największe kary PUODO nałożył na podmioty lecznicze za naruszenia bezpieczeństwa danych medycznych.

Polityki RODO w gabinetach lekarskich w Polsce są nierzadko sporządzane wadliwie lub w ogóle nie są aktualizowane. Oto najczęstsze błędy.

Błąd 1 — brak lub przeterminowana polityka RODO. Korzystanie z szablonowej polityki RODO pobranej z internetu bez dostosowania do specyfiki gabinetu lub nieprzeprowadzenie aktualizacji od 2018 r. (gdy RODO weszło w życie). Zalecenie: opracuj politykę indywidualnie lub skorzystaj ze wzoru forms-legal.com, dostosowując ją do zakresu działalności gabinetu.

Błąd 2 — błędna podstawa prawna przetwarzania danych zdrowotnych. Wskazanie zgody (art. 6 ust. 1 lit. a lub art. 9 ust. 2 lit. a RODO) jako jedynej podstawy przetwarzania danych zdrowotnych w dokumentacji medycznej jest błędem — dokumentacja medyczna prowadzona jest na podstawie obowiązku prawnego, a nie zgody, co oznacza, że cofnięcie zgody przez pacjenta nie może zablokować prowadzenia dokumentacji. Zalecenie: wskaż art. 9 ust. 2 lit. h RODO (diagnoza i leczenie) jako podstawę.

Błąd 3 — brak rejestru czynności przetwarzania. Prowadzenie działalności leczniczej bez rejestru czynności przetwarzania (art. 30 RODO) narusza obowiązek dokumentacyjny i jest jednym z pierwszych braków stwierdzanych przez PUODO podczas kontroli. Zalecenie: opracuj i aktualizuj rejestr czynności przetwarzania jako odrębny dokument.

Błąd 4 — brak umów powierzenia przetwarzania z dostawcami IT. Korzystanie z oprogramowania medycznego (EDM, systemy zarządzania gabinetem, chmury) bez zawarcia umów powierzenia przetwarzania z art. 28 RODO naraża gabinet na odpowiedzialność za naruszenia bezpieczeństwa po stronie dostawcy. Zalecenie: zawrzyj umowę powierzenia przetwarzania z każdym dostawcą oprogramowania medycznego.

Błąd 5 — brak klauzuli informacyjnej przekazywanej pacjentom. Nieudostępnianie pacjentom klauzuli informacyjnej z art. 13 RODO (np. wbudowanej w formularz rejestracji) narusza obowiązek przejrzystości. Zalecenie: wbuduj klauzulę RODO w formularze rejestracyjne, stronę internetową i umowy z pacjentem.

Błąd 6 — nieaktualizowanie polityki po zmianach prawa. Po nowelizacji przepisów o prawach pacjenta, nowych interpretacjach PUODO lub zmianie zakresu działalności gabinetu polityka musi być aktualizowana. Zalecenie: przeglądaj politykę co najmniej raz w roku i dokumentuj datę przeglądu.

Błąd 7 — brak procedury reagowania na naruszenia. Brak wewnętrznej procedury zgłaszania naruszeń oznacza, że personel nie wie, jak postępować w razie wycieku danych pacjentów. Zalecenie: opracuj procedurę reagowania na naruszenia i przeszkól cały personel mający dostęp do danych medycznych.