Source: https://rpo.lodzkie.pl/blog-rpo/item/2814-webinarium-4-rodo-w-praktyce-ochrona-danych-w-sluzbie-zdrowia-pytania-i-odpowiedzi
Timestamp: 2018-11-17 19:18:49+00:00

Document:
Webinarium #4 RODO w praktyce. Ochrona danych w służbie zdrowia – PYTANIA I ODPOWIEDZI - RPO WŁ 2014-2020
Webinarium #4 RODO w praktyce. Ochrona danych w służbie zdrowia – PYTANIA I ODPOWIEDZI
Nasze webinarium dotyczące RODO w służbie zdrowia wzbudziło duże zainteresowanie. W jego trakcie widzowie zadali szereg nurtujących ich pytań. Odpowiadamy na nie poniżej, a na końcu tego wpisu możecie również obejrzeć pełne nagranie webinaru.
Czy odpis dokumentacji w zakresie udostępnienia danych medycznych jest zawsze odpłatny?
Nie zawsze jest odpłatny. Kwestie opłat uregulowane są w art. 28 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, który przytaczamy poniżej:
3) udostępnienie dokumentacji medycznej na informatycznym nośniku danych - nie może przekraczać 0,0004 - przeciętnego wynagrodzenia w poprzednim kwartale, ogłaszanego przez Prezesa Głównego Urzędu Statystycznego w Dzienniku Urzędowym Rzeczypospolitej Polskiej "Monitor Polski" na podstawie art. 20 pkt 2 ustawy z dnia 17 grudnia 1998 r. o emeryturach i rentach z Funduszu Ubezpieczeń Społecznych, począwszy od pierwszego dnia miesiąca następującego po miesiącu, w którym nastąpiło ogłoszenie.
Odpowiedź została udzielona także podczas webinarium.
W jaki sposób szpital realizuje swój obowiązek udzielenia informacji o danych osobowych?
Odpowiedź na to pytanie znajdziemy w art. 27 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, który przytaczamy poniżej. Obok tak określonego uprawnienia możemy realizować prawo dostępu wynikające z art. 15 RODO, ale to drugie dotyczy bardziej okoliczności przetwarzania danych osobowych niż dokumentacji jako takiej. W ostatnim czasie w tym przedmiocie wypowiedział się Prezes Urzędu Ochrony Danych Osobowych – interpretacja dostępna jest na stronie: https://uodo.gov.pl/pl/138/440
Czy każdy szpital powinien posiadać IDO?
Biorąc pod uwagę art. 37 ust. 1 lit c RODO – odpowiedź brzmi TAK.
Zgodnie z tym przepisem administrator i podmiot przetwarzający wyznaczają inspektora ochrony danych, zawsze gdy główna działalność administratora lub podmiotu przetwarzającego polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9, lub danych osobowych dotyczących wyroków skazujących i czynów zabronionych, o czym mowa w art. 10.
Główna działalność szpitala bez wątpienia polega na przetwarzaniu szczególnych kategorii danych osobowych – danych o stanie zdrowia, więc IOD powinien być wyznaczony.
Co się stanie, jeśli nie wyrażę zgody na przetwarzanie moich danych osobowych przez szpital?
Szpital co do zasady nie przetwarza danych osobowych na podstawie zgody na przetwarzanie, więc po zgodę właściwie w ogóle nie powinien sięgać. Stąd niewyrażenie zgody nie powinno wpływać na sytuację prawną i informacyjną pacjenta
Czy noszenie identyfikatora w szpitalu przez personel szpitala jest konieczne? Każdy może przeczytać moje imię, nazwisko i oddział, na którym pracuję.
Pacjent ma prawo wiedzieć, kto się nim zajmuje. Personel medyczny nie wykonuje swoich działań anonimowo, więc zobowiązania do noszenia identyfikatora nie można traktować w kategoriach naruszenia RODO.
Co z obchodem lekarskim i informacjami na temat zdrowia pacjenta z łóżka obok?
To duży problem – na nieprawidłowości w tym zakresie zwracała uwagę NIK, wskazując na liczne naruszenia prywatności pacjenta i jego sfery informacyjnej. Konsultacje w trakcie obchodu powinny odbywać się w sposób zapewniający poszanowanie praw pacjenta, w tym prawa do prywatności i prawa do ochrony danych osobowych.
Czy członek związków zawodowych w szpitalu (bez funkcji w związku) może być IOD?
Co do zasady RODO nie odnosi się do tej kwestii, nie sposób odpowiedzieć na to pytanie jednoznacznie, bo członkostwo w związku zawodowym nie pozbawia prawa do wykonywania funkcji IOD. Kwestią kluczową jest ustalenie, czy taka osoba ma odpowiednie kwalifikacje i wiedzę, czy jej zadania wykonywane równolegle do zadań IOD nie powodują konfliktu interesów i czy usytuowanie organizacyjne sprawia, że możemy mówić o bezpośredniej podległości kierownikowi szpitala.
Czy przewodniczący związków zawodowych w szpitalu może być IOD (tzw. konflikt interesów)?
Ponownie na to pytanie nie sposób odpowiedzieć jednoznacznie, jednak może być to ryzykowane z punktu widzenia konfliktu interesów powodowanego przez przetwarzanie danych osobowych w związku z pełnieniem funkcji związkowych, a więc de facto decydowanie o celach i sposobach przetwarzania danych. Takie rozwiązanie nie jest rekomendowane.
Czy przy rejestracji mamy prawo pytać pacjenta o imię nazwisko, PESEL i adres? Pacjent ma obowiązek podać te dane?
Tak, mamy prawo o to pytać.
Jak spełnić obowiązek informacyjny w placówce, która przyjmuje ubezwłasnowolnione osoby?
Najbardziej efektywne wydaje się przekazanie informacji opiekunowi prawnemu takiej osoby.

References: art. 28
 art. 20
 art. 27
 art. 15
 art. 37
 art. 9
 art. 10