Source: https://www.ispoz.pl/2018/05/01/minimalna-lista-dokumentow-koniecznych-po-wejsciu-w-zycie-rodo/
Timestamp: 2019-07-21 09:32:02+00:00
Document Index: 88923465

Matched Legal Cases: ['art. 25', 'art. 39', 'art. 5', 'art. 24', 'art. 32', 'art. 29', 'art. 30', 'art. 35', 'art. 35', 'art. 9', 'art. 10', 'art. 35', 'art. 35', 'art. 33', 'art. 55', 'art. 27', 'art. 13']

Minimalna lista dokumentów koniecznych po wejściu w życie RODO – ISPOZ
Minimalna lista dokumentów koniecznych po wejściu w życie RODO
W załączeniu na powtarzaną wielokrotnie – podczas szkoleń, spotkań i audytów – prośbę poniżej przedstawiono minimalny wykaz dokumentów, które każda osoba wykonująca działalność leczniczą powinna posiadać po wejściu w życie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (zwanego dalej RODO). Już w tym miejscu należy podkreślić, że nie jest to pełna lista, gdyż każda placówka i każdy gabinet ma inną sytuację i musi ją samodzielnie ocenić w kontekście wchodzącego w dniu 25 maja 2018r. RODO.
dokument dot. zasad ochrony danych osobowych w placówce
– obowiązek taki nie został wyrażony wprost ale wskazuje na niego art. 25 ust. 1 i 2 RODO
(1. Uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia wynikające z przetwarzania, administrator – zarówno przy określaniu sposobów przetwarzania, jak i w czasie samego przetwarzania -wdraża odpowiednie środki techniczne i organizacyjne, takie jak pseudonimizacja, zaprojektowane w celu skutecznej realizacji zasad ochrony danych, takich jak minimalizacja danych, oraz w celu nadania przetwarzaniu niezbędnych zabezpieczeń, tak by spełnić wymogi niniejszego rozporządzenia oraz chronić prawa osób, których dane dotyczą.
– obecnie obowiązek ustawowy art. 39 ustawy o ochronie danych osobowych (zakres ewidencji i treść samych upoważnień)
– w art. 5 ust. RODO nie ma wprost obowiązku, ale ADO ma obowiązek m.in. wykazać, że panuje się nad tym kogo i w jakim zakresie i na jaki czas upoważnia (zasada rozliczalności)
– art. 24 ust. RODO (Uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane).
– art. 32 ust. 4 RODO (Administrator oraz podmiot przetwarzający podejmują działania w celu zapewnienia, by każda osoba fizyczna działająca z upoważnienia administratora lub podmiotu przetwarzającego, która ma dostęp do danych osobowych, przetwarzała je wyłącznie na polecenie administratora, chyba że wymaga tego od niej prawo Unii lub prawo państwa członkowskiego)
– obowiązek z art. 29 RODO (Podmiot przetwarzający oraz każda osoba działająca z upoważnienia administratora lub podmiotu przetwarzającego i mająca dostęp do danych osobowych przetwarzają je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego).
– obowiązek z art. 30 ust. 1 RODO
dokument oceny skutków / ryzyk dla ochrony danych
– obowiązek z art. 35 ust. 1 RODO (Jeżeli dany rodzaj przetwarzania – w szczególności z użyciem nowych technologii – ze względu na swój charakter, zakres, kontekst i cele z dużym prawdopodobieństwem może powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator przed rozpoczęciem przetwarzania dokonuje oceny skutków planowanych operacji przetwarzania dla ochrony danych osobowych. Dla podobnych operacji przetwarzania danych wiążących się z podobnym wysokim ryzykiem można przeprowadzić pojedynczą ocenę)
– obowiązek z art. 35 ust. 3b RODO (Ocena skutków dla ochrony danych, o której mowa w ust. 1, jest wymagana w szczególności w przypadku przetwarzania na dużą skalę szczególnych kategorii danych osobowych, o których mowa w art. 9 ust. 1, lub danych osobowych dotyczących wyroków skazujących i naruszeń prawa, o czym mowa w art. 10).
– od kiedy i w jakim zakresie będzie obowiązywać ustali Prezes UODO na mocy art. 35 ust. 4 (Organ nadzorczy ustanawia i podaje do publicznej wiadomości wykaz rodzajów operacji przetwarzania podlegających wymogowi dokonania oceny skutków dla ochrony danych na mocy ust. 1).
– zakres z art. 35 ust. 7 RODO (Ocena zawiera co najmniej:
d) środki planowane w celu zaradzenia ryzyku, w tym zabezpieczenia oraz środki i mechanizmy bezpieczeństwa mające zapewnić ochronę danych osobowych i wykazać przestrzeganie niniejszego rozporządzenia, z uwzględnieniem praw i prawnie uzasadnionych interesów osób, których dane dotyczą, i innych osób, których sprawa dotyczy).
procedura postępowania w przypadku stwierdzenia naruszenia ochrony danych
+ Rejestr incydentów naruszeń/ Rejestr zgłoszeń
– nie ma wprost obowiązku ale art. 33 RODO wskazuje jakie czynności należy podjąć i jak to wykazać (1. W przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu właściwemu zgodnie z art. 55, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Do zgłoszenia przekazanego organowi nadzorczemu po upływie 72 godzin dołącza się wyjaśnienie przyczyn opóźnienia.
Administrator dokumentuje wszelkie naruszenia ochrony danych osobowych, w tym okoliczności naruszenia ochrony danych osobowych, jego skutki oraz podjęte działania zaradcze. Dokumentacja ta musi pozwolić organowi nadzorczemu weryfikowanie przestrzegania niniejszego artykułu).
Rejestr udostępnień dokumentacji
– obowiązek z ustawy i prawach pacjenta i RPP – art. 27. ust. 4 (Podmiot udzielający świadczeń zdrowotnych prowadzi wykaz zawierający następujące informacje dotyczące udostępnianej dokumentacji medycznej:
6) datę udostępnienia dokumentacji medycznej).
– obowiązek z art. 13 ust. 1 i 2 RODO
Przedstawiony powyżej spis dokumentów nie powinien prowadzić do mylnego wniosku, że samo posiadanie czy stworzenie ww. dokumentów będzie wystarczające po wejściu w życie RODO. Konieczna jest zmiana filozofii ochrony danych u każdego przedsiębiorcy, w tym oczywiście także u lekarzy, lekarzy dentystów, czy innych zawodów w ochronie zdrowia. RODO stanowi, że każdy administrator danych osobowych (ADO) samodzielnie ocenia ryzyko i wdraża u siebie odpowiednie zabezpieczenia i bezpieczny model postępowania.
Konieczne jest moim zdaniem – jeszcze przed sporządzaniem ww. dokumentów przeprowadzenie audytu. Celem audytu jest poznanie przez konkretną osobę zasad funkcjonowania danej placówki i ryzyk. Dopiero po takim audycie – w tym wizycie na miejscu – można myśleć o zaproponowaniu konkretnych dedykowanych konkretnej osobie dodatkowych innych rozwiązań- ponad to, co umieściłem i spisałem w załączonym pliku. Nie istnieje jeden ogólny wzór rozwiązania, choć rozwiązania mogą być – i w wielu przypadkach zapewne będą – zbliżone do siebie przy podobnej skali działania danej placówki czy danego lekarza.
Na koniec należy podkreślić, że zapewnienie zgodności działania z zasadami RODO jest i będzie działaniem ciągłym – samo sporządzenie dokumentacji jest dobrym początkiem, zaś ewentualne ustanowienie Inspektora Ochrony Danych Osobowych (IODO) finałem wdrożenia RODO. Nieodzowne wydaje się także przeszkolenie pracowników w każdym podmiocie podczas wdrożenia, a później – już po wejściu w życie RODO- konieczny będzie stałe monitorowanie zagrożeń.
Gdańsk, dnia 01 maja 2018r.
Karol Kolankiewicz – Lider Fundacji Instytut Specjaliści Prawa Ochrony Zdrowia, adwokat, specjalista prawa ochrony zdrowia
previousNowe standardy opieki okołoporodowej – wiele hałasu o….nic?
nextMonitoring w miejscu pracy