Source: https://nzozpraktykimedyczne.eu/?page_id=289
Timestamp: 2020-06-06 19:12:58
Legal References Found: art. 5
 art. 40
 art. 6
 art. 96
 art. 13
 art. 9
 art. 9
 art.3
 art. 24
 art. 9
 art. 6
 art. 9
 art. 3
 art. 24
 art. 9
 art. 3
 art. 24
 art. 9
 art. 54
 art. 9
 art. 6
 art. 9
 art. 9
 art. 24
 art. 28
 art. 28
 art. 24
 art. 9
 art. 24
 art. 26
 art. 26
 art. 26
 art. 26
 art. 26
 art. 12
 art. 15
 art. 15
 art. 13
 art. 14
 art. 14
 art. 14
 art. 15
 art. 9
 art. 23
 art. 15
 art. 15
 art. 19
 art. 18
 art. 9
 art. 9
 art. 21
 art. 22
 art. 41
 art. 9
 Art. 25
 Art. 9
 art. 23
 art. 27
 art. 27
 Art. 27
 art. 26
 art. 29
 art. 26
 art. 15
 art. 12
 art. 12
 art. 15
 art. 18
 art. 22

Document Content:
Polityka prywatności – Niepubliczny Zakład Opieki Zdrowotnej Praktyki Medyczne
WERSJA ROBOCZA WYŁACZNIE NA POTRZEBY KONSULTACJI WEWNĘTRZYCH GRUPY INICJATYWNEJ. DOKUMENT NIE STANOWI OFICJALNEGO STANOWISKA KOMITETU STERUJACEGO PRACUJĄCEGO NAD KODEKSEM BRANŻOWYM, ANI JEGO POSZCZEGÓLNYCH CZŁONKÓW. FINALNE ZAPISY PROJEKTU KODEKSU ZOSTANĄ PRZYGOTOWANE I ZAAKCEPTOWANE PRZEZ KOMITET STERUJĄCY PO PRZEPROWADZENIU KONSULTACJI PUBLICZNYCH.
1……… WSTĘP.. 2
2……… DEFINICJE i skróty.. 2
3……… Zakres kodeksu.. 2
4……… podstawowe zasady przetwarzania danych osobowych przez pwdl.. 2
5……… Obowiązki administratora danych w zakresie bezpieczeństwa przetwarzania danych.. 2
6……… prawa pacjentów… 2
Nadrzędnym celem Kodeksu jest zapewnienie adekwatnego poziomu ochrony Pacjentów, w związku z przetwarzaniem ich danych osobowych.
Kodeks postępowania został sporządzony z uwzględnieniem specyfiki funkcjonowania rynku podmiotów wykonujących działalność leczniczą.
Stosowanie Kodeksu postępowania stanowi okoliczność przemawiającą za wywiązywaniem się z obowiązków nałożonych przez Ogólne Rozporządzenie o Ochronie Danych Osobowych (RODO) na administratorów danych oraz podmioty przetwarzające, które działają na rynku podmiotów wykonujących działalność leczniczą. Kodeks służy tym samym realizacji zasady rozliczalności
Kodeks postępowania zawiera zbiór zasad zgodnych z RODO i ustawodawstwem krajowym, w zakresie podnoszenia poziomu ochrony osób fizycznych w związku z przetwarzaniem danych osobowych, obejmujących w szczególności:
Realizację ogólnych zasad przetwarzania danych osobowych wskazanych w art. 5 RODO
pseudonimizację danych osobowych;
informowanie opinii publicznej i osób, których dane dotyczą;
wykonywanie przez osoby, których dane dotyczą przysługujących im praw;
środki i procedury regulujące obowiązki administratora oraz ochronę danych w fazie projektowania i domyślną ochronę danych;
środki i procedury zapewniające bezpieczeństwo przetwarzania;
zgłaszanie organowi nadzorczemu naruszeń ochrony danych osobowych oraz zawiadamianie o takich naruszeniach osoby, których dane dotyczą.
Mając na uwadze specyfikę działalności poszczególnych podmiotów wykonujących działalność leczniczą oraz różnice w zakresie uwarunkowań, skali działalności i profili ryzyka, szczegółowe działania w zakresie ochrony danych osobowych mogą być realizowane odmiennie przy zachowaniu podstawowych wymagań opisanych w niniejszym Kodeksie postępowania oraz zgodnych z wymaganiami RODO.
Podmiotami tworzącymi kodeks w rozumieniu art. 40 RODO są Polska Federacja Szpitali, Fundacja Telemedyczna Grupa Robocza, Pracodawcy Medycyny Prywatnej, Konfederacja Lewiatan, Polska Izba Informatyki i Telekomunikacji, Federacja Związków Pracodawców Ochrony Zdrowia Porozumienie Zielonogórskie
Kodeks postępowania powstawał przy aktywnym udziale m.in.:
strony publicznej – Centrum Systemów Informacyjnych Ochrony Zdrowia, Ministerstwo Zdrowia, Centrum Monitorowania Jakości w Ochronie Zdrowia
podmiotów wspierających – Województwo Wielkopolskie, Naczelna Izba Pielęgniarek i Położnych, Fundacja My Pacjenci, Fundacja Urszuli Jaworskiej, , Naczelna Izba Aptekarska, Krajowa Izba Diagnostów Laboratoryjnych, Krajowa Rada Fizjoterapeutów, Gdański Uniwersytet Medyczny, Kancelaria Domański Zakrzewski Palinka.
Mając na uwadze znaczenie Kodeksu postępowania dla ochrony osób fizycznych w związku z przetwarzaniem danych osobowych w działalności polskiego rynku podmiotów wykonujących działalność leczniczą, podmioty opracowujące Kodeks deklarują współpracę na rzecz:
podnoszenia poziomu ochrony danych osobowych w działalności polskiego rynku podmiotów wykonujących działalność leczniczą,
upowszechniania i jednolitego wdrażania zasad prawnej ochrony danych osobowych,
właściwego reagowania na zmiany w otoczeniu prawnym i instytucjonalnym, a także na oczekiwania i potrzeby Pacjentów, PWDL oraz innych podmiotów zaangażowanych w opracowanie i realizację postanowień Kodeksu – poprzez dokonywanie stosownych zmian lub rozszerzeń zakresu Kodeksu w celu doprecyzowania postanowień RODO
Podmioty opracowujące Kodeks pragną także wyrazić nadzieję, że Kodeks postępowania przyczyni się do skutecznego rozwoju e-zdrowia w Polsce, z zachowaniem właściwych i aktualnych standardów bezpieczeństwa i poufności przetwarzania danych o stanie zdrowia Pacjentów.
PWDL oraz podmioty przetwarzające, które podejmują się stosowania Kodeksu, zobowiązują się do realizowania niezbędnych działań mających na celu zapewnienie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych.
PWDL oraz podmioty przetwarzające, które podejmują się stosowania Kodeksu, przykładają szczególną wagę do zapewnienia bezpieczeństwa przetwarzanych danych osobowych. W podmiotach tych ochronie podlegają w szczególności:
dane przetwarzane w celach zdrowotnych, których przetwarzanie nie wymaga zgody Pacjenta,
dane przetwarzane w celach innych niż zdrowotne, których przetwarzanie nie wymaga zgody Pacjenta,
dane przetwarzane na podstawie zgody Pacjenta w celach marketingowych, w związku z realizacją badań klinicznych lub innych badań naukowych, w związku ze zautomatyzowanym podejmowaniem decyzji w indywidualnych sprawach, przekazywaniem danych osobowych do państwa trzeciego lub innych celach wymagających zgody Pacjenta.
Podmioty, realizując postanowienia Kodeksu, uwzględniają ryzyko naruszenia praw lub wolności osób fizycznych i wdrażają odpowiednie środki techniczne i organizacyjne zapewniające stopień bezpieczeństwa odpowiadający temu ryzyku, między innymi poprzez:
zapewnienie ochrony danych osobowych w oparciu o obowiązujące przepisy prawa i postanowienia Kodeksu,
określenie zasad dostępu, przetwarzania i udostępniania danych osobowych,
minimalizowanie ryzyka w obszarze bezpieczeństwa fizycznego, teleinformatycznego, organizacyjno-prawnego oraz osobowego,
zaangażowanie wszystkich pracowników w ochronę danych osobowych oraz stałe podnoszenie umiejętności i kwalifikacji kadr w tej dziedzinie.
Badanie kliniczne – każde badanie prowadzone z udziałem ludzi w celu odkrycia lub potwierdzenia klinicznych, farmakologicznych, w tym farmakodynamicznych skutków działania jednego lub wielu badanych produktów leczniczych, lub w celu zidentyfikowania działań niepożądanych jednego lub większej liczby badanych produktów leczniczych, lub śledzenia wchłaniania, dystrybucji, metabolizmu i wydalania jednego lub większej liczby badanych produktów leczniczych, mając na względzie ich bezpieczeństwo i skuteczność, a także zaprojektowane i zaplanowane systematyczne badanie prowadzone na ludziach, podjęte w celu weryfikacji bezpieczeństwa lub działania określonego wyrobu medycznego, wyposażenia wyrobu medycznego albo aktywnego wyrobu medycznego do implantacji;
Badanie naukowe – badanie naukowe, którym mowa w recitalu 159 RODO, pojęcie to obejmuje również Badanie kliniczne
Dokumentacja medyczna – dokumentacja medyczna, o której mowa w przepisach ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz wydanych na jej podstawie aktach wykonawczych
Kodeks – niniejszy dokument
Opiekun faktyczny – opiekun faktyczny w rozumieniu ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
Osoba wykonująca zawód medyczny – osoba uprawniona na podstawie odrębnych przepisów do udzielania świadczeń zdrowotnych oraz osoba legitymująca się nabyciem fachowych kwalifikacji do udzielania świadczeń zdrowotnych w określonym zakresie lub w określonej dziedzinie medycyny, w tym m.in. lekarz, lekarz dentysta, pielęgniarka, położna, ratownik medyczny, diagnosta laboratoryjny, technik analityki medycznej i inne osoby wskazane w art. 6a ustawy o diagnostyce laboratoryjnej, farmaceuta, technik farmacji, psycholog, psychoterapeuta, fizjoterapeuta, logopeda, felczer, optometrysta, dietetyk, a także osoby wykonujące inne zawody wskazane w tabeli nr 1 załącznika nr 3 do rozporządzenia Ministra Zdrowia z dnia 20 czerwca 2008 r. w sprawie zakresu niezbędnych informacji gromadzonych przez świadczeniodawców, szczegółowego sposobu rejestrowania tych informacji oraz ich przekazywania podmiotom zobowiązanym do finansowania świadczeń ze środków publicznych
Pacjent – osoba zwracająca się o udzielenie świadczeń zdrowotnych lub korzystającą ze świadczeń zdrowotnych udzielanych przez podmiot udzielający świadczeń zdrowotnych lub osobę wykonującą zawód medyczny;
Podmiot wykonujący działalność leczniczą (PWDL) – podmiot leczniczy oraz lekarz lub pielęgniarka wykonujący zawód w ramach działalności leczniczej jako praktykę zawodową, o których mowa w przepisach ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej;
Przedstawiciel ustawowy – osoba umocowana do działania w cudzym imieniu na podstawie ustawy zgodnie z art. 96 k.c.
Jeżeli w treści dokumentu nie wskazano inaczej, terminom pisanym wielką literą, które nie zostały zdefiniowane powyżej należy przypisać znaczenie nadane im w przepisach RODO.
[Sekcja do uzupełnienia na późniejszym etapie]
3.1. Kryterium podmiotowe stosowania Kodeksu
3.1.1. Biorąc pod uwagę motywy powstania niniejszego Kodeksu, które opisane zostały w punkcie 1 dokumentu, intencją podmiotów tworzących jest aby zakresem jego zastosowania były objęte wszystkie PWDL, bez względu na[1]:
1.1.1. formę prawną prowadzenia działalności;
1.1.2.Strukturę właścicielską i podmiot tworzący;);
1.1.3. uczestnictwo w systemie opieki zdrowotnej finansowanym ze środków publicznych
1.1.3. zakres i rodzaj prowadzonej działalności leczniczej;
1.2. Zapisy kodeksu mają również zastosowanie do podmiotów przetwarzających, które przetwarzają na zlecenie PWLD dane osobowe pozyskane w celu prowadzenia działalności leczniczej
1.3. Z zastrzeżeniem pkt. 3.1.2. Kodeks nie reguluje zasad przetwarzania danych przez. podmioty niebędące PWDL np. podmioty z branży lifestyle/fitness/ dietetycznej itp., nawet jeżeli podmioty te przetwarzają dane o stanie zdrowia.
3.2. Kryterium przedmiotowe stosowania Kodeksu
3.2.1. Kodeks zbudowany jest wokół poszczególnych procesów związanych z przetwarzaniem danych osobowych Pacjentów, do których dochodzi w podmiotach wykonujących działalność leczniczą oraz wyznacza minimalne wymogi z nimi związane. Kodeks reguluje następujące procesy przetwarzania danych osobowych Pacjentów:
3.2.1.1.przetwarzanie danych w związku z prowadzoną działalnością leczniczą (zazwyczaj na podstawie RODO w związku z przepisem ustawy, bez konieczności uzyskania osobnej zgody na przetwarzanie)
3.2.1.2.przetwarzanie danych w innych celach (zazwyczaj na podstawie zgody Pacjenta)
podstawowe zasady przetwarzania danych osobowych przez pwdl
4.1. Podstawy przetwarzania danych
Podstawą prawną przetwarzania danych osobowych Pacjentów przez podmioty wykonujące działalność leczniczą są bezpośrednio właściwe przepisy RODO pozostające w związku z przepisami krajowego prawa medycznego[2]. W przypadku realizacji praw wskazanych w art. 13, 14 oraz 15 RODO, Administrator danych w odniesieniu do podstawy prawnej przetwarzania podaje co najmniej przepis RODO i nazwę aktu prawnego na poziomie ustawy[3], określonego w szczególności w pkt. 4.1.4 i 4.1.5.
9 ust. 2 lit h) RODO, który wymienia cele zdrowotne przetwarzania[4] oraz
Dane osobowe Pacjenta mogą być także przetwarzane na podstawie zgody, o której mowa w art. 9 ust. 2 lit a), a także na podstawie przesłanek wskazanych w pkt 4.3.1. Kodeksu.
Przepisy RODO określają katalog celów uzasadniających przetwarzanie danych przez PWDL bez konieczności uzyskania zgody Pacjenta, co uzasadnione jest ochroną innych praw podstawowych Pacjenta.
Nie jest wymagana zgoda Pacjenta jeżeli przetwarzanie jego danych osobowych jest niezbędne do realizacji celów zdrowotnych przetwarzania, czyli:
profilaktyki zdrowotnej,.:
Cel ten obejmuje m.in. przetwarzanie związane z procesem informowania Pacjenta o możliwości udzielenia świadczenia, w tym przesyłanie zaproszeń na badania przesiewowe, zaproszeń na wykonanie szczepień, przekazywanie materiałów edukacyjnych, przekazywanie informacji o wydarzeniach prozdrowotnych.
Przetwarzanie danych osobowych Pacjenta do celów profilaktyki zdrowotnej jest niezbędne tylko wtedy, jeżeli jest uzasadnione stanem zdrowia Pacjenta lub czynnikami ryzyka lub rokowaniami co do niego zawartymi w dokumentacji medycznej, którą dysponuje PWDL;
Przetwarzanie danych w celu profilaktyki zdrowotnej odbywa się zwykle na podstawie art. 9 ust. 2 lit h) RODO w związku z art.3 ust. 2 ustawy o działalności leczniczej oraz art. 24 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
ce ten obejmuje w szczególności przetwarzanie związane z procesem realizacji zadań służby medycyny pracy, w tym badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne są wykonywane na podstawie pisemnej umowy zawartej przez pracodawcę z podstawową jednostką służby medycyny pracy;
Przetwarzanie danych w tym celu odbywa się zwykle na podstawie art. 9 ust. 2 lit h) RODO w związku z art. 6 i 11 ustawy o służbie medycyny pracy.
Przetwarzanie danych w tym celu odbywa się zwykle na podstawie art. 9 ust. 2 lit h) RODO w związku z art. 3 ust. 1 ustawy o działalności leczniczej oraz art. 24 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
cel ten obejmujem.in. w szczególności .przetwarzanie związane z:
rejestracją Pacjenta w PWDL,
zapewnieniem ciągłości opieki zdrowotnej, w tym w procesie koordynacji udzielania świadczeń, co może obejmować m.in. przypomnienie o terminie realizacji świadczenia zdrowotnego, potwierdzenie wizyty, odwołanie wizyty, poinformowanie o zmianach organizacyjnych w PWDL, które mają wpływ na udzielenie oczekiwanego świadczenia,
pozyskiwaniem informacji zarządczych/ zarządzaniem podmiotem wykonującym działalnością leczniczą;
Wymianą informacji o stanie zdrowia pacjenta pomiędzy różnymi PWDL w celu zapewnia ciągłości opieki zdrowotnej;
Przetwarzanie danych w tym celu odbywa się zwykle na podstawie art. 9 ust. 2 lit h) RODO w związku z art. 3 ust. 1 ustawy o działalności leczniczej art. 24 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
zapewnienia zabezpieczenia społecznego oraz zarządzania systemami i usługami zabezpieczenia społecznego,
cel ten obejmuje w szczególności przetwarzanie związane procesem wystawiania zaświadczeń lekarskich[5] oraz wykonywania zadań przez lekarzy orzeczników określonych w innych ustawach;
Przetwarzanie danych w tym celu odbywa się na podstawie art. 9 ust. 2 lit h) RODO w zwykle w związku z art. 54 ustawy o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa lub innych właściwych przepisów z zakresu prawa ubezpieczeń społecznych.
Do przetwarzania danych dotyczących zdrowia w celach medycznych upoważnione są osoby, o których mowa w art. 9 ust. 3 RODO. Osobami tymi będą osoby wskazane w pkt. 4.7. Kodeksu.
Przetwarzanie danych w celach innych niż zdrowotne (niewymagające zgody Pacjenta)
Dane osobowe pacjenta, mogą być przetwarzane przez PWDL nie wymagając Pacjenta także w innych wskazanych w RODO celach, w szczególności w celach określonych w art. 6 ust. 1 lit. b) – f) lub art. 9 ust. 2 lit. c), f), g), i), j)[6].
Przetwarzane przez PWDL dane osobowe Pacjenta muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów w jakich są przetwarzane
Z zastrzeżeniem pkt poprzedniego, PWDL przetwarzając dane osobowe w celach zdrowotnych może potencjalnie przetwarzać zakres danych osobowych wykraczający poza minimalny zakres danych obowiązkowo zawartych w dokumentacji medycznej zgodnie z przepisami prawa polskiego[7]. Na przykład zazwyczaj adekwatne do celów zdrowotnych jest gromadzenie danych takich jak e-mail, czy telefon mimo że nie wchodzą w minimalny, wymagany ustawowo zakres danych zawartych w dokumentacji medycznej[8].
Zakwalifikowanie przetwarzanych przez PWDL danych osobowych Pacjenta jako niestanowiących dokumentacji medycznej, np. danych zawartych w dokumentacji rozliczeniowej, raportach zarządczych[9], ankietach ds. jakości itp. nie przesądza o możliwości ich przetwarzania zgodnie z pkt. 4.2.2 Kodeksu.
Przetwarzanie danych na podstawie zgody pacjenta w praktyce funkcjonowania PWDL może mieć niekiedy miejsce w przypadku braku innych podstaw prawnych przetwarzania w szczególności w następujących sytuacjach[10]:
Przetwarzanie danych prowadzone jest w celu marketingowym PWDL, przy czym za takie przetwarzanie danych nie uznaje się przetwarzania służącego bezpośrednio realizacji celów zdrowotnych wskazanych w art. 9 ust. 2 lit h) RODO, nawet jeżeli skutkiem tego przetwarzania jest zwiększenie popytu na usługi świadczone przez PWDL.
Przetwarzanie danych realizowane jest w związku z realizacją Badan klinicznych[11], przy czym zgody nie będzie wymagało przetwarzanie przez PWDL danych na potrzeby udzielania świadczeń opieki zdrowotnej na rzecz pacjenta będącego uczestnikiem badania klinicznego (np. leczenie skutków działań niepożądanych, leczenie towarzyszące itp.)
Przetwarzanie danych Pacjenta dokonywane jest przez PWDL w celu realizacji innych Badań naukowych.
Przetwarzanie danych osobowych odbywa się w związku ze zautomatyzowanym podejmowaniem decyzji w indywidualnych sprawach, przekazywaniem danych osobowych do państwa trzeciego, o ile administrator danych nie posiada innej podstawy prawnej przetwarzania danych osobowych pacjentów zgodnie z RODO.
W przypadku, gdy podstawą przetwarzania danych osobowych ma być zgoda Pacjenta, zgoda powinna zostać wyrażona poprzez złożenie oświadczenia woli w formie ustnej lub pisemnej lub poprzez wyraźne działanie, w tym poprzez zaznaczenie okienka wyboru na formularzu lub w systemie informatycznym, przy którym są wskazane treści zgód.[12].
Poprzez wyraźne działanie rozumie się, w szczególności, wybór przez podmiot danych określonych ustawień technicznych w systemie informatycznym, przekazanie danych osobowych przez podmiot danych w celu uzyskania odpowiedzi na zapytanie, wrzucenie wizytówki do wyznaczonego pojemnika w celu wzięcia udziału w losowaniu.
Zapytanie o zgodę powinno być sformułowane w jasny i przejrzysty sposób oraz odrębnie w odniesieniu do poszczególnych celów przetwarzania danych osobowych.
Relacja pomiędzy Pacjentem, a osobą wykonującą zawód medyczny/ PWDL ma charakter niesymetryczny i jest oparta na zaufaniu, zatem PWDL i jego personel zobowiązany jest do zapewnienia, że udzielona zgoda na przetwarzanie danych osobowych nie jest wyrażona na skutek błędu, przymusu, czy groźby. Pacjent powinien uzyskać informację, jakie są konsekwencje niewyrażenia zgody na przetwarzanie danych na cele dodatkowe, w szczególności, że nie będzie to mieć wpływu na możliwość uzyskania świadczeń zdrowotnych i ich jakość.
Pacjent ma prawo wycofać zgodę w każdym momencie. Wycofanie zgody powinno następować w równie prosty sposób, jak jej wyrażenie. Wycofanie zgody może nastąpić, w szczególności, w formie ustnej lub pisemnej, zaznaczenie okienka wyboru na formularzu lub w systemie informatycznym, przy którym są wskazane treści zgód lub poprzez wybór przez podmiot danych określonych ustawień technicznych w systemie informatycznym, w zależności od rozwiązań przyjętych przez Administratora danych osobowych.
W związku z obowiązkiem zachowania zasady rozliczalności przez administratora danych, za przestrzeganie ww. zasady w odniesieniu do przetwarzania danych osobowych na podstawie zgody podmiotu danych należy uznać, w szczególności: archiwizowanie pisemnych oświadczeń woli podmiotów danych[13], rejestrowanie rozmów telefonicznych lub posiadanie skryptów rozmów telefonicznych, dokonywanie kopii zapasowych (back-up’ów lub zrzutów z ekranu), odznaczenie odpowiednich symboli (tick’ów) w bazach danych, posiadanie stosownych polityk i procedur wewnętrznych oraz notatek z przebiegu spotkań.
Klauzula zgody na przetwarzanie danych osobowych powinna zawierać co najmniej nazwę i adres administratora danych oraz cel (cele), w jakich administrator danych będzie przetwarzać dane osobowe. Klauzula zgody może zawierać dodatkowe elementy
Przykładowy wzór zgody na przetwarzanie danych osobowych stanowi załącznik X do Kodeksu
Administratorem danych osobowych pacjentów przetwarzanych zgodnie z pkt. 4.1. Kodeksu jest PWDL
Z zastrzeżeniem pkt. 4.6.3. każdy PWDL jest administratorem danych pacjentów, których dane przetwarza w celach zdrowotnych. Oznacza to w szczególności, że nie jest zasadne na potrzeby realizacji celów zdrowotnych zawieranie z tym podmiotem jako przetwarzającym umowy powierzenia przetwarzania danych osobowych udostępnianych np. przez:
Pracodawcę udostępniającego dane osobowe pracowników w celu objęcia ich opieką medyczną bez względu na okoliczność, czy opieka ta dotyczy świadczeń zdrowotnych z zakresu medycyny pracy, czy wykracza ona poza ten zakres.
Organizatora udzielania świadczeń zdrowotnych lub zakład ubezpieczeń
Inny PWDL udostępniający dane na potrzeby zachowania ciągłości usług medycznych, w tym ramach podwykonawstwa udzielania świadczeń, w tym wykonywania badań diagnostyki laboratoryjnej i obrazowej [14];
Pomimo przetwarzania danych pacjentów w celach zdrowotnych, PWDL nie może być zakwalifikowany jako administrator danych tych pacjentów, jeżeli nie jest prawnie obowiązany do prowadzenia przechowania i udostępniania dokumentacji medycznej, a także zapewnienia ochrony danych zawartych w tej dokumentacji, w sposób określony w art. 24 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta we własnym imieniu i na własny rachunek, lecz działa na rzecz innego PWDL. W szczególności administratorem danych osobowych Pacjentów nie jest osoba wykonująca zawód medyczny, prowadząca jednoosobową działalność gospodarczą, pozostająca w stosunku prawnym z innym PWDL, w zakresie w jakim wykonuje swoje zadania w ramach działalności leczniczej prowadzonej przez ten PWDL w miejscu pobytu Pacjenta, w tym:
indywidualna praktyka lekarska wyłącznie w zakładzie leczniczym na podstawie umowy z podmiotem leczniczym prowadzącym ten zakład oraz
indywidualna specjalistyczna praktyka lekarska wyłącznie w zakładzie leczniczym na podstawie umowy z podmiotem leczniczym prowadzącym ten zakład oraz
indywidualna praktyka pielęgniarki wyłącznie w zakładzie leczniczym na podstawie umowy z podmiotem leczniczym prowadzącym ten zakład oraz
indywidualna specjalistyczna praktyka pielęgniarki wyłącznie w zakładzie leczniczym na podstawie umowy z podmiotem leczniczym prowadzącym ten zakład.
PWDL w formie indywidualnej praktyki lekarskiej lub pielęgniarskiej, w odniesieniu do danych pacjentów przetwarzanych w związku z prowadzeniem działalności leczniczej w zakładzie innego podmiotu leczniczego.
Z podmiotami wskazanymi w pkt. 4.6.3 wykonującymi zawód medyczny, w tym w ramach praktyk zawodowych PWDL będący administratorem danych na rzecz którego działają, nie jest zobowiązany zawierać umowy powierzenia przetwarzania, o której mowa w art. 28 RODO. [15]
Z PWDL innych niż określone w pkt. 4.6.4., udostępniającymi zatrudniony przez siebie personel medyczny na potrzeby udzielania świadczeń zdrowotnych w ramach innych PWDL w miejscu pobytu Pacjenta, podmioty te zobowiązane są do zawarcie umowy powierzenia przetwarzania, o której mowa w art. 28 RODO.
Do przetwarzania danych osobowych Pacjentów zawartych w szczególności w dokumentacji medycznej w ramach działalności PWDL uprawnione są :
W odniesieniu do osób wykonujących zawody medyczne PWDL stosuje następujące zasady przetwarzania:
Zakres przetwarzanych danych powinien być niezbędny do wykonywania zawodu medycznego, w szczególności do udzielania świadczeń opieki zdrowotnej lub musi być powiązany choćby z potencjalną możliwością udzielania świadczeń opieki zdrowotnej.
Osoba wykonująca zawód medyczny przetwarzająca dane w ramach czynności wykraczających poza wykonywanie zawodu medycznego powinna w tym zakresie uzyskać upoważnienie administratora danych wskazane w art. 24 ust. 2 pkt. 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta
Osoby wskazane w pkt. 4.7.1.2. przetwarzające dane wskazane w art. 9 ust. 1 RODO, w szczególności dane zawarte w dokumentacji medycznej przetwarzają te dane na podstawie upoważnienia, o który mowa w art. 24 ust. 2 pkt. 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
Zakres danych wskazanych w upoważnieniu powinien być niezbędny do realizacji wykonywanych obowiązków pracownika (lub osoby świadczącej pracę na innej podstawie) i jego roli w pracy PWDL. Upoważnienie może być udzielone wyłącznie w celu wykonywania własnych obowiązków zawodowych pracownika (lub osoby świadczącej pracę na innej podstawie), nie w ramach upoważnienia zbiorczego[16].
Upoważnienie musi zawierać następujące elementy:
Jednoznaczną identyfikację osoby, której jest udzielane;
Jednoznaczne określenie zakresu i celu przetwarzania danych w ramach upoważnienia, co może być dokonane w szczególności poprzez wskazanie umowy będącej podstawą współpracy z PWDL
Wskazywać na okres obowiązywania poprzez oznaczenie konkretnego warunku lub terminu[17], w szczególności poprzez odwołanie się do okresu obwiązywania umowy będącej podstawą współpracy z PWDL.
Udostępnianie danych osobowych Pacjenta zawartych w dokumentacji medycznej zgodnie z art. 26 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta
Z zastrzeżeniem pkt. 6.5. Dane osobowe pacjenta zawarte w dokumentacji medycznej są udostępniane zazwyczaj na zasadach i w sposób określony w przepisach art. 26 i 27 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz w przepisach rozporządzeń wykonawczych wydanych na podstawie tej ustawy..
Podmiot, któremu udostępniane są dane osobowe Pacjenta w sposób wskazany w powyższym punktach, jest ich administratorem[18].
PWDL może udostępniać dane osobowe Pacjenta zawarte w dokumentacji medycznej zgodnie z art. 26 ust 3 pkt 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta również za pośrednictwem platform wymiany danych przy wsparciu podmiotów świadczących usługę prowadzenia repozytorium pod warunkiem spełnienia odpowiednich środków bezpieczeństwa, w tym również zawarcia, jeśli charakter świadczonych usług tego wymaga, umowy powierzenia przetwarzania danych osobowych z podmiotami pośredniczącymi w wymianie danych[19].
W przypadku udostępniania Pacjentowi informacji zawartych w dokumentacji medycznej dotyczących pojedynczego świadczenia zdrowotnego, PWDL może taką informację (w szczególności wynik badania lub konsultacji) udostępnić na podstawie indywidualnego numeru tego świadczenia (przekazanego wyłącznie samemu Pacjentowi lub Pacjentowi oraz PWDL wystawiającemu skierowanie). Udostępnianie informacji w wyżej wskazany sposób następuje w szczególności przy dostępie online lub przy wykorzystaniu stanowisk odbioru wyników badań (wynikomatów). Zastosowanie wyżej wskazanej metody udostępniania wymaga poinformowania Pacjenta o takiej możliwości oraz konsekwencjach przekazania indywidualnego numeru świadczenia osobie trzeciej. W przypadku udostępnienia danych z wykorzystaniem indywidualnego numeru świadczenia domniemywa się, że udostepnienie nastąpiło Pacjentowi.
Upoważnienie, o którym mowa w art. 26 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta:
Może być udzielone w dowolnej formie[20];
Upoważnienie złożone w jednym PWDL zachowuje moc w innym PWDL, chyba że coś innego wynika z treści upoważnienia;
PWDL zobowiązany jest do ustalenia tożsamości Pacjenta, osoby udzielającej upoważnienia oraz osoby uzyskującej dostęp do dokumentacji medycznej na podstawie upoważnienia. Do ustalenia tożsamości osób wskazanych w punkcie poprzednim przepisy pkt. 6.2. Kodeksu stosuje się odpowiednio.
W załączniku X do Kodeksu wskazano:
Przykładowy katalog danych osobowych, które jednoznacznie identyfikują osoby wskazane w pkt. 4.8.4.3.
Przykładową treść upoważnienia, o którym mowa w art. 26 ust. 1 zgodą z przepisami obowiązującego prawa.
Obowiązki administratora danych w zakresie bezpieczeństwa przetwarzania danych
Ogólne zasady dotyczące realizacji praw pacjentów jako podmiotów danych
Wszelką komunikację z Pacjentem w zakresie realizacji jego Praw jako podmiotu danych PWDL prowadzi:
w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem;
w formie pisemnej, ustnej lub elektronicznej;
w terminach określonych w art. 12 ust. 3 i 12 ust. 4 RODO;
W przypadku, w którym Pacjent nie posługuje się językiem polskim, PWDL – w miarę możliwości finansowych i organizacyjnych oraz przy uwzględnieniu dostępności tłumaczy danego języka – może podjąć działania w celu zapewnienia Pacjentowi możliwości otrzymania informacji również w języku znanym Pacjentowi.
Wszelką komunikację z Pacjentem w zakresie realizacji jego praw jako podmiotu danych należy podejmować po ustaleniu tożsamości Pacjenta na zasadach określonych w punkcie […] Kodeksu.
Komunikacja z Pacjentem w zakresie realizacji jego praw jako podmiotu danych jest wolna od opłat.
W przypadku żądań Pacjenta podejmowanych na podstawie art. 15-22 RODO ewidentnie nieuzasadnionych lub nadmiernych, w szczególności ze względu na swój ustawiczny charakter, PWDL może pobrać dodatkową opłatę lub odmówić podjęcia działań. Przy ustaleniu wysokości opłaty uwzględnia się administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań. Opłata może mieć charakter zryczałtowany i być ustalona w formie cennika dostępnego dla Pacjentów.
Za ewidentnie nieuzasadnione lub nadmierne żądania Pacjenta które uzasadniają pobranie opłaty dodatkowej bądź odmowę podjęcia działań uznaje się w szczególności skierowane do tego samego PWDL:
żądania o informacje częściej niż raz na 3 miesiące, jeżeli zakres danych przetwarzanych przez PWDL bądź inne okoliczności związane z przetwarzaniem nie ulegały zmianie od czasu złożenia poprzedniego żądania;
żądanie informacji, których udzielenie wymagałoby zaangażowania personelu medycznego i niemedycznego w sposób utrudniający bieżące funkcjonowanie PWDL, przez co rozumie się w szczególności:
żądania, którego spełnienie skutkowałoby koniecznością ograniczenia liczby pacjentów, na rzecz których są udzielane świadczenia przez personel medyczny;
żądania, których spełnienie skutkowałoby koniecznością wydłużenia czasu realizacji innych praw pacjenta, w tym prawa dostępu do dokumentacji medycznej.
6.1.8. PWDL zobowiązany jest do każdorazowego uzasadnienia i podania do wiadomości osoby zgłaszającej żądanie przyczyny pobrania dodatkowej opłaty lub odmowy podjęcia działań poprzez wskazanie dlaczego w jego ocenie żądania są ewidentnie nieuzasadnionych lub nadmiernych
PWDL zobowiązany jest do zweryfikowania tożsamości Pacjenta przed:
utrwaleniem danych osobowych zebranych bezpośrednio od Pacjenta, w szczególności w związku z udzielaniem świadczeń zdrowotnych, chyba że ustalenie tożsamości przed uzyskaniem świadczenia nie jest możliwe i mogłoby istotnie utrudnić lub uniemożliwić uzyskanie świadczenia[21]
spełnieniem obowiązków informacyjnych lub udzieleniem odpowiedzi na wynikające z przepisów RODO żądania związane z przetwarzaniem danych osobowych zgodnie z art. 15-22 RODO;
PWDL może utrwalić informację o:
dacie dokonania weryfikacji tożsamości; oraz
W przypadku, jeżeli w imieniu Pacjenta małoletniego w okolicznościach wskazanych w pkt. 6.2.1. występuje przedstawiciel ustawowy, to tożsamość Pacjenta może być potwierdzona również przez przedstawiciela ustawowego w drodze oświadczenia i okazania dowodu tożsamości przedstawiciela ustawowego zgodnie z pkt. 6.2.2. PWDL może utrwalić informację o dacie dokonania weryfikacji oraz dokumencie przedstawiciela ustawowego, na podstawie którego została ona dokonana.
W przypadku, jeżeli Pacjentowi małoletniemu towarzyszy opiekun faktyczny, który wyraża zgodę na badanie, to przed utrwaleniem danych w związku z tym badaniem, zgodnie z pkt 6.2.1.1. tożsamość Pacjenta może być potwierdzona również przez opiekuna faktycznego w drodze oświadczenia i okazania dowodu tożsamości opiekuna faktycznego zgodnie z pkt. 6.2.2. PWDL może utrwalić informację o dacie dokonania weryfikacji oraz dokumencie opiekuna faktycznego, na podstawie którego została ona dokonana.
W przypadku gdy weryfikacja tożsamości na potrzeby realizacji czynności wskazanych w pkt. 6.2.1. realizowana jest w sposób inny niż osobiście (np. na odległość lub przy użyciu środków komunikacji elektronicznej) lub w sytuacji powzięcia przez PWDL wątpliwości co do tożsamości osoby zgłaszającej żądanie, PWDL uprawniony jest do żądania dodatkowych informacji lub podjęcia przez osobę zgłaszającą żądanie dodatkowych działań niezbędnych do potwierdzenia tożsamości tej osoby, takich jak:
podanie dodatkowych danych osobowych w celu ich porównania z posiadanymi przez PWDL; lub
dokonanie czynności weryfikacyjnych przy użyciu dostępnych PWDL oraz osobie zgłaszającej żądanie narzędzi, w tym przy wykorzystaniu kwalifikowanego podpisu elektronicznego lub podpisu potwierdzonego profilem zaufanym ePUAP, przelewu bankowego potwierdzającego zgodność danych, dwu lub kilkustopniowe uwierzytelnianie w systemie teleinformatycznym, lub
kontrolę na odległość dokumentu potwierdzającego tożsamość analogicznie do pkt. 6.2.2[22].
W celu uniknięcia wątpliwości, zakres danych, jakich może żądać PWDL w celu potwierdzenia tożsamości zgodnie z pkt. 2.6. może być szerszy, niż wymagany ustawowo zakres danych identyfikujących Pacjenta zawartych w dokumentacji medycznej, przy czym zakres danych, których PWDL żąda od Pacjenta lub jego przedstawiciela ustawowego lub opiekuna faktycznego powinien być adekwatny do rodzaju przetwarzanych danych, rodzaju zgłaszanego żądania oraz sposobu kierowania żądania i udzielania odpowiedzi na to żądanie. PWDL dokonuje wyboru dodatkowych informacji lub działań niezbędnych do potwierdzenia tożsamości zgodnie z pkt. 6.2.6. w oparciu o przeprowadzoną analizę ryzyka mając na względzie zapewnienie realizacji praw przysługujących Pacjentom i innym osobom w sposób możliwie najmniej uciążliwy.
PWDL może utrwalić informację o dacie i sposobie przeprowadzenia weryfikacji dokonanej zgodnie z pkt. 2.6. w tym również utrwalić pozyskane na potrzeby weryfikacji dane.
Obowiązek informacyjny względem pacjentów w przypadku zbierania danych bezpośrednio od nich (art. 13 RODO)
PWDL przekazuje Pacjentom informacje, o których mowa w art. 13 w zwięzłej, przejrzystej, zrozumiałej oraz łatwo dostępnej formie, a także jasnym i prostym językiem, w tym w formie graficznej. Przykład informacji przekazywanej Pacjentom w formie pisemnej stanowi Załącznik nr […] do Kodeksu.
Obowiązek informacyjny może być zrealizowany poprzez podjęcie co najmniej 2 ze wskazanych poniżej działań podjętych jednocześnie przez PWDL:
umieszczenie klauzul informacyjnych w dokumentach przekazywanych Pacjentowi (np. umowa o świadczenie usług medycznych); lub
umieszczenie klauzul informacyjnych na stronie internetowej PWDL lub w systemie informatycznym PWDL dostępnym dla Pacjenta (tzw. Portal Pacjenta); lub
umieszczenie informacji na tablicach informacyjnych w przestrzeniach ogólnodostępnych, najczęściej wykorzystywanych przez Pacjentów (w szczególności ciągi komunikacyjne lub izba przyjęć lub rejestracja lub poczekalnia); lub
umieszczenie klauzul informacyjnych w Regulaminie organizacyjnym PWDL.
PWDL zobowiązany jest realizować zasadę rozliczalności w zakresie spełnienia obowiązku informacyjnego poprzez archiwizację plików (w tym wzorów i zdjęć) i dokumentów, które dowodzą że obowiązek informacyjny wobec Pacjentów został zrealizowany. Informacje udostępnione Pacjentowi w celu realizacji obowiązku informacyjnego zawierają datę ostatniej aktualizacji[23].
Obowiązku informacyjnego wobec Pacjentów nie trzeba realizować jeśli Pacjent posiada już stosowne informacje.
Przepisy pkt. 6.3.1-6.3.4. stosuje się odpowiednio do przedstawicieli ustawowych lub innych osób o których PWDL pozyskuje bezpośrednio dane osobowe w związku z realizacją celów zdrowotnych wobec Pacjenta.
Obowiązek informacyjny względem Pacjentów w przypadku zbierania danych niebezpośrednio od nich (art. 14 RODO)
W przypadku, w którym PWDL wchodzi w posiadanie danych osobowych Pacjenta w związku z udostępnieniem mu dokumentacji medycznej ze względu na konieczność zapewnienia ciągłości udzielania świadczeń zdrowotnych, PWDL nie musi realizować wobec Pacjenta obowiązku informacyjnego. Podstawą wyłączenia tego obowiązku jest art. 14 ust. 5 lit. c oraz d RODO[24].
W innych przypadkach, w których PWDL wchodzi w posiadanie danych osobowych Pacjenta na potrzeby realizacji celów zdrowotnych przetwarzania, PWDL nie musi realizować wobec Pacjenta obowiązku informacyjnego w związku z wyłączeniem wskazanym w art. 14 ust. 5 lit d RODO[25].
W przypadku, w którym PWDL wchodzi w posiadanie danych osobowych przedstawicieli ustawowych, osób upoważnionych do dostępu do dokumentacji medycznej Pacjenta lub zasięgania informacji o jego stanie zdrowia lub też innych osób wskazanych przez Pacjenta w związku z udzielaniem mu świadczeń zdrowotnych i utrwalonych w dokumentacji medycznej, PWDL nie musi realizować wobec tych osób obowiązku informacyjnego. Podstawą wyłączenia tego obowiązku jest art. 14 ust. 5 lit. c lub d RODO.
Prawo Pacjenta do dostępu do danych osobowych, o którym mowa w art. 15 RODO, jest prawem odrębnym od prawa Pacjenta do informacji o swoim stanie zdrowia, o którym mowa w art. 9 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz od prawa dostępu do dokumentacji medycznej, o którym mowa w art. 23 ust. 1 ustawy o prawach pacjenta.[26].
Pacjent ma prawo swobodnego wyboru podstawy oraz zakresu żądania związanego z dostępem do informacji na jego temat przetwarzanych przez PWDL,
Przed udostępnieniem Pacjentowi żądanych informacji, w szczególności zaś przed udzieleniem Pacjentowi dostępu do danych osobowych lub wydaniu Pacjentowi kopii danych osobowych, w tym elektronicznie, PWDL weryfikuje tożsamość Pacjenta na zasadach określonych w punkcie6.2.
Zgodnie z art. 15 ust. 3 RODO, nieodpłatnemu udostępnieniu podlega pierwsza kopia przetwarzanych danych. PWDL może jednak pobierać opłatę od kolejnych kopii. Za kolejne kopie uznaje się w szczególności dokumentację medyczną w zakresie w jakim była uprzednio udostępniona (uprzednio udostępnione i nie zmienione dokumenty dokumentacji medycznej)[27].
W przypadku przekazania kopii danych zgodnie z art. 15 ust. 3 w postaci elektronicznej, w tym kopii dokumentacji medycznej może być w szczególności przesłane na adres e-mail wskazany przez Pacjenta lub inny powszechnie stosowany sposób transmisji elektronicznej. W przypadku niewskazania adresu e-mail lub innego sposobu transmisji elektronicznej PWDL zwraca się do Pacjenta o wskazanie adresu e-mail lub innego powszechnie stosowanego sposobu transmisji elektronicznej informując jednocześnie Pacjenta o najczęstszych zagrożeniach związanych z transmisją elektroniczną. Przykładowy wzór komunikatu stanowi załącznik […] .
Pacjent ma prawo zażądać niezwłocznego sprostowania lub uzupełnienia danych osobowych zawartych w dokumentacji medycznej wyłącznie w zakresie w jakim nie będzie prowadzić to do naruszenia autonomii zawodowej osoby wykonującej zawód medyczny, która dokonywała wpisu do dokumentacji medycznej[28].
Wraz z wykonaniem żądania Pacjenta dotyczącego sprostowania lub uzupełnienia danych osobowych, PWDL dokonuje oceny istotności i charakteru wprowadzonych sprostowań i uzupełnień
W przypadku usunięcia przez PWDL danych zawartych w dokumentacji medycznej w związku z żądaniem Pacjenta złożonym po upływie terminu wskazanego w pkt 6.7.2., przyjmuje się, że podmioty, którym dokumentacja ta została uprzednio udostępniona posiadają wiedzę o usunięciu zgodnie z art. 19 RODO[29].
W odniesieniu do osób wskazanych w pkt. 6.4.3. pkt. 6.7.1.-6.7.4. stosuje się odpowiednio.
Pomimo żądania przez Pacjenta ograniczenia przetwarzania zgodnie z przesłanką określoną w art. 18 ust. 1 lit a) RODO w odniesieniu do danych osobowych Pacjentów przetwarzanych na podstawie art. 9 ust. 2 lit h RODO, w tym w szczególności wobec danych przetwarzanych w ramach dokumentacji medycznej i innych przetwarzanych w oparciu o ww. przesłankę, PWDL może przetwarzać te dane w dotychczasowym zakresie, bowiem ograniczenie przetwarzania danych dokonywanego w celach zdrowotnych i mogłoby istotnie utrudnić realizację tych celów (brak skuteczności ograniczenia przetwarzania w związku z ważnymi względami interesu publicznego)[30];
W odniesieniu do osób wskazanych w pkt. 6.4.3. pkt. 6.8.1. stosuje się odpowiednio.
Przez pojęcie „format nadający się do odczytu maszynowego” należy w szczególności rozumieć powszechnie używane formaty plików[31].
Żądanie wykonania prawa do przenoszenia danych może być zrealizowane przez PWDL tylko po zweryfikowaniu tożsamości Pacjenta na zasadach określonych w punkcie 6.2. Kodeksu.
. Na gruncie RODO można wyróżnić[32]:
profilowanie , które nie skutkuje podejmowaniem decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych wywołujących wobec Pacjentów skutki prawne lub w podobny sposób istotnie na nich wpływających.
profilowanie, które skutkuje podejmowaniem decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych wywołujących wobec Pacjentów skutki prawne lub w podobny sposób istotnie na nich wpływa.
Profilowanie wskazane w pkt. 6.11.1.1. jest dopuszczalne bez zgody Pacjenta i może być prowadzone również w oparciu o dane osobowe o stanie zdrowia i inne szczególne kategorie danych osobowych, które wskazano w art. 9 ust. 1 RODO.:
W przypadku profilowania wskazanego w pkt 6.11.1.1. realizowanego w celach zdrowotnych zgodnie z pkt. 4.1.2.1. Pacjent nie może wykonać prawa do wniesienia sprzeciwu ze względu na odmienne podstawy przetwarzania danych przez PWDL niż wskazane w art. 21 RODO (por. punkt 6.10.1. Kodeksu dot. sprzeciwu wobec przetwarzania danych osobowych).
Decyzja opierająca się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych, w tym profilowaniu wskazanym w pkt. 6.11.1.2. to decyzja, która spełnia następujące cechy:
jest podejmowana bez udziału personelu medycznego lub administracyjnego, co oznacza że personel na żadnym etapie procesu nie kontroluje ani nie monitoruje prowadzonych operacji, jak również nie podejmuje ostatecznych rozstrzygnięć wobec Pacjenta oraz;
wywołuje wobec Pacjenta skutki prawne, np. w postaci odmowy zawarcia umowy o świadczenie usług medycznych, lub
wpływa w inny, istotny sposób na sytuację Pacjenta, np. w sposób pozbawiony realnego wpływu człowieka powoduje odmowę objęcia Pacjenta programem profilaktycznym, skutkuje pozbawieniem Pacjenta możliwości dostępu do świadczenia zdrowotnego lub podjęcie innej decyzji terapeutycznej[33];
W celu uniknięcia wątpliwości, m.in. następujące jednostkowe działania PWDL nie będą zakwalifikowane jako podejmowanie decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych w rozumieniu art. 22 RODO:
automatyczne ustalanie wyników skal stosowanych w medycynie[34]
automatyczne klasyfikowanie wyniku jako „w normie” „ponad normę” i „poniżej normy” na podstawie zdefiniowanych przedziałów wyników (zależnych od czynników wynikających z danych pacjenta takich jak m.in. płeć czy wiek)[35]
[1] Z zastrzeżeniem, że monitorowanie przestrzegania Kodeksu zgodnie z art. 41 RODO nie będzie dotyczyć organów i podmiotów publicznych (art. 41 ust. 6 RODO). Stosowanie Kodeksu jest dobrowolne.
[2] Co do zasady PWDL w związku z prowadzeniem działalności leczniczej nie będą musiały uzyskiwać zgody Pacjenta na przetwarzanie danych osobowych.
[3] Podawanie konkretnego przepisu prawa polskiego nie zawsze jest możliwe i nie zawsze dostarcza adekwatnych informacji na temat przetwarzania osobie której dane dotyczą.
[4] Pojęcie „cele zdrowotne” zostało użyte w pkt. 52 preambuły „cele zdrowotne”, w tym związane ze zdrowiem publicznym oraz zarządzaniem usługami opieki zdrowotnej, w szczególności zapewnianiem jakości i ekonomiczności procedur stosowanych do rozstrzygania roszczeń w sprawie świadczeń i usług w ramach systemu ubezpieczeń zdrowotnych. Przetwarzanie danych na podstawie art. 9 ust. 2 lit h RODO może się odbywać do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego. Terminy te nie mają definicji w krajowym porządku prawnym. Jak wskazuje się w komentarzach do RODO „wydaje się, że pojęcie działalności leczniczej lub nawet pojęcie świadczenia zdrowotnego (…) będzie obejmować zakresem pojęciowym terminy: profilaktyka zdrowotna, leczenie, diagnoza medyczna i zapewnienie opieki zdrowotnej, zawarte w komentowanym przepisie” (P. Litwiński (red.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018). Co najmniej więc pomocniczo w zakresie interpretacji komentowanego przepisu można odwołać się do przepisów prawa krajowego. Przetwarzane danych osobowych w celu udzielania świadczeń i zarządzania udzielaniem świadczeń z zakresu medycyny estetycznej będzie również przetwarzaniem w celach zdrowotnych, jednak nie zawsze osoby korzystające z tego rodzaju świadczeń będą Pacjentami.
[5] Ustawa o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa
[6] Do celów innych niż zdrowotne uzasadniających przetwarzanie danych o zdrowiu może należeć wystawianie niektórych zaświadczeń, a także obrona przed roszczeniami,.
[7] Art. 25 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta
[8] Art. 9 ust. 2 lit h stanowi podstawę przetwarzania danych wrażliwych jak również danych „zwykłych” im towarzyszących. Zgodnie z motywem 35 preambuły RODO, do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej. Dane dotyczące zdrowia powinny być więc rozumiane kontekstowo, jako wszelkie dane osobowe przetwarzane w związku z celami zdrowotnymi. Podobne rozważania prezentowane były w odniesieniu do ustawy o ochronie danych osobowych, która zawierała analogiczne rozwiązania prawne „Art. 27 jest lex specialis względem art. 23. Wprawdzie także ustanawia zakaz przetwarzania danych osobowych, to jednak odmiennie reguluje przesłanki uchylające ten zakaz. Zakaz przetwarzania wrażliwych danych osobowych zostaje uchylony w wyniku spełnienia przez administratora danych którejkolwiek z przesłanek wymienionych w art. 27 ust. 2. Ponadto przesłanki wymienione w art. 27 ust. 2 uchylają nie tylko zakaz przetwarzania wrażliwych danych osobowych, lecz również zakaz przetwarzania danych innych niż wrażliwe”(Drozd, Andrzej. Art. 27. W: Ustawa o ochronie danych osobowych. Komentarz. Wzory pism i przepisy, wyd. IV. Wydawnictwo Prawnicze LexisNexis, 2008.)
[9] Np. raporty dotyczące rachunku kosztów
[10] Przetwarzanie danych przez PWDL na podstawie zgody będzie rzadką sytuacją i następować tylko w określonych przypadkach – co do zasady PWDL przetwarzają dane osobowe bez zgody pacjenta (por. punkt 4.5.)
[11] § 7 ust. 1 pkt 13 Dobrej Praktyki Klinicznej
[12] W przypadku upoważnienia do dostępu do dokumentacji medycznej, uwzględnia się dodatkowo przepisy dotyczące dokumentacji medycznej, por. § 8 rozporządzenia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania
[13] Należy pamiętać, że RODO nie wymaga pobierania zgód na piśmie
[14] Na podstawie art. 26 ust. 3 pkt. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta.
[15] Zgodnie z opinią Grupy Roboczej art. 29 1/2010 w sprawie pojęć „administrator danych” i „przetwarzający” należy wskazać dwa podstawowe warunki kwalifikowania się jako przetwarzający:
przetwarzanie danych osobowych w jego imieniu, przy czym działanie w czyimś imieniu oznacza działanie w interesie innego podmiotu i przypomina pojęcie prawne „przekazania uprawnień”. Działania w zakresie przetwarzania danych mogą ograniczać się do ściśle określonego zadania lub kontekstu lub mieć bardziej ogólny charakter i szerszy zakres.
W związku z pierwszą przesłanką należy zauważyć, że działalność wykonywana jako jednoosobowej działalności gospodarczej nie zapewnia statusu „osoby prawnej” odrębnej od administratora danych. Choć jest to forma prawna wyraźnie odrębna od administratora, nie jest przy tym inną osobą prawną, stanowi przy tym oddzielnej osoby prawnej, lecz rodzaj wykonywania działalności przez osobę fizyczną. Jako że działalność ta może być wykonywana wyłącznie w zakładzie leczniczym na podstawie umowy z podmiotem leczniczym, stanowi substytut zatrudnienia. Jednocześnie też zakres zadań osób wykonujących zawody medyczne w ramach praktyki zawodowej jest najczęściej tożsamy z zakresem zadań pracowników wykonujących ten sam zawód. W związku z tym procesy przetwarzania danych są analogiczne. W szczególności osoby wykonujące zawód w tej formie nie prowadzą własnej dokumentacji medycznej, lecz przetwarzają ją w imieniu administratora. Umowa z podmiotem leczniczym powinna zobowiązywać ich też do przestrzegania regulaminów podmiotu leczniczego i jego wewnętrznych procedur. Jak wskazano w przywołanej opinii „rola przetwarzającego nie wynika z charakteru osoby prawnej przetwarzającej dane, ale z jej konkretnej działalności w określonym kontekście”. Uwzględniając powyższy kontekst, należy uznać, że praktyki zawodowe powinny być traktowane na takich zasadach, jak pracownicy. W związku z tym nie jest potrzebne zawieranie umowy powierzenia przetwarzania z tymi podmiotami.
[16] Rekomendowanym rozwiązaniem przy udzielaniu upoważnień jest tworzenie profili stanowiskowych, które z uwzględnieniem zakresu czynności zawodowych, potrzebnych do ich wykonywania informacji oraz innych procesów wewnętrznych związanych z przetwarzaniem danych osobowych wskazywać będą zasadność upoważnienia
[17] Pojęcia „warunek” lub „termin” należy definiować zgodnie z kodeksem cywilnym. Warunkiem w szczególności może być rozwiązanie umowy zawartej na czas nieokreślony lub nieoznaczony
[18] Pod warunkiem, że zgodnie z RODO może być administratorem danych. W szczególności administratorem nie stanie się sam pacjent, członkowie jego rodziny lub inne upoważnione osoby najbliższe (czyli osoby fizyczne przetwarzające dane w ramach czynności o czysto osobistym lub domowym charakterze).
[19] Co do zasady udostępnia dane osobowe pacjenta zgodnie z art. 26 ust 3 pkt 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta za pośrednictwem tzw. platform regionalnych, nie wymaga dodatkowej zgody Pacjenta na przetwarzanie danych
[20] Wyrok NSA sygn. II OSK 1134/16
[21] np. osoba nieprzytomna lub wymagająca pilnej interwencji lekarskiej
[22] Takie okazanie może być dokonane np. w trakcie wideotransmisji.
[23] Wskazanie, że jest to wersja z dnia X itp.
[24] Artykuł ten wyłącza konieczność realizacji obowiązku informacyjnego, w przypadku gdy pozyskiwanie lub ujawnianie [danych osobowych] jest wyraźnie uregulowane prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator, przewidującym odpowiednie środki chroniące prawnie uzasadnione interesy osoby, której dane dotyczą. Przekazywanie dokumentacji medycznej pomiędzy podmiotami leczniczymi odbywa się na zasadach określonych precyzyjnie w przepisach ustawy o prawach pacjenta, a same informacje podlegają ochronie m. in. na podstawie przepisów o tajemnicach zawodowych osób wykonujący zawody medyczne.
[25] Taka okoliczność może wystąpić np. w przypadku udostępniania przez pracodawcę danych osobowych pracownika za jego zgodą placówce medycznej, która ma objąć go opieką np. w ramach abonamentów medycznych
[26] O odrębności wskazanych praw świadczy m.in. ich cel i specyfika oraz ich zakres. W szczególności maksymalne terminy realizacji prawa z art. 15 RODO wskazane w art. 12 ust. 3 RODO, czy też odmowa udostępnienia dokumentacji medycznej na podstawie art. 12 ust. 5 RODO stanowiłyby jaskrawe naruszenie praw pacjenta zgodnie z polskimi przepisami. W określonych sytuacjach, realizacja każdego z tych praw może jednak prowadzić do podobnych skutków
[27] Dokumentacja medyczna pacjenta kumuluje się w czasie, w przypadku gdy Pacjent zwraca się o udostępnienie po raz kolejny kopii dokumentacji medycznej na podstawie art. 15 ust. 3 RODO, to nieodpłatne udostępenie dotyczy wyłącznie części, która nie została udostępniona uprzednio.
[28] Należy pamiętać, że jeżeli wykonanie żądania Pacjenta prowadzi do zmiany wpisów w dokumentacji medycznej go dotyczącej, zmiany te należy odnotowywać w sposób właściwy dla dokumentacji medycznej
[29] Proponujemy przyjęcie takiej konstrukcji – zarówno czas wytworzenia dokumentacji medycznej, jak i okres jej ustawowego przechowywania są znane odbiorcom danych.
[30] Por. art. 18 ust. 2 RODO.
[31] Np. txt, .pdf, .odt .sxw, .doc, .rtf, jpeg.
[32] „profilowanie” oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się;
[33] W świetle powyższej definicji, decyzje opierające się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych, w tym profilowaniu, nie będą pojawiać się często w działalności PWDL. Aby dana operacja przetwarzania danych osobowych mogła zostać uznana za prowadzącą do podejmowania decyzji opierających się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych w rozumieniu art. 22 RODO konieczne jest łączne spełnienie warunków wskazanego w lit. (a) oraz jednego z warunków w literze (b) i (c).
[34] Np. Skala CHA2DS2–VASc
[35] np. na potrzeby wykonywania badań diagnostycznych