Jedną z zasad przetwarzania danych osobowych jest zasada rzetelności, zgodnie z którą administrator danych jest zobowiązany do posiadania danych prawdziwych wystarczających i aktualnych. I właśnie ta zasada, a szczególnie weryfikacja aktualności przetwarzanych danych osobowych, stała się przyczyną kontroli NIK w zakresie dokumentacji udzielonych świadczeń medycznych w związku z wypadkami drogowymi.

Obowiązek sporządzenia i przekazania sprawozdań statystycznych przez podmioty wykonujące działalność leczniczą wynika z Programu badań statystycznych statystyki publicznej na rok 2015 stanowiący załącznik do rozporządzenia Rady Ministrów z 27 sierpnia 2014 r. w sprawie programu badań statystycznych statystyki publicznej na rok 2015.

Przepisy nowego rozporządzenia z 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania wskazują zakres zbieranych informacji potrzebnych przy wystawieniu skierowania. Nie regulują jednak ważnej kwestii z punktu widzenia ochrony danych osobowych, a mianowicie sposobu przechowywania tego typu dokumentacji. Jak więc postępować w takiej sytuacji?

Danymi sensytywnymi mogą być nie tylko „standardowe” informacje o stanie zdrowia, np. przebieg choroby, ale to również mogą być dane, które na pierwszy rzut oka takimi się nie wydają, np. informacje o wadze danej osoby.

Podmioty z branży medycznej, bez względu czy są to placówki publiczne czy prywatne, przetwarzają dane osobowe. Co jest istotne, placówki medyczne przetwarzają dane osobowe jako administrator danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych z 29 sierpnia 1997 r. Dodatkowo ciąży na nich szczególny obowiązek ochrony danych osobowych wynikający z okoliczności, że w związku ze swoją działalnością przetwarzane są tzw. dane wrażliwe.

Placówki medyczne najczęściej naruszają zasadę bezpieczeństwa danych. Chodzi o zapewnienie, aby dostęp do danych miały wyłącznie osoby upoważnione. Za naruszenie tej zasady odpowiada każda osoba, która dopuściła się jej naruszenia, a więc praktycznie każdy pracownik czy współpracownik. Zasadę można naruszyć nawet nieumyślnie, np. przez pozostawienie danych na temat pacjenta przez przypadek w miejscu powszechnie dostępnym.

Przedmiotem wpisu jest kwestia ochrony danych osobowych w kontekście elektronicznej dokumentacji medycznej (dalej: EDM). Jakie obowiązki wynikające z przepisów o ochronie danych osobowych należy spełnić w związku ze zleceniem firmie informatycznej wdrożenia i opieki nad systemem informatycznym wykorzystywanym w formule EDM?

Każdy szpital wykorzystuje co najmniej kilka systemów informatycznych służących do przetwarzania danych osobowych. Coraz częściej są to systemy dedykowane – szyte na miarę. Systemy te umożliwiają wsparcie i obsługę aptek przyszpitalnych, bloków operacyjnych i porodowych, prowadzenie dokumentacji medycznej, rejestracji pacjentów, itd. Jak łatwo wykazać, w każdym z ww. systemów przetwarzane są dane osobowe. Chodzi tutaj bardzo często nie tylko o tzw. dane zwykłe, ale o dane wrażliwe, a więc takie, które podlegają większej ochronie.

Najnowsza nowelizacja ustawy o ochronie danych osobowych weszła w życie 1 stycznia 2015 r. Zmiany dotknęły przede wszystkim sposobu pełnienia funkcji Administratora Bezpieczeństwa Informacji (ABI), obowiązku rejestracji zbiorów danych osobowych, transferów danych osobowych do tzw. państw niebezpiecznych, ale również sprecyzowano, kto może pełnić funkcję ABI.

Dziś spróbuję odpowiedzieć na szeroki wachlarz pytań stawianych w związku z obowiązkiem informacyjnym szpitali wobec pacjentów. Rosnąca świadomość beneficjentów usług medycznych oraz specyfika świadczonych usług nastręcza wiele problemów w obrębie omawianych regulacji. Z uwagi na złożoność omawianej tematyki ograniczę się w swoich rozważaniach do obowiązku informacyjnego wynikającego z art. 24 ust 1 ustawy o ochronie danych osobowych (dalej: „uodo”)       1.