Przepisy nowego rozporządzenia z 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania wskazują zakres zbieranych informacji potrzebnych przy wystawieniu skierowania. Nie regulują jednak ważnej kwestii z punktu widzenia ochrony danych osobowych, a mianowicie sposobu przechowywania tego typu dokumentacji. Jak więc postępować w takiej sytuacji?

Danymi sensytywnymi mogą być nie tylko „standardowe” informacje o stanie zdrowia, np. przebieg choroby, ale to również mogą być dane, które na pierwszy rzut oka takimi się nie wydają, np. informacje o wadze danej osoby.

Podmioty z branży medycznej, bez względu czy są to placówki publiczne czy prywatne, przetwarzają dane osobowe. Co jest istotne, placówki medyczne przetwarzają dane osobowe jako administrator danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych z 29 sierpnia 1997 r. Dodatkowo ciąży na nich szczególny obowiązek ochrony danych osobowych wynikający z okoliczności, że w związku ze swoją działalnością przetwarzane są tzw. dane wrażliwe.

Placówki medyczne najczęściej naruszają zasadę bezpieczeństwa danych. Chodzi o zapewnienie, aby dostęp do danych miały wyłącznie osoby upoważnione. Za naruszenie tej zasady odpowiada każda osoba, która dopuściła się jej naruszenia, a więc praktycznie każdy pracownik czy współpracownik. Zasadę można naruszyć nawet nieumyślnie, np. przez pozostawienie danych na temat pacjenta przez przypadek w miejscu powszechnie dostępnym.

Przedmiotem wpisu jest kwestia ochrony danych osobowych w kontekście elektronicznej dokumentacji medycznej (dalej: EDM). Jakie obowiązki wynikające z przepisów o ochronie danych osobowych należy spełnić w związku ze zleceniem firmie informatycznej wdrożenia i opieki nad systemem informatycznym wykorzystywanym w formule EDM?

Każdy szpital wykorzystuje co najmniej kilka systemów informatycznych służących do przetwarzania danych osobowych. Coraz częściej są to systemy dedykowane – szyte na miarę. Systemy te umożliwiają wsparcie i obsługę aptek przyszpitalnych, bloków operacyjnych i porodowych, prowadzenie dokumentacji medycznej, rejestracji pacjentów, itd. Jak łatwo wykazać, w każdym z ww. systemów przetwarzane są dane osobowe. Chodzi tutaj bardzo często nie tylko o tzw. dane zwykłe, ale o dane wrażliwe, a więc takie, które podlegają większej ochronie.

Najnowsza nowelizacja ustawy o ochronie danych osobowych weszła w życie 1 stycznia 2015 r. Zmiany dotknęły przede wszystkim sposobu pełnienia funkcji Administratora Bezpieczeństwa Informacji (ABI), obowiązku rejestracji zbiorów danych osobowych, transferów danych osobowych do tzw. państw niebezpiecznych, ale również sprecyzowano, kto może pełnić funkcję ABI.

Dziś spróbuję odpowiedzieć na szeroki wachlarz pytań stawianych w związku z obowiązkiem informacyjnym szpitali wobec pacjentów. Rosnąca świadomość beneficjentów usług medycznych oraz specyfika świadczonych usług nastręcza wiele problemów w obrębie omawianych regulacji. Z uwagi na złożoność omawianej tematyki ograniczę się w swoich rozważaniach do obowiązku informacyjnego wynikającego z art. 24 ust 1 ustawy o ochronie danych osobowych (dalej: „uodo”)       1.

Przepisy ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta zobowiązują podmioty lecznicze do prowadzenia dokumentacji medycznej, w której przetwarzane są dane osobowe pacjentów, co powoduje, że podmioty te występują w roli administratorów danych (w rozumieniu przepisów ustawy o ochronie danych osobowych). Dlatego też dane osobowe zawarte w dokumentacji medycznej podlegają ochronie określonej zarówno w ustawie o prawach pacjenta i Rzeczniku Praw Pacjenta, jak również w ustawie o ochronie danych osobowych, która to ustawa nakłada na administratorów danych szereg obowiązków.

Jak się ma prawo pacjenta do zachowania informacji na jego temat w tajemnicy a ustawa o ochronie danych osobowych? Czy ustawa o ochronie danych osobowych reguluje kwestie związane z udostępnianiem danych osobowych dotyczących pacjentów?