RODO

Ochrona danych osobowych wobec obecnego zjawiska „społeczeństwa informacyjnego” oraz wszechobecnej technologii staje się coraz bardziej istotnym tematem oraz elementem konkurencyjności również wśród placówek medycznych. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, RODO) przewiduje możliwość wprowadzenia certyfikacji pod kątem RODO. Co to może oznaczać dla placówek medycznych, szczególnie prywatnych?

Od 25 maja 2018 r. ma obowiązywać rozporządzenie Parlamentu Europejskiego i Rady (UE) z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO). Nie zmienia ono zasadniczo podstaw prawnych i zasad przetwarzania danych osobowych. Wprowadza jednak kilka nowych obowiązków m.in. dla placówek medycznych. Oto, co się zmienia.

Odkąd weszło w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO), pojawiło się wiele wątpliwości dotyczących interpretacji przepisów, zwłaszcza z zakresu przekazywania informacji na temat pacjentów osobom najbliższym. Warto więc uściślić, co należy zrobić w sytuacji, w której istnieje pilna potrzeba przekazania informacji o stanie zdrowia pacjenta osobie trzeciej, a nie ma faktycznej możliwości uzyskania na to zgody pacjenta lub jego przedstawiciela ustawowego?

Artykuł 37 ust. 2 RODO stanowi, że grupa przedsiębiorstw może wyznaczyć jednego inspektora ochrony danych, jeśli można będzie łatwo nawiązać z nim kontakt z każdej jednostki organizacyjnej. Natomiast ust. 3 mówi, że jeżeli administrator lub podmiot przetwarzający to organ lub podmiot publiczny, dla kilku takich organów lub podmiotów można wyznaczyć – z uwzględnieniem ich struktury organizacyjnej i wielkości – jednego inspektora ochrony danych. Chciałbym zwrócić tu uwagę, aby użytego w przepisie słowa „kilku” nie rozumieć i tłumaczyć dosłownie. Pojawiają się twierdzenia, że skoro w kilku, to nie więcej niż w dziewięciu, bo powyżej, to już kilkunastu.

Dokumentacja medyczna podlega regulacji zawartej w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (RODO). Na mocy artykułu 15 RODO każda osoba fizyczna ma prawo do uzyskania od administratora danych potwierdzenia, czy ten przetwarza jej dane osobowe, a jeśli ma to miejsce, to także do dostępu do przetwarzanych przez niego danych. Wraz z tym może się ona także domagać dodatkowych informacji, m.in. o celach przetwarzania danych osobowych, kategoriach danych, o odbiorcach lub kategoriach odbiorców, planowanym okresie przechowywania danych lub kryteriach ustalenia tego okresu, czy o prawie do sprostowania administrowanych danych.