RODO w Zdrowiu: Trzeba uważać na umowy powierzenia
Powszechną praktyką jest, że umowy powierzenia są w dalszym ciągu powszechnie zawierane, w zasadzie zawiera je „każdy z każdym”. Jednak te umowy mają swoje mankamenty – mówił Piotr Najbuk, senior assiociate z kancelarii DZP podczas II Konferencji RODO w Zdrowiu, które odbyła się 27 lutego 2019 roku na warszawskiej Uczelni Łazarskiego.
Jednym z takich mankamentów jest wyrażenie zgody na dalsze przetwarzanie danych osobowych. Jeśli mamy do czynienia z kontynuacją terapii pacjenta, trzeba ostrożnie podchodzić do takich umów i sprawdzać ich aktualizacje.
– Umowa powierzenia powinna odpowiadać potrzebie przetwarzania danych. RODO odchodzi od formalizmu. Nie zawsze konieczna jest umowa powierzenia z pracownikiem – mówił Piotr Najbuk, który omówił także wątpliwości, jakie pojawiają się w związku ze stosowaniem RODO.
Dotyczą one między innymi tego, czy jeśli placówki są tzw. organizatorami świadczeń, ale ich nie udzielają, mogą być także administratorem danych.
Pojawiły się także problemy związane z przetwarzaniem danych osobowych pacjentów przez samorządy, które realizują programy profilaktyki zdrowotnej. Zdarza się, że samorząd lub marszałek jest administratorem takich danych, do czego formalnie nie powinien mieć prawa.
Podsumowując to, co działo się w zakresie stosowana RODO przez ostatni rok Piotr Najbuk zauważył, że wiele placówek ograniczyło się do informowania o przetwarzaniu danych osobowych za pomocą formularza. Jednocześnie jednak można było obserwować pewne nadinterpretowanie wskazówek rozporządzenia i stosowanie praktyk wypaczających jego sens. Takie praktyki mogą wpłynąć negatywnie na bezpieczeństwo pacjentów.
Problemy z ochroną danych mogą także pojawić się, gdy konta firmowe byłych pracowników w dalszym ciągu są aktywne, albo gdy pracownicy mają bardzo szeroki dostęp do danych osobowych, w zakresie, który nie jest im potrzebny. Zdarza się, że studenci-stażyści mają dostęp do kont lekarzy – świadczy to o nieodpowiedzialności zarówno placówki jak i lekarza, który udostępnia takie konto.
W wielu placówkach pojawiły się wątpliwości, czy lekarze muszą się zgodzić na umieszczanie swoich danych na drzwiach gabinetów czy na stronie internetowej placówki. Według Piotra Najbuka lekarze wykonują zawód zaufania publicznego i dlatego powinni być identyfikowani.
Czytaj: Medicover i Diagnostyka: RODO w praktyce>>>
Anna Kruczyk z kancelarii DZP dokonała przeglądu krajowych aktów prawnych zapewniających stosowanie RODO. Związane z RODO przepisy zawiera ustawa o działalności leczniczej, ustawa o ochronie zdrowia psychicznego, ustawa o systemie informacji w ochronie zdrowia, ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta (jedna ze zmian dotyczy uzyskiwania przez pacjenta pierwszej bezpłatnej kopii dokumentacji medycznej w myśl art. 15 RODO).
Natomiast ustawa o ochronie danych osobowych przewiduje możliwość zatrudnienia zastępcy inspektora ochrony danych osobowych.
Aktywność w zakresie ochrony danych osobowych wykazywały w ostatnich miesiącach różne resorty, zarówno krajowe jak i unijne.
Ministerstwo Cyfryzacji wydało podręcznik – RODO w służbie zdrowia. Rzecznik Praw Pacjenta zajmował się sprawą dostępu do danych osobowych w zakresie dokumentacji medycznej (pod wypadku na tzw. zakopiance).
W ramach UE powstała Europejska Rada Ochrony Danych (EROD), która składa się z przedstawicieli krajowych organów ochrony danych i zajmuje się opiniowaniem kodeksów na poziomie europejskim (takie kodeksy też mogą powstawać).
Urząd Ochrony Danych Osobowych wydał standardowe klauzule dotyczące umów powierzenia i złożył je do zaopiniowania. Konsultacje się zakończyły, jednak procedury związane z wprowadzeniem tych dokumentów jeszcze trwają.
Podczas konferencji zostały poruszone tematy dotyczące zapisów kodeksu dla branży medycznej, praktyk organów administracji w sprawie RODO czy przepisów sektorowych zapewniających stosowanie rozporządzenia.
Czytaj także: Kodeks dla branży medycznej – trwają konsultacje>>>
Jednym z tematów było także cyberbezpieczeństwo, w tym w powiązaniu z ustawą o Krajowym Systemie Cyberbezpieczeństwa i wtórnym wykorzystaniu danych medycznych.
Została także oficjalnie zainaugurowana ogólnopolska kampania edukacyjna rododlapacjenta.pl. Celem tej akcji jest wypracowanie materiałów edukacyjnych, które w jasny i prosty sposób przedstawią prawa i obowiązki pacjenta wynikające z RODO i przepisów prawa medycznego.
Pracodawcy Medycyny Prywatnej byli partnerem konferencji.