Kodeks dla branży medycznej – trwają konsultacje
Od ponad roku powstaje kodeks dla branży medycznej, którego celem jest ułatwienie stosowania przepisów unijnego rozporządzenia RODO. Po złożeniu projektu kodeksu 13 listopada 2018 w UODO trwają spotkania konsultacyjne – informował Piotr Najbuk z kancelarii DZP podczas konferencji RODO w Zdrowiu 27 lutego 2019.
Kolejnym etapem będzie rejestracja i publikacja kodeksu przez organ nadzorczy.
Projekt Kodeksu został po raz pierwszy zaprezentowany na I konferencji RODO w Zdrowiu 14 marca 2018 roku.
Kodeks składa się z kilku elementów, są to – podstawowe zagadnienia, bezpieczeństwo danych, prawa pacjenta, badania naukowe i wtórne wykorzystanie danych.
Nad kodeksem pracowali między innymi Pracodawcy Medycyny Prywatnej, a także Polska Federacja Szpitali, Lewiatan, Fundacja Telemedyczna Grupa Robocza, Polska Izba Informatyki i Telekomunikacji, Federacja Związków Pracodawców Ochrony Zdrowia Porozumienie Zielonogórskie. W opracowaniu kodeksu uczestniczyli również przedstawiciele strony publicznej – Ministerstwa Zdrowia, CMJ, CSIOZ oraz samorządy zawodowe, uczelnie i inne instytucje.
Główne problemy dotyczące stosowania RODO to komunikacja z pacjentem i świadczenia na rzecz pacjentów, relacja z partnerami zewnętrznymi czy działania wewnętrzne.
Czytaj także: Inauguracja kampanii edukacyjnej RODO dla pacjenta>>>
Podczas konferencji Paulina Dawidczyk, dyrektor zespołu ds. sektora zdrowia, zatrudnienia i szkolnictwa Urzędu Ochrony Danych Osobowych wskazała, że wprowadzenie RODO oznaczało zmianę podejścia. Rejestr czynności przetwarzania to odejściu od formalizmu, a ocena skutków dla ochrony danych i szacowania ryzyka – to zmiana podejścia do procesów przetwarzania.
Nowością jest zgłaszanie naruszeń oraz wyznaczenie inspektora ochrony danych osobowych.
Problemy pojawiają się w zakresie ochrony danych pacjentów w procesie rejestracji, imion i nazwisk oraz specjalizacji lekarzy na drzwiach gabinetów, rozmów z pacjentami na salach chorych o ich stanie zdrowia, telefonicznego udostępnienia informacji o hospitalizacji pacjenta, kart przyłóżkowych czy umów powierzenia z jednostkami medycyny pracy.
Czytaj: RODO w Zdrowiu: Trzeba uważać na umowy powierzenia>>>
Natomiast wątpliwości, które pojawiły się podczas tworzenia kodeksu, dotyczyły między innymi podstaw prawnych przetwarzania danych pacjentów bez ich zgody. Kluczową przesłanką legalności przetwarzania danych są cele zdrowotne (RODO, nota 52 preambuły), w tym związane ze zdrowiem publicznym oraz zarządzaniem usługami opieki zdrowotnej.
Wątpliwości dotyczyły na przykład profilaktyki zdrowotnej – czyli kierowania do pacjentów zaproszeń na badania bez ich zgody. Z przepisów wynika, że przetwarzanie danych bez zgody pacjentów jest niezbędne, gdy jest uzasadnione ich stanem zdrowia i ma odzwierciedlenie w dokumentacji medycznej lub wynika z przepisów prawa dotyczących profilaktyki zdrowotnej. Dotyczy to zagadnień takich jak szczepienia ochronne czy realizacji programów walki z chorobami nowotworowymi.
– Próbujemy delikatnie i rozważnie podejść do tego zagadnienia, aby pogodzić interesy obu stron, zarówno pacjentów jak i placówek medycznych – mówiła dyrektor Dawidczyk.
Z motywu 46 RODO wynika, że „żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie wtedy, gdy ewidentnie tego przetwarzania nie da się oprzeć na innej podstawie prawnej”.
Kolejnym problemem jest dostęp do dokumentacji medycznej. Mówi o tym ustawa o prawach pacjentach oraz RODO (art. 15). Występują różnice między tymi dostępami, chociażby jeśli chodzi o czas realizacji (w przypadku RODO – miesiąc lub nawet 3, w przypadku ustawy o prawach pacjenta – niezwłocznie).
Dyrektor Dawidczyk poinformowała też, że do UODO wpłynęło 45 skarg w zakresie przetwarzania danych osobowych. Dotyczyły głównie udostępnienie danych osobowych pacjentom lub dokumentacji medycznej osobom nieuprawnionym, przekazywania danych pacjentów innemu podmiotowi, zakresu danych pozyskiwanych przez podmiot medyczny, uzależnienia świadczeń usług medycznych od wyrażenia zgody na przetwarzanie danych osobowych czy przetwarzania danych przez nieuprawniony personel.
Zanotowano także 110 naruszeń ochrony danych dokonanych przez administratorów.