RODO w placówce medycznej

Nie, jeśli chodzi o leczenie. Dane o zdrowiu przetwarzasz w celu diagnozy i leczenia bez zgody pacjenta, pod warunkiem że robią to osoby zobowiązane do tajemnicy zawodowej albo inne osoby pod ich odpowiedzialnością (art. 9 ust. 2 lit. h i ust. 3 RODO). Pacjent dostaje za to klauzulę informacyjną. Formularz „zgody RODO” do każdej wizyty niczego nie dodaje, a bywa mylony z dwiema innymi zgodami: na sam zabieg i na udzielanie informacji o zdrowiu wskazanym osobom. Zgoda RODO bywa potrzebna do innych celów, np. do newslettera.

To zależy od skali. Obowiązek ma placówka, której główna działalność polega na przetwarzaniu danych o zdrowiu na dużą skalę. Według wytycznych, na które powołuje się UODO, przykładem jest szpital, a pojedynczy lekarz, pielęgniarka czy położna nie przetwarzają danych na dużą skalę. Przychodnia leży pomiędzy. Kodeks postępowania dla małych placówek medycznych (przygotowało go Porozumienie Zielonogórskie, Prezes UODO zatwierdził go 14 grudnia 2022 r.) zaleca inspektora każdej takiej placówce poza lekarzem, który sam przyjmuje niewielką grupę pacjentów. Przyjmujemy, że od około 6 tys. pacjentów inspektor powinien być. Ocenę warto zapisać, tak zaleca UODO. Pomożemy ją zrobić. Uwaga: prezes zarządu nie może być jednocześnie inspektorem w swojej spółce.

Tak. Zaczynamy wtedy od przeglądu tego, co placówka już ma. Część dokumentów często da się zostawić, resztę poprawiamy albo dopisujemy. Kwotę podajemy po obejrzeniu dokumentów, przed zamówieniem.

Osoby wykonujące zawód medyczny korzystają z dokumentacji z mocy ustawy, ale tylko w zakresie potrzebnym do leczenia i organizacji świadczeń. Rejestracja, sekretariat i informatyk potrzebują do tego upoważnienia od placówki i obowiązuje ich tajemnica, także po śmierci pacjenta (art. 24 ust. 2 i 3 ustawy o prawach pacjenta). Upoważnienia warto nadawać również lekarzom, także tym na kontrakcie, bo pokazują, kto ma dostęp do jakich danych.

Przepisy tego wprost nie zakazują. Wymagają natomiast poufności (art. 5 ust. 1 lit. f RODO) i poszanowania intymności pacjenta (art. 20 ustawy o prawach pacjenta). W praktyce przy wywołaniu nie podaje się powodu wizyty ani innych informacji o zdrowiu. Sposób wywoływania zapisujemy w procedurach rejestracji.

Za życia pacjenta: jemu samemu, jego przedstawicielowi ustawowemu i osobom, które pacjent wskazał (art. 9 ust. 3 ustawy o prawach pacjenta). Dokumentację udostępnia się pacjentowi, przedstawicielowi ustawowemu albo osobie upoważnionej przez pacjenta (art. 26). Telefon od kogoś, kto przedstawia się jako syn, nie wystarczy: rejestracja musi sprawdzić, czy jest upoważniony. Po śmierci pacjenta i wobec instytucji, np. sądu albo NFZ, obowiązują osobne zasady z art. 26. Pacjent albo jego przedstawiciel ustawowy dostaje pierwszą kopię dokumentacji w danym zakresie bezpłatnie.

W poczekalni i na korytarzu tak, jeśli jest to niezbędne dla bezpieczeństwa pacjentów lub pracowników. W gabinetach i salach pacjentów tylko wtedy, gdy przewidują to inne przepisy. Szpitale, zakłady opiekuńczo-lecznicze, pielęgnacyjno-opiekuńcze, rehabilitacji leczniczej i hospicja mogą też monitorować gabinety, gdy jest to konieczne w leczeniu albo dla bezpieczeństwa pacjentów. Zasady monitoringu określa regulamin organizacyjny, a nagrania przechowuje się nie dłużej niż 3 miesiące (art. 23a ustawy o działalności leczniczej).

Od 3000 zł netto. Ostateczna kwota zależy od liczby oddziałów i liczby personelu, a także od tego, ile programów i firm zewnętrznych ma dostęp do danych pacjentów. Znasz ją po rozmowie, zanim cokolwiek zamówisz. Dojazd na audyt na Śląsku jest w cenie, poza Śląskiem wyceniamy go osobno. Szkolenie personelu i usługę Inspektora Ochrony Danych możesz dobrać osobno.

Ocenić ryzyko i, jeśli nie jest mało prawdopodobne, zgłosić naruszenie do UODO bez zbędnej zwłoki, najpóźniej w 72 godziny od jego stwierdzenia (art. 33 RODO). Przy wysokim ryzyku trzeba też zawiadomić pacjentów (art. 34 RODO). Atak, który zablokował program gabinetowy, też jest naruszeniem, nawet gdy dane nie wyciekły: placówka straciła do nich dostęp. Każde naruszenie zapisuje się w rejestrze. Więcej: wyciek danych medycznych i kary w Polsce.