RODO – nowe wyzwania dla systemu ochrony zdrowia

Ewa Szarkowska

25 maja 2018 roku zacznie obowiązywać w Polsce nowe unijne Rozporządzenie o Ochronie Danych Osobowych (RODO) i nowa ustawa o ochronie danych osobowych. Nowe regulacje obejmą także sektor usług zdrowotnych.

Prowadzenie dokumentacji medycznej przez szpitale, przychodnie, gabinety stomatologiczne i inne podmioty świadczące usługi lecznicze wiąże się z dostępem do danych osobowych pacjentów, w tym danych wrażliwych. Obowiązek ich ochrony wynika z ustawy o ochronie danych osobowych, która obowiązuje od 1997 r. Dr hab. n. o zdr. Adam Fronczak, kierownik Zakładu Zdrowia Publicznego WUM i były wiceminister zdrowia, uważa, że wejście w życie tych przepisów było swoistą rewolucją w funkcjonowaniu ośrodków opieki zdrowotnej. Ze szpitalnych łóżek zaczęto usuwać karty pacjentów, nazwiska chorych zniknęły z kroplówek i z fiolek kierowanych do badań laboratoryjnych. Poradnie zaczęły starać się tak organizować pracę, by podczas rejestracji przy okienku stała tylko jedna osoba, a pacjenci wchodzili do gabinetu lekarskiego na podstawie przypisanego numerka lub wyznaczonej godziny wizyty.


Poziom ochrony danych
wciąż niezadowalający

Od tego czasu upłynęło już 20 lat i coraz więcej pacjentów zgłasza problemy związane z ochroną ich prywatności do GIODO i Ministerstwa Cyfryzacji. Najczęściej dotyczą one publicznego wyczytywania nazwisk osób wchodzących do gabinetu, wykładania przez lekarzy w widocznym miejscu na biurku kart chorych z numerami PESEL czy też korzystania przez placówki medyczne z monitoringu wizyjnego utrwalającego wizerunek pacjenta oczekującego pod drzwiami gabinetu, na których jest nie tylko imię i nazwisko lekarza, ale również jego specjalizacja. W małej miejscowości, kiedy jest to np. wenerolog, psychiatra czy seksuolog, czyli specjalności szczególnie wrażliwe, doprowadza to – zdaniem skarżących się pacjentów – do stygmatyzacji.

Sytuację mają poprawić nowe regulacje, które wejdą w życie już 25 maja 2018 r. Mec. Marta Gadomska-Gołąb z kancelarii prawnej Wierzbowski Eversheds Sutherland uważa, że zmiany w przepisach, związane z wejściem w życie unijnego rozporządzenia dotyczącego danych osobowych, określanego w skrócie RODO, będą kolejnym wyzwaniem dla funkcjonowania jednostek leczniczych.


Musi być inspektor
ochrony danych

Przede wszystkim cały sektor ochrony zdrowia zostanie objęty obowiązkiem powołania Inspektora Ochrony Danych Osobowych, bez względu na to, czy jest to duży szpital, czy mała indywidualna praktyka lekarska. Jak wyjaśnia dr Maciej Kawecki, dyr. Departamentu Zarządzania Danymi w Ministerstwie Cyfryzacji i koordynator prac nad reformą ochrony danych osobowych, wymóg ten będzie dotyczył też lekarza przyjmującego w lokalu prywatnym np. tylko raz w miesiącu czy też prowadzącego praktykę lekarską w wynajętym pomieszczeniu szpitala. Uważa bowiem, że nawet w takim przypadku liczba pacjentów przyjmowanych rocznie przez lekarza jest ogromna. Inspektora będą musiały mieć również wszystkie praktyki stomatologiczne, pielęgniarskie, rehabilitacyjne, a także apteki indywidualne i sieciowe, które gromadzą dane w dużych zasobach.

– Często mała apteka uważa, że nie gromadzi danych osobowych. To nie jest prawda, ponieważ każda apteka gromadzi recepty, a obrót receptami jest zelektronizowany. Apteka potrafi gromadzić dużo więcej danych niż lekarz, bo o ile lekarz w ciągu godziny jest w stanie przyjąć np. 4 pacjentów, to apteka może zrealizować ok. 20–30 recept refundowanych przez NFZ. Poza tym bardzo często apteka korzysta z monitoringu wizyjnego, który przecież utrwala wizerunek swoich klientów – podkreśla dr Maciej Kawecki.

Inspektorem danych będzie mogła być tylko osoba mająca zarówno wiedzę, jak i doświadczenie w ochronie danych osobowych, której trzeba będzie za jej pracę zapłacić. A to oznacza dla sektora medycznego dodatkowe koszty. Duże szpitale prawdopodobnie będą zatrudniały takie osoby na etat. Mniejsze podmioty, tj. jednoosobowe praktyki lekarskie czy apteki, prawdopodobnie będą korzystały z outsorcingu. Doświadczenie inspektora jest o tyle ważne, że wraz z nowymi przepisami zmieni się podejście do przetwarzania i ochrony danych osobowych.


Trzeba samemu ocenić ryzyko,
by ustrzec się kary

– I przedsiębiorcy, i sektor publiczny muszą zmienić nastawienie – przyzwyczailiśmy się do podchodzenia do wszystkich zagadnień na zasadzie odhaczania gotowej, z góry narzuconej checklisty. W nowym prawie nie będzie już przepisu, który będzie zawierał katalog gotowych rozwiązań. Administratorzy, czyli każdy szpital, każda indywidualna czy grupowa praktyka lekarska będzie musiała każdorazowo szacować ryzyko i wdrażać rozwiązania organizacyjne i technologiczne adekwatne do tego ryzyka – wyjaśnia dr Kawecki.
Jest to o tyle istotne, że nowe prawo wprowadza jednolite w całej Unii Europejskiej mechanizmy, które urealnią kontrolę i sankcjonowanie w przypadku nieprzestrzegania reguł związanych z przetwarzaniem danych osobowych. W Polsce powstanie nowy urząd do spraw ochrony danych osobowych z nowymi uprawnieniami. W miejsce Generalnego Inspektora Ochrony Danych Osobowych pojawi się Prezes Urzędu Ochrony Danych Osobowych, który za naruszenie przepisów będzie mógł nakładać horrendalne kary finansowe: w przypadku podmiotów prywatnych do 20 mln euro, a przypadku podmiotów publicznych – do 100 tys. zł. W pierwszej kategorii znajdą się wszystkie placówki medyczne działające w formie spółek cywilnych, jednoosobowe praktyki lekarskie, apteki indywidualne i sieciowe, w drugiej – SPZOZ-y.

Mec. Marta Gadomska-Gołąb uspokaja, że przedstawione kwoty są karami maksymalnymi, tak więc organ przy ich nakładaniu będzie miarkował wysokość kary do stopnia zawinienia. Również dr Maciej Kawecki podkreśla, że Prezes Urzędu Ochrony Danych Osobowych będzie przede wszystkim organem wspomagającym i konsultującym, a dopiero w drugiej kolejności – karzącym. Będzie zobowiązany do współpracy ze zgłaszającymi się do niego o pomoc przedsiębiorcami czy instytucjami. Będzie też opracowywał wspólnie z poszczególnymi sektorami tzw. dobre praktyki, które ułatwią zapewnienie wykorzystywania danych osobowych obywateli w sposób odpowiadający nowym przepisom, z uwzględnieniem potrzeb każdej branży.


Kolejne obowiązki i wyjątki

W myśl nowych regulacji każdy z nas uzyska prawo do realnego zarządzania własnymi danymi. Oznacza to, że każdy pacjent będzie miał prawo do przeniesienia swojej dokumentacji medycznej z jednej, wskazanej przez niego placówki ochrony zdrowia, do drugiej. To nowy obowiązek, do którego trzeba się organizacyjnie przygotować.

Nowe prawo wprowadza też możliwości realnej ochrony każdej osoby, której dane zostały upublicznione w Internecie, bez jej wiedzy i zgody – tzw. prawo do bycia zapomnianym. Osoba, której dane osobowe zostaną bezprawnie przetworzone, będzie musiała zostać o tym powiadomiona. Będzie mogła domagać się wypłaty odszkodowania od podmiotu, który nie ochronił jej danych.

Innym prawem jest obowiązek poinformowania, w jakim celu dane osobowe są przetwarzane.

– Prawo do informacji oraz prawo do bycia zapomnianym na pewno nie będą realizowane w obszarze badań klinicznych, ponieważ stoją w sprzeczności z istotą takich badań. Po pierwsze, pacjent nie może wiedzieć, jaki lek mu jest podawany. Po drugie istotą badań klinicznych jest niezaprzeczalność, czyli musimy dysponować informacjami sprzed 10, 20 czy 30 lat. Mało tego, są choroby ultrarzadkie, na które cierpi np. 30 lub 40 osób, z czego badanie kliniczne jest przeprowadzone tylko na jednej. I jeżeli taka osoba zażąda usunięcia swoich danych osobowych, to tracimy ogromny dorobek w postaci historii badania klinicznego wobec tej konkretnej osoby – wyjaśnia Maciej Kawecki z Ministerstwa Cyfryzacji.


Czy sektor zdrowia zdąży się
przygotować do maja 2018 r.?

Pytanie to zadaliśmy dr. Kaweckiemu, który w związku z pracami nad reformą od półtora roku spotyka się z przedstawicielami wszystkich branż.

– Można mieć zastrzeżenia. Izby gospodarcze i inne stowarzyszenia z sektora ochrony zdrowia są najmniej aktywne. Wyjątek stanowi sektor badań klinicznych, który się ostatnio bardzo zaaktywizował. Dlatego bardzo ucieszyłem się z zaproszenia na konferencję kardiologów w Krakowie, którzy jedną z sesji poświęcili tematyce RODO. Podczas tej sesji przedstawiciele Izby Medycyny Polskiej poinformowali, że jedna trzecia środków przeznaczonych w 2018 r. na innowacje związane z informatyką, cyfryzacją i digitalizacją sektora medycznego ma zostać przeznaczona na dostosowanie tych systemów do RODO. To cieszy, ale i trochę martwi. Treść RODO jest znana sektorowi od 2 lat, a dopiero teraz podejmowane są działania wdrażające systemy, które są kosztogenne i czasochłonne.

Większą optymistką jest dr Beata Jagielska, zastępca dyr. ds. Lecznictwa Otwartego i  Rozliczeń Świadczeń Zdrowotnych w Centrum Onkologii – Instytucie im. Marii Skłodowskiej-Curie, prezes Polskiej Koalicji Medycyny Personalizowanej. Choć przyznaje, że unijne Rozporządzenie o Ochronie Danych Osobowych będzie stanowiło jedną z najistotniejszych zmian w otoczeniu regulacyjnym dla systemu opieki zdrowotnej.

– W mojej opinii szpitale powinny zdążyć z przygotowaniem placówki do wymagań RODO. Faktycznie nie jest to nic nowego. Już obowiązują procedury w zakresie ochrony danych osobowych. Należy tylko je zweryfikować lub poprawić. Jest też czas na przeprowadzenie szkoleń personelu. Musimy mieć na uwadze, że wiele jednostek posiada certyfikaty CMJ, a na pewno procedury ISO. Oznacza to, że już w ramach tych procedur prowadzone są działania w zakresie ochrony danych osobowych. Oczywiście wszystko zależy od zaangażowania zarządów szpitali i podległych im pracowników. Od momentu opublikowania nowych przepisów unijnych dotyczących RODO minęło już wiele miesięcy. Ten czas można było wykorzystać na co najmniej tzw. inwentaryzację procedur, tak aby w momencie opublikowania polskich regulacji można było dokonywać stosownych korekt. Stoję na stanowisku „że nie taki diabeł straszny, jak go malują”.

Najpopularniejsze artykuły