Ochrona danych osobowych. Kodeks postępowania dla sektora ochrony zdrowia

W połowie grudnia 2023 roku Prezes Urzędu Ochrony Danych Osobowych (UODO) zatwierdził „Kodeks postępowania dla sektora ochrony zdrowia” przygotowany przez Polską Federację Szpitali (PFSz). To pierwszy dokument tego typu w Europie dotyczący wszystkich podmiotów z sektora medycznego – zarówno publicznych, jak i prywatnych. Co istotne, nie muszą one być członkami żadnych organizacji.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) określa, że ochrona osób fizycznych w związku z przetwarzaniem danych osobowych jest jednym z praw podstawowych. Art. 8 ust. 1 Karty praw podstawowych Unii Europejskiej oraz art. 16 ust. 1 Traktatu o funkcjonowaniu Unii Europejskiej (TFUE) stanowią, że każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Zasady i przepisy dotyczące ochrony osób fizycznych w związku z przetwarzaniem ich danych osobowych nie mogą – niezależnie od obywatelstwa czy miejsca zamieszkania takich osób – naruszać ich podstawowych praw i wolności, w szczególności prawa do ochrony danych osobowych.

Rozporządzenie ma na celu przyczyniać się do tworzenia przestrzeni wolności, bezpieczeństwa i sprawiedliwości oraz unii gospodarczej, do postępu społeczno-gospodarczego, do wzmacniania i konwergencji gospodarek na rynku wewnętrznym, a także do pomyślności ludzi. Celem dyrektywy Parlamentu Europejskiego i Rady 95/46/WE jest zharmonizowanie ochrony podstawowych praw i wolności osób fizycznych w związku z czynnościami przetwarzania oraz zapewnienie swobodnego przepływu danych osobowych między państwami członkowskimi.

- Zatwierdzony „Kodeks postępowania dla sektora ochrony zdrowia” jest wysokiej jakości dokumentem branżowym wypracowanym przez kluczowych interesariuszy – mówi serwisowi politykazdrowotna.com Jarosław J. Fedorowski, prezes Polskiej Federacji Szpitali.

W dokumencie podkreśla się, że dotyczy on wszystkich placówek. Nie ma znaczenia forma własności szpitali. Z drugiej strony, są na przykład dwa oddzielne załączniki (8 i 9) w postaci wzorów wniosków o uzyskanie statusu podmiotu przestrzegającego Kodeksu. Autorzy Kodeksu zwracają bowiem uwagę na wielkość placówek. Publiczne są zwykle dużo większe i obejmują często wiele komórek organizacyjnych. Ale najważniejsze jest jedno: poziom ochrony danych musi być wszędzie bardzo wysoki.

Co ma zatem zrobić kierownictwo szpitala, by placówka postępowała zgodnie z wymogami Kodeksu?

– Może też zadawać pytania KPMG, a ona będzie odpowiadała, w razie potrzeby konsultując się z komitetem sterującym. Zainteresowana placówka zostanie wówczas poddana audytowi wstępnemu, polegającemu na ocenie, czy stosowane procedury są wystarczające. Podmiot monitorujący będzie również przeprowadzać audyty okresowe (nie rzadziej niż raz w roku). Postanowiliśmy, że placówka nie musi być członkiem Federacji. Chociaż uważam, że skoro chce korzystać z owoców naszej pracy, powinna do nas przystąpić. Wtedy centrala Federacji udzieli dodatkowego wsparcia. I oczywiście podmiot leczniczy musi później przestrzegać wymogów Kodeksu. Jest on zgodny z ogólnie obowiązującymi przepisami RODO, ale pozwala dużo łatwiej się do nich przystosować. - mówi.

Korzyści są więc oczywiste. Szpital nie ma wątpliwości, że wprowadził odpowiednie procedury. Audyty będą upewniać, że nawet po jakimś czasie wszystkie wymogi są w nim przestrzegane. Uzyska też dostęp do rozmaitych szkoleń i będzie mógł korzystać z doświadczeń innych oraz – w przypadku placówek zrzeszonych w Polskiej Federacji Szpitali – ze wsparcia organizacji.

Organ nadzorczy (UODO) udzielił akredytacji KPMG Advisory, który będzie pełnił funkcję podmiotu monitorującego stosowanie kodeksu wśród jego członków z sektora prywatnego.