Kodeks postępowania w sektorze ochrony zdrowia - przepisy w zakresie ochrony danych osobowych

"Kodeks postępowania dotyczący ochrony danych osobowych przetwarzanych w małych placówkach medycznych” ma dawać komfort nie tylko podmiotom leczniczym i ich pracownikom, ale także osobom leczonym. Wszyscy powinni być skupieni na poprawie stanu zdrowia pacjenta, a nie zastanawiać się nad bezpieczeństwem danych osobowych.

Zatwierdzony dokument zawiera zbiór przepisów mających służyć podnoszeniu poziomu ochrony danych osobowych zgodnych z RODO i ustawodawstwem krajowym, obejmujących m.in. realizację ogólnych zasad przetwarzania danych osobowych wskazanych w art. 5 RODO, pseudonimizację danych osobowych czy informowanie opinii publicznej i osób, których dane dotyczą. Postanowienia zawarte w dokumencie opisują najczęstsze przypadki przetwarzania danych w placówkach medycznych, poza danymi pracowników. Odwołano się do przepisów z obszaru prawa medycznego w takim zakresie, w jakim powiązane są one z zagadnieniami ochrony danych osobowych.

– Szczegółowo opisano problemy stosowania monitoringu wizyjnego w jednostkach medycznych czy zagadnienia weryfikacji osób, którym udostępniane są dane. Kodeks obejmuje też załączniki zawierające praktyczne wzory i przykładowe procedury. Uwzględnia orzeczenia sądów, wytyczne Europejskiej Rady Ochrony Danych, wskazuje szczegółowe procedury, które można stosować przy przeprowadzaniu analizy ryzyka. Reguluje zasady dostępu do danych pacjentów przez określone osoby (osoby wykonujące zawód medyczny, inne osoby wykonujące czynności pomocnicze przy udzielaniu świadczeń zdrowotnych, a także czynności związane z utrzymaniem systemu teleinformatycznego) razem z zasadami przetwarzania. Przewiduje także mechanizmy monitorowania, to jest audyt realizowany na podstawie umowy zawartej pomiędzy podmiotem monitorującym a samorządem zawodowym, członkami komitetu sterującego lub bezpośrednio z podmiotami leczniczymi lub podmiotami przetwarzającymi ubiegającymi się o uzyskanie statusu podmiotu przestrzegającego postanowień Kodeksu - dodaje.

Kodeks postępowania w sektorze ochrony zdrowia

Zatwierdzony Kodeks opracowany przez Polską Federację Szpitali co do zasady przeznaczony jest dla dużych podmiotów medycznych – zarówno publicznych, jak i prywatnych – i jest otwarty na podmioty spoza Federacji. Natomiast Kodeks Porozumienia Zielonogórskiego (PZ) przyjęty 14 grudnia 2022 r. w założeniu jest dedykowany małym podmiotom prywatnym, przy czym możliwość przystąpienia do niego zarezerwowano dla członków PZ. Różnice dotyczą przetwarzania danych osobowych.

Kodeks PZ poświęca więcej uwagi kwestiom monitoringu wizyjnego niż Kodeks PFSz. Podaje też więcej praktycznych przykładów, w bardziej obszerny sposób przedstawia zasady zbierania danych osobowych, zarządzania nimi, powierzania danych osobowych czy postępowania w przypadku naruszenia ochrony danych osobowych. Natomiast Kodeks PFSz zawiera załączniki (Kodeks PZ tylko jeden) obejmujące wzory, katalogi danych czy zasady postępowania w wybranych sytuacjach, m.in.:

• Wzór zgody na przetwarzanie danych osobowych;
• Katalog danych jednoznacznie identyfikujących daną osobę wraz ze wskazaniem przykładowego wzoru upoważnienia z art. 26 ust. 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, który spełnia wymogi prawa;
• Zasady postępowania w wybranych sytuacjach związanych ze zwiększonym ryzykiem naruszenia praw pacjentów w związku z przetwarzaniem danych osobowych;
• Przykładową procedurę analizy ryzyka, której wdrożenie i stosowanie zapewnia realizację podejścia opartego na ryzyku;
• Wykaz zabezpieczeń systemów IT;
• Wykaz norm mających zastosowanie w obszarze bezpieczeństwa informacji i ochrony danych osobowych itd.).

– Wszystkie podlegają tym samym przepisom RODO i krajowym przepisom o prowadzeniu działalności leczniczej. Z uwagi na art. 40 ust. 4 RODO w kodeksach są przewidziane mechanizmy monitorowania umożliwiające prowadzenie obowiązkowego monitorowania przestrzegania przepisów kodeksu przez administratorów lub podmioty przetwarzające. Należy jednak pamiętać, iż w przypadku podmiotów publicznych nie mogą być one monitorowane przez podmioty prywatne, co wynika z art. 41 ust. 6 RODO. Zgodnie z Wytycznymi 1/2019 dotyczącymi kodeksów postępowania Europejskiej Rady Ochrony Danych wymóg wdrożenia skutecznych mechanizmów monitorowania kodeksu można osiągnąć poprzez dostosowanie obowiązujących wymogów w zakresie audytu – tak, aby obejmowały one monitorowanie kodeksu. Podmioty lecznicze podlegają monitorowaniu w oparciu o przepisy prawa. Konkretnie chodzi o art. 272-296 ustawy o finansach publicznych oraz przepisy wykonawcze, w szczególności rozporządzenie ministra finansów z 4 września 2015 r. w sprawie audytu wewnętrznego oraz informacji o pracy i wynikach tego audytu, a także Standardów audytu wewnętrznego dla jednostek sektora finansów publicznych - mówi.

Dlatego w ostatnio zatwierdzonym Kodeksie znalazły się rozbudowane mechanizmy monitorowania członków kodeksu będących podmiotami publicznymi.

Podstawowymi mechanizmami monitorowania są:

• ocena zdolności administratorów i podmiotów przetwarzających do stosowania Kodeksu (audytu wstępnego);
• audytowanie (planowane lub doraźne) członków kodeksu;
• rozpatrywanie wniosków i skarg na naruszenie Kodeksu przez podmiot leczniczy lub podmiot przetwarzający;
• rozpatrywanie wniosków i skarg na sposób wdrożenia lub wdrażania Kodeksu przez podmiot leczniczy lub podmiot przetwarzający;
• informowanie UODO o wyżej wymienionych działaniach, a zawartych w Kodeksie i powodach ich podjęcia;
• okresowy przegląd funkcjonowania Kodeksu stosownie do przepisów uprawniających Komitet sterujący do podjęcia się stosowania Kodeksu przez podmiot leczniczy lub podmioty przetwarzające.

Istotą Kodeksu jest zagwarantowanie odpowiedniego poziomu ochrony pacjentów w związku z przetwarzaniem ich danych osobowych. Chodzi szczególnie o uwzględnienie ochrony zdrowia i życia pacjentów jako dóbr o nadrzędnym znaczeniu. Kodeks służy realizacji zasady rozliczalności, a więc jego stosowanie potwierdza wywiązywanie się z obowiązków nałożonych przez RODO na administratorów danych, a także podmioty przetwarzające, które działają na rynku podmiotów wykonujących działalność leczniczą.

Przystąpienie do stosowania kodeksu postępowania wiąże się z licznymi korzyściami. Przede wszystkim placówki mają gwarancję prawidłowości używania określonych rozwiązań zatwierdzonych przez organ nadzoru. Mogą też liczyć na nadzór nad procesami przetwarzania danych osobowych w oparciu o mechanizmy monitorowania opisane w Kodeksie. Nie bez znaczenia jest również fakt, iż zgodnie z RODO organ nadzorczy, gdy rozważa nałożenie kary na dany podmiot, musi brać pod uwagę w każdym przypadku, czy podmiot ten prawidłowo stosuje zatwierdzony kodeks postępowania.

Autor: Mieczysław T. Starkowski