Czy pacjent musi wyrazić zgodę na przetwarzanie danych

Przetwarzanie danych osobowych zwykłej kategorii jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z warunków z art. 6 ust. 1 RODO. W dużym uproszczeniu podstawami mogą być: zgoda, umowa, obowiązki prawne, żywotne interesy, interes publiczny i uzasadniony interes Administratora. Przykładowo w sytuacji, gdy przetwarzanie jest „niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą”, to samo zawarcie umowy z osobą, której dane dotyczą, daje Administratorowi prawo do gromadzenia i przetwarzania jego danych w takim zakresie, w jakim jest to niezbędne do realizacji tej umowy i nie ma konieczności uzyskiwać dodatkowej zgody tej osoby.

W przypadku placówek medycznych przetwarzane dane osobowe będą jednak, w zdecydowanej większości, danymi dotyczącymi zdrowia, które są zaliczane przez art. 9 ust. 1 RODO do danych szczególnej kategorii. Podstawy ich przetwarzania określone zostały w art. 9 ust. 2 RODO i do celów świadczenia usług medycznych podstawą będzie, w szczególności, litera h wspomnianego przepisu.

Nie oznacza to bynajmniej, że w niektórych wypadkach, do podjęcia pewnych czynności, nie będzie konieczne uzyskanie zgody osoby, której dane dotyczą. Konieczność taka zaistnieje np. w wypadku chęci wysłania przez Administratora informacji marketingowych do swoich pacjentów.

Przykładowe obowiązki administratora danych

Zgodnie z artykułem 24 RODO obowiązkiem administratora jest wdrożenie odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych osobowych odbywało się w sposób zgodny z rozporządzeniem oraz aby administrator był w stanie to wykazać. Decyzja odnośnie wyboru konkretnych środków leży w gestii administratora, mogą to być na przykład: pseudonimizacja, minimalizacja danych czy wprowadzenie zabezpieczeń fizycznych lub elektronicznych. W każdym przypadku administrator musi być w stanie wykazać, że w należyty sposób dba o bezpieczeństwo danych pacjentów.

Zgodnie z wymogami RODO, jednym z podstawowych obowiązków placówki medycznej jako Administratora danych osobowych, jest udzielenie pacjentowi informacji na temat jego praw związanych z przetwarzaniem danych, przy czym informacja ta powinna być udzielona „w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie”. Obowiązek ten obejmuje między innymi podanie osobie, której dane dotyczą danych kontaktowych administratora, informacji o celu i podstawie prawnej przetwarzania, okresie przez jaki dane będą przechowywane, a także informacji o prawie żądania dostępu do danych, sprostowania, usunięcia lub ograniczenia przetwarzania, czy prawie do wniesienia skargi do organu nadzorczego. RODO nie określa szczegółowo formy, w jakiej osoby muszą być informowani o swoich prawach, w praktyce większość placówek wywiesza stosowne komunikaty w widocznych dla pacjentów miejscach.

Niezwykle istotnym obowiązkiem Administratora jest również właściwa reakcja na naruszenia ochrony danych, takie jak na przykład wyciek danych, czy ich zniszczenie. Zgodnie z prawem w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Administrator jest zobowiązany podjąć działania zaradcze naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach zastosować środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Ochrona danych jest związana z innymi prawami pacjentów

Należy pamiętać o tym, że w przypadku placówek służby zdrowia, zagadnienie ochrony danych osobowych nabiera bardzo specyficznego charakteru. Prawo do ochrony danych jest powiązane z prawem do poszanowania godności i intymności, lecz nie jest bezwzględne. Ochrona danych osobowych, choć sama w sobie jest bardzo ważnym zagadnieniem, nigdy nie powinna być traktowana jako ważniejsza od ratowania życia i zdrowia pacjenta. Warto mieć na uwadze również to, że przepisy odnoszące się do, szeroko rozumianej, ochrony danych osobowych nie znajdują się tylko w RODO, czy w ustawie o ochronie danych osobowych, ale również w wielu innych ustawach, czy rozporządzeniach.  W sektorze ochrony zdrowia na szczególną uwagę zasługuje zwłaszcza ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz Rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania.

Podsumowując, realizacja podstawowych obowiązków wynikających z RODO w placówkach służby zdrowia powinna opierać się na minimalizacji ryzyka nieautoryzowanego ujawnienia danych pacjentów. Na terenie placówki medycznej konieczne jest w związku z tym między innymi: zachowanie odpowiednich warunków podczas rejestracji pacjenta (w tym wprowadzenie możliwości rejestracji elektronicznej), zachowanie prywatności przy weryfikacji tożsamości pacjenta, zapewnienie anonimowości przy wzywaniu pacjentów do gabinetów, a także zapewnienie prywatności podczas przekazywania pacjentowi informacji o jego stanie zdrowia.

Akredytacja polega na dobrowolnym poddaniu się niezależnej, zewnętrznej ocenie działalności placówki medycznej w oparciu o określony zestaw kryteriów. Efektem procesu akredytacyjnego jest otrzymanie stosownego certyfikatu.

Proces akredytacji w założeniu ma prowadzić do standaryzacji sposobu wykonywania świadczeń medycznych. Wprowadzone standardy dotyczą zarówno opieki medycznej i tworzenia bliskich relacji z pacjentem, jak i organizacji pracy placówki, w tym właściwego obiegu dokumentacji oraz właściwego przepływu informacji pomiędzy poszczególnymi działami.

Wymagania akredytacyjne standaryzują wsparcie, jakiego przedsiębiorstwo udziela własnemu personelowi, w szczególności w zakresie edukacji, szkoleń oraz innych form podnoszenia kwalifikacji. Dzięki temu w akredytowanych placówkach medycznych rzadziej dochodzi do błędów popełnianych zarówno w trakcie prowadzenia procesu diagnostyki i leczenia, jak i przy prowadzeniu dokumentacji medycznej oraz realizacji innych procesów natury administracyjnej i biznesowej. Akredytacja wymaga również wprowadzenia procedur dotyczących poznania oczekiwań pracowników czy stymulacji pracy zespołowej w zakresie osiągania celów.

Jednym z wymagań, jakie muszę spełnić akredytowane placówki jest opisanie i zrozumienie procesów organizacyjnych, które mają wpływ na opiekę nad pacjentem oraz strategię biznesową. Sformułowanie i dopracowanie misji firmy oraz jej strategii ma wpływ na zwiększenie konkurencyjności na współczesnym rynku medycznym. Jest to szczególnie ważne w sytuacji, gdy nie tylko rosną koszty leczenia, ale również wymagania pacjentów i płatników. Dzięki lepszemu zrozumieniu procesów organizacyjnych oraz sformalizowanemu monitorowaniu realizacji celów, możliwe jest uporządkowanie poszczególnych obszarów działalności placówki, redukcja zbędnych kosztów a także poprawa efektywności pracy poszczególnych działów lub pojedynczych pracowników.

Akredytacja zwiększa również zaufanie kontrahentów do placówki, przy czym chodzi zarówno o pacjentów, jak i administrację państwową i Narodowy Fundusz Zdrowia. Realizacja procesu akredytacji wymaga współpracy doświadczonej firmy konsultacyjnej. Koszty takich usług są niewielkie w porównaniu z korzyściami, jakie placówka medyczna może uzyskać dzięki wszechstronnej poprawie jakości usług oraz lepszym relacjom z pacjentami i kontrahentami.

W podstawowej opiece zdrowotnej istnieje osiem grup standardów. Dotyczą one: wszechstronności opieki, praw pacjenta, poprawy jakości, bezpieczeństwa opieki, zespołu pracowników, dokumentacji medycznej, organizacji jednostki, oraz infrastruktury.

Ocena wszechstronności opieki dotyczy głównie takich obszarów jak: prowadzenie wizyt domowych, zapewnienie opieki pielęgniarki i położnej środowiskowej, zapewnienie porad telefonicznych oraz opieki okołoporodowej i terminalnej. Oceniana jest także działalność edukacyjna placówki, standardy zgłaszania przypadków szczególnych do instytucji zewnętrznych, a także programy w zakresie realizowania szczepień i profilaktyki pierwotnej.

W kwestii praw pacjenta, standardy odnoszą się do zapewnienia godności osobistej, informowania pacjentów o przysługujących im prawach oraz zachowania zasad prywatności i nieskrępowania. Pacjenci mają też prawo do rzetelnej i zrozumiałej informacji o swoim stanie zdrowia, współuczestniczenia w podejmowaniu decyzji medycznych, a także dostępu do dokumentacji i możliwości składania skarg i wniosków.

Jednostka podstawowej opieki zdrowotnej powinna w systematyczny sposób zapewniać poprawę jakości oferowanych świadczeń. W ramach oceny tego procesu analizie podlegają: istnienie programu oceny poprawy jakości, prowadzenie analiz dokumentacji medycznej, okresowych ocen personelu oraz oceny działalności jednostki przez personel i pacjentów. Wyniki badań i analiz powinny być systematycznie wykorzystywane do poprawy jakości funkcjonowania placówki. Istotne jest też wyznaczenie osoby odpowiadającej za poprawę jakości.

Standardy w zakresie bezpieczeństwa opieki to przede wszystkim opracowanie systemu postępowania w stanach zagrożenia życia, określenie zasad postępowania z produktami leczniczymi, wdrożenie zasad postępowania z ofiarami przemocy i zaniedbania oraz standardów higieny, dezynfekcji czy dostępności środków ochrony osobistej.

Aby spełniać standardy jakości, placówka powinna posiadać odpowiedni personel. Jego funkcjonowanie powinno być określone przez odpowiednie procedury wewnętrzne zapewniające między innymi: posiadanie stosownych uprawnień do wykonywania zawodu, określenie uprawnień i odpowiedzialności poszczególnych członków zespołu, a także dbałość o regularne podnoszenie kwalifikacji.

Standardy POZ wymagają określenia procedur związanych z przechowywaną w placówce dokumentacją medyczną. Powinna ona być odpowiednio zabezpieczona, łatwo dostępna, na bieżąco aktualizowana oraz prowadzona w zrozumiały sposób. Dokumentacja medyczna powinna zawierać wszystkie niezbędne informacje dotyczące pacjenta. Szczególnie istotne jest dokumentowanie każdej porady medycznej.

Zgodnie ze standardami POZ placówka powinna mieć określoną i znaną pracownikom misję oraz wyznaczoną strategię działania i określone długookresowe cele. W tym zakresie szczególnie istotna jest analiza czynników ryzyka, a także danych demograficznych i epidemiologicznych. Określone powinny być procedury w zakresie rejestracji pacjentów i opłat za usługi. Należy także zapewnić wiarygodność wyników laboratoryjnych.

W celu zapewnienia jednostce możliwości prawidłowego funkcjonowania niezbędne jest istnienie odpowiedniej infrastruktury, w tym w szczególności: odpowiedniej liczby właściwie wyposażonych gabinetów, sprzętu do wykonywania świadczeń medycznych czy dostępności placówki dla osób o ograniczonej możliwości poruszania się.