ODPOWIEDZIALNOŚĆ PORZĄDKOWA I DYSCYPLINARNA:
Przy obecnym stanie prawnym podmioty dokonujące naruszeń muszą zmierzyć się z kilkoma rodzajami konsekwencji. Podstawowymi z nich jest odpowiedzialność porządkowa oraz dyscyplinarna. Ich podstaw w przypadku jednostek samorządu terytorialnego należałoby szukać w Ustawie z dnia 21 listopada 2008 r. o pracownikach samorządowych, która wprost odnosi się do osób zatrudnionych w JST. Nie zawiera ona jednak żadnych przepisów mówiących o jakimkolwiek rodzaju odpowiedzialności urzędników, za to w artykule 43. odsyła, w sprawach nieuregulowanych w ustawie, do przepisów Kodeksu pracy.
W związku z tym, art. 108 k.p. przewiduje karę upomnienia lub karę nagany
za „nieprzestrzeganie przez pracownika ustalonej organizacji i porządku w procesie pracy, przepisów bezpieczeństwa i higieny pracy, przepisów przeciwpożarowych, a także przyjętego sposobu potwierdzania przybycia i obecności w pracy oraz usprawiedliwiania nieobecności
w pracy”, do czego można również zaliczyć nieprzestrzeganie zasad i procedur zawartych
w RODO, zwłaszcza jeśli pracownik wcześniej zobowiązał się do ich stosowania.
W skrajnych przypadkach naruszenie wskazanych wyżej norm będzie mogło zostać uznane
za „ciężkie naruszenie przez pracownika podstawowych obowiązków pracowniczych”
i na mocy art. 52 par. 1 pkt 1 k.p. będzie skutkowało możliwością rozwiązania umowy o pracę bez wypowiedzenia z winy pracownika.
W kwestii odpowiedzialności dyscyplinarnej niezwykle istotna jest również norma zawarta
w artykule 58 Ustawy o Ochronie Danych Osobowych, zgodnie z którą Prezes Urzędu może żądać „wszczęcia postępowania dyscyplinarnego lub innego przewidzianego prawem postępowania przeciwko osobom, które dopuściły się naruszeń, i poinformowania go,
w określonym terminie, o wynikach tego postępowania i podjętych działaniach”, jeżeli
„na podstawie posiadanych informacji uzna, że doszło do naruszenia przepisów dotyczących przetwarzania danych osobowych”.

ODPOWIEDZIALNOŚĆ ADMINISTRACYJNA:
Zgodnie z zapisami rozporządzenia 2016/679 krajowe organy nadzoru dysponują uprawnieniem do nakładania na podmioty dokonujące naruszeń pieniężnych kar administracyjnych. Kara taka może być nałożona obok albo zamiast środków naprawczych
o charakterze niepieniężnym. Jeśli jednak organ uzna, że bardziej zasadne jest wymierzenie kary pieniężnej, na podstawie przepisów RODO, ma w takiej sytuacji do dyspozycji 2 przedziały stawek: niższy (do 10 mln euro, a w przypadku przedsiębiorstwa do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego) i wyższy (do 20 mln euro,
a w przypadku przedsiębiorstwa do 4% jego całkowitego rocznego światowego obrotu
z poprzedniego roku obrotowego). Decyzja co do wyboru jednej z kwot uzależniona jest zawsze od konkretnych okoliczności i dokonywana na podstawie indywidualnego przypadku.
W kwestii jednostek sektora finansów publicznych, czyli m.in. gmin i powiatów, sytuacja wygląda jednak nieco inaczej, bowiem krajowa Ustawa o ochronie danych osobowych wprowadziła dla nich odmienną, łagodniejszą karę w wysokości do 100 000 złotych.
Art. 102 ust. 1 pkt 1 OchrDanychU: „Prezes Urzędu może nałożyć, w drodze decyzji, administracyjne kary pieniężne w wysokości do 100 000 złotych, na jednostki sektora finansów publicznych, o których mowa w art. 9 pkt 1–12 i 14 ustawy z dnia 27 sierpnia 2009 r.
o finansach publicznych”.

ODPOWIEDZIALNOŚĆ CYWILNOPRAWNA:
Mówiąc o odpowiedzialności nie można również zapomnieć o tej wynikającej z artykułu 82 RODO. Zgodnie z nim „każda osoba, która poniosła szkodę majątkową lub niemajątkową
w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę”.
Art. 82 ust. 6 RODO wskazuje ponadto, że „postępowanie sądowe dotyczące odszkodowania jest wszczynane przed sądem właściwym na mocy prawa państwa członkowskiego, o którym mowa w art. 79 ust. 2”.
Warto przy tym wspomnieć, że postępowanie przeciwko administratorowi lub podmiotowi przetwarzającemu może być wszczęte niezależnie od tego czy osoba, której dane dotyczą, wykorzystała już inne środki ochrony prawnej, w tym prawo do wniesienia skargi do organu nadzorczego. Charakter tej czynności ma bowiem charakter wyłącznie prywatnoprawny
i dotyczy jedynie relacji administrator/procesor – podmiot danych.

ODPOWIEDZIALNOŚĆ KARNA:
Niewątpliwie najbardziej dolegliwą dla pracowników zatrudnionych w jednostkach samorządu terytorialnego konsekwencją jest zagrożenie odpowiedzialnością karną w przypadku przetwarzania danych niezgodnie z prawem. Tylko na nich bowiem, jako osoby fizyczne, mogą być nałożone kary wymienione w Ustawie o ochronie danych osobowych. Na podstawie
art. 107 ust. 1 OchrDanychU,„kto przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniony, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat dwóch”.
Co więcej, kara pozbawienia wolności może wzrosnąć do lat trzech, jeśli „czyn określony w ust. 1 dotyczy danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, danych genetycznych, danych biometrycznych przetwarzanych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia, seksualności lub orientacji seksualnej”, czyli tzw. „danych wrażliwych”(art. 107 ust. 2 OchrDanychU).
Grzywnie, karze ograniczenia wolności albo pozbawienia wolności podlegają też osoby „udaremniające lub utrudniające kontrolującemu prowadzenie kontroli przestrzegania przepisów o ochronie danych osobowych”, a także osoby, które „w związku z toczącym się postępowaniem w sprawie nałożenia administracyjnej kary pieniężnej nie dostarczają danych niezbędnych do określenia podstawy wymiaru administracyjnej kary pieniężnej lub dostarczają dane, które uniemożliwiają ustalenie podstawy wymiaru administracyjnej kary pieniężnej” (art. 108 ust. 1 i 2 OchrDanychU).
Trzeba jednak dodać, że we wszystkich wskazanych wyżej przypadkach, do nałożenia kary niezbędne jest udowodnienie pracownikowi umyślności w jego działaniu lub zaniechaniu.

ODPOWIEDZIALNOŚĆ ODSZKODOWAWCZA:
Ostatnim rodzajem odpowiedzialności, która potencjalnie czeka pracownika samorządowego naruszającego przepisy Rozporządzenia, jest norma zawarta w artykule 115 Kodeksu pracy przewidująca możliwość poniesienia przez pracownika odpowiedzialności za szkodę wyrządzoną pracodawcy.
Gdyby więc pracodawca, w wyniku naruszenia spowodowanego przez swojego pracownika,
w szczególności w związku z nieprzestrzeganiem norm zawartych w RODO, poniósł szkodę,
np. musiał wypłacić innemu podmiotowi stosowne odszkodowanie, pracownik będzie ponosił odpowiedzialność za szkodę „w granicach rzeczywistej straty poniesionej przez pracodawcę i tylko za normalne następstwa działania lub zaniechania, z którego wynikła szkoda” (art. 115 k.p.).

ŹRÓDŁA:

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
2. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. 2018 poz. 1000 z późn. zm.)
3. Ustawa z dnia 26 czerwca 1974 r. Kodeks pracy. (Dz.U. 1974 nr 24 poz. 141 z późn. zm.)
4. Ustawa z dnia 21 listopada 2008 r. o pracownikach samorządowych (Dz.U. 2008 nr 224 poz. 1458 z późn. zm.)
5. Ustawa z dnia 27 sierpnia 2009 r. o finansach publicznych (Dz.U. 2009 nr 157 poz. 1240 z późn. zm.)

1) Dokumentacja ochrony danych oparta na przepisach ustawy o ochronie danych osobowych z 1997 roku

Wciąż zdarza się, że audytowana organizacja posada dokumentację stworzoną na gruncie poprzednio obowiązujących przepisów. Jest to sytuacja niedopuszczalna, ponieważ aktualnie administratorzy mają wiele nowych obowiązków, których uprzednio nie było.

2) Brak lub niewłaściwie skontrowane umowy powierzenia przetwarzania danych

W sytuacji, gdy administrator zleca pewne czynności przetwarzania podmiotom zewnętrznym (np. usługi księgowe) przetwarzanie przez podmiot przetwarzający powinno się odbywać na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora. Szczegółowe wymagania, co do treści umowy powierzenia określone zostały w art. 28 ust. 3 RODO. W rzeczywistości bardzo często zdarza się, że administratorzy nie mają podpisanych umów powierzenia z podmiotami, z którymi takie umowy powinny być zawarte lub umowy te nie zawierają wszystkich wymaganych przez prawo elementów. Jest to istotna kwestia, ponieważ Prezes Urzędu Ochrony Danych Osobowych wydawał już decyzje nakładające kary pieniężne, za brak w/w umów lub ich niekompletną treść.

3) Wykorzystywanie przetwarzania danych darmowych poczt elektronicznych zakładanych przez osoby prywatne, na popularnych portalach informacyjnych

Pamiętać należy, że korzystając w pracy z poczty elektronicznej dane przechowywane są na serwerze operatora poczty, z której korzystamy. Jeżeli pracownicy administratora w wiadomościach mailowych wysyłają lub odbierają dane osobowe (czyli dochodzi do ich przetwarzania), a poczta elektroniczna znajduje się na serwerach portalów informacyjnych (zazwyczaj jest darmowa), to faktycznie może następować przekazywanie danych do zewnętrznego podmiotu bez odpowiedniej podstawy prawnej. Zalecane jest, aby skrzynki elektroniczne, z uwagi na zazwyczaj dużą ilość przetwarzanych za ich pośrednictwem danych osobowych, jeżeli administrator chce zlecać tę czynność podmiotowi zewnętrznemu, były zakładane z wykorzystaniem profesjonalnych podmiotów świadczących usługi hostingowe, z którymi zawierane są umowy powierzenia przetwarzania danych osobowych.

4) Brak kopii zapasowych z danymi/ niewłaściwie zabezpieczane kopie

Zdolność systemu do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego to bardzo istotny aspekt, bez którego zapewnienie faktycznego bezpieczeństwa przetwarzania danych osobowych jest niemożliwe. Często zdarza się jednak, że administratorzy nie tworzą żadnych kopii przetwarzanych przez siebie danych, zapisywane kopie nie są właściwie zabezpieczane albo administrator nie weryfikuje w jakikolwiek sposób, czy formowane są one we właściwy sposób.

5) Brak udokumentowanego przeprowadzenia analizy ryzyka

Jedną z najbardziej istotnych zmian dokonanych przez RODO, było wprowadzenie zasady podejścia opartego na ryzyku, która stanowi, że administrator danych lub podmiot przetwarzający powinien zastosować takie środki bezpieczeństwa, jakie w danych okolicznościach przetwarzania minimalizują związane z tym przetwarzaniem ryzyko naruszenia praw i wolności. Analiza ryzyka, po przeprowadzeniu której administrator dobiera zabezpieczenia właściwe do zidentyfikowanych zagrożeń, powinna zostać udokumentowana. Podczas przeprowadzanych audytów bardzo często okazuje się, że administrator nie przeprowadził właściwej analizy ryzyka albo istniejąca w tym zakresie dokumentacja stanowi jedynie niewypełniony – przykładowy szablon, co biorąc pod uwagę jak istotny jest to obowiązek, wiąże się ze sporym ryzykiem dla administratora.

Zgodnie z rocznym planem kontroli zatwierdzonym przez Prezesa UODO (Urzędu Ochrony Danych Osobowych) sprawdzeniu zostanie poddany proces zabezpieczenia i udostępniania danych osobowych przetwarzanych przez podmioty przetwarzające posługujące się aplikacją mobilną.

UODO dokładnie oceni proces przetwarzania danych osobowych przez organy przetwarzające w Systemie Informacyjnym Schengen i Wizowym Systemie Informacyjnym.

Zaplanowane kontrole wynikają z sygnałów docierających w formie skarg, pytań i zgłoszeń naruszeń ochrony danych osobowych, które wskazują na sytuację prowadzące do łamania przepisów o ochronie danych osobowych. W związku z tym Prezes UODO uznał zgłoszenia za bardzo istotne i wprowadził szereg weryfikacji.

Sygnalistami zgodnie z założeniami projekty ustawy będą mogli być m.in.:

Statystyki nadużyć w Polsce:

Źródło danych dot. nadużyć: https://www.pwc.pl/

Implementacja dyrektywy o sygnalistach, zgodnie z jej postanowieniami powinna nastąpić do 17 grudnia 20021 r. Gdyby ustawę udałoby się uchwalić w terminie oznaczałoby to, że obowiązki w niej określone, odnoszące się do osób zgłaszających nieprawidłowości, zaczęłyby obowiązywać pracodawców już w styczniu 2022 r.

Najważniejsze założenia projektu ustawy o ochronie osób zgłaszających naruszenia prawa:

Regulamin zgłoszeń wewnętrznych

Regulamin określający wewnętrzną procedurę zgłaszania naruszeń prawa i podejmowania działań następczych, zobowiązani będą wprowadzić:

Do 17 grudnia 2021 r.

Do 17 grudnia 2023 r.

Kluczowe przepisy karne

Dozwolona współpraca

Zgłoszenie zewnętrzne

Warto jednak podkreślić, że poszczególne wymogi dotyczące oprawa ochrony sygnalistów mogą jeszcze ulec zmianie, ze względu na to, że mimo upływającego terminu na implementację dyrektywy, prace nad projektem ustawy, w momencie pisania tego artykułu, nie są jeszcze ukończone. Mimo to warto już teraz podjąć działania mające na celu dostosowanie swojej organizacji do ogólnych wymogów projektu, ponieważ przewiduje on, że ustawa wejdzie w życie (będzie stosowana) po upływie zaledwie 14 dni od dnia jej ogłoszenia.

Decyzja o nałożeniu administracyjnej kary pieniężnej na Prezesa Sądu Rejonowego w Zgierzu to pokłosie zgłoszenia do organu nadzorczego zagubienia niezaszyfrowanego pendriva zawierającego dane kilkuset osób. W wyniku przeprowadzonej kontroli administrator wykazywał, że m.in. wdrożył system z zasadami przetwarzania danych osobowych, dokumentacja była aktualizowana na bieżąco przez IOD oraz przeprowadzane były szkolenia pracowników. Jednakże, jak się okazało, w dokumentacji znajdowały się zapisy o tym, że obowiązek zabezpieczenia nośników spoczywa na ich użytkownikach. Oznaczało to, że de facto użytkownik nośnika zobowiązany był do wdrożenia odpowiednich zabezpieczeń we własnym zakresie. Zgodnie z dokonanymi przez organ nadzoru ustaleniami administrator nie wskazał również żadnych przykładowych oraz adekwatnych zabezpieczeń, które pracownik może zastosować.

Co do konieczności stosowania właściwych zabezpieczeń przepisy są dość precyzyjne, w kontekście tego na kim spoczywa takowy obowiązek – to administrator danych, nie zaś pracownik lub osoba wykonująca zadania służbowe, jest zobowiązany do wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie odbywało się zgodnie z wymaganiami RODO. Artykuł 24 ust. 1 RODO stanowi bowiem, że: uwzględniając charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia, administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z niniejszym rozporządzeniem i aby móc to wykazać. Środki te są w razie potrzeby poddawane przeglądom i uaktualniane.

Podkreślenia wymaga, że przeprowadzanie szkoleń pracowników w zakresie ochrony danych osobowych jest konieczne i potrzebne, jednak nie można ich uznać za wystarczające środki organizacyjne w tym konkretnym przypadku. Nie mogą one również zastąpić rozwiązań o charakterze technicznym.

Po przeprowadzonym postępowaniu organ nadzorczy uznał, że administrator nie wdrożył odpowiednich środków i ponosi odpowiedzialność za wydanie swoim pracownikom niezabezpieczonego sprzętu służbowego, przez co naruszył zasadę m.in. poufności.

Administrator danych osobowych należycie wywiązał się natomiast z ciążących na nim obowiązków procesowych w trakcie postępowania administracyjnego, zakończonego wydaniem decyzji. Dobra współpraca z organem nadzorczym prowadzona w celu usunięcia naruszenia i złagodzenia jego ewentualnych negatywnych skutków oraz konkretne i szybkie działania podjęte przez Prezesa Sądu w postaci: wydania zarządzenia określającego szczegółowe zasady postępowania z urządzeniami przenośnymi; wprowadzenia ewidencjonowania i szyfrowania użytkowanych przenośnych pamięci oraz powiadomienia osób fizycznych o wystąpieniu naruszenia ochrony ich danych osobowych poprzez zamieszczenie komunikatu o stwierdzonym naruszeniu ochrony danych osobowych stanowiły istotne okoliczność łagodzące. Omawiana sytuacja pokazuje jak ważną kwestią jest podjęcie współdziałania z organem i szybka reakcja na zaistniałe naruszenie, ponieważ w znaczącym stopniu może to wpłynąć na wysokość kary administracyjnej i znacząco obniżyć jej wymiar.

Na wstępnie trzeba zaznaczyć, że samo RODO nie wymaga, aby każdy administrator danych osobowych posiadał swoją stronę internetową. Warto ją jednak mieć, ponieważ w znaczącym stopniu ułatwia ona wypełnianie chociażby ciążącego na administratorze obowiązku informacyjnego. Jeżeli zdecydujemy się na własną witrynę w sieci, powinniśmy pamiętać o kilku ważnych kwestiach.

Po pierwsze bezpieczeństwo – Strona powinna być odpowiednio chroniona. Do tego celu konieczne jest w szczególności korzystanie z protokołu sieciowego zapewniającego bezpieczeństwo połączeń internetowych.

Jeżeli administrator wyznaczył Inspektora Ochrony Danych, to zgodnie z art. 11 w zw. z art. 10 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, ma obowiązek udostępnia danych inspektora, w postaci imienia, nazwiska i adresu poczty elektronicznej lub numeru telefonu, niezwłocznie po jego wyznaczeniu, na swojej stronie internetowej, a jeżeli nie prowadzi własnej strony internetowej, w sposób ogólnie dostępny w miejscu prowadzenia działalności. Zaznaczyć należy, że zgodnie z zaleceniami Urzędu Ochrony Danych Osobowych w/w dane muszą być łatwo dostępne, tj. w szczególności powinny znaleźć się przykładowo w zakładce „kontakt”, „RODO”, „ochrona danych” itp., chodzi o to, aby możliwość odnalezienia ich była łatwa i nie wiązała się z koniecznością spędzenia kilku minut na ich poszukiwanie.

Strona internetowa administratora powinna zawierać informacje dotyczące przetwarzanych przez niego danych, czyli Politykę Prywatności. Jest to nazwa umowna, równie dobrze dokument ten (lub po prostu zakładka) nosić może nazwę „RODO”, „Informacje o ochronie danych” itd. Dokument ten powinien zawierać w szczególności informacje wskazane w art. 13 RODO. Często bywa tak, że jest tam również zamieszczana informacja o plikach cookies. Obowiązek informowania o plikach cookies wynika z art. 173 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne, zgodnie z nim użytkownikom powinien zostać zakomunikowany m.in. cel przechowywania czy możliwości określenia przez nich warunków przechowywania lub uzyskiwania dostępu, za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez nich urządzeniach. Jak wspomniane zostało wyżej komunikat ten zamieścić można w Polityce Prywatności lub poza nią.

Zwracamy uwagę, że informacja o przetwarzaniu danych osobowych, zgodnie z RODO powinna zostać udzielona w momencie pozyskiwania danych (jeżeli dane zbierane są bezpośrednio od osoby, której dane dotyczą), w związku z powyższym, jeżeli na stronie internetowej zechcą Państwo umieścić formularz kontaktowy, to pod formularzem również powinna znajdować się informacja o przetwarzaniu danych osobowych. Może zostać to zorganizowane tak, że przed wysłaniem wiadomości przez formularz wymagane będzie odznaczenie checkboxa, o treści typu: „zapoznałem się z obowiązkiem informacyjnym dotyczącym przetwarzania danych osobowych”. Warto pamiętać, że obowiązek informacyjny można spełnić w sposób warstwowy, tzn. w pierwszym etapie umieszczamy wiadomości o tożsamości administratora, celu przetwarzania oraz prawach przysługujących z związku z przetwarzaniem i wskazujemy, gdzie można zapoznać się z pełną treścią obowiązku, najlepiej umieszczając link przekierowujący w to miejsce.

Zgodnie z zasadą minimalizacji danych, administrator nie powinien ich zbierać więcej niż jest to konieczne, należy zatem ostrożnie sformułować treść formularza, tak aby nie żądać obowiązkowego podawania tych danych przez osoby używające formularza, które w rzeczywistości nie są niezbędne.

Przez formularz kontaktowy lub ogólnie przez stronę mogą Państwo również zbierać zgody na przesyłanie informacji handlowych i marketingowych. Należy mieć jednak przy tym na uwadze, że zgody takie nie mogą być zaznaczone domyślnie i zakazane jest ich wymuszanie poprzez np. uzależnianie możliwości wysłania wiadomości do administratora, od ich udzielenia.

Ostatnią ważną kwestią, wartą poruszenia, jest umieszczanie zdjęć na witrynie internetowej, w kontekście utrwalonych na nich wizerunków osób, ponieważ zgodnie z dominującą interpretacją, to również podlega przepisom o ochronie danych osobowych. Ponadto, w wypadku zdjęć wchodzimy również na grunt prawa autorskiego, z czym wiążą się określone obowiązki z ustawy o prawach autorskich. Najogólniej rzecz ujmując zazwyczaj konieczne będzie uzyskanie zgody od osoby przedstawionej na zdjęciu na wykorzystanie wizerunku oraz przetwarzanie jej danych w taki sposób.

Branża medyczna to specyficzny sektor, w którym przetwarzane są dane szczególnej kategorii – dane o stanie zdrowia. Nie tylko przepisy prawa ochrony danych, ale również pacjenci wymagają od placówek medycznych właściwego obchodzenia się z ich danymi osobowymi. Naruszenie ich ochrony może przecież narazić pacjentów na poważne straty, a podmiot leczniczy na odpowiedzialność administracyjną i odszkodowawczą.

Właściwa realizacja wymogów RODO bywa jednak niełatwa, co spowodowane jest z jednej strony obszerną ilością przepisów (oprócz RODO i ustawy o ochronie danych sektor medyczny reguluje wiele ustaw i rozporządzeń), a z drugiej – poziomem ich skomplikowania. Pomocne w przestrzeganiu wymogów prawnych ochrony danych medycznych mogą okazać się właśnie kodeksy postępowania. Idea ich opracowywania polega na tym, że mogą one powstawać, aby doprecyzować w poszczególnych branżach zastosowanie RODO. Pozytywna opinia PUODO daje nadzieję, że w bliżej nieokreślonej, lecz względnie niedalekiej przyszłości, będą one mogły być stosowane przez placówki medyczne.

Na ten moment, żaden kodeks nie jest jednak zatwierdzony przez organ nadzorczy, stąd też podmioty lecznicze wciąż muszą radzić sobie bez takiego wsparcia. W związku z powyższym przypominamy o najważniejszych kwestiach, o których należy pamiętać, aby dane o stanie zdrowia były chronione w sposób prawidłowy.

Przede wszystkim właściciele placówki i jej pracownicy powinni znać podstawowe pojęcia związane z ochroną danych, np. wiedzieć jakie informacje stanowią dane osobowe, kim jest i jakie zadania ma Inspektor Ochrony Danych, kto jest administratorem, a kto podmiotem przetwarzającym.

Placówki medyczne z zasady nie muszą zbierać od pacjentów zgody na przetwarzanie danych osobowych, nawet gdy dotyczy to danych wrażliwych. Ich przetwarzanie jest bowiem niezbędne do celu świadczenie usług medycznych. Niezbędne będzie natomiast uzyskanie zgody pacjenta w przypadku chęci wykorzystywania jego danych w celach marketingowych.

Konieczne rzeczą jest wdrożenie odpowiednich procedur oraz środków technicznych i organizacyjnych, a następnie opisanie ich w wewnętrznych politykach. Mówiąc prościej należy po prostu rozważyć, czy dane są przetwarzane w taki sposób, że zapewnione jest ich bezpieczeństwo, zastanowić się nad możliwymi zagrożeniami i spróbować podjąć takie środki, które będą im przeciwdziałać, a następnie opisać to w wewnętrznej dokumentacji. Mogą to być środki typu: zamykane drzwi i szafy, monitoring, szyfrowanie plików wysyłanych pocztą elektroniczną, właściwe zabezpieczenie serwera i infrastruktury informatycznej, silne hasła do komputerów i wiele innych.

Pamiętać należy również o spełnianiu obowiązku informacyjnego nie tylko wobec pacjentów, ale również wszystkich innych osób, których dane osobowe placówka medyczna przetwarza (np. pracowników, kontrahentów).

Personel placówki medycznej powinien wiedzieć jak postępować w przypadku ewentualnych naruszeń przepisów związanych z ochroną danych. W wypadku wycieku danych najważniejsze jest szybkie przeciwdziałanie naruszeniu i transparentna współpraca z organem nadzorczym oraz osobami, których dane dotyczą, a bez odpowiedniej wiedzy i właściwego przeszkolenia nie będzie to możliwe.

I w końcu bardzo istotną kwestią jest decyzja co do wyznaczenia Inspektora Ochrony Danych. W skrócie rzecz ujmując, jedną z sytuacji, gdy wyznaczenie Inspektora jest konieczne, jest ta, gdy główna działalność administratora wiąże się z koniecznością przetwarzania na dużą skalę szczególnych kategorii danych osobowych. Przyjmuje się więc, że z uwagi na dane wrażliwe przetwarzane przez placówki medyczne, bezpieczniej jest, jeżeli posiadają Inspektora Ochrony Danych. Właściciel placówki powinien podjąć decyzję, czy zatrudnić nową osobę na to stanowisko, czy wyznaczyć kogoś spośród swoich pracowników do pełnienia tej roli. Pamiętać jednak należy, że osoba pełniąca funkcję IOD powinna posiadać w szczególności odpowiednią wiedzę prawniczą zwłaszcza z zakresu prawa ochrony danych.

Pracownicy, co wydaje się być rzeczą dość naturalną, bronią się przed procedurami utrudniającymi bieżącą działalność, ignorując je lub przestrzegając ich w sposób pozorny. Tymczasem ochrona danych osobowych jest sprawą niezwykle poważną, dlatego przedsiębiorstwo powinno zadbać o to, aby stworzyć funkcjonalne regulacje, które zapewnią możliwość prowadzenia działalności zgodnej z obowiązującym prawem ochrony danych osobowych. Pracodawcy powinni pamiętać o tym, że to zazwyczaj właśnie błędy pracowników prowadzą do naruszeń bezpieczeństwa ochrony danych. Do najczęstszych przyczyn nalezą: niedbalstwo, lekkomyślność oraz brak odpowiedniej wiedzy. Przykładami mogą być: stosowanie łatwych do odgadnięcia haseł, pozostawianie ich zapisanych w widocznym miejscu, pozostawienie odblokowanego komputera lub wydruków na ogólnie dostępnej drukarce, zgubienie dokumentów czy wysłanie poczty elektronicznej do nieodpowiedniego adresata. Dodatkowo, w przypadku zaistnienia naruszeń, niewiedza pracowników i nieznajomość opracowanych procedur bądź ich brak, może prowadzić do niewłaściwej reakcji organizacji.

W celu uniknięcia odpowiedzialności związanej z ewentualnymi naruszeniami RODO przedsiębiorstwo powinno zadbać o to, aby pracownicy posiadali odpowiednią wiedzę oraz narzędzia pozwalające na stosowanie się do obowiązujących przepisów. Wszystkie osoby przetwarzające dane osobowe powinny znać podstawowe pojęcia związane z ochroną danych, np. wiedzieć jakie informacje stanowią lub mogą stanowić dane osobowe, czym jest przetwarzanie, jakie prawa mają osoby, których dane dotyczą, jaką rolę pełni Inspektor Ochrony Danych. Kolejnym zagadnieniem jest przeszkolenie personelu w zakresie reakcji na ewentualne naruszenia. Tutaj podstawowym warunkiem jest wiedza umożliwiająca stwierdzenie, czy doszło do naruszenia. Osoby przetwarzające dane osobowe muszą być świadome, jakie sytuacje są naruszeniami ochrony danych osobowych, a jakie nie. Powinny również wiedzieć, kto w przedsiębiorstwie pełni obowiązki Inspektora Ochrony Danych oraz jak mogą się z nim skontaktować. Ze względu na okoliczność, że utrzymanie wiedzy pracowników, w zakresie ochrony danych, na odpowiednim poziomie, powinno być jednym z priorytetów pracodawcy wskazane jest prowadzenie cyklicznych szkoleń. Mogą one być prowadzone w formie elektronicznej, co obniża ich koszty. Wiele firm decyduje się również na inne, bardziej kreatywne formy komunikacji wewnętrznej, takie jak konkursy czy plakaty skierowane do pracowników.

W interesie pracodawcy jest również stworzenie dokumentu opisującego obowiązki pracowników związane z ochroną danych osobowych. Możliwość wykazania dochowania należytej staranności w zakresie przeszkolenia pracowników i zapoznania ich z funkcjonującymi procedurami wewnętrznymi, może mieć przełożenie na wysokość ewentualnych kar związanych z naruszeniami. Szkoląc pracowników oraz dokumentując dochowanie należytej staranności pracodawca zabezpiecza się przed naruszeniami RODO na dwa sposoby. Po pierwsze zmniejsza ryzyko wystąpienia naruszeń w związku z ze zwiększeniem świadomości pracowników, po drugie, w wypadku wystąpienia naruszenia i dokonania jego zgłoszenia do urzędu, stawia się w lepszej pozycji w postępowaniu przed organem nadzorczym. Na najwyższe kary narażeni są bowiem ci przedsiębiorcy, którzy lekceważą obowiązujące przepisy oraz nie współpracują w należyty sposób z Prezesem Urzędu Ochrony Danych Osobowych.

Dane osobowe, zarówno w formie cyfrowej jak i analogowej, mogą wyciekać z firmy na wiele sposobów. Szczególnie niebezpieczna może być nieostrożność pracowników, na przykład pozostawienie, zgubienie lub wyrzucenie do śmietnika poufnych dokumentów, czy pozostawienie bez opieki sprzętu komputerowego z odblokowanym ekranem. Przyczyną wycieku danych mogą być też działania przestępcze, np. atak hakerski. Dodatkowe zagrożenia pojawiają się, gdy pracownicy firmy pracują zdalnie, używając prywatnego sprzętu, urządzeń mobilnych lub słabo zabezpieczonych domowych bądź publicznych sieci bezprzewodowych. 

Warto zdawać sobie sprawę jednak, że nie każdy incydent bezpieczeństwa informacji jest naruszeniem ochrony danych, nie każde naruszenie ochrony danych wiąże się z koniecznością zawiadomienia Prezesa Urzędu Ochrony Danych Osobowych oraz nie każde naruszenie zgłoszone do urzędu, łączy się z obowiązkiem zawiadomienia osób fizycznych, których dane dotyczą.

Administrator, aby ocenić, czy dane naruszenie, w omawianym wpisie – wyciek danych osobowych, wiąże się z koniecznością dokonania zgłoszenia do urzędu, musi oszacować, jak bardzo prawdopodobne jest to, że w wyniku danego naruszenia powstaje ryzyko dalszych negatywnych konsekwencji dla wolności lub praw osób, których dane wyciekły. Do tego celu niezbędne jest przeprowadzenie i udokumentowanie analizy ryzyka zaistniałego naruszenia.

Jeżeli z analizy wyjdzie, że ryzyko naruszenia praw i wolności jest niewielkie – może tak być na przykład wtedy, gdy wyciekły dane silnie zaszyfrowane – obowiązek zgłoszenia nie powstaje. Co innego, jeżeli analiza wykaże, że naruszenie powoduje ryzyko dla praw i wolności osób, bo wówczas obowiązkiem przedsiębiorcy jest przesłanie właściwej informacji do Urzędu Ochrony Danych Osobowych. Jeżeli wspomniane ryzyko wyjdzie wysokie, koniecznym będzie również powiadomienie osób, których dane dotyczą.

Zasady dotyczące postępowania zgłoszeniowego w przypadku stwierdzenia naruszenia ochrony danych są określone w artykułach 33 i 34 RODO. Odpowiednie zawiadomienie powinno być przesłane do UODO w ciągu 72 godzin od stwierdzenia naruszenia, musi ono: opisywać charakter naruszenia ochrony danych osobowych, w tym w miarę możliwości wskazywać kategorie i przybliżoną liczbę osób, których dane dotyczą, oraz kategorie i przybliżoną liczbę wpisów danych osobowych, których dotyczy naruszenie; zawierać imię i nazwisko oraz dane kontaktowe IOD lub oznaczenie innego punktu kontaktowego, od którego można uzyskać więcej informacji; opisywać możliwe konsekwencje naruszenia ochrony danych osobowych; opisywać środki zastosowane lub proponowane przez administratora w celu zaradzenia naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach środki w celu zminimalizowania jego ewentualnych negatywnych skutków. W przypadku gdy zgłoszenie następuje później niż przewidziane przepisami RODO 72 godziny, należy do niego dołączyć wyjaśnienia opisujące przyczyny opóźnienia.

Podobne informacje powinny otrzymać wszystkie osoby, których prawa mogły zostać naruszone w wyniku wycieku, jeżeli, jak już było wcześniej wspomniane, analiza ryzyka wycieku wykaże, że istnieje wysokie ryzyko naruszenia ich praw lub wolności. Informacja skierowana do osób fizycznych powinna być sporządzona zrozumiałym językiem oraz podobnie jak w przypadku zawiadomienia skierowanego do organu nadzorczego, musi zawierać dane kontaktowe Inspektora Ochrony Danych, opisywać możliwe konsekwencje wycieku, a także informować o środkach podjętych w celu minimalizacji skutków zdarzenia.

W każdym przypadku stwierdzenia naruszenia przepisów RODO, które wymaga dokonania zgłoszenia, bardzo istotna jest właściwa współpraca z organem nadzorczym, tym bardziej że wysokość grożącej przedsiębiorstwu kary pieniężnej jest uzależniona między innymi od tego, w jaki sposób organ nadzoru dowiedział się o naruszeniu. Pozostałe czynniki wpływające na wysokość kary to m.in. czas trwania naruszenia, umyślność, ocena działań podjętych dla zminimalizowania szkody czy ewentualne wcześniejsze naruszenia.

Przed wyciekiem danych często można się zabezpieczyć stosując np. standardowe metody ochrony systemów informacyjnych, kontrolę dostępu do pomieszczeń, właściwą politykę haseł, systematyczne szkolenia pracowników w zakresie socjotechnicznych metod ataków hakerskich oraz chociażby poprzez stosowanie szyfrowania dysków i szyfrowanych połączeń.

Na koniec warto podkreślić, że administrator po stwierdzeniu naruszenia, powodującego ryzyko dla praw i wolności, powinien szybko podjąć wszelkie możliwe działania, służące minimalizacji potencjalnych szkód dla osób fizycznych, ponieważ skuteczna i szybka reakcja podparta konkretnymi czynnościami, które zminimalizują szkody wynikające z wycieku, będzie poważną okolicznością łagodzącą, jaką organ nadzorczy z pewnością weźmie pod uwagę.

Czy pacjent musi wyrazić zgodę na przetwarzanie danych

Przetwarzanie danych osobowych zwykłej kategorii jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z warunków z art. 6 ust. 1 RODO. W dużym uproszczeniu podstawami mogą być: zgoda, umowa, obowiązki prawne, żywotne interesy, interes publiczny i uzasadniony interes Administratora. Przykładowo w sytuacji, gdy przetwarzanie jest „niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą”, to samo zawarcie umowy z osobą, której dane dotyczą, daje Administratorowi prawo do gromadzenia i przetwarzania jego danych w takim zakresie, w jakim jest to niezbędne do realizacji tej umowy i nie ma konieczności uzyskiwać dodatkowej zgody tej osoby.

W przypadku placówek medycznych przetwarzane dane osobowe będą jednak, w zdecydowanej większości, danymi dotyczącymi zdrowia, które są zaliczane przez art. 9 ust. 1 RODO do danych szczególnej kategorii. Podstawy ich przetwarzania określone zostały w art. 9 ust. 2 RODO i do celów świadczenia usług medycznych podstawą będzie, w szczególności, litera h wspomnianego przepisu.

Nie oznacza to bynajmniej, że w niektórych wypadkach, do podjęcia pewnych czynności, nie będzie konieczne uzyskanie zgody osoby, której dane dotyczą. Konieczność taka zaistnieje np. w wypadku chęci wysłania przez Administratora informacji marketingowych do swoich pacjentów.

Przykładowe obowiązki administratora danych

Zgodnie z artykułem 24 RODO obowiązkiem administratora jest wdrożenie odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych osobowych odbywało się w sposób zgodny z rozporządzeniem oraz aby administrator był w stanie to wykazać. Decyzja odnośnie wyboru konkretnych środków leży w gestii administratora, mogą to być na przykład: pseudonimizacja, minimalizacja danych czy wprowadzenie zabezpieczeń fizycznych lub elektronicznych. W każdym przypadku administrator musi być w stanie wykazać, że w należyty sposób dba o bezpieczeństwo danych pacjentów.

Zgodnie z wymogami RODO, jednym z podstawowych obowiązków placówki medycznej jako Administratora danych osobowych, jest udzielenie pacjentowi informacji na temat jego praw związanych z przetwarzaniem danych, przy czym informacja ta powinna być udzielona „w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie”. Obowiązek ten obejmuje między innymi podanie osobie, której dane dotyczą danych kontaktowych administratora, informacji o celu i podstawie prawnej przetwarzania, okresie przez jaki dane będą przechowywane, a także informacji o prawie żądania dostępu do danych, sprostowania, usunięcia lub ograniczenia przetwarzania, czy prawie do wniesienia skargi do organu nadzorczego. RODO nie określa szczegółowo formy, w jakiej osoby muszą być informowani o swoich prawach, w praktyce większość placówek wywiesza stosowne komunikaty w widocznych dla pacjentów miejscach.

Niezwykle istotnym obowiązkiem Administratora jest również właściwa reakcja na naruszenia ochrony danych, takie jak na przykład wyciek danych, czy ich zniszczenie. Zgodnie z prawem w przypadku naruszenia ochrony danych osobowych, administrator bez zbędnej zwłoki – w miarę możliwości, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia – zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Administrator jest zobowiązany podjąć działania zaradcze naruszeniu ochrony danych osobowych, w tym w stosownych przypadkach zastosować środki w celu zminimalizowania jego ewentualnych negatywnych skutków.

Ochrona danych jest związana z innymi prawami pacjentów

Należy pamiętać o tym, że w przypadku placówek służby zdrowia, zagadnienie ochrony danych osobowych nabiera bardzo specyficznego charakteru. Prawo do ochrony danych jest powiązane z prawem do poszanowania godności i intymności, lecz nie jest bezwzględne. Ochrona danych osobowych, choć sama w sobie jest bardzo ważnym zagadnieniem, nigdy nie powinna być traktowana jako ważniejsza od ratowania życia i zdrowia pacjenta. Warto mieć na uwadze również to, że przepisy odnoszące się do, szeroko rozumianej, ochrony danych osobowych nie znajdują się tylko w RODO, czy w ustawie o ochronie danych osobowych, ale również w wielu innych ustawach, czy rozporządzeniach.  W sektorze ochrony zdrowia na szczególną uwagę zasługuje zwłaszcza ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta oraz Rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania.

Podsumowując, realizacja podstawowych obowiązków wynikających z RODO w placówkach służby zdrowia powinna opierać się na minimalizacji ryzyka nieautoryzowanego ujawnienia danych pacjentów. Na terenie placówki medycznej konieczne jest w związku z tym między innymi: zachowanie odpowiednich warunków podczas rejestracji pacjenta (w tym wprowadzenie możliwości rejestracji elektronicznej), zachowanie prywatności przy weryfikacji tożsamości pacjenta, zapewnienie anonimowości przy wzywaniu pacjentów do gabinetów, a także zapewnienie prywatności podczas przekazywania pacjentowi informacji o jego stanie zdrowia.