W dzisiejszym wpisie wychodzimy naprzeciw potrzebom lekarzy i dentystów prowadzących indywidualną praktykę lekarską, którzy czują się zagubieni w gąszczu przepisów o ochronie danych osobowych.

Pośród licznych kwestii regulowanych przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwiet­nia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – tzw. „RODO” – rozporządzenie nakłada na administratorów danych osobowych szereg obowiązków informacyjnych. Kwestie te szczegółowo omówione są w art. 13 RODO.

Pamiętajmy, że lekarz przyjmujący pacjentów w swoim prywatnym gabinecie jest administratorem danych osobowych pacjentów. Pozyskiwanie tych danych jest oczywiście uprawnione i uzasadnione z uwagi na cel jakim jest udzielenie świadczenia medycznego, a także na podstawie przepisów z zakresu obowiązku prowadzenia dokumentacji medycznej przez lekarza.

Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta wymienia wprost dane, które lekarz ma obowiązek zamieścić w dokumentacji medycznej. Są to:

a) nazwisko i imię (imiona),

b) datę urodzenia,

c) oznaczenie płci,

d) adres miejsca zamieszkania,

e) numer PESEL, jeżeli został nadany, w przypadku noworodka – numer PESEL matki, a w przypadku osób, które nie mają nadanego numeru PESEL – rodzaj i numer dokumentu potwierdzającego tożsamość,

f) w przypadku gdy pacjentem jest osoba małoletnia, całkowicie ubezwłasnowolniona lub niezdolna do świadomego wyrażenia zgody – nazwisko i imię (imiona) przedstawiciela ustawowego oraz adres jego miejsca zamieszkania;

g) opis stanu zdrowia pacjenta lub udzielonych mu świadczeń zdrowotnych.

Przetwarzanie wyżej wymienionych danych nie wymaga zgody pacjenta.

Należy jednak pamiętać, że niezależnie od powyższego administrator danych osobowych ma obowiązek spełnienia wobec osoby, której dane dotyczą tzw. obowiązku informacyjnego.

W praktyce poprawne sporządzenie takiej klauzuli wywołuje trudności. Dlatego też zamieszczamy na naszej stronie treść przykładowej klauzuli, którą każdy może zmodyfikować stosownie do swoich potrzeb. Np. nie każdy gabinet przetwarza dane osobowe w sposób zautomatyzowany tj. za pomocą programów komputerowych. Część gabinetów wciąż prowadzi jedynie dokumentację papierową. W takim wypadku punkt 6 klauzuli ulegnie zmianie, podobnie jak punkt 7 lit. f.

Pamiętajmy, że z uwagi na zasadę rozliczalności, w razie kontroli to na administratorze danych osobowych będzie ciążył obowiązek wykazania, że dane przetwarzane są w sposób zgody z prawem. To lekarz będzie musiał zatem udowodnić, że zapoznał pacjenta z informacjami, o których mowa w Rozporządzeniu. Z tego powodu najbezpieczniejszą z punktu widzenia administratora, ale też najdalej idącą metodą jest przedstawienie pacjentowi klauzuli na piśmie do podpisu – np. przy okazji rejestracji pacjenta lub wypełniania przez niego zgody na leczenie. Inną powszechną praktyką jest umieszczenie treści klauzuli w widocznym miejscu w gabinecie np. przy stanowisku rejestracji i pouczenie pacjenta o konieczności zapoznania się z jej treścią.

 

WZÓR:

 

1. Administratorem Państwa danych osobowych zgromadzonych w dokumentacji medycznej jest Jan Kowalski, prowadzący działalność gospodarczą pod nazwą „Specjalistyczna Praktyka Stomatologiczna Jan Kowalski” przy ul. Prostej 1 lok. 1 w Warszawie, kontakt: tel. xxx xxx xxx, e-mai: xxxxxxx@xxxxxx.

2. Państwa dane osobowe takie jak imiona i nazwisko, PESEL, adres zamieszkania, płeć, data urodzenia, informacje o stanie zdrowia i udzielonych świadczeniach są przetwarzane na podstawie art. 6 ust. 1 lit. c) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), a więc dlatego, że Administrator ma obowiązek uzyskania tych danych i ujawnienia ich w dokumentacji medycznej na podstawie obowiązujących przepisów ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Państwa dane kontaktowe w postaci numeru telefonu lub adresu e-mail są przetwarzane na podstawie art. 6 ust. 1 lit. a) powołanego Rozporządzenia tj. na podstawie Państwa zgody.

3. Podanie przez Państwa numeru telefonu i adresu e-mail jest dobrowolne. Podanie pozostałych danych osobowych wymienionych w punkcie 2 powyżej jest obowiązkowe na podstawie ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta.

4. Administrator będzie przechowywać Państwa dane osobowe, których podanie jest obowiązkowe przez okres niezbędny do realizacji celów przetwarzania oraz wymagany przepisami prawa tj.: dane osobowe zawarte w dokumentacji medycznej papierowej lub elektronicznej – przez okres 20 lat, zdjęcia RTG – 10 lat, dane zawarte w skierowaniach – 5 lat, dane w terminarzu spotkań – 1 rok. Dane o numerze telefonu i adresie e-mail będą przechowywane przez okres 10 lat, jednak nie dłużej niż do czasu odwołania przez Państwa zgody na przetwarzanie tych danych.

5. Administrator będzie przekazywać Państwa dane osobowe swoim pracownikom (np. asystentce stomatologicznej), Pracowni RTG, Pracowni Protetycznej i do Biura Rachunkowego. Takie podmioty przetwarzają dane na podstawie umowy z Administratorem i tylko zgodnie z jego poleceniami.

6. Państwa dane osobowe będą przetwarzane w sposób zautomatyzowany, jednakże nie będzie to wywoływać wobec Państwa żadnych skutków prawnych lub w podobny sposób istotnie wpływać na Państwa sytuację. Zautomatyzowane przetwarzanie danych wynika z posługiwania się przez Administratora programami do obsługi danych w systemach informatycznych (w tym dokumentacja medyczna w formie elektronicznej).

7. Przysługują Państwu następujące prawa związane z przetwarzaniem danych osobowych:

a) prawo do cofnięcia zgody na przetwarzanie danych osobowych w postaci numeru telefonu i adresu e-mail,

b) prawo dostępu do swoich danych osobowych,

c) prawo żądania sprostowania swoich danych osobowych,

d) prawo żądania usunięcia swoich danych osobowych,

e) prawo żądania ograniczenia przetwarzania swoich danych osobowych,

f) prawo do przenoszenia danych osobowych, tj. prawo otrzymania od Administratora swoich danych osobowych, w ustrukturyzowanym, powszechnie używanym formacie informatycznym nadającym się do odczytu maszynowego. Mogą Państwo przesłać te dane innemu administratorowi danych lub zażądać, aby Administrator przesłał te dane do innego administratora. Jednakże Administrator zrobi to tylko jeśli takie przesłanie jest technicznie możliwe.

8. Aby skorzystać z powyższych praw, należy się skontaktować z Administratorem – dane kontaktowe w pkt. 1 powyżej.

9. Przysługuje Państwu prawo wniesienia skargi do organu nadzorczego zajmującego się ochroną danych osobowych, tj. Prezesa Urzędu Ochrony Danych Osobowych.