Czy placówka medyczna musi wyznaczyć Inspektora Ochrony Danych?

Wdrożenie RODO w placówce medycznej często rodzi kluczowe pytanie: czy każdy podmiot leczniczy ma bezwzględny obowiązek powołania Inspektora Ochrony Danych (IOD)? Poniżej znajdziesz konkretną odpowiedź opartą na art. 37 RODO, która pomoże Ci błyskawicznie ocenić sytuację prawną Twojej przychodni lub gabinetu.

Czy każda placówka medyczna musi wyznaczyć Inspektora Ochrony Danych (IOD)?

To jedno z pytań, które regularnie pojawia się wśród podmiotów leczniczych, przychodni, gabinetów lekarskich i innych placówek przetwarzających dane pacjentów.

Odpowiedź nie jest jednak tak prosta, jak mogłoby się wydawać. Sam fakt prowadzenia działalności leczniczej i przetwarzania danych dotyczących zdrowia nie oznacza automatycznie, że każda placówka musi wyznaczyć IOD. Kluczowe znaczenie ma przede wszystkim skala przetwarzania danych, charakter działalności oraz sposób organizacji procesów przetwarzania.

Przy ocenie obowiązku warto odwołać się zarówno do art. 37 RODO, jak i do Wytycznych Grupy Roboczej Art. 29 nr WP 243 dotyczących inspektorów ochrony danych (DPO) (przyjęte 13 grudnia 2016 r., ostatnio zmienione oraz przyjęte 5 kwietnia 2017 r.).

Kiedy przepisy RODO wymagają wyznaczenia IOD?

Zgodnie z art. 37 ust. 1 RODO administrator i podmiot przetwarzający ma obowiązek wyznaczyć IOD w szczególności, gdy główna jego działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych osobowych, w tym danych dotyczących zdrowia.

Przepis ten nie oznacza jednak, że każda przychodnia, gabinet czy niewielka placówka medyczna automatycznie podlega obowiązkowi wyznaczenia IOD.

Aby odpowiedzieć na zadane na wstępie pytanie należy zinterpretować każdy z trzech warunków tj. główną działalność, przetwarzanie danych dotyczących zdrowia oraz dużą skalę.

Główna działalność i dane dotyczące zdrowia a obowiązek powołania IOD

Dane dotyczące zdrowia, czyli dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej – w tym o korzystaniu z usług opieki zdrowotnej – ujawniające informacje o stanie jej zdrowia, podlegają szczególnej ochronie.

Placówki medyczne przetwarzają głównie dane osobowe pacjentów, w tym w dużej mierze dane dotyczące zdrowia, między innymi w związku z prowadzeniem dokumentacji medycznej, udzielaniem świadczeń zdrowotnych, diagnostyką, leczeniem czy rozliczaniem świadczeń. Działalność polegająca na udzielaniu świadczeń zdrowotnych i prowadzeniu w związku z tym dokumentacji medycznej jest główną działalnością każdej placówki medycznej. Działalność ta jest ściśle związana z przetwarzaniem danych dotyczących zdrowia.

Grupa Robocza Art. 29 w swych wytycznych podkreśla, że: „Głównej działalności” nie należy interpretować w sposób wyłączający działalność w zakresie przetwarzania danych nierozerwalnie związaną z działalnością główną administratora lub podmiotu przetwarzającego. Dla przykładu działalnością główną szpitali będzie zapewnianie opieki medycznej. Natomiast prowadzenie efektywnej opieki medycznej nie byłoby możliwe bez przetwarzania danych medycznych jak np. historii choroby pacjenta. W związku z tym działalność polegająca na przetwarzaniu historii choroby pacjenta również powinna zostać zaklasyfikowana jako działalność główna. Oznacza to, że szpitale będą miały obowiązek powołania DPO.”

Zatem należy stwierdzić, że w przypadku każdej placówki medycznej jej główna działalność polega na przetwarzaniu danych dotyczących zdrowia.

Przetwarzanie na dużą skalę danych dotyczących zdrowia

Dużo więcej kłopotów sprawia interpretacja trzeciego warunku czyli dużej skali. Należy odpowiedzieć na pytanie: Czy placówka przetwarza dane dotyczące zdrowia na dużą skalę ?

Ani przepisy RODO ani wytyczne Grupy Roboczej Art. 29 nie określają konkretnej liczby pacjentów, po przekroczeniu której placówka medyczna musi wyznaczyć IOD. „Dużą skalę” należy interpretować w odniesieniu do konkretnej placówki medycznej. Przykładowo inaczej należy oceniać niewielki, jednoosobowy gabinet lekarski, który obsługuje ograniczoną liczbę pacjentów, a inaczej duży podmiot leczniczy prowadzący działalność dla wielu tysięcy pacjentów, posiadający rozbudowaną dokumentację medyczną i wiele oddziałów lub placówek.

Grupa Robocza Art. 29 w wytycznych wskazała kryteria, które powinny być brane pod uwagę przy ocenie skali przetwarzania. Pojęcie „dużej skali” należy oceniać z uwzględnieniem następujących okoliczności przetwarzania:

• liczba osób, których dane dotyczą – wyrażona jako konkretna liczba albo procent określonej grupy społeczeństwa;
• ilość i zakres przetwarzanych danych;
• czas trwania przetwarzania;
• zakres geograficzny przetwarzania.

W praktyce oznacza to, że nie można ograniczyć analizy wyłącznie do liczby pacjentów.

Ocena powinna obejmować całokształt działalności placówki medycznej. Należy przeanalizować m.in.:

• ilu pacjentów obsługuje placówka;
• jakie rodzaje danych są przetwarzane;
• czy korzysta z rozbudowanych systemów informatycznych;
• czy dane są przetwarzane w ramach usług tele-medycyny;
• przez jaki okres dane są przetwarzane;
• czy placówka działa w jednej, czy wielu lokalizacjach;
• czy placówka należy do większej grupy podmiotów.

Takie podejście jest zgodne z wytycznymi Grupy Roboczej Art. 29, zgodnie z którymi „duża skala” wymaga uwzględnienia kilku czynników, a nie wyłącznie jednej wartości liczbowej jaką jest liczba pacjentów.

Czy analiza skali przetwarzania danych dotyczących zdrowia jest jednorazowa.

Zdecydowanie nie ! Administrator powinien samodzielnie okresowo przeprowadzać analizę i weryfikować czy spełnione są przesłanki z art. 37 RODO. Prezes UODO wskazuje, że dokonanie takiej oceny powinno zostać udokumentowane, a w razie potrzeby powtarzane. Wynika to z praktycznego założenia, że sytuacja administratora może się zmieniać.

Przykładowo mała przychodnia z czasem może zwiększyć liczbę pacjentów, rozpocząć działalność w kolejnych lokalizacjach, rozszerzyć zakres świadczeń, stworzyć rozbudowany system tele-medycyny, lub połączyć się z innym małym podmiotem leczniczym tworząc duży podmiot. W konsekwencji podmiot, który początkowo nie był zobowiązany do wyznaczenia IOD, może w przyszłości spełnić warunki zobowiązujące do wyznaczenia IOD.

Udokumentowanie analizy jest ważne, zwłaszcza jeżeli analiza zakończy się wnioskiem, że placówka medyczna nie ma obowiązku wyznaczenia IOD, warto sporządzić dokumentację uzasadniającą tę decyzję. Powinna ona wskazywać m.in. jakie przesłanki z art. 37 RODO analizowano; jaka jest główna działalność placówki; jakie dane są przetwarzane i w jaki sposób; jaka jest skala przetwarzania, w tym zakres geograficzny; jakie czynniki przemawiają za lub przeciw uznaniu przetwarzania za prowadzone na dużą skalę; jaki jest końcowy wniosek; planowany termin kiedy analiza zostanie ponownie przeprowadzona.

Takie podejście jest szczególnie istotne z punktu widzenia zasady rozliczalności. UODO wprost wskazuje na potrzebę udokumentowania oceny obowiązku wyznaczenia IOD i jej okresowego powtarzania.

Przykłady – kiedy obowiązek powołania IOD wystąpi i kiedy nie wystąpi

Duży szpital lub grupa placówek medycznych obsługująca znaczną liczbę pacjentów, prowadząca rozbudowaną dokumentację medyczną i przetwarzająca dane dotyczące zdrowia pacjentów powinna wyznaczyć IOD.

W przypadku indywidualnej praktyki lekarskiej osoby, która prowadzi gabinet lekarski dodatkowo do pracy w szpitalu i przyjmuje ograniczoną liczbę pacjentów obowiązek wyznaczenia IOD nie występuje. Fakt, że gabinet przetwarza dane dotyczące zdrowia, nie przesądza jeszcze samodzielnie o obowiązku wyznaczenia IOD. Konieczna jest analiza skali i charakteru przetwarzania.

Grupa placówek medycznych

Jeżeli działalność prowadzona jest przez grupę podmiotów, warto również zwrócić uwagę, iż przepisy (art. 37 ust. 2 RODO) przewidują możliwość wyznaczenia jednego IOD dla grupy przedsiębiorstw, pod warunkiem że można się z nim łatwo skontaktować z każdej jednostki organizacyjnej.

Należy zaznaczyć, że musi to być rzeczywista dostępność IOD dla poszczególnych jednostek, a nie tylko formalne ustanowienia jednej osoby dla całej grupy.

Co w sytuacji, gdy placówka medyczna nie musi wyznaczać IOD?

Brak obowiązku wyznaczenia IOD zgodnie z przepisami RODO nie oznacza braku obowiązków związanych z przetwarzaniem i ochroną danych osobowych.

Placówka medyczna nadal pozostaje administratorem danych osobowych i musi zapewnić zgodność przetwarzania z przepisami RODO oraz innymi właściwymi przepisami.

Każdy administrator może również zdecydować się na dobrowolne wyznaczenie IOD. Jeżeli jednak zdecyduje się formalnie wyznaczyć IOD, powinien przestrzegać przepisów RODO dotyczących pozycji IOD, niezależności i zadań.

Jakie wymagania powinien spełniać IOD

IOD powinien mieć odpowiednie kwalifikacje zawodowe, a w szczególności wiedzę fachową na temat prawa i praktyk w dziedzinie ochrony danych oraz umiejętności wypełnienia zadań przypisanych inspektorowi przepisami RODO.

Zakres wymaganej wiedzy powinien być dostosowany do branży, w której działa administrator, charakteru, stopnia skomplikowania i ilości danych przetwarzanych przez organizację. Prezes UODO również wskazuje, że w przypadku bardziej skomplikowanych procesów i dużej ilości danych szczególnych potrzebny jest odpowiednio wyższy poziom wiedzy.

W placówce medycznej szczególnie istotna będzie znajomość nie tylko przepisów RODO, ale również przepisów sektorowych dotyczących ochrony danych osobowych w ochronie zdrowia i dokumentacji medycznej.

IOD powinien także zachować odpowiednią niezależność. Nie powinien otrzymywać instrukcji dotyczących sposobu wykonywania swoich zadań ani ponosić negatywnych konsekwencji z powodu prawidłowego wykonywania funkcji.

Podstawowe zadania IOD w placówce medycznej?

Zgodnie z przepisami art. 39 RODO do podstawowych zadań IOD należy:

1. informowanie kierownictwa i personelu placówki medycznej o obowiązkach spoczywających na nich zgodnie z przepisami o ochronie danych osobowych, w tym przepisami RODO, i doradzanie w tych kwestiach;
2. monitorowanie przestrzegania przepisów o ochronie danych oraz polityk placówki medycznej w zakresie ochrony danych osobowych, w tym poprzez działania zwiększające świadomość, szkolenia personelu uczestniczącego w operacjach przetwarzania oraz audyty;
3. udzielanie na żądanie kierownictwa placówki zaleceń odnośnie oceny skutków dla ochrony danych oraz monitorowanie jej wykonania;
4. współpraca z Prezesem UODO;
5. pełnienie funkcji punktu kontaktowego dla Prezesa UODO w kwestiach związanych z przetwarzaniem oraz prowadzenie konsultacji we wszelkich innych sprawach.

W placówce medycznej IOD powinien zatem uczestniczyć m.in. w ocenie procesów związanych z dokumentacją medyczną, systemami informatycznymi, monitoringiem, tele-medycyną, udostępnianiem danych czy obsługą incydentów bezpieczeństwa.

Podsumowanie

Czy placówka medyczna musi wyznaczyć Inspektora Ochrony Danych?

Nie każda placówka medyczna automatycznie musi wyznaczyć IOD. Decydujące znaczenie ma analiza przesłanek określonych w art. 37 RODO, tj. tego, czy główna działalność placówki wiąże się z przetwarzaniem danych dotyczących zdrowia, na dużą skalę.

W przypadku dużych szpitali, centrów medycznych czy rozbudowanych sieci placówek warunki wyznaczenia IOD raczej będą spełnione. W przypadku indywidulanej praktyki lekarskiej prowadzącej gabinet lekarski w ograniczonym zakresie raczej nie będą spełnione. Natomiast w przypadku małej przychodni czy indywidualnej praktyki lekarskiej prowadzonej na szerszą skalę konieczna jest wnikliwa indywidualna ocena całokształtu procesu przetwarzania.

Warto więc zamiast przyjmować automatyczną zasadę „placówka medyczna = obowiązkowy IOD”, przeprowadzić udokumentowaną analizę konkretnego podmiotu. Dopiero na jej podstawie można odpowiedzialnie stwierdzić, czy wyznaczenie Inspektora Ochrony Danych jest obowiązkiem prawnym, czy decyzją dobrowolną.

FAQ – Wyciek danych u dostawcy IT