Najważniejszy kontekst
Ten temat wymaga więcej niż jednej reguły.
W sprawach dokumentacji i danych drobny szczegół organizacyjny może zmienić ocenę prawną: znaczenie mają osoba składająca żądanie, zakres danych, sposób identyfikacji oraz historia dostępu i zmian.
Wyjaśniamy zasady i najważniejsze rozróżnienia. Nie zastępujemy jednak analizy konkretnej sprawy uniwersalną instrukcją - o kierunku działania decydują dokumenty, terminy i status uczestników.
Wiedza potrzebna do oceny sytuacji
Co warto wiedzieć.
Różnica pomiędzy administratorem, współadministratorem a podmiotem przetwarzającym
Ustawodawca w RODO, w bardzo precyzyjny sposób określił definicje oraz zakresy uprawnień administratora i podmiotu przetwarzającego dane osobowe. Zgodnie z art. 4 pkt 7) RODO:
Administratorem jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.
Specyfika podmiotów leczniczych
Podmioty lecznicze należy każdorazowo traktować jako odrębnych administratorów danych. Każdy z nich samodzielnie przetwarza dane osobowe pacjentów w celu udzielenia świadczeń zdrowotnych. Każdy podmiot leczniczy obowiązany jest do prowadzenia dokumentacji medycznej pacjentów, którym udziela świadczeń zdrowotnych. Dokumentację podmiot następnie przechowuje przez wymagany obowiązującymi przepisami okres.
Rozróżnienie powyższego nie nastręcza trudności. Co jednak z sytuacją, gdy lekarz wypisuje skierowanie, które następnie jest przekazywane do innego szpitala, w którym mają zostać przeprowadzone badania? Wyraźnie przecież następuje przejście danych osobowych z jednej jednostki do drugiej.
Zlecenie badań nie jest powierzeniem danych
Rozpatrując powyższe pytanie, należy pamiętać, że skierowanie stanowi część dokumentacji medycznej. A sposób prowadzenia dokumentacji medycznej określają obowiązujące przepisy. Informacje, które muszą zostać zawarte w skierowaniu określa § 9 ust. 2 Rozporządzenia Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz. U. z 2015 r. poz. 2069 ze zm.). Zatem podstawą do udostępnienia tych danych jest przepis prawa.
Spotkałam się też z pytaniem czy przekazanie szpitalowi, który wystawił skierowanie wyników badań jest powierzeniem ich przetwarzania. Otóż nie. Podstawą do takiego twierdzenia jest przepis § 9 ust. 5 wspomnianego Rozporządzenia. Stanowi on wprost, że podmiot wykonujący badanie przekazuje wyniki podmiotowi, który wystawił skierowanie.
Cztery punkty kontrolne
Co trzeba ustalić przed podjęciem decyzji.
- 01
Kto żąda informacji lub dostępu i na jakiej podstawie?
- 02
Jakiego dokładnie zakresu danych dotyczy sprawa?
- 03
Co pokazują dokumentacja, logi systemowe i upoważnienia?
- 04
Czy biegnie termin ustawowy albo termin wskazany w piśmie?
Mapa problemu
Zakres zagadnienia.
W analizie tego tematu powracają poniższe obszary. Ich znaczenie i kolejność zależą od konkretnej sytuacji.
- 01Różnica pomiędzy administratorem, współadministratorem a podmiotem przetwarzającym
- 02Specyfika podmiotów leczniczych
- 03Zlecenie badań nie jest powierzeniem danych
- 04Potwierdzenie w Kodeksie branżowym
Decyzja dla konkretnej sprawy
Najpierw fakty i dokumenty. Dopiero potem rekomendacja.
Możesz przekazać krótki opis sytuacji i wskazać termin. Na tej podstawie ustalimy, czy potrzebna jest konsultacja, analiza dokumentu czy wsparcie w postępowaniu.
Przekaż sprawę do wstępnej oceny →Przygotowanie do analizy
Co warto zebrać.
- wniosek, korespondencja lub treść zgłoszenia
- dokumentacja w aktualnym, niezmienionym stanie
- upoważnienia, rejestry dostępów i procedury placówki
- chronologia zdarzeń z datami doręczeń
Nie przesyłaj danych pacjenta zwykłą wiadomością, jeżeli nie jest to konieczne. Na pierwszym etapie wystarczy zanonimizowany opis oraz informacja o rodzaju dokumentów.
Sygnały alarmowe
Nie odkładaj oceny, jeżeli:
- doszło do ujawnienia lub utraty danych;
- wpłynęło pismo z terminem odpowiedzi;
- żądanie dotyczy osoby zmarłej, małoletniej albo osoby trzeciej;
Kontekst prawny
Podstawę trzeba dobrać do sytuacji.
Ocena może obejmować przepisy o prawach pacjenta i dokumentacji medycznej, RODO, ustawę o systemie informacji w ochronie zdrowia oraz regulacje właściwe dla danego rodzaju placówki.
Materiał ma charakter informacyjny i nie stanowi porady prawnej ani obietnicy określonego wyniku. Stan faktyczny, terminy, treść dokumentów i właściwy tryb mogą prowadzić do odmiennej rekomendacji.
