Najważniejszy kontekst
Ten temat wymaga więcej niż jednej reguły.
Jak rozpoznać incydent, ocenić ryzyko, zgłosić naruszenie do UODO w 72 godziny i zawiadomić pacjentów. Procedura dla placówki medycznej.
W sprawach dokumentacji i danych drobny szczegół organizacyjny może zmienić ocenę prawną: znaczenie mają osoba składająca żądanie, zakres danych, sposób identyfikacji oraz historia dostępu i zmian.
Wyjaśniamy zasady i najważniejsze rozróżnienia. Nie zastępujemy jednak analizy konkretnej sprawy uniwersalną instrukcją - o kierunku działania decydują dokumenty, terminy i status uczestników.
Wiedza potrzebna do oceny sytuacji
Co warto wiedzieć.
Zasada ogólna i podstawa prawna
Obowiązki po naruszeniu wynikają przede wszystkim z RODO oraz z krajowych przepisów o ochronie danych. Administrator ma obowiązek reagować na naruszenia, oceniać ich skutki i - w zależności od poziomu ryzyka - zgłaszać je organowi nadzorczemu oraz zawiadamiać osoby, których dane dotyczą. Każde naruszenie należy odnotować w wewnętrznej ewidencji, niezależnie od tego, czy podlegało zgłoszeniu.
Kluczem jest ocena ryzyka dla praw i wolności osób. Nie każde zdarzenie jest naruszeniem podlegającym zgłoszeniu, ale przy danych o zdrowiu potencjalne skutki bywają poważniejsze, dlatego decyzje trzeba dokumentować szczególnie starannie. Termin 72 godzin biegnie od stwierdzenia naruszenia, a nie od zakończenia pełnego wyjaśnienia sprawy.
Czy każde naruszenie trzeba zgłaszać do UODO?
Nie. Zgłasza się naruszenia, które mogą powodować ryzyko dla praw lub wolności osób. Każde naruszenie należy jednak odnotować w wewnętrznej ewidencji wraz z uzasadnieniem decyzji.
Od kiedy liczy się 72 godziny?
Od stwierdzenia naruszenia, a nie od zakończenia pełnego wyjaśnienia sprawy. Zgłoszenia dokonuje się bez zbędnej zwłoki, w miarę możliwości w tym terminie.
Cztery punkty kontrolne
Co trzeba ustalić przed podjęciem decyzji.
- 01
Kto żąda informacji lub dostępu i na jakiej podstawie?
- 02
Jakiego dokładnie zakresu danych dotyczy sprawa?
- 03
Co pokazują dokumentacja, logi systemowe i upoważnienia?
- 04
Czy biegnie termin ustawowy albo termin wskazany w piśmie?
Mapa problemu
Zakres zagadnienia.
W analizie tego tematu powracają poniższe obszary. Ich znaczenie i kolejność zależą od konkretnej sytuacji.
- 01Warianty sytuacji i typowe błędy
- 02Kiedy to już nie jest artykuł, tylko Twoja sprawa
- 03Pytania i odpowiedzi
- 04Czy każde naruszenie trzeba zgłaszać do UODO?
- 05Od kiedy liczy się 72 godziny?
Decyzja dla konkretnej sprawy
Najpierw fakty i dokumenty. Dopiero potem rekomendacja.
Możesz przekazać krótki opis sytuacji i wskazać termin. Na tej podstawie ustalimy, czy potrzebna jest konsultacja, analiza dokumentu czy wsparcie w postępowaniu.
Przekaż sprawę do wstępnej oceny →Przygotowanie do analizy
Co warto zebrać.
- wniosek, korespondencja lub treść zgłoszenia
- dokumentacja w aktualnym, niezmienionym stanie
- upoważnienia, rejestry dostępów i procedury placówki
- chronologia zdarzeń z datami doręczeń
Nie przesyłaj danych pacjenta zwykłą wiadomością, jeżeli nie jest to konieczne. Na pierwszym etapie wystarczy zanonimizowany opis oraz informacja o rodzaju dokumentów.
Sygnały alarmowe
Nie odkładaj oceny, jeżeli:
- doszło do ujawnienia lub utraty danych;
- wpłynęło pismo z terminem odpowiedzi;
- żądanie dotyczy osoby zmarłej, małoletniej albo osoby trzeciej;
Kontekst prawny
Podstawę trzeba dobrać do sytuacji.
Ocena może obejmować przepisy o prawach pacjenta i dokumentacji medycznej, RODO, ustawę o systemie informacji w ochronie zdrowia oraz regulacje właściwe dla danego rodzaju placówki.
Materiał ma charakter informacyjny i nie stanowi porady prawnej ani obietnicy określonego wyniku. Stan faktyczny, terminy, treść dokumentów i właściwy tryb mogą prowadzić do odmiennej rekomendacji.
