Bartłomiej Achler

adwokat

Partner w kancelarii Drab - Grotowska Juszczyńska Achler, gdzie kieruje działem procesowym oraz działem prawa medycznego. Specjalizuje się w zagadnieniach związanych z prawami pacjenta i dochodzeniem roszczeń z tytułu błędów medycznych.
[Więcej >>>]

Potrzebuję pomocy

RODO – zamieszanie z prawem do bezpłatnej kopii danych medycznych

Bartlomiej Achler16 sierpnia 2018Komentarze (0)

RODO dane medyczneOstatnie miesiące w sektorze medycznym upływają pod hasłem RODO. RODO to, RODO tamto. Ten akronim robi naprawdę zawrotną karierę. I to nie tylko dlatego, że jego brzmienie jest znacznie bardziej przyjazne niż „Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)”.

RODO bowiem to przede wszystkim nowe zasady przetwarzania danych osobowych. Niektórzy mówią o rewolucji. Może i tak. W końcu po ponad dwudziestu (tak, tak – dwudziestu!) latach od wejścia w życie ustawy o ochronie danych osobowych, nagle przypomniano sobie o istnieniu danych osobowych i potrzebie ich ochrony.  Niezależnie od tego, jak będzie wyglądało stosowanie RODO w praktyce, już sam ten fakt jest wystarczający, by z jednej strony mówić o rewolucji, a z drugiej załamywać ręce nad stanem wiedzy o ochronie danych osobowych w Polsce. Po ponad dwóch miesiącach od rozpoczęcia stosowania RODO można być pewnym jednego – bez wątpienia przyczyniło się do rozpowszechnienia świadomości ochrony danych osobowych oraz spowodowało nadprodukcję prawników gwałtownie zmieniających specjalizacje 😉 Ale ja dzisiaj nie o tym…

Stracone dwa lata

Na przygotowanie do RODO było sporo czasu. Od jego wejścia w życie do rozpoczęcia stosowania minęły ponad dwa lata. Tymczasem okazuje się, że nie przygotował się nikt. W jakimś stopniu można zrozumieć tzw. sektor prywatny, który o RODO nie miał żadnej wiedzy i dopiero na przełomie roku 2017 i 2018, pod wpływem histerycznych publikacji prasowych oraz zmasowanego marketingu kancelarii prawnych i firm informatycznych, zdał sobie sprawę z „zagrożenia”. Żadnego zrozumienia nie znajduję jednak dla organów państwowych, które nie dość, że nie postarały się choćby o namiastkę kampanii informacyjnej (we właściwym czasie, zaznaczam), to niektórymi działaniami znakomicie przyczyniają się do zwiększenia i tak niemałego już „RODO-chaosu”.

Prawo do bezpłatnej kopii dokumentacji medycznej?

Jakiś czas po rozpoczęciu stosowania RODO Rzecznik Praw Pacjenta zamieścił na swojej stronie internetowej informację, jakoby RODO przyznawało pacjentom prawo do bezpłatnej kopii dokumentacji medycznej. Wniosek taki Rzecznik wywiódł z art. 15 ust. 3 RODO stanowiącego, że administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych.

Rzecznik uznał, że skoro RODO przyznaje prawo do żądania bezpłatnej (przy pierwszym żądaniu) kopii danych osobowych, a dokumentacja medyczna takie dane zawiera, to tym samym pacjent nabył prawo do bezpłatnej pierwszej kopii dokumentacji medycznej.  Ze swoją interpretacją oczywiście podzielił się ze światem, czym wzbudził niemały popłoch wśród przedstawicieli podmiotów leczniczych, które już zaczęły kalkulować, jakie koszty po ich stronie spowoduje taka interpretacja Rzecznika.

Dwa odrębne uprawnienia

Rzecznik Praw Pacjenta, nie wiedzieć czemu, utożsamia dane osobowe (czyli informacje o osobie fizycznej) z nośnikiem, na którym są one zapisane (papier, serwer, dysk twardy komputera, płyty CD lub DVD). Takie stanowisko pozbawione jest jakichkolwiek podstaw prawnych. Dane osobowe to informacje o zidentyfikowanej, lub możliwej do zidentyfikowania osobie fizycznej. O tym, czy konkretną informację należy traktować jako daną osobową decyduje treść i zakres informacji, a nie nośnik, na którym jest utrwalona.

Odstępstwa od powyższej reguły są wyjątkiem. Dotyczy to np. badań obrazowych, których wyniki stanowią przecież daną osobową, zaś jej udostępnienie może nastąpić wyłącznie poprzez wydanie kopii zdjęcia. Jest to jednak przypadek szczególny, nie dotyczący wszystkich danych zawartych w dokumentacji.

Co więcej, prawo do kopii danych osobowych oraz prawo do dokumentacji medycznej to dwa całkowicie odrębne uprawnienia, realizowane w zupełnie innym trybie i na zupełnie innych podstawach prawnych. W przypadku danych osobowych będzie to art. 15 RODO, natomiast w przypadku dokumentacji medycznej są to art. 23 oraz art. 27 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta, a także przepisy rozporządzenia Ministra Zdrowia w sprawie rodzajów zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania.

Celem prawa do uzyskania kopii danych osobowych jest przede wszystkim cel kontrolny – masz prawo wiedzieć, jakie dane administrator przetwarza i czy robi to legalnie. Z kolei prawo do dokumentacji medycznej jest w gruncie rzeczy „przedłużeniem” prawa do informacji o Twoim stanie zdrowia.

Dokumentacja medyczna to nie tylko dane osobowe pacjenta

Pamiętaj również, że Twoje dane osobowe mogą być zawarte nie tylko w dokumentacji medycznej (np. monitoring wizyjny, call center, korespondencja mailowa etc.). Z kolei dokumentacja medyczna zawiera nie tylko dane osobowe pacjenta, ale również szereg informacji, które tymi danymi nie są (np. dane personelu medycznego udzielającego świadczeń). RODO nie daje pacjentowi prawa do uzyskania dostępu do takich danych. Można to osiągnąć jedynie poprzez złożenie wniosku o kopię dokumentacji medycznej.

Warto również pamiętać, że pacjenci najczęściej występują o wydanie kopii dokumentacji w określonym celu – do kontynuacji leczenia, dla Zakładu Ubezpieczeń Społecznych, czy też na potrzeby spraw sądowych. Dla realizacji takich celów przydatna będzie dla pacjenta wyłącznie dokumentacja prowadzona zgodnie z ustawą o prawach pacjenta i przywołanym wyżej rozporządzeniem Ministra Zdrowia. Same dane osobowe to w tym przypadku za mało.

Terminy, terminy, terminy

Rzecznik pominął również jeszcze jedną, niezwykle istotną z punktu widzenia pacjenta okoliczność, a mianowicie ciążące na podmiotach leczniczych terminy realizacji każdego z omawianych uprawnień.  W przypadku wniosku o wydanie dokumentacji medycznej podmiot leczniczy jest zobowiązany zrealizować go bez zbędnej zwłoki, zaś naruszenie tego obowiązku może zostać uznane za naruszenie praw pacjenta. W przypadku żądania wydania kopii danych osobowych na podstawie RODO, administrator (czytaj: podmiot leczniczy) również powinien wydać dane bez zbędnej zwłoki, z tym, że unijny prawodawca zostawia w art. 12 RODO  furtkę stanowiąc:

Administrator bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem (…). W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań.

Och, jakże piękny jest ten przepis. Oznacza on w skrócie, że, opierając się na RODO, administrator może wydłużyć termin nawet do trzech (!) miesięcy, przy czym, zwróć uwagę, nie jest to termin na dostarczenie kopii danych, lecz na udzielenie informacji o działaniach podjętych w związku z żądaniem”. W praktyce może się więc okazać, że pacjent podążający ścieżką wytyczoną przez Rzecznika Praw Pacjenta nawet w ciągu 3 miesięcy od złożenia wniosku nie otrzyma żądanych danych.

Koszty udostępnienia kopii danych osobowych

Hasło „bezpłatna kopia dokumentacji medycznej” brzmi pięknie, zwłaszcza, gdy przyjdzie Ci zapłacić za kilkadziesiąt, czy kilkaset stron dokumentacji medycznej w formie w papierowej. Generalną zasadą przy wydawaniu wyciągu, odpisu, kopii lub wydruku dokumentacji medycznej, jak również wydawaniu dokumentacji na elektronicznym nośniku danych jest odpłatność. Ustawa o prawach pacjenta wprowadza jednak w art. 28 ust. 4 limity, ponad które podmiot leczniczy nie może żądać zapłaty.

RODO przyznaje prawo do żądania bezpłatnej pierwszej kopii danych osobowych. Już jednak za każdą kolejną kopię administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych.

Problematyczna realizacja

Pacjent chcący zaoszczędzić i podążający, w dobrej wierze, ścieżką wytyczoną przez Rzecznika Praw Pacjenta, może stracić podwójnie. Wyobraź sobie taką sytuację:

Zwracasz się do szpitala X o wydanie kopii Twoich danych osobowych zawartych w dokumentacji medycznej z całego okresu leczenia i hospitalizacji. Szpital przyjmuje wniosek. Mijają tygodnie. Po miesiącu otrzymujesz informację (zgodnie z art. 12 RODO), że z uwagi na liczbę wniosków termin zostaje wydłużony o kolejne dwa miesiące.

Czekasz…

Już po trzech miesiącach od zgłoszenia żądania dostajesz… wydruk z systemu informatycznego szpitala zawierający, owszem, wszystkie Twoje dane osobowe, w tym dane medyczne, tyle, że nie w formie dokumentacji medycznej.

Czy szpital działał legalnie? Jak najbardziej. Czy dochował terminu? Oczywiście. Czy otrzymałeś dane, o które prosiłeś? Tak. Czy jesteś zadowolony? Chyba nie do końca.

Składasz więc kolejny wniosek. Tym razem piszesz, że chcesz otrzymać dane zawarte w dokumentacji medycznej i chcesz je otrzymać w formie dokumentacji medycznej. Ok. Szpital przyjmuje wniosek. Powtórka z rozrywki. Mijają kolejne 3 miesiące…

Jedziesz do szpitala odebrać dokumentację. Zostajesz jednak najpierw skierowany do kasy. Wszak nie jest to już pierwszy Twój wniosek, a co za tym idzie – nie jest bezpłatny. Okazuje się, że stawka za kopię danych osobowych wynosi 3 PLN za stronę (a zatem dziesięciokrotnie więcej niż maksymalna dopuszczalna stawka za kopię dokumentacji medycznej). Tak sobie szpital wyliczył „opłatę w rozsądnej wysokości wynikającą z kosztów administracyjnych”. Legalnie? Jak najbardziej, o ile jest w stanie z tych kosztów się wytłumaczyć.

Po pół roku od złożenia pierwszego wniosku otrzymujesz więc dokumentację płacąc za nią dziesięciokrotnie więcej, niż, gdybyś złożył „zwykły” wniosek o kopię dokumentacji medycznej. Co więcej, mogę sobie wyobrazić sytuację, gdy szpital w wydanej Ci dokumentacji np. anonimizuje dane personelu medycznego. I może nawet się z tego wybroni – przecież prosiłeś o swoje dane osobowe…

Oczywiście powyższy przykład to pewne ekstremum. Pokazuje jednak, że stanowisko Rzecznika, jakkolwiek przestawione w intencji dbałości o interes pacjenta, może w praktyce przynieść więcej szkody, niż pożytku.

Rzecz jasna, może się okazać, że podmiot leczniczy po prostu wyda kopię dokumentacji. Taka forma udostępnienia danych może być przecież dla niego najprostsza w realizacji. Nie masz jednak gwarancji, że tak będzie, a należałoby oczekiwać, mimo wszystko, spójnej i przewidywalnej praktyki podmiotów leczniczych w tym zakresie.

Rzecznik swoje, Prezes UODO swoje

Żeby było ciekawiej, stanowisko Rzecznika Praw Pacjenta podważył Prezes Urzędu Ochrony Danych Osobowych (następca GIODO). W opublikowanej na swojej stronie internetowej informacji wskazał, że

„udostępnienie kopii danych zawartych w dokumentacji medycznej, zgodnie z art. 15 ust. 3 RODO, nie jest równoznaczne z obowiązkiem udostępnienia danych w formie i strukturze właściwych dla udostępnienia dokumentacji medycznej.”

Publikacja stanowiska Prezesa UODO spowodowała, spóźnioną, ale jednak, refleksję w biurze Rzecznika Praw Pacjenta, który zwrócił się się z prośbą do podmiotów leczniczych pytań lub wątpliwości odnoszących się do realizacji uprawnień pacjenta wynikających z art. 15 ust. 3, w celu „analizy wskazanego zagadnienia”. 

Jak na razie mamy zatem dwugłos w sprawie prawa do bezpłatnej kopii danych osobowych medycznych, co bynajmniej nie sprzyja realizacji omawianych uprawnień. Im  prędzej poznamy jednolite stanowiska obu organów, tym lepiej. Pytanie tylko, czy takiego stanowiska w ogóle się doczekamy, skoro dwa lata okazały się zbyt krótkim okresem, by przygotować się do RODO, jak należy…

{ 0 komentarze… dodaj teraz swój }

Dodaj komentarz

Wyrażając swoją opinię w powyższym formularzu wyrażasz zgodę na przetwarzanie przez Drab-Grotowska, Juszczyńska, Achler Radcowie prawni i adwokaci spółka partnerska Twoich danych osobowych w celach ekspozycji treści komentarza zgodnie z zasadami ochrony danych osobowych wyrażonymi w Polityce Prywatności

Administratorem danych osobowych jest Drab-Grotowska, Juszczyńska, Achler Radcowie prawni i adwokaci spółka partnerska z siedzibą w Warszawie.

Kontakt z Administratorem jest możliwy pod adresem bartlomiej.achler@dja-legal.pl.

Pozostałe informacje dotyczące ochrony Twoich danych osobowych w tym w szczególności prawo dostępu, aktualizacji tych danych, ograniczenia przetwarzania, przenoszenia danych oraz wniesienia sprzeciwu na dalsze ich przetwarzanie znajdują się w tutejszej Polityce Prywatności. W sprawach spornych przysługuje Tobie prawo wniesienia skargi do Generalnego Inspektora Ochrony Danych Osobowych.

Poprzedni wpis:

Następny wpis: