O znaczeniu kodeksów postępowania dla branży ochrony zdrowia rozmawiam w odcinku 34 z wyjątkowymi gośćmi, którymi są dr Edyta Bielak-Jomaa w latach 2015–2018 Generalny Inspektor Ochrony Danych Osobowych a następnie do 2019 prezes Urzędu Ochrony Danych Osobowych oraz Piotr Drobek radca Prezesa Urzędu Ochrony Danych Osobowych i były dyrektor zespołu strategii i analiz UODO oraz zastępca dyrektora departamentu edukacji społecznej i współpracy międzynarodowej w Biurze GIODO.
Wspólnie z moimi gośćmi odpowiemy dziś, między innymi, na następujące pytania:
-> Jaką rolę pełnią kodeksy postępowania?
-> Jak efektywnie wdrożyć regulacje kodeksowe w podmiocie leczniczym?
-> Jakie korzyści dla podmiotów leczniczych niesie ze sobą wdrożenie kodeksów postępowania?
Kodeks postępowania to narzędzie, które pozwala zapewnić i wykazać zgodność z RODO, przekładając ogólne zasady rozporządzenia na specyfikę konkretnej branży. W sektorze medycznym powstały dwa kodeksy – jeden pod auspicjami Polskiej Federacji Szpitali, drugi pod opieką Porozumienia Zielonogórskiego. Przystąpienie do kodeksu jest dobrowolne, ale nie jest deklaracją bez konsekwencji: wiąże się z mechanizmami monitorowania, sankcjami za naruszenie i wpływem na zasadność oraz wysokość administracyjnej kary pieniężnej. Prawidłowo wdrożony kodeks to praktyczna realizacja zasady rozliczalności – ale nie zastępuje RODO i nie zwalnia z podstawowych obowiązków.
Najważniejsze wnioski
- Kodeks postępowania nie ma mocy powszechnie obowiązującej – nie jest równy ustawom ani aktom prawa unijnego. To specyficzny instrument, który ma pomóc w stosowaniu przepisów wyższego rzędu.
- Kodeks nie może obniżyć standardu wymaganego przez RODO ani go zastąpić. Nie wszyscy twórcy kodeksów mieli tego świadomość.
- Przystąpienie do kodeksu jest dobrowolne, ale całościowe – nie można przystąpić do części kodeksu ani korzystać z niego wybiórczo, pomijając mechanizmy monitorowania.
- Powoływanie się na kodeks, do którego się nie przystąpiło, może być czynem nieuczciwej konkurencji.
- Stosowanie kodeksu wpływa na zasadność i wysokość administracyjnej kary pieniężnej nakładanej przez Prezesa Urzędu Ochrony Danych Osobowych (UODO) – zarówno w sektorze prywatnym, jak i publicznym.
- Dwa kodeksy w jednym sektorze są dopuszczalne pod warunkiem spójności – UODO wymagał od twórców, aby obowiązki i sposób ich egzekwowania nie były ze sobą sprzeczne.
Czym są kodeksy postępowania i jaka była ich geneza?
To narzędzie, które miało ułatwić poszczególnym sektorom i branżom stosowanie RODO. Kodeks pozwala dostosować ogólne przepisy rozporządzenia do potrzeb, możliwości i wyzwań konkretnej branży – a nie tworzyć dodatkowe obostrzenia czy bariery.
Problem, na który kodeksy odpowiadają, jest bardzo praktyczny. RODO ma charakter ogólny: to nie jest checklista z wyliczeniem „masz zrobić to, to i to”, tylko wymóg doprowadzenia do określonego stanu. Dla podmiotów leczniczych to realna trudność, bo w innych obszarach są uczone raczej podejścia dokumentacyjnego, które w ochronie danych osobowych się nie sprawdza.
Kodeks ma zapewnić konkretyzację – czyli przełożenie ogólnych zasad na poziom specyfiki branży. Założenie jest takie, że branża medyczna najlepiej wie, jaka jest specyfika przetwarzania danych i co powinno być tym najwyższym standardem. Często mówi się, że kodeks postępowania powinien wnieść wartość dodaną w stosunku do tego, co jest w RODO.
Sytuację komplikuje fakt, że sektor medyczny jest obszarem mocno uregulowanym – często wycinkowo, a czasem przepisy stoją do siebie w kontrze. To wpływa zarówno na to, jak kodeksy były tworzone, jak i na to, jak będą stosowane.
Czy kodeks postępowania obowiązuje tak jak ustawa?
Nie. Kodeksy nie mają mocy powszechnie obowiązującej – nie są równe ustawom ani aktom prawa unijnego. To coś niżej: pewien specyficzny akt, który ma pomóc w stosowaniu przepisów wyższego rzędu.
To pytanie pada bardzo często, bo samo słowo „kodeks” osobom spoza branży prawniczej kojarzy się z kodeksem cywilnym. Odpowiedź nie jest ani zerojedynkowa, ani oczywista – charakter prawny kodeksów jest niedookreślony i sami prawnicy dyskutują, czy to źródło prawa, czy nie. Przyjęty kodeks musi rodzić zobowiązania dla tych, którzy się nim związali – to raczej zobowiązanie o charakterze cywilnoprawnym, choć i o tym da się dyskutować.
Warto w tym kontekście przypomnieć jedno z zaleceń Najwyższej Izby Kontroli (NIK), w którym pojawił się postulat szybkiego zatwierdzenia kodeksów, żeby wszystkie podmioty lecznicze nie miały problemu ze stosowaniem RODO. To nieporozumienie: zatwierdzenie kodeksów nie zmieni rzeczywistości od razu i nie stworzy kolejnego aktu, który muszą stosować wszystkie podmioty lecznicze w Polsce. To akt, do którego można przystąpić.
Trzeba też jasno powiedzieć dwie rzeczy: kodeks nie może stać się sposobem na obniżenie standardu wymaganego przez RODO, a posiadanie kodeksu nie zwalnia z sięgania do przepisów ogólnych.
Czym kodeks postępowania różni się od kodeksu etyki zawodowej?
Zakresem i trybem przyjęcia. Kodeks etyczny przygotowuje organizacja samorządowa dla swoich członków, a jego przestrzeganie zabezpiecza odpowiedzialność dyscyplinarna. Kodeks postępowania z RODO jest z jednej strony szerszy – dotyczy nie zawodów medycznych, lecz placówek medycznych – a z drugiej musi zostać zatwierdzony przez Prezesa UODO.
To nie jest więc czysty instrument samoregulacyjny, w którym sami dla siebie tworzymy zasady. To pewna trudność, ale zatwierdzenie daje też pewność, że treść kodeksu rzeczywiście zmierza w stronę lepszego stosowania RODO.
Kodeksy mają przy tym istotną przewagę nad ustawą: są dużo bardziej elastyczne niż zmiana prawa – łącznie z możliwością zatwierdzenia zmiany samego kodeksu. Nie zastąpią ustawodawcy, ale mogą szybciej rozwiązać problemy pojawiające się w praktyce, a przy okazji dostarczyć ustawodawcy materiału do ewentualnej inicjatywy legislacyjnej.
Dobrze pokazuje to przykład telemedycyny. W dyskusjach nad kodeksem jeszcze przed pandemią rozmowa o telemedycynie była trochę rozmową o Yeti – mówiło się głównie o telefonach do pacjentów. Dziś to ogromny, szybko rozwijający się obszar, z pytaniami o realizację praw pacjenta, gdy nie pojawia się on fizycznie w placówce. Z kolei w zakresie sztucznej inteligencji obecne kodeksy niewiele jeszcze pomogą – nie ma tam punktowych regulacji – ale stanowią dobrą bazę, która pozwoli sektorowi reagować szybciej niż w trybie legislacyjnym.
Dlaczego w ochronie zdrowia mamy dwa kodeksy postępowania?
Bo są skierowane do innych kategorii podmiotów. Kodeks przygotowany pod auspicjami Polskiej Federacji Szpitali – tzw. duży – ma szeroki zakres i powstawał przede wszystkim z perspektywy dużych podmiotów leczniczych. Kodeks stworzony pod opieką Porozumienia Zielonogórskiego skierowany jest do jego członków, czyli przede wszystkim mniejszych podmiotów, głównie z obszaru podstawowej opieki zdrowotnej (POZ).
Wytyczne Europejskiej Rady Ochrony Danych (EROD) wskazują, że trzeba wykazać potrzebę oraz reprezentatywność organizacji tworzącej kodeks. UODO żadnej z tych dwóch inicjatyw nie odrzucił – właśnie dlatego, że są adresowane do innych grup. To nie znaczy, że przy mniejszych podmiotach ryzyka są mniejsze; inne będą natomiast zasoby i możliwości wsparcia poszczególnych placówek.
Kluczowy warunek dopuszczenia dwóch kodeksów to spójność. UODO od początku wymagał, by obowiązki nakładane przez oba dokumenty i sposób ich egzekwowania nie były ze sobą sprzeczne – tak, by teoretycznie możliwe było przystąpienie do obu. Prace nad jednym i drugim kodeksem wzajemnie więc na siebie wpływały, bo pewne standardy muszą być na podobnym poziomie niezależnie od wielkości podmiotu. W praktyce ryzyka i tak nie zależą od tego, czy podmiot jest mały, czy duży, tylko od tego, jak wyglądają procesy przetwarzania danych.
Znaczenie ma też charakter placówki. To, czy podmiot leczniczy jest publiczny, czy niepubliczny, wpływa na sposób egzekwowania kodeksu – między innymi na to, czy będzie podlegał monitorowaniu przez podmiot monitorujący. Polski rynek medyczny jest pod tym względem specyficzny, bo mieszany.
Czy mniejszy podmiot może przystąpić do „dużego” kodeksu?
Tak. Jeden kodeks nie może zabronić udziału w innym, a jednym z twórców szerszego kodeksu jest zresztą samo Porozumienie Zielonogórskie. Jeżeli podmiot należący do Porozumienia uzna, że bardziej odpowiada mu tzw. duży kodeks, może do niego przystąpić. W przypadku szerszego kodeksu nie ma też obowiązku przynależności do którejś z organizacji współtworzących.
Co daje przystąpienie do kodeksu, skoro nie jest obowiązkowe?
Przede wszystkim możliwość powołania się na kodeks. RODO nie bez powodu kodeksy promuje: jeżeli przystąpiłeś do zatwierdzonego kodeksu, możesz powoływać się na wdrożone zgodnie z nim rozwiązania – i działa wtedy domniemanie zgodności z RODO. Oczywiście wzruszalne.
Można oczywiście korzystać z dobrych praktyk bez przystępowania do kodeksu – tylko wtedy nie towarzyszy temu mechanizm weryfikacji, czy rzeczywiście robimy to właściwie, i nie można się na kodeks powołać. Co więcej, powoływanie się na kodeks, do którego się nie przystąpiło, jest na przykład czynem nieuczciwej konkurencji. To istotne zwłaszcza dla podmiotów prywatnych.
Przystąpienie ma charakter całościowy. Nie da się przystąpić do kodeksu w części ani skorzystać z niego wybiórczo – trzeba wejść we wszystkie przewidziane w nim mechanizmy, łącznie z monitorowaniem, którego postać zależy od tego, czy podmiot jest prywatny, czy publiczny. To zresztą przewaga nad sytuacją znaną z norm ISO, gdzie samo hasło „mamy ISO” wprowadza sporo zamieszania.
Deklaracja wiąże się też z konsekwencjami. Jeśli podmiot nie wdroży tego, do czego się zobowiązał, musi liczyć się z usunięciem z kodeksu i utratą prawa powoływania się na niego. Drugi, bezpośredni skutek: stosowanie kodeksu ma wpływ na zasadność i wysokość administracyjnej kary pieniężnej nakładanej przez Prezesa UODO – i dotyczy to zarówno podmiotów prywatnych, jak i publicznych, choć kwoty się różnią. Bo to nie jest tak, że Prezes UODO nie nakłada kar na podmioty medyczne.
Warto pamiętać także o wymiarze pozytywnym: kodeks może po prostu rozwiać wątpliwości praktyczne. Dobrym przykładem jest podstawa prawna przetwarzania danych. Dla wielu placówek wciąż odkryciem bywa, że nie trzeba prosić pacjenta o zgodę na przetwarzanie danych osobowych i przedkładać mu klauzul – problem bierze się z mylenia autonomii pacjenta i zgody na zabieg ze zgodą na przetwarzanie danych. Kodeks może uprościć ten proces i wskazać, kiedy zgoda rzeczywiście jest niezbędna.
Jak przygotować podmiot leczniczy do wdrożenia kodeksu?
Zacząć od audytu – czyli od uczciwej odpowiedzi na pytania: co wiemy, co mamy, co robimy dalej. Bez określenia realnej sytuacji i celów kodeks nie zafunkcjonuje.
Kilka rzeczy warto sobie przy tym powiedzieć wprost:
- To nie jest działanie jednorazowe. Dotychczasowe podejście często sprowadzało się do teczki z dokumentami i polityki, która leży i się kurzy. Kodeks ma to zmieniać, bo z natury jest procesem, a nie zdarzeniem.
- Decyzja musi być świadoma. Trzeba sprawdzić, jakie mamy zasoby, czy mamy inspektora ochrony danych (IOD), czy korzystamy z podmiotu zewnętrznego i jak to wszystko dziś funkcjonuje.
- Warto korzystać ze wsparcia twórców kodeksu – zwłaszcza gdy placówka nie uczestniczyła w jego przygotowaniu. Konsultacje i wyjaśnienia to realna pomoc na etapie wdrożenia.
- Kodeks nie zastąpi roli inspektora ochrony danych ani ogólnego wdrożenia systemu ochrony danych. W małej placówce nie musi to być nic wielkiego – to podstawowe działania, które i tak trzeba wykonać.
Pytania, które trzeba sobie zadać, żeby sprawdzić zgodność z kodeksem, bywają banalne i klasyczne – ale właśnie dlatego są dobrym momentem prawdy: może się okazać, że czegoś nie zauważyliśmy.
Co odpowiedzieć dyrektorowi, który pyta „co nam to da?”
Kilka konkretów. Po pierwsze – racjonalizacja wydatków. Bardzo często wdrażanie RODO wygląda jak działanie ad hoc: jeden audyt, drugi audyt, kolejny ekspert po wyskoczeniu problemu, zespół wewnętrzny. Po podliczeniu okazuje się, że wydano bardzo dużo zasobów finansowych, rzeczowych i ludzkich, a problemy zostały. Kodeks może być podstawą do uporządkowania tych działań.
Po drugie – inna pozycja w ewentualnym postępowaniu. Administrator, który wie, że podjął wszystkie kroki i potrafi to wykazać, buduje zupełnie inną pozycję w kontakcie z organem nadzorczym. Widać to w decyzjach Prezesa UODO: dialog z podmiotem, który ma sprawy poukładane, wygląda inaczej niż z tym, który je lekceważył.
Po trzecie – organizacja zamiast indywidualnej odpowiedzialności pracownika. Zamiast liczyć na to, czy konkretny pracownik zachowa się właściwie, można tak zorganizować proces przetwarzania danych, żeby domyślnie było wiadomo, co i kiedy robić. To ułatwia codzienną pracę personelowi.
Po czwarte – partner, który zna branżę. Jednym z wymogów wobec podmiotu monitorującego jest znajomość specyfiki sektora. To nie ktoś, kto dopiero uczy się ochrony zdrowia.
Po piąte – zaufanie pacjentów. Bywa mówione, że pacjent w sytuacji ekstremalnej nie zwraca na to uwagi, ale to nie jest element, który można pominąć – i pojawia się coraz częściej.
I jeszcze jedno: ochrona danych nie jest wyłącznie kwestią dokumentów albo systemu. To cała organizacja: kto ma dostęp, dlaczego, na jakich zasadach i kto nadaje uprawnienia. Dobrze ułożone zasady nie generują dodatkowych problemów, tylko upraszczają funkcjonowanie – bez względu na to, jak będą się zmieniać systemy.
Czy audyt to kontrola?
Nie – i to chyba główna bariera mentalna w placówkach medycznych. Audyt w ramach kodeksu ma pomóc, a nie złapać na błędzie, choć w jednostkach kontrolowanych na wielu poziomach skojarzenie z kontrolą jest naturalne.
Warto na to spojrzeć jak na trening: lepiej wylać pot na poligonie. Dzięki takiemu audytowi kontrola Prezesa UODO nie musi być aż takim problemem. Trzeba przy tym pamiętać, że w stanie prawnym po wejściu RODO samo naprawienie naruszenia i przywrócenie stanu zgodnego z prawem nie oznacza, że konsekwencji nie będzie – wcześniej mogło to zamknąć całe postępowanie.
Nie chodzi też o gonienie za oceną. Skoncentrowanie się wyłącznie na „dobrej ocenie” – tak jak rodzic pomagający dziecku przy sprawdzianie – zaburza cały proces i na koniec okazuje się, że tylko zaszkodziło. Kodeks daje możliwość uzyskania obiektywnego obrazu tego, jak jest u nas naprawdę.
Kiedy można zacząć wdrażać kodeks i gdzie sprawdzić jego status?
Można było zacząć jeszcze przed formalnym zatwierdzeniem. Prezes UODO wydał pozytywną opinię co do merytorycznej części kodeksów – z zastrzeżeniem, że nie dotyczy to mechanizmów monitorowania przestrzegania kodeksów przez podmioty publiczne. Zrobił to między innymi po to, by dać środowisku sygnał, że treść kodeksów spełnia wymagany standard i można rozpocząć nieformalne przygotowania.
Formalne zatwierdzenie miało nastąpić do końca roku i w warstwie merytorycznej niczego nie zmienia – rozstrzyga natomiast kwestie monitorowania. Równolegle toczy się procedura akredytacji podmiotów monitorujących (rozpatrywane były dwa wnioski). Dopiero po zatwierdzeniu można formalnie przystępować do kodeksu i uruchamiać przewidziane w nim mechanizmy weryfikacji i audytów.
Po zatwierdzeniu informacja o kodeksach będzie publikowana na stronie podmiotowej Biuletynu Informacji Publicznej (BIP) UODO. Powstanie rejestr zawierający teksty kodeksów oraz rejestr akredytowanych podmiotów monitorujących – przy czym akredytacji udziela się w odniesieniu do konkretnego kodeksu. Nie ma tu „wolnych elektronów” działających na różnych frontach.
Rewolucja czy ewolucja?
Ewolucja. Po kilku latach stosowania RODO w większości podmiotów jakiś poziom ochrony danych już istnieje, więc kodeks jest raczej kolejnym etapem podnoszenia bezpieczeństwa niż przewrotem. Rewolucją byłoby to tylko tam, gdzie systemu ochrony danych nie ma w ogóle – a takie sytuacje pewnie wciąż się zdarzają.
Paradoksalnie może się nawet okazać, że w pewnym zakresie przewymagaliśmy – wprowadziliśmy obciążenia, bo ktoś kiedyś na szkoleniu powiedział, że „lepiej mieć”. Wtedy kodeks pozwala oszczędzić choćby papier produkowany w imię zgodności z RODO, która niekoniecznie była zgodnością.
FAQ
Czy kodeks postępowania obowiązuje wszystkie podmioty lecznicze? Nie. Kodeksy nie są obowiązkowe i nie mają mocy powszechnie obowiązującej. To akt, do którego można przystąpić, a oba kodeksy przewidują własne mechanizmy przystąpienia i weryfikacji.
Czy kodeks zastępuje RODO? Nie. Kodeks ma ułatwić stosowanie RODO, ale nie zastępuje przepisów ogólnych i nie może obniżać standardu wymaganego przez rozporządzenie.
Dlaczego w ochronie zdrowia powstały dwa kodeksy? Bo są adresowane do różnych kategorii podmiotów: jeden – szerszy – powstawał przede wszystkim z perspektywy dużych podmiotów leczniczych, drugi jest skierowany do członków Porozumienia Zielonogórskiego, głównie mniejszych podmiotów. Warunkiem było zapewnienie spójności między nimi.
Co grozi za nieprzestrzeganie kodeksu, do którego się przystąpiło? Przede wszystkim usunięcie z kodeksu i utrata możliwości powoływania się na niego. Kodeksy przewidują też własne sankcje, a stosowanie kodeksu wpływa na zasadność i wysokość administracyjnej kary pieniężnej.
Czy można stosować rozwiązania z kodeksu bez przystępowania do niego? Można korzystać z dobrych praktyk, ale nie działa wtedy mechanizm weryfikacji ani domniemanie zgodności z RODO. Powoływanie się na kodeks, do którego się nie przystąpiło, może być czynem nieuczciwej konkurencji.
Czy można przystąpić tylko do części kodeksu? Nie. Przystąpienie obejmuje całość, łącznie z mechanizmami monitorowania, których postać zależy m.in. od tego, czy podmiot jest publiczny, czy niepubliczny.
Czy kodeks zwalnia z obowiązku posiadania inspektora ochrony danych? Nie. Kodeks pomaga i wspiera, ale nie zastępuje roli inspektora ochrony danych ani ogólnego wdrożenia systemu ochrony danych w placówce.
Gdzie sprawdzić, które kodeksy zostały zatwierdzone? Informacja o zatwierdzonych kodeksach publikowana jest na stronie podmiotowej BIP Urzędu Ochrony Danych Osobowych, wraz z rejestrem tekstów kodeksów i akredytowanych podmiotów monitorujących.
Podsumowanie
Kodeksy postępowania to dla sektora medycznego coś więcej niż kolejny dokument do segregatora. Ich wartość polega na tym, że branża sama musiała zmapować swoje problemy, ustalić standard i uznać, że jest gotowa go realizować – czego żadna ustawa z góry nie zapewni. Warto wdrożyć regulacje kodeksowe odpowiedzialnie, bo opłaca się to obu stronom: podmiotowi i pacjentom, którzy zyskują ucywilizowane procesy przetwarzania danych. Kluczowe jest jednak nie to, że kodeks się ma, tylko to, że się go stosuje.
Całą rozmowę – w tym wątek dwóch kodeksów, roli podmiotów monitorujących i praktycznych argumentów dla dyrekcji – znajdziesz w 34. odcinku podcastu „Recepta na przepis”. Gośćmi odcinka byli dr Edyta Bielak-Jomaa [do weryfikacji – zapis nazwiska], w latach 2015–2018 Generalny Inspektor Ochrony Danych Osobowych, a następnie do 2019 roku Prezes Urzędu Ochrony Danych Osobowych, oraz Piotr Drobek, radca Prezesa UODO.