-> Na czym polega prawo dostępu do danych?
-> Jak je prawidłowo realizować?
-> O co powinna zadbać placówka medyczna wdrażająca procedury w zakresie prawa dostępu do danych?
W odcinku 22 postaram się odpowiedzieć na te pytania analizując decyzję fińskiego organu nadzorczego, który rozstrzygał przypadek kliniki medycznej, która ograniczyła pacjentowi prawa dostępu do dokumentacji.
Fiński organ nadzorczy w decyzji z 16 grudnia 2021 r. uznał, że klinika medyczna naruszyła RODO, nie realizując wniosku pacjenta o dostęp do jego danych – i nałożył karę 5000 euro wraz z nakazem wykonania wniosku, dostosowania procedur oraz upomnieniem. Naruszenia dotyczyły czterech przepisów: art. 5 (zasada przejrzystości), art. 12 (procedura i terminy), art. 13 (klauzula informacyjna) oraz art. 15 (prawo dostępu do danych). Dla polskich placówek medycznych płyną z tego trzy praktyczne wnioski: łatwy dostęp do klauzuli informacyjnej (dosłownie „jednym kliknięciem”), przeszkolony personel oraz krótka, czytelna procedura obsługi wniosków.
Najważniejsze wnioski
- Sprawa dotyczyła niezrealizowanego wniosku pacjenta o dostęp do danych na podstawie art. 15 RODO – klinika nie podjęła wymaganych działań.
- Organ nadzorczy badał trzy obszary: czy przekazano pacjentowi wszystkie informacje, jakie procedury obowiązywały w klinice oraz czy prawidłowo poinformowano pacjenta o roli administratora.
- Kara wyniosła 5000 euro, a jej wysokość uzasadniono m.in. brakiem szkody finansowej lub materialnej u pacjentów – mimo że naruszenie nie było jednostkowe.
- Wątpliwości wzbudziło twierdzenie kliniki, że część danych nie jest w jej dyspozycji, lecz w posiadaniu operującego chirurga – klinika nigdy tego nie wyjaśniła.
- Klauzula informacyjna powinna być dostępna dosłownie jednym kliknięciem na stronie internetowej placówki.
- Procedura obsługi wniosków musi być krótka i czytelna – rozbudowanego dokumentu personel po prostu nie przeczyta.
Czego dotyczyła sprawa fińskiej kliniki medycznej?
Pacjent złożył do organu nadzorczego skargę na klinikę medyczną, która nie zrealizowała jego żądania dostępu do danych osobowych i danych medycznych na podstawie art. 15 RODO. Informacja o decyzji z 16 grudnia 2021 r. pojawiła się w newsletterze polskiego Urzędu Ochrony Danych Osobowych (UODO) – a jest to źródło regularnie publikujące ciekawe stanowiska i przypadki.
Pacjent wystąpił do kliniki o dostęp do swoich danych, ale takiego dostępu nie uzyskał, a klinika nie podjęła żadnych działań, do których była zobowiązana.
Uwagę zwraca przebieg samego postępowania. Fiński organ nadzorczy wykazał się ogromną cierpliwością – przez rok, a być może dłużej, próbował ustalić z kliniką, co się właściwie stało, komunikując się listownie i mailowo. Klinika działała opieszale: informacji nie przekazywała w ogóle albo przesyłała je w formie szczątkowej.
Co twierdziła klinika i dlaczego wzbudziło to wątpliwości?
Klinika utrzymywała, że przekazała pacjentowi wszystkie posiadane informacje – pacjent twierdził zupełnie inaczej. W pewnym momencie pojawiło się jednak twierdzenie, które szczególnie zainteresowało organ nadzorczy.
Klinika stwierdziła, że nie jest w stanie przekazać wszystkich żądanych informacji, ponieważ w zakresie ich części nie jest administratorem – dane te miały znajdować się w posiadaniu lekarza chirurga, który faktycznie wykonał określoną usługę chirurgiczną, i to on miał dysponować m.in. rejestrem pacjentów.
Wątpliwości pogłębił fakt, że klinika w ogóle nie odniosła się do dalszych pytań w tej sprawie i nie uzasadniła swojego stanowiska. Organ podkreślił natomiast, że klinika jest zarejestrowanym podmiotem realizującym usługi lekarskie i chirurgiczne, a placówka uprawniona do wykonywania określonych świadczeń powinna co do zasady być uznana za administratora danych. To spostrzeżenie można odnieść również do polskiego systemu ochrony zdrowia i działających w nim placówek.
Jakie przepisy RODO naruszyła klinika?
Organ nadzorczy stwierdził naruszenie czterech przepisów: art. 5, art. 12, art. 13 oraz art. 15 RODO. W rozstrzygnięciu powołano się także na motyw 63 ogólnego rozporządzenia, opisujący dostęp osoby fizycznej do danych, ze szczególnym uwzględnieniem dokumentacji medycznej.
Warto podkreślić podwójny charakter tego uprawnienia: dostęp do dokumentacji medycznej to w polskim porządku prawnym jedno z podstawowych praw pacjenta, a jednocześnie – na gruncie RODO – jedno z podstawowych praw dotyczących danych osobowych.
- Artykuł 5 – zasady zgodności z prawem, rzetelności i przejrzystości. Przejrzystość komunikacji między kliniką a pacjentem była w tej sprawie mocno akcentowana.
- Artykuł 12 – zasady proceduralne rozpatrywania wniosków, w tym termin miesiąca z możliwością wydłużenia do dwóch miesięcy przy sprawach skomplikowanych. Administrator musi podjąć działania i na bieżąco informować osobę fizyczną o podejmowanych czynnościach.
- Artykuł 13 – obowiązek informacyjny, czyli klauzula informacyjna.
- Artykuł 15 – prawo dostępu do danych oraz prawo do uzyskania od administratora potwierdzenia, czy określone dane są przetwarzane.
Rozstrzygnięcie objęło nakaz wykonania całości wniosku pacjenta, nakaz dostosowania obowiązujących w klinice procedur, upomnienie oraz administracyjną karę pieniężną.
Dlaczego kara wyniosła tylko 5000 euro?
Karę w wysokości 5000 euro uznano za wystarczającą przede wszystkim dlatego, że działania kliniki nie wywołały u pacjentów szczególnej szkody finansowej ani materialnej. Organy nadzorcze mają w tym zakresie swobodę – określony jest górny pułap kar administracyjnych, a konkretna wysokość zależy od wielu czynników, w tym od współpracy podmiotu kontrolowanego z organem.
Na niekorzyść kliniki przemawiały natomiast: opieszałość we współpracy, brak przejrzystości w relacji z pacjentem, niejasność co do roli administratora oraz brak odpowiednich procedur realizacji praw osób fizycznych. Zauważono również, że naruszenie nie miało charakteru jednostkowego – sytuacja trwała dłuższy czas, więc grupa dotkniętych nią pacjentów była zapewne znacznie większa.
Dla porównania: również w Polsce zdarzały się kary za brak współpracy z urzędem, rzędu około 10 tysięcy złotych. Kary w tej kategorii nie są więc zwykle bardzo wysokie.
Jak zadbać o dostęp do klauzuli informacyjnej?
Klauzula informacyjna powinna być dostępna dosłownie jednym kliknięciem – taki standard wskazano wprost, odnosząc się do serwisu internetowego kliniki. Każda osoba, której dane są przetwarzane i która odwiedza stronę placówki, powinna móc swobodnie zapoznać się z tymi informacjami.
To realizacja zarówno zasady przejrzystości, jak i wymogu łatwości dostępu do informacji o prawach osoby fizycznej – w tym przypadku prawach pacjenta.
W praktyce to element wyjątkowo łatwy do zweryfikowania, bo zero-jedynkowy: albo klauzula jest łatwo dostępna, albo nie. Skoro placówki medyczne mają dziś w większości własne strony internetowe, warto o ten dostęp zadbać choćby po to, by móc wykazać przed organem, że informacje są łatwo dostępne.
Jak przygotować personel i procedury w placówce medycznej?
Kluczowe są dwa elementy: przeszkolony, uwrażliwiony personel oraz krótka i czytelna procedura obsługi wniosków. Oba wynikają wprost z problemów, jakie ujawniła omawiana decyzja.
Szkolenie i szybka reakcja
W praktyce zdarza się, że wniosek dotyczący danych osobowych wpływa mailowo i długo pozostaje bez reakcji, a droga od jego wpłynięcia do placówki aż do osoby, która ma się nim zająć, bywa zbyt długa. Tymczasem obowiązują konkretne terminy – miesiąc, a przy sprawach bardziej skomplikowanych dwa miesiące.
Bardzo istotna jest szybka reakcja wobec samego wnioskodawcy. Wystarczy informacja – mailowa, telefoniczna czy pisemna, forma jest dowolna – że postępowanie wyjaśniające zostało wszczęte. Dla osoby składającej wniosek samo zainteresowanie jej sprawą ma ogromne znaczenie.
Szkolenie powinno więc prowadzić przede wszystkim do tego, by osoba odbierająca wniosek nie odłożyła go na biurko, tylko od razu przekazała go inspektorowi ochrony danych (IOD) albo bezpośrednio administratorowi – w zależności od przyjętej w placówce procedury.
Procedura krótka zamiast rozbudowanej
Procedura musi być krótka, zwięzła, jasna i czytelna, wyraźnie określająca, co zrobić z takim wnioskiem. Można oczywiście przygotować bardzo szczegółowy dokument, ale efekt będzie taki, że osoby faktycznie zaangażowane w proces nawet nie będą miały możliwości się z nim zapoznać.
W istocie procedura może sprowadzać się do jednego: niezwłocznie po wpłynięciu wniosek zostaje przekazany osobom zainteresowanym. Zasada jest tu bardzo podobna jak przy potencjalnym naruszeniu ochrony danych – informacja do administratora lub inspektora ochrony danych musi być niezwłoczna, wręcz natychmiastowa, żeby możliwa była odpowiednia reakcja.
FAQ
Czego dotyczyła decyzja fińskiego organu nadzorczego? Skargi pacjenta na klinikę medyczną, która nie zrealizowała jego wniosku o dostęp do danych osobowych i medycznych na podstawie art. 15 RODO. Decyzja pochodzi z 16 grudnia 2021 r.
Jakie przepisy RODO zostały naruszone? Artykuł 5 (zgodność z prawem, rzetelność i przejrzystość), artykuł 12 (procedura i terminy), artykuł 13 (klauzula informacyjna) oraz artykuł 15 (prawo dostępu do danych).
Jaka kara została nałożona? Administracyjna kara pieniężna w wysokości 5000 euro, a dodatkowo nakaz wykonania całości wniosku, nakaz dostosowania procedur oraz upomnienie.
Dlaczego kara była stosunkowo niska? Ponieważ działania kliniki nie wywołały u pacjentów szczególnej szkody finansowej ani materialnej. Organy nadzorcze mają swobodę w ustalaniu wysokości kary w granicach górnego pułapu.
Czy placówka może twierdzić, że administratorem jest lekarz wykonujący zabieg? W omawianej sprawie takie twierdzenie wzbudziło wątpliwości i nie zostało wyjaśnione. Podkreślono, że placówka uprawniona do wykonywania określonych świadczeń powinna co do zasady być administratorem danych.
Jaki jest termin na rozpatrzenie wniosku o dostęp do danych? Co do zasady miesiąc, z możliwością wydłużenia do dwóch miesięcy, jeżeli sprawa jest skomplikowana.
Jak powinna być dostępna klauzula informacyjna? Na stronie internetowej placówki, w sposób umożliwiający zapoznanie się z nią dosłownie jednym kliknięciem.
Jak powinna wyglądać procedura obsługi wniosków? Krótka, zwięzła i czytelna – w istocie sprowadzająca się do niezwłocznego przekazania wniosku inspektorowi ochrony danych lub administratorowi.
Podsumowanie
Omawiana decyzja dobrze pokazuje, jak poważnie organy nadzorcze traktują realizację praw osób fizycznych – i że problemem bywa nie tylko samo nieudzielenie dostępu do danych, ale też opieszałość, brak przejrzystości i niejasność co do roli administratora. Dla polskich placówek medycznych wnioski sprowadzają się do trzech rzeczy: łatwo dostępnej klauzuli informacyjnej, uwrażliwionego personelu reagującego natychmiast oraz krótkiej, realnie stosowanej procedury. Te elementy są kluczowe nie tylko przy prawie dostępu, ale przy realizacji wszystkich praw wynikających z RODO.
Całe omówienie decyzji i płynących z niej wniosków znajdziesz w 22. odcinku podcastu „Recepta na przepis”. Warto też zaglądać do newslettera Urzędu Ochrony Danych Osobowych (UODO), w którym regularnie pojawiają się informacje istotne dla ochrony danych medycznych w placówkach ochrony zdrowia.