-> Kiedy należy dokonywać zgłoszenia naruszenia ochrony danych osobowych?
-> Kiedy należy zawiadomić o naruszeniu osobę fizyczną, której dane dotyczą?
-> Jakie elementy mogą okazać się decydujące do uznania zdarzenia za naruszenie lub incydent?
W odcinku 30 omawiam decyzję Prezesa UODO z 6 lipca 2022 roku, dotyczącą przypadku naruszenia w podmiocie leczniczym i w oparciu o nią staram się znaleźć odpowiedź na postawione wyżej pytania.
Link do pełnego testu decyzji: https://www.uodo.gov.pl/decyzje/DKN.5131.34.2021
W świetle decyzji Prezesa Urzędu Ochrony Danych Osobowych (UODO) z 6 lipca 2022 roku na pytanie „zgłaszać czy nie zgłaszać” w placówkach medycznych należy raczej odpowiedzieć: zgłaszać. Urząd nałożył karę 10 tysięcy złotych na podmiot leczniczy, który wydanie pacjentowi skierowania zawierającego dane innej osoby zakwalifikował jako incydent bezpieczeństwa, a nie naruszenie. Kluczowe wnioski z decyzji: liczy się ryzyko zaistnienia negatywnych konsekwencji, a nie fakt ich wystąpienia, losowy charakter błędu nie usprawiedliwia braku zgłoszenia, a znaczenie ma nie to, ile osób miało dostęp do danych, tylko jakie dane zostały ujawnione.
Najważniejsze wnioski
- Art. 33 RODO nakazuje zgłosić naruszenie bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia – chyba że jest mało prawdopodobne, by skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
- Sam fakt, że określona osoba jest pacjentem danej placówki, jest już informacją dotyczącą stanu zdrowia – to istotnie poszerza zakres ujawnionych danych.
- Omyłka pisarska w imieniu nie przesądza o braku możliwości identyfikacji, jeżeli pozostałe dane – nazwisko, adres, PESEL – pozwalają wskazać konkretną osobę.
- Ograniczony krąg osób mających dostęp do danych nie jest argumentem za niezgłaszaniem. Istotne jest to, jakie dane zostały ujawnione.
- Losowy charakter zdarzenia nie został uznany za przesłankę uzasadniającą brak zgłoszenia – dla organu kluczowe było to, że do ujawnienia danych jednego pacjenta innemu pacjentowi doszło.
- Same procedury nie wystarczą. Bez uwrażliwienia całego personelu – nie tylko medycznego – na kwestie danych osobowych ryzyko pozostaje wysokie.
Czego dotyczyła decyzja Prezesa UODO z 6 lipca 2022 roku?
Prezes Urzędu Ochrony Danych Osobowych nałożył karę pieniężną w wysokości 10 tysięcy złotych na Uniwersyteckie Centrum Kliniczne Warszawskiego Uniwersytetu Medycznego. Powody były dwa: niezgłoszenie naruszenia Prezesowi Urzędu oraz niezawiadomienie o naruszeniu osoby, której dane dotyczyły.
Stan faktyczny w skrócie: pacjent otrzymał od jednego z lekarzy skierowanie do poradni specjalistycznej zawierające dane osobowe innej osoby. Były to imię, nazwisko, adres zamieszkania, numer PESEL oraz informacje o stanie zdrowia – rozpoznanie i cel porady. Mieliśmy więc do czynienia zarówno z danymi podstawowymi, jak i z danymi szczególnych kategorii, czyli danymi medycznymi.
Na poziomie administratora sytuację uznano za incydent bezpieczeństwa. Przeprowadzono analizę ryzyka i w konsekwencji nie zgłoszono zdarzenia jako naruszenia. Urząd uznał inaczej i wszczął z urzędu postępowanie.
W jego toku administrator bronił się trzema argumentami:
- zdarzenie miało charakter losowy – był to po prostu błąd, pomyłka;
- krąg osób był bardzo ograniczony – sprawa dotyczyła w istocie jednego pacjenta, ewentualnie dwóch, licząc pacjentkę, której dane omyłkowo wpisano;
- doszło do omyłki w imieniu – pojawiło się imię żeńskie zamiast męskiego, co doprowadziło administratora do wniosku, że mamy do czynienia z pacjentem nieistniejącym, bo takiego pacjenta w systemie po prostu nie było.
Kiedy trzeba zgłosić naruszenie, a kiedy zawiadomić pacjenta?
To dwa odrębne obowiązki wynikające z dwóch różnych przepisów RODO – a drugi jest konsekwencją pierwszego.
- Art. 33 RODO – w przypadku naruszenia ochrony danych osobowych administrator bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin po stwierdzeniu naruszenia, zgłasza je organowi. Chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. To zastrzeżenie jest tu kluczowe.
- Art. 34 RODO – jeżeli naruszenie może spowodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych, administrator zawiadamia o nim osobę, której dane dotyczą.
Innymi słowy: najpierw oceniamy, czy w ogóle zachodzi ryzyko, a następnie – czy jest ono wysokie.
W praktyce zdarza się, że podmiot leczniczy zgłasza naruszenie, ale nie zawiadamia osoby, uznając, że wysokie ryzyko nie występuje. Bardzo często odpowiedzią urzędu jest wtedy zobowiązanie administratora do powiadomienia tej osoby. W takim dokumencie wskazane są elementy, które informacja powinna zawierać, a następnie trzeba przesłać do urzędu kopię zawiadomienia w wyznaczonych terminach – plus cały szereg innych działań, choćby opis zastosowanych środków technicznych mających zwiększyć bezpieczeństwo.
Dlaczego urząd uznał to za naruszenie, a nie incydent?
To najistotniejszy fragment decyzji z punktu widzenia placówek medycznych, bo pokazuje, jakimi kryteriami organ posługuje się przy odpowiedzi na pytanie: zgłaszać czy nie zgłaszać.
Łatwość identyfikacji
Zakres danych wynikających ze skierowania do poradni specjalistycznej jest dość szeroki – oprócz imienia, nazwiska i adresu zamieszkania obejmuje również numer PESEL oraz dane medyczne.
Urząd podkreślił przy tym rzecz, o której łatwo zapomnieć: sam fakt, że określona osoba jest pacjentem danej placówki, jest już informacją dotyczącą stanu zdrowia.
Organ przyznał, że omyłka pisarska rzeczywiście zaistniała, ale dotyczyła wyłącznie imienia. Pozostałe dane pozwalały na identyfikację konkretnej osoby, więc imię nie przesądzało o niemożliwości jej zidentyfikowania.
Ryzyko zaistnienia, a nie fakt wystąpienia szkody
Kluczowa jest sama możliwość, czyli ryzyko zaistnienia negatywnych konsekwencji wynikających z naruszenia – a nie fakt ich wystąpienia.
To bardzo istotny wniosek praktyczny. Kwalifikując zdarzenie jako incydent albo naruszenie, trzeba za każdym razem przeanalizować potencjalne ryzyka: jakie mogą być, jak poważne i czy mamy do czynienia z ryzykiem wysokim. Nie należy natomiast patrzeć w stronę tego, czy określone ryzyko już się zmaterializowało.
Temu stanowisku trudno odmówić słuszności.
Czynnik losowy
Urząd nie tyle zanegował losowy charakter zdarzenia, co odrzucił go jako przesłankę uzasadniającą brak zgłoszenia. Dla organu kluczowy był fakt, że do ujawnienia danych osobowych jednego pacjenta innemu pacjentowi doszło.
Trzeba przy tym powiedzieć uczciwie: praktyka działania placówek medycznych – liczba przyjmowanych pacjentów, praca pod presją czasu, natłok obowiązków – to czynniki, które każda osoba mająca styczność z branżą doskonale zna. One realnie powodują pomyłki, w żaden sposób niezamierzone. Czy nieuznanie losowości akurat w tym przypadku było zasadne, każdy może ocenić sam.
Liczba osób mających dostęp do danych
Argument o bardzo ograniczonym kręgu osób został przez urząd zanegowany. Organ stwierdził, że nie jest istotne, ile osób mogło mieć dostęp do określonych danych, ale to, jakie dane zostały ujawnione – a tutaj były to dane podstawowe wraz z danymi medycznymi.
Metodyka analizy ryzyka i tajemnica lekarska
Urząd w pewnym stopniu zanegował także metodykę analizy poziomu ryzyka zastosowaną przez administratora – to osobny, ciekawy wątek, po który warto sięgnąć do treści całej decyzji.
W konsekwencji organ uznał, że doszło do naruszenia poufności danych i że wystąpiło wysokie ryzyko naruszenia praw lub wolności osoby fizycznej.
Ciekawym dodatkowym elementem jest wskazanie przez urząd, że w tym przypadku doszło również do naruszenia tajemnicy lekarskiej – z czym w określony sposób można dyskutować. W ocenie organu i ta okoliczność przesądziła o przyjęciu wysokiego ryzyka.
Co przesądza o konieczności zgłoszenia w placówce medycznej?
Przy takim zakresie danych zgłoszenie jest rozwiązaniem, które warto rekomendować – a przesądzają o tym dwa elementy.
- Numer PESEL – w decyzji poruszono w tym kontekście między innymi temat możliwej kradzieży tożsamości.
- Dane wrażliwe, czyli dane medyczne.
Placówki medyczne są pod tym względem grupą bardzo specyficzną, obracającą taką ilością wrażliwych danych pacjentów, że procedury powinny stać tam na wysokim poziomie, a pracownicy być na te kwestie wyczuleni.
Jak ograniczyć ryzyko takich zdarzeń?
Same suche procedury to za mało. Są oczywiście ważne i w praktyce badane przez Urząd Ochrony Danych Osobowych, ale nie zastąpią uwrażliwienia personelu na kwestie danych osobowych – i to nie tylko personelu medycznego, ale personelu w ogóle.
Osiąga się to przez pogadanki, szkolenia i spotkania. Nie ulega jednak wątpliwości, że samych błędów i pomyłek nie unikniemy.
Zgłaszać w razie wątpliwości?
Tak – biorąc pod uwagę, jak skonstruowane są przepisy, dla bezpieczeństwa lepiej jest zgłosić.
Wątpliwości zawsze się pojawiają, a urząd niejednokrotnie wskazywał na statystyki niezasadnych zgłoszeń. Trzeba jednak pamiętać, że przepisy zbudowane są w sposób bardzo otwarty i przerzucają na administratora bardzo dużą odpowiedzialność za ocenę sytuacji. To rozwiązanie ma wiele plusów, ale wiąże się też z konsekwencjami – a wniosek płynący z tej decyzji jest taki, że w wielu sytuacjach zgłoszenie jest po prostu rozwiązaniem bezpieczniejszym.
Czy brak zgłoszenia po wszczęciu postępowania to zła współpraca z organem?
To wątek dyskusyjny i wart osobnego namysłu. Uzasadniając wysokość kary, Prezes Urzędu wskazał między innymi na stopień współpracy z organem nadzorczym i uznał tę współpracę za niezadowalającą – ponieważ administrator nie zgłosił naruszenia ani nie zawiadomił osoby, której ono dotyczyło, już po wszczęciu postępowania.
Można mieć jednak wątpliwości co do tej oceny. Gdyby administrator takie działania podjął, oznaczałoby to pewną niekonsekwencję w jego własnym stanowisku – opartym przecież na konkretnych dokumentach, dowodach i przeprowadzonym postępowaniu wewnętrznym. Skoro twierdzimy, że do naruszenia nie doszło, zgłoszenie go w toku trwającego postępowania byłoby działaniem wbrew temu stanowisku.
Co innego jednak wnioski wewnętrzne. Nawet sam incydent powinien skutkować wewnętrznym audytem przeprowadzonym przez inspektora ochrony danych (IOD), ewentualną poprawą stosowanych środków bezpieczeństwa lub wdrożeniem nowych, a także dodatkowymi szkoleniami – tak, by podobne zdarzenie nie powtórzyło się w przyszłości.
FAQ
W jakim terminie trzeba zgłosić naruszenie ochrony danych? Bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin po stwierdzeniu naruszenia. Obowiązek nie powstaje, jeżeli jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.
Czym różni się zgłoszenie do UODO od zawiadomienia pacjenta? Zgłoszenie do organu wynika z art. 33 RODO i jest konieczne, gdy występuje ryzyko naruszenia praw lub wolności. Zawiadomienie osoby, której dane dotyczą, wynika z art. 34 RODO i jest wymagane, gdy ryzyko to jest wysokie.
Czy pomyłka lekarza to wystarczające usprawiedliwienie braku zgłoszenia? W omawianej sprawie organ nie uznał losowego charakteru zdarzenia za przesłankę uzasadniającą brak zgłoszenia. Kluczowe było to, że do ujawnienia danych jednego pacjenta innemu pacjentowi faktycznie doszło.
Czy liczba osób, które miały dostęp do danych, ma znaczenie? Zdaniem organu nie jest istotne, ile osób miało dostęp do danych, lecz to, jakie dane zostały ujawnione.
Czy błąd w imieniu oznacza, że osoby nie da się zidentyfikować? Nie. Urząd uznał, że omyłka dotyczyła wyłącznie imienia, a pozostałe dane – w tym nazwisko, adres i numer PESEL – pozwalały zidentyfikować konkretną osobę.
Czy sam fakt bycia pacjentem placówki to dana o stanie zdrowia? Tak. Urząd podkreślił w decyzji, że informacja o tym, iż określona osoba jest pacjentem danej placówki, stanowi już informację dotyczącą stanu zdrowia.
Jakie dane najbardziej przesądzają o konieczności zgłoszenia? W omawianym przypadku decydujące były dwa elementy: numer PESEL – w kontekście możliwej kradzieży tożsamości – oraz dane wrażliwe, czyli dane medyczne.
Czy wystarczy mieć opracowane procedury ochrony danych? Procedury są ważne i badane przez organ, ale same w sobie nie wystarczą. Konieczne jest uwrażliwienie całego personelu, nie tylko medycznego, poprzez szkolenia i regularne spotkania.
Podsumowanie
Ta decyzja dobrze pokazuje, gdzie w praktyce przebiega granica między incydentem a naruszeniem – i że w placówce medycznej przebiega ona znacznie bliżej naruszenia, niż mogłoby się wydawać. Przy skierowaniu zawierającym PESEL i rozpoznanie trudno bronić tezy o braku ryzyka, nawet jeśli zdarzenie było zwykłą pomyłką, a dane trafiły do jednej osoby.
Wątek zawiadamiania samych pacjentów – kiedy jest konieczne i co dokładnie musi zawierać takie zawiadomienie – rozwijamy szerzej w odcinku 33. Całą analizę decyzji, wraz z komentarzem do oceny współpracy z organem, znajdziesz w 30. odcinku podcastu „Recepta na przepis”.