W dzisiejszym odcinku udzielam odpowiedzi między innymi na następujące pytania:
-> Jakie czynniki mają wpływ na ocenę ryzyka naruszenia praw lub wolności pacjenta?
-> Kiedy należy zawiadomić pacjenta?
-> Czy dla zawiadomienia ma znaczenie jak dużej liczby pacjentów dotyczy naruszenie?
Zawiadomienie osoby fizycznej o naruszeniu ochrony danych jest obligatoryjne wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności (art. 34 RODO) – a w placówkach medycznych warunek ten w praktyce spełniony jest niemal zawsze. Decyduje przede wszystkim kategoria danych: jeżeli w grę wchodzą dane medyczne, czyli dane wrażliwe, zawiadomienie jest konieczne, a liczba osób objętych naruszeniem ma znaczenie wtórne – nie ma różnicy, czy dotyczy jednego pacjenta, czy piętnastu. Warto przy tym pamiętać, że zdaniem organu naruszenie trwa aż do momentu prawidłowego zawiadomienia osób, których dane dotyczą.
Najważniejsze wnioski
- Zawiadomienie osoby fizycznej to nie to samo co zgłoszenie naruszenia do Prezesa Urzędu Ochrony Danych Osobowych (UODO) – to dwa odrębne obowiązki, a ten drugi nie zastępuje pierwszego.
- Przy ocenie wysokiego ryzyka organ bierze pod uwagę pięć elementów: charakter naruszenia, czas jego trwania, kategorię danych, liczbę osób oraz zastosowane środki naprawcze.
- Czas trwania naruszenia liczy się do momentu prawidłowego zawiadomienia osób fizycznych – nieudane próby zawiadomienia ten czas wydłużają, a wraz z nim ocenę ryzyka.
- Przy danych medycznych liczba poszkodowanych schodzi na dalszy plan. Jedna osoba to wystarczający powód do zawiadomienia.
- Zawiadomienie musi zawierać elementy z art. 34 ust. 2 RODO: opis charakteru naruszenia, dane kontaktowe (w tym imię i nazwisko inspektora ochrony danych, jeżeli został wyznaczony), opis możliwych konsekwencji oraz opis zastosowanych lub proponowanych środków zaradczych.
- Najlepszym rozwiązaniem jest zawiadomienie indywidualne, choć przepisy dopuszczają publiczny komunikat, gdy indywidualne informowanie wymagałoby niewspółmiernie dużego wysiłku.
Dlaczego decyzja o zawiadomieniu jest tak trudna?
Bo trzeba w niej wyważyć dwa elementy, których pogodzenie bywa po prostu niemożliwe. Z jednej strony element legalny – co stanowią w tej kwestii przepisy. Z drugiej element wizerunkowy – co pomyślą sobie pacjenci o podmiocie leczniczym, który przysyła im takie zawiadomienie.
Na podmiotach leczniczych ciąży przy tym dużo większa odpowiedzialność niż na wielu innych administratorach – właśnie ze względu na zakres danych, które przetwarzają. To sprawia, że zawiadomienie bywa kluczowym elementem całej procedury związanej z naruszeniem.
Czego dotyczyła decyzja Prezesa UODO z 23 czerwca 2022 roku?
Postępowania w sprawie nieprawidłowego zawiadomienia osób, których dane dotyczyły naruszenia – zakończonego upomnieniem, a nie karą pieniężną.
Naruszenie polegało na uzyskaniu nieuprawnionego dostępu do służbowego konta poczty elektronicznej, czyli, mówiąc prosto, ktoś dostał się do skrzynki e-mail pracownika. Mieliśmy więc do czynienia z naruszeniem poufności danych.
Po postępowaniu wyjaśniającym administrator ustalił, że naruszenie dotyczyło 12 osób, a zakres danych był szeroki: oprócz imienia i nazwiska w określonych przypadkach także numery PESEL, numery dokumentów tożsamości, adresy zamieszkania, daty urodzenia czy adresy e-mail.
Przebieg sprawy jest tu najciekawszy:
- Administrator prawidłowo zgłosił naruszenie do UODO i zawiadomił osoby, których dane dotyczyły.
- Urząd uznał, że zawiadomienie nie spełnia warunków z art. 34 RODO, i wezwał do ponownego zawiadomienia.
- Administrator zawiadomił ponownie i przesłał wzór – urząd znów stwierdził brak określonych elementów.
- Dopiero po wszczęciu postępowania z urzędu administrator zawiadomił osoby po raz kolejny, a przesłany zanonimizowany wzór spełniał już wymogi przepisów.
Z punktu widzenia organu zawiadomienie zostało więc zrealizowane prawidłowo dopiero po wszczęciu postępowania administracyjnego. Z tej przyczyny organ podszedł nieco liberalniej i zamiast kary finansowej uznał upomnienie za wystarczającą dolegliwość. Sama kara jest tu zresztą najmniej istotna – najciekawsze są kryteria oceny, które organ wyłożył w uzasadnieniu.
Kiedy zawiadomienie pacjenta jest obowiązkowe?
Zgodnie z art. 34 RODO zawiadomienie osób fizycznych jest obligatoryjne wtedy, gdy naruszenie może powodować wysokie ryzyko naruszenia ich praw lub wolności.
W omawianej decyzji organ wskazał, jakie elementy należy brać pod uwagę przy tej ocenie:
- charakter naruszenia,
- czas jego trwania,
- kategorię danych,
- liczbę osób,
- zastosowane środki naprawcze.
Jak oceniać charakter naruszenia?
Najprościej posiłkować się dostępnym dla wszystkich wzorem zgłoszenia naruszenia. Naruszenie może polegać na naruszeniu poufności, integralności albo dostępności danych. To te trzy elementy.
Jak długo trwa naruszenie?
W ujęciu organu naruszenie trwa aż do momentu prawidłowego zawiadomienia osób fizycznych – i to bardzo ważny element.
W omawianej sprawie czas trwania uznano za dość długi właśnie dlatego, że liczono go do prawidłowego zawiadomienia, które nastąpiło dopiero po wszczęciu postępowania. Organ podkreślił, że administrator miał bardzo długi czas reakcji od zgłoszenia naruszenia organowi do prawidłowego zawiadomienia osób.
Praktyczny wniosek jest taki, że nieudane próby zawiadomienia nie zamykają sprawy – one przedłużają naruszenie.
Które kategorie danych przesądzają o wysokim ryzyku?
W omawianej sprawie decydujący był szeroki zakres danych podstawowych, ale o szczególnym znaczeniu – zwłaszcza numery PESEL i numery dokumentów tożsamości. To one kwalifikowały całą sytuację do oceny wysokiego ryzyka naruszenia praw lub wolności osób fizycznych.
W placówkach medycznych dochodzi jednak czynnik jeszcze poważniejszy: dane medyczne. Jeżeli naruszenie ich dotyczy, jest to rzecz absolutnie przeważająca – to dane wrażliwe i zawiadomienie jest wówczas konieczne.
Czy liczba pacjentów ma znaczenie?
Ma znaczenie wtórne, zwłaszcza gdy w grę wchodzą dane medyczne. Już w omawianej decyzji, przy 12 osobach, liczba ta zeszła na dalszy plan wobec kategorii danych objętych naruszeniem.
W praktyce placówek medycznych zdarzają się naruszenia dotyczące jednej osoby, dziesięciu czy piętnastu. Przykładem tej ostatniej sytuacji jest lista pacjentów z danego dnia, która w pokoju lekarskim dostała się – choćby na chwilę – w niepowołane ręce. Był to cały szereg danych, w tym danych medycznych. W takim przypadku zgłoszenie do urzędu jest obligatoryjne, a liczba osób nie ma większego znaczenia z punktu widzenia obowiązku ich zawiadomienia.
To stanowisko jest zbieżne z podejściem Urzędu Ochrony Danych Osobowych. W takich sprawach zawiadomienie pacjentów następowało zawsze – jeżeli nie od razu, to po wezwaniu przez urząd.
Dlaczego środki naprawcze są tak ważne?
Bo informacja o nich musi trafić nie tylko do urzędu, ale przede wszystkim do samego pacjenta. Osoba, której dane objęło naruszenie, musi wiedzieć, jakie środki zastosował administrator.
Kiedy wysłać zawiadomienie?
Niezwłocznie – tak zresztą stanowią przepisy. W praktyce idealne rozwiązanie wygląda tak: zawiadomienie do osób fizycznych wychodzi w tym samym czasie albo minimalnie wcześniej niż zgłoszenie naruszenia do UODO, a wzór takiego zawiadomienia – w wersji zanonimizowanej – przesyłamy razem ze zgłoszeniem. Dokładnie tak postąpił administrator w omawianej decyzji.
Warto podkreślić: nie jest to obowiązek. Formularz zgłoszenia naruszenia zawiera część dotyczącą środków zaradczych, a w niej punkt o komunikacji z osobami, których dane dotyczą. Można tam odpowiedzieć, że osoby zostały już powiadomione, i załączyć wzór zawiadomienia, albo że nie zostały, ale zostaną. W tym drugim przypadku trzeba się liczyć z tym, że organ i tak może wezwać do przesłania wzoru, więc w praktyce warto go wysłać.
Co powinno zawierać zawiadomienie o naruszeniu?
Katalog elementów określa art. 34 ust. 2 RODO:
- opis charakteru naruszenia ochrony danych;
- dane kontaktowe – z imieniem i nazwiskiem inspektora ochrony danych (IOD), jeżeli został wyznaczony – od którego można uzyskać więcej informacji o naruszeniu;
- opis możliwych konsekwencji naruszenia – to element, przy którym zdarzają się błędy;
- opis zastosowanych lub proponowanych przez administratora środków zaradczych.
W praktyce takie zawiadomienie pełni dwie funkcje jednocześnie. Z jednej strony informuje pacjenta o zaistniałej sytuacji, z drugiej – do pewnego stopnia go uspokaja: mówi, że doszło do naruszenia, ale wskazuje środki, które zostały albo zostaną podjęte, żeby wyeliminować takie przypadki na przyszłość.
Dodatkowo w zawiadomieniach tego typu rekomenduje się podjęcie określonych działań przez samą osobę fizyczną – na przykład zawiadomienie określonych instytucji o zaistniałej sytuacji.
Czy UODO może podpowiedzieć, jak uzupełnić zawiadomienie?
Tak – i wynika to wprost z omawianej decyzji. Jeżeli urząd ma wątpliwości co do elementów zawiadomienia kierowanego do osób fizycznych, może w zwrotnej korespondencji wskazać, o co należy je uzupełnić. Może też wesprzeć administratora, podając przykładowy katalog zagrożeń.
W omawianej sprawie urząd tak właśnie postąpił – co prawdopodobnie miało wpływ na dalszy bieg zdarzeń, bo skoro mimo takiej podpowiedzi kolejne zawiadomienie nadal nie spełniało warunków, urząd zdecydował się wszcząć postępowanie.
Dwa przykłady: zawiadamiać czy nie?
Nie każde naruszenie ochrony danych pociąga za sobą obowiązek zawiadomienia pacjenta – decyduje ocena ryzyka. Dobrze pokazują to dwie sytuacje, w których do naruszenia dochodzi w obu przypadkach, ale wnioski są różne.
Przykład 1: mailing z odkrytymi adresami
Placówka prowadzi kampanię informacyjną – powstaje nowa pracownia albo poradnia – i dysponując odpowiednimi zgodami wysyła do pacjentów typowy mailing. Ktoś jednak popełnia błąd i adresy mailowe zostają wysłane w sposób jawny, tak że każdy adresat widzi pozostałe skrzynki.
Do naruszenia ochrony danych niewątpliwie dochodzi. Ale skoro ujawnione zostały wyłącznie adresy mailowe, zawiadamianie osób nie wydaje się konieczne – taki przypadek nie generuje wysokiego ryzyka naruszenia praw lub wolności pacjenta.
Przykład 2: wyniki badań wysłane pod zły adres
Rejestracja wysyła wyniki badania na adres mailowy pacjenta, ale myli adresy i wysyła je do zupełnie innej osoby.
Tutaj sytuacja kwalifikuje się do zawiadomienia od razu. Wyniki badań zawierają bowiem nie tylko dane medyczne – które same w sobie są tematem poważnym – ale również dane podstawowe pacjenta: adres zamieszkania, numer PESEL i tak dalej. Nie ma przy tym znaczenia, że chodzi o jedną osobę.
FAQ
Kiedy trzeba zawiadomić pacjenta o naruszeniu ochrony jego danych? Gdy naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności osoby fizycznej – tak stanowi art. 34 RODO. W placówkach medycznych warunek ten jest w praktyce spełniony niemal zawsze, gdy naruszenie obejmuje dane medyczne.
Czy zgłoszenie naruszenia do UODO zwalnia z zawiadomienia pacjenta? Nie. To dwa odrębne obowiązki. Formularz zgłoszenia zawiera punkt dotyczący komunikacji z osobami, których dane dotyczą, i można w nim zadeklarować, że osoby zostały już powiadomione albo że dopiero zostaną.
Czy liczba poszkodowanych pacjentów wpływa na obowiązek zawiadomienia? Organ wymienia liczbę osób wśród kryteriów oceny ryzyka, ale przy danych medycznych ma ona znaczenie wtórne. Zawiadomienie jest konieczne także wtedy, gdy naruszenie dotyczy jednej osoby.
Co musi zawierać zawiadomienie o naruszeniu? Zgodnie z art. 34 ust. 2 RODO: opis charakteru naruszenia, dane kontaktowe – w tym imię i nazwisko inspektora ochrony danych, jeżeli został wyznaczony – opis możliwych konsekwencji oraz opis zastosowanych lub proponowanych środków zaradczych.
Kiedy najlepiej wysłać zawiadomienie do pacjentów? Niezwłocznie. W praktyce najlepiej w tym samym czasie lub minimalnie wcześniej niż zgłoszenie do UODO, a zanonimizowany wzór zawiadomienia przesłać razem ze zgłoszeniem.
Jak długo trwa naruszenie w ocenie organu? Do momentu prawidłowego zawiadomienia osób, których dane dotyczą. Nieskuteczne próby zawiadomienia wydłużają czas trwania naruszenia, co wpływa na ocenę ryzyka.
Czy zawsze trzeba zawiadamiać każdego pacjenta indywidualnie? Zawiadomienie indywidualne jest zawsze najlepszym rozwiązaniem, ale przepisy dopuszczają publiczny komunikat, gdy uwzględniając liczbę osób, indywidualne informowanie wymagałoby niewspółmiernie dużego wysiłku.
Czy ujawnienie samych adresów e-mail wymaga zawiadomienia? Do naruszenia ochrony danych dochodzi, ale samo ujawnienie adresów mailowych – na przykład przy błędnie wysłanym mailingu – nie wydaje się generować wysokiego ryzyka naruszenia praw lub wolności, więc zawiadomienie nie jest w takim przypadku konieczne.
Podsumowanie
Z praktyki wynika, że w przeważającej większości przypadków zgłoszenie naruszenia wiąże się z zawiadomieniem osób fizycznych – a w placówkach medycznych powodem jest niemal zawsze to samo: powiązanie naruszenia z danymi medycznymi. Liczba poszkodowanych pacjentów nie zmienia tu obowiązku, a wątpliwości warto rozstrzygać na korzyść zawiadomienia, bo z punktu widzenia organu naruszenie trwa dopóty, dopóki nie zawiadomimy prawidłowo.
Ten odcinek jest nawiązaniem do odcinka 30, w którym omówiony został sam obowiązek zgłaszania – i niezgłaszania – naruszeń ochrony danych. Całą rozmowę, wraz z omówieniem decyzji Prezesa UODO i praktycznymi przykładami, znajdziesz w 33. odcinku podcastu „Recepta na przepis”.