W wyroku tym Sąd bardzo jasno wskazuje na konieczność wyraźnego pozyskiwania i rejestrowania zgód na przetwarzanie danych medycznych. Zacząłem się zastanawiać czy wyrok ten może mieć znaczenie również dla podmiotów wykonujących działalność leczniczą? W końcu placówki medyczne dysponują odrębną podstawą do przetwarzania danych medycznych. Tylko czy zawsze mogą z tej podstawy skorzystać? Według mnie nie i dlatego powstał ten odcinek.
Z odcinka dowiesz się między innymi:
-> W jakich przypadkach placówka medyczna powinna pozyskiwać zgody na przetwarzanie danych medycznych?
-> Jak powinna zostać udzielona wyraźna i jednoznaczna zgoda na przetwarzanie danych medycznych?
-> Jak ograniczyć konieczność pozyskiwania zgód na przetwarzanie danych medycznych?
Zapraszam do słuchania!
W placówkach medycznych panuje dość powszechne przekonanie, że skoro zajmują się leczeniem, to o zgody na przetwarzanie danych medycznych pytać nie muszą. Co do zasady to prawda – podstawą jest tu art. 9 ust. 2 lit. h ogólnego rozporządzenia o ochronie danych (RODO). Ale są sytuacje, w których podmiot leczniczy przetwarza dane medyczne w innym celu niż udzielanie świadczenia zdrowotnego – jako pracodawca, w medycynie pracy, w działaniach marketingowych czy lojalnościowych w branży farmaceutycznej – i wtedy zgoda staje się konieczna. Wyrok Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie, o którym poinformował Urząd Ochrony Danych Osobowych (UODO), pokazuje przy tym rzecz kluczową: przy danych medycznych zgoda ustna nie wystarcza, a ciężar wykazania, że zgoda w ogóle została pozyskana, spoczywa na administratorze.
Najważniejsze wnioski
- Placówka realizująca świadczenia co do zasady nie musi pozyskiwać zgody na przetwarzanie danych medycznych pacjentów – gdyby było inaczej, praca placówek byłaby wręcz niemożliwa.
- Zgoda ustna przy danych medycznych to za mało. Zgoda wyraźna musi mieć mocniejszy charakter niż samo „tak” w rozmowie.
- Ciężar dowodu leży po stronie administratora – i sąd oczekuje dowodu aktywnego działania osoby, której dane dotyczą.
- Marketingu bezpośredniego nie da się odwrócić. Uzasadniony interes administratora pozwala prowadzić marketing na danych, które już się posiada – a nie pozyskiwać dane po to, żeby marketing prowadzić.
- Art. 6 RODO nie wystarczy do danych medycznych. Podstawą przetwarzania szczególnych kategorii danych jest art. 9, a nie art. 6.
- Dane medyczne pracowników w załącznikach do faktur w medycynie pracy są zbędne – usługę da się zrealizować i rozliczyć bez nich, a innej podstawy niż ewentualna zgoda pracowników tu nie ma.
Kiedy placówka medyczna nie musi zbierać zgód?
Co do zasady wtedy, gdy przetwarza dane medyczne w celu udzielania świadczeń zdrowotnych.
Jeżeli placówka medyczna realizuje określone świadczenia, nie musi pozyskiwać zgody na przetwarzanie danych medycznych pacjentów. Gdyby było inaczej, byłoby to dosyć mocno nielogiczne, niepraktyczne i właściwie uniemożliwiałoby placówkom pracę.
Podstawą jest tu art. 9 ust. 2 lit. h RODO – w branży medycznej można już powiedzieć: artykuł mityczny. To on pozwala podmiotom leczniczym przetwarzać dane medyczne bez konieczności pozyskiwania zgody.
Problem w tym, że placówka medyczna to nie tylko podmiot udzielający świadczeń.
W jakich sytuacjach placówka medyczna jednak potrzebuje zgody?
Wtedy, gdy przetwarza dane medyczne w innym celu niż udzielanie świadczenia zdrowotnego. Takich sytuacji jest co najmniej kilka.
Placówka jako pracodawca
Na placówkę medyczną warto spojrzeć również z perspektywy pracodawcy. Pracodawca dysponuje określonymi benefitami dla pracowników – na przykład ubezpieczeniami medycznymi – i w takiej sytuacji może być zobowiązany przekazać ubezpieczycielowi określone dane medyczne pracowników.
Nie są to sytuacje częste, ale wykluczyć ich nie można.
Uczciwie trzeba tu dodać zastrzeżenie, które nasunie się każdemu, kto zajmuje się danymi osobowymi na stałe: można rozważać, czy podmiot leczniczy zbierający dane dla ubezpieczyciela nie jest raczej procesorem niż administratorem. Zgadzam się z tym – ale sam fakt występowania takich konstrukcji pozostaje faktem.
Medycyna pracy i załączniki do faktur
Drugi przypadek dotyczy placówek świadczących usługi z zakresu medycyny pracy.
Placówka, rozliczając usługę na rzecz firmy zewnętrznej, bardzo często dołącza do rozliczenia załącznik z listą osób, którym udzielono świadczenia – nierzadko wraz z katalogiem bardziej szczegółowych świadczeń. Jest to praktyka dość powszechnie przyjęta i moim zdaniem nieprawidłowa.
Mówimy tu przede wszystkim o tym „drugim pracodawcy”, czyli firmie, która wysyła pracowników na badania. Ale podmiot leczniczy również może być w tej roli – wysyłać własnych pracowników do innej placówki – i wtedy, pozyskując te dane, sam jest ich administratorem. Mamy tu zdecydowanie inny cel przetwarzania niż udzielanie świadczenia zdrowotnego.
Branża farmaceutyczna: marketing i programy lojalnościowe
Tu danych medycznych pozyskiwanych od klientów może być naprawdę sporo. Firmy z branży farmaceutycznej prowadzą różnego typu działania marketingowe, tworzą systemy lojalnościowe, pozycjonują klientów pod kątem usług realizowanych przez różne firmy w grupach farmaceutycznych – i w tym celu również pozyskują dane medyczne.
W tych przypadkach zgoda jest jak najbardziej zasadna i stanowi element kluczowy.
Czego dotyczyła sprawa rozstrzygnięta przez WSA?
Sprawa dotyczyła kancelarii prawnej z branży odszkodowawczej, która pozyskiwała dane medyczne od potencjalnych klientów podczas rozmów telefonicznych.
Kancelaria reprezentowała osoby poszkodowane, przede wszystkim w wypadkach komunikacyjnych, i aktywnie poszukiwała klientów. Wyglądało to tak, że pracownicy dzwonili do konkretnych osób, zbierali określone informacje i na tej podstawie konstruowali ofertę dla potencjalnych klientów – to sformułowanie jest tu szczególnie istotne.
Zbierano nie tylko dane podstawowe, ale również dane medyczne. Skoro sprawy dotyczyły odszkodowań, zadośćuczynień, rent czy odzyskiwania kosztów leczenia, dane te służyły – jak trafnie ujęto w orzeczeniu – ocenie ryzyka gospodarczego, czyli po prostu opłacalności prowadzenia danej sprawy.
Kwestię zgód rozwiązywano tak, że konsultant na początku rozmowy pytał o zgodę. Jeżeli ją uzyskał, kontynuował rozmowę; jeżeli nie – rozmowa była przerywana.
Clou sprawy: UODO zarzucił kancelarii, że w żaden sposób tych zgód nie rejestrowała, a więc nie pozyskiwała ich w sposób należyty i wyraźny.
Dlaczego linia obrony kancelarii nie zadziałała?
Kancelaria powołała się na dwie podstawy:
- art. 6 ust. 1 lit. b RODO – dane miały być niezbędne do zawarcia umowy z potencjalnym klientem,
- art. 6 ust. 1 lit. f RODO – marketing bezpośredni usług jako uzasadniony interes administratora.
Sąd w obu przypadkach uznał, że podstawy te nie mają uzasadnienia – właśnie dlatego, że chodziło o dane medyczne. Dane medyczne nie były niezbędne do zawarcia samej umowy, a przesłanki marketingu bezpośredniego również nie dało się tu zastosować.
I tu pada teza, która ma ogromne znaczenie zwłaszcza dla branży farmaceutycznej. Sąd stwierdził, że marketing bezpośredni oparty na uzasadnionym interesie administratora można realizować wobec klientów na podstawie danych, które już się posiada. Nie ma możliwości odwrócenia tego procesu – czyli pozyskiwania danych po to, żeby dopiero na tym etapie prowadzić marketing bezpośredni. Najpierw pozyskujemy dane na właściwej podstawie, a dopiero potem możemy ewentualnie taki marketing realizować.
Kancelaria powołała się na tę przesłankę nie na etapie wtórnego wykorzystania danych, tylko ich pierwotnego pozyskania. Do tego dochodzi element, o którym nie można zapomnieć: obie powołane podstawy to art. 6 RODO, który dotyczy danych podstawowych, natomiast możliwość przetwarzania danych medycznych jako danych szczególnych wynika z art. 9.
Z całości działań kontrolnych wynikało zresztą dość wyraźnie, że dane medyczne zbierano wyłącznie po to, by ocenić opłacalność zajęcia się sprawą klienta, który cały czas pozostawał klientem potencjalnym.
Czy zgoda ustna na przetwarzanie danych medycznych wystarczy?
Nie. Sąd, popierając stanowisko UODO, stwierdził, że kancelaria nie podejmowała wszystkich niezbędnych działań, aby zgody wyraźne zebrać i wykazać się ich posiadaniem.
Z orzeczenia – ale też z orzecznictwa UODO i piśmiennictwa – wynika bardzo wyraźnie, że w odniesieniu do danych medycznych ze zgodą wyraźną mamy do czynienia wtedy, gdy ma ona mocniejszy charakter niż tylko zgoda ustna. Zgoda ustna w ocenie sądu i organu nie jest wystarczająca.
Zgadzam się z tym stanowiskiem co do zasady. Przetwarzania danych medycznych nie należy lekceważyć: każdy podmiot przetwarzający dane medyczne w celach innych niż lecznicze – w tym podmiot leczniczy – powinien być w stanie wykazać pozyskanie wyraźnej zgody.
Kluczowe jest też to, co sąd bardzo mocno podkreśla: ciężar dowodu spoczywa na administratorze, a dowód ma dotyczyć aktywnego działania osoby, której dane dotyczą. Przenosząc to na podwórko podmiotów leczniczych – musielibyśmy wykazać aktywne działanie pacjenta.
Jak udokumentować zgodę na przetwarzanie danych medycznych?
Metod jest kilka i wybór należy do administratora – ale każda musi pozwalać wykazać zgodę przed organem.
- Zgoda pisemna – jeżeli jesteśmy w stanie pozyskać podpis pacjenta czy klienta, jest to absolutnie niepodważalne.
- Formularz elektroniczny – na stronach, platformach i w aplikacjach kwestię tę rozwiązuje się najczęściej przez zaznaczenie odpowiedniego checkboxu wyraźnej zgody, z odesłaniem do polityki prywatności i klauzul informacyjnych.
- Wiadomość e-mail, skan dokumentu opatrzonego podpisem, dokument z podpisem elektronicznym.
- Nagranie rozmowy telefonicznej – to rozwiązanie proponuje sąd, wynika ono też z decyzji organu.
Dlaczego sam rejestr zgód nie zawsze wystarczy?
Rejestr zgód jest konieczny – wynika to wprost z omawianego orzeczenia, a o prowadzeniu takich rejestrów można przeczytać zarówno w wytycznych Grupy Roboczej Art. 29, jak i w wytycznych dotyczących RODO. Przy zgodach zbieranych online prowadzenie wykazu zgód i osób, które je wyraziły, jest po prostu kluczowe.
Mam jednak pewną wątpliwość co do rejestru przy rozmowach telefonicznych. Taki rejestr jest z natury jednostronny – prowadzi go pracownik. Czy to na dobrą sprawę tak bardzo różni się od zgody pozyskanej ustnie? To pewnego rodzaju wzmocnienie, ale nadal nie mamy dowodu aktywnego działania rozmówcy.
Dlatego przy telefonie nagrywanie rozmów wydaje się najlepszą metodą i najlepszym dowodem. Trzeba jednak spełnić kilka warunków – i są to elementy niezwykle ważne i konieczne:
- nagranie musi być zabezpieczone,
- jeżeli pacjent się nie pojawia, nagrania muszą być kasowane,
- pacjent musi być poinformowany o nagrywaniu.
Nagranie nie wyklucza przy tym rejestru. Rejestr pozwala ustalić, że zgoda w ogóle została wyrażona – i dopiero na tej podstawie można jej szukać wśród nagrań.
Czy potencjalny pacjent dzwoniący po cenę to już przetwarzanie danych medycznych?
Uprzedzam: to teza, którą część osób może uznać za idącą za daleko. Poddaję ją pod przemyślenie, bo pojawiła się właśnie przy lekturze omawianego orzeczenia.
Jeżeli w sprawie kancelarii mówimy o potencjalnych klientach, to wydaje się, że po stronie placówek medycznych możemy analogicznie mówić o potencjalnych pacjentach. Gdy pacjent przychodzi po świadczenie, pozyskanie od niego danych medycznych to naturalny proces i nikt nie ma co do tego wątpliwości. Ale wyobraźmy sobie sytuację inną – i wcale nie rzadką.
Pacjent pierwszorazowy dzwoni do różnych placówek, żeby zapytać o cenę badania czy konsultacji. Przy świadczeniach komercyjnych taką informację uzyska. Zdarza się jednak, że słyszy po drugiej stronie: „Ale co się stało? Ale co się dzieje?”. I zaczyna opowiadać o swoich schorzeniach – w ściśle określonym kontekście: podaje te informacje po to, żeby usłyszeć, że w jego przypadku potrzebna będzie konsultacja takiego specjalisty, może jeszcze badanie USG, i że kosztuje to tyle i tyle.
Czy nie mamy tu do czynienia z sytuacją, w której podmiot leczniczy powinien pozyskać zgodę na przetwarzanie danych medycznych w tym konkretnym celu – żeby złożyć ofertę potencjalnemu pacjentowi?
Wydaje mi się, że przynajmniej należałoby się nad tym zastanowić – jeżeli chcemy podejść do tematu przetwarzania danych medycznych naprawdę lege artis, również w placówkach, które z założenia zgód nie zbierają.
Trzy pytania, które powinien sobie zadać każdy administrator
To wnioski z analizy omawianego orzeczenia, adresowane przede wszystkim do administratorów medycznych i farmaceutycznych.
1. Czy dane dotyczące zdrowia są potrzebne do realizacji tego celu przetwarzania? W orzeczeniu bardzo dobrze widać, że do realizacji celu polegającego na zawarciu umowy przetwarzanie danych medycznych nie było konieczne. Pytanie należy zadać także w drugą stronę: czy bez tych danych da się w ogóle zrealizować usługę? I – to ukłon w stronę medycyny pracy – co z danymi medycznymi pracowników w załącznikach do faktur? Moim zdaniem są absolutnie niepotrzebne. Da się usługę zrealizować i za nią zapłacić bez ich podawania, a innej podstawy niż ewentualna zgoda pracowników po prostu tu nie ma.
2. Jakie dane są nam potrzebne? Nawet jeśli odpowiemy twierdząco na pierwsze pytanie, trzeba jeszcze ustalić, jakie konkretnie dane medyczne są niezbędne i czy da się ograniczyć ich zakres. To również będzie podlegało ewentualnej ocenie.
3. Czy jesteśmy w stanie wykazać ścieżkę pozyskania zgody i samą zgodę? Czy zgoda była wyraźna? Czy zakładała określoną aktywność osoby fizycznej? Czy w razie kontroli pokażemy organowi, w jaki sposób zgody pozyskujemy, co dzieje się po drodze, jak je rejestrujemy i gdzie przechowujemy? I czy gdy pacjent – realizując swoje prawa – zapyta, czy, jak, kiedy i gdzie zgodę wyraził, dotrzemy do tej informacji w łatwy sposób?
FAQ
Czy placówka medyczna musi pozyskiwać zgodę na przetwarzanie danych medycznych pacjentów? Co do zasady nie, jeżeli przetwarza je w celu udzielania świadczeń zdrowotnych – podstawą jest art. 9 ust. 2 lit. h RODO. Zgoda staje się potrzebna, gdy cel przetwarzania jest inny.
W jakich sytuacjach podmiot leczniczy jednak potrzebuje zgody? Między innymi gdy jako pracodawca przekazuje dane medyczne pracowników ubezpieczycielowi, przy rozliczaniu usług medycyny pracy oraz przy działaniach marketingowych i lojalnościowych – to ostatnie dotyczy zwłaszcza branży farmaceutycznej.
Czy zgoda ustna na przetwarzanie danych medycznych jest wystarczająca? Nie. Przy danych medycznych zgoda wyraźna musi mieć mocniejszy charakter niż zgoda ustna. Wynika to z omawianego orzeczenia, orzecznictwa UODO i piśmiennictwa.
Kto musi udowodnić, że zgoda została pozyskana? Administrator. Ciężar dowodu spoczywa na nim, a sąd oczekuje wykazania aktywnego działania osoby, której dane dotyczą.
Czy można oprzeć pozyskiwanie danych medycznych na marketingu bezpośrednim? Nie na etapie pierwotnego pozyskania danych. Uzasadniony interes administratora pozwala prowadzić marketing bezpośredni na podstawie danych już posiadanych – procesu nie da się odwrócić. Dodatkowo art. 6 RODO dotyczy danych podstawowych, a dane medyczne to szczególna kategoria z art. 9.
Jak udokumentować zgodę uzyskaną przez telefon? Najlepszym dowodem wydaje się nagranie rozmowy. Musi być ono zabezpieczone, pacjent musi być poinformowany o nagrywaniu, a nagrania – kasowane, jeżeli pacjent się nie pojawia. Nagranie nie zwalnia z prowadzenia rejestru zgód.
Czy dane medyczne pracowników mogą być załącznikiem do faktury za medycynę pracy? Moim zdaniem są tam absolutnie niepotrzebne. Usługę da się zrealizować i rozliczyć bez nich, a jedyną możliwą podstawą byłaby zgoda pracowników.
Podsumowanie
Przekonanie, że placówka medyczna „z definicji” nie zbiera zgód, jest wygodne, ale niepełne. Przetwarzanie danych medycznych nie zawsze opiera się na podstawie wynikającej wprost z przepisów – w określonych sytuacjach pozyskanie wyraźnej zgody jest potrzebne i konieczne.
Omawiane orzeczenie sprowadza rzecz do jednego praktycznego pytania: czy w razie kontroli pokażemy organowi całą ścieżkę – od momentu pozyskania zgody, przez sposób jej rejestrowania, po miejsce przechowywania. Jeżeli odpowiedź brzmi „chyba tak”, to warto ten temat u siebie przejrzeć.
Do zgód pacjentów w szerszym ujęciu wracałem już w odcinku 46. Całość dzisiejszego tematu znajdziesz w 60. odcinku podcastu „Recepta na przepis”.
Materiał ma charakter informacyjny i nie stanowi porady prawnej.