Procedury ODO w przychodni

Prowadzenie dokumentacji medycznej, a tym samym uzyskiwanie i przetwarzanie danych osobowych pacjentów jest jednym z podstawowych obowiązków realizowanych w placówkach medycznych. Z uwagi na obowiązujące przepisy w zakresie ochrony danych osobowych, w tym unijne RODO, przychodnie i inne podmioty lecznicze muszą dostosować swoją działalność w sposób pozwalający na przestrzeganie restrykcyjnych wymogów ochrony danych osobowych bez szkody dla pacjenta. W jaki sposób należy wdrożyć procedury RODO w przychodni i jakie wymagania specjalne dla placówek medycznych stawia rozporządzenie o ochronie danych osobowych?

Wyzwania podczas wdrażania zasad RODO w przychodni lub innej placówce medycznej

Według definicji zastosowanej w rozporządzeniu o ochronie danych osobowych, za dane podlegające ODO uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby, dzielone dalej na dane zwykłe oraz dane szczególnych kategorii (dane wrażliwe). W przychodni lub dowolnej placówce medycznej, ze względu na prowadzoną dokumentację medyczną pacjenta, pozyskiwane i przetwarzane dane są zarówno danymi zwykłymi, jak i wrażliwymi, dotyczącymi stanu zdrowia i udzielania świadczeń zdrowotnych.

Ważne jest, by przychodnia była w stanie stworzyć możliwie najbardziej skuteczną gwarancję ochrony wrażliwych danych osobowych, które przetwarza na potrzeby świadczenia usług medycznych. I tak, przykładowo, aby zachować bezpieczeństwo danych pacjentów, w przychodniach przestrzega się by przy recepcji znajdował się tylko jeden pacjent, do gabinetów zapraszani byli pacjenci na podstawie przypisanych im numerków lub godziny wizyty, a znajdujące się w polu widzenia innych pacjentów dokumenty nie nosiły żadnych danych umożliwiających zidentyfikowanie drugiej osoby.

Formalne wymogi dla podmiotów leczniczych w zakresie stosowania RODO

Jednym z pierwszych formalnych wymogów, jakie RODO wprowadza dla większości placówek medycznych jest konieczność powołania inspektora ochrony danych (IOD) we wszystkich placówkach publicznych oraz większości placówek prywatnych. Według rozporządzenia, do wyznaczenia IOD zobowiązane są podmioty przetwarzające na dużą skalę szczególne kategorie danych osobowych, w tym dane medyczne. Lekarz prowadzący prywatny gabinet czy małą praktykę lekarską zwykle nie musi wyznaczyć inspektora danych osobowych, gdyż w obiektywnej ocenie jego działalność nie odbywa się zazwyczaj na dużą skalę.

Przygotowując się do wdrożenia procedur RODO w przychodni należy zadbać o przygotowanie placówki medycznej do obsługi pacjentów zgodnie z nowymi zasadami ochrony danych osobowych. Personel powinien zostać do tego celu odpowiednio przeszkolony, a jeśli będzie miał kontakt z danymi osobowymi pacjentów, upoważniony do ich przetwarzania. Należy stworzyć i udokumentować stosowane procedury bezpieczeństwa, które zostaną wdrożone w przychodni dla zachowania zgodności z RODO, a także zadbać o stosowanie wyłącznie odpowiednio zabezpieczonych systemów informatycznych gwarantujących zachowanie zgodności z wymogami rozporządzenia.

Dokumenty wymagane podczas wdrażania RODO w placówce medycznej

Rola dokumentacji, jej tworzenia, aktualizowania i przechowywania, jest w kontekście RODO niezwykle istotna i w przypadku przychodni oraz innych placówek medycznych wyjątkowo kłopotliwa. Przychodnia powinna opracować wspomnianą już politykę ochrony danych osobowych zbierającą informacje o uprawnieniach, obowiązkach i procedurach regulujących sposób zarządzania, ochrony i przetwarzania danych osobowych pacjentów.

RODO wymaga m.in. prowadzenia ewidencji upoważnień, w celu zachowania zasady rozliczalności, a także przygotowanie umów o powierzeniu przetwarzania danych. Potrzebnymi dokumentami w przychodni w kontekście utrzymania zgodności z RODO będą również:

• rejestr czynności przetwarzania,
• dokument analizy ryzyka,
• w pewnych przypadkach także oceny skutków i ryzyka dla ochrony danych,
• dokument opisujący procedurę postępowania w przypadku naruszenia ochrony danych,
• rejestr incydentów,
• rejestr udostępnień dokumentacji

i szereg innych.

Należy jednak zaznaczyć w tym miejscu, że każda placówka będzie wymagała indywidualnego podejścia i oceny bezpieczeństwa w zakresie przetwarzania danych, nie jest więc możliwe stworzenie jednej, wzorcowej i w pełni uniwersalnej listy dokumentów koniecznych do wdrożenia w celu spełnienia wymogów RODO. Każda placówka medyczna powinna stworzyć, wdrożyć i stosować dokumentację ochrony danych osobowych indywidualnie dostosowaną do jej potrzeb.