Służba zdrowia pod presją RODO. Przepisy są często źle rozumiane

Niedawno media obiegła informacja, że personel jednej z przychodni miał wątpliwości, czy powinien wywoływać pacjentów do gabinetu lekarskiego po nazwisku. W związku z tym zaczęto nadawać im nadawać pseudonimy. Część placówek, aby nie złamać zasad RODO, zamiast nazwiska pacjenta używa numeru.

Zdaniem adwokata Łukasza Pociechy, eksperta ds. danych osobowych z firmy ODO24, podawanie nazwiska pacjenta może - zwłaszcza w połączeniu z imieniem - prowadzić do identyfikacji danej osoby. - Wyobraźmy sobie, że ktoś wstaje, wszyscy na niego patrzą, słyszą imię i nazwisko. Wówczas faktycznie są to dane w połączeniu z naocznym wizerunkiem. Wtedy może dojść do identyfikacji. Na przykład ktoś może rozpoznać daną osobę i dojść, kim ona jest. Wtedy już wie, że ma ona jakieś problemy, np. psychiczne, bo udaje się do lekarza psychiatry - tłumaczy ekspert w rozmowie z Agencją Informacyjną Polska Press.

Jak dodaje, nie widzi nic złego w zmianie nazwiska na numer nadawany w recepcji. Podkreśla, że stosowaną praktyką jest także wywoływanie danej osoby po imieniu i łączenie tego imienia z godziną.

Część lekarzy w celu ochrony praw pacjentów ściąga tabliczki z drzwi, na których widnieje nazwisko doktora i jego specjalizacja. Zdaniem eksperta taka praktyka jest „pewną nadgorliwością na gruncie RODO”. - Po pierwsze, lekarze i tak są zobowiązani przepisem prawa do noszenia identyfikatorów na terenie szpitali. Musi się znaleźć na nim imię, nazwisko oraz pełniona funkcja. Po drugie, każdy pacjent ma prawo do wyboru lekarza, więc tabliczka na drzwiach jest jak najbardziej wskazana - mówi Łukasz Pociecha.

Duże poruszenie opinii publicznej wzbudziła informacja, że w niektórych szpitalach podjęto decyzję o zlikwidowaniu opasek z imieniem i nazwiskiem u chorych i noworodków. Specjalista ds. danych osobowych podkreśla jednak, że każdy pacjent, który jest przyjmowany do placówki medycznej, objęty jest ustawą o działalności leczniczej. Dotyczy to również noworodków. Przepisy wprost wskazują, że każdy pacjent powinien mieć nadany numer identyfikacyjny. - Jeżeli lekarz ma obowiązek identyfikować pacjenta po takim numerze, to ja nie widzę żadnej różnicy między prawami dorosłej osoby a noworodka. Należy jednak zaapelować o pewną racjonalność. W sytuacjach zagrożenia życia, kiedy nie jest możliwe stosowanie się do teoretycznych, zgodnych z obowiązującymi przepisami prawa czynnościami, faktycznie można w pewnych sytuacjach od tego odstąpić i wykorzystać imię i nazwisko, bo na pierwszym miejscu powinno być zawsze dobro pacjenta - podkreśla Pociecha.

A z tym bywa różnie. Zdarza się, że szpitale w obawie przed RODO postępują w sposób skrajnie nieracjonalny. Najgłośniejszym dotychczas przypadkiem nadinterpretacji nowych przepisów o ochronie danych osobowych była sytuacja po czerwcowym wypadku autokaru z dziećmi na zakopiance. Rodzice poszkodowanych nie byli w stanie przez telefon ustalić, w jakim szpitalu znajdują się ich ranne dzieci. Odmawiano im informacji, powołując się właśnie na RODO.

Dyspozytor, który odebrał wówczas telefon i odmówił jakiejkolwiek odpowiedzi, szczególnie w tak krytycznej sytuacji, wykazał się daleko idącą nadgorliwością. - Oczywiście, przez telefon nie trzeba podawać dokładnych wyników badań, które były przeprowadzone po przyjęciu danego pacjenta. Jednak informacja o tym, czy on znajduje się w konkretnym szpitalu, powinna być podana. Nawet jeśli obawiamy się, że udzielimy informacji osobom nieupoważnionym, możemy przecież zapytać o numer PESEL takiego pacjenta lub o adres zamieszkania - jeżeli posiadamy takie informacje. Nawet jeśli ich nie posiadamy, to powinniśmy podejść do sprawy jak najbardziej racjonalnie i szpitale powinny udzielić informacji na zasadzie: „tak, taka osoba dzisiaj do nas trafiła”. Gdy rodzice lub opiekunowie pojawiliby się w placówce, to można zweryfikować ich dane i udzielić szczegółowych informacji - twierdzi ekspert.

Zdarza się, że placówki medyczne postępują w sposób wręcz odwrotny i działają nazbyt transparentnie. Na przykład jedna z nich chciała udostępnić publicznie listę z nazwiskami i godzinami przyjęć określonych pacjentów. - Nie widzę w ogóle podstawy do takiego postępowania. Ciężko wyobrazić sobie, jaki cel temu przyświecał. Chodziło chyba o pewną transparentność, aby pacjenci zobaczyli, że szpital jest obłożony. Jednak w mojej ocenie jest to zbyt daleko posunięte postępowanie - podkreśla specjalista.

Niektóre placówki wymuszają na pacjentach podpisanie oświadczenia, że zapoznali się oni z obowiązkiem informacyjnym i rozumieją, w jaki sposób będą przetwarzane ich dane albo zgody na przetwarzanie danych. Jak zaznacza Pociecha, mamy tutaj dwa obowiązki, ciążące na szpitalu jako administratorze danych. Pierwszy jest to tzw. obowiązek informacyjny. Oznacza to, że każda osoba, która podaje dane, czyli w tym przypadku pacjent, zostaje poinformowana o tym, co dzieje się z jego danymi osobowymi, czyli kto będzie je przetwarzał, w jakim celu, jakie ma prawa, czy przez jaki czas będą przetwarzane dane osobowe. I te informacje szpital jak najbardziej powinien przekazać. Z kolei wymuszanie od pacjenta oświadczenia, że zapoznał się z powyższą informacją jest wygodne dla samego szpitala. - Jest to związane z zasadą rozliczalności, która wybrzmiewa na gruncie RODO w sposób szczególny. Każdy administrator, który przetwarza dane, musi wykazać się przed urzędem, że spełnił ten obowiązek. I to jest dla niego najlepsze rozwiązanie. Moim zdaniem nie można jednak w żaden sposób zmusić do tego pacjenta. Jednak widzę interes po stronie szpitala, aby takie oświadczenia zbierał - mówi ekspert. Pamiętajmy, że szpitale mają podstawę do przetwarzania danych osobowych, zarówno zwykłych, jak i danych szczególnych kategorii, bez odbierania zgody pacjenta. Więc ta zgoda nie jest potrzeba do przetwarzania danych.