ikonka telefonu +48 519 596 318
ikonka maila kontakt@dokumentydlagabinetu.pl

🔐 RODO w gabinecie - od czego zacząć i co naprawdę musisz mieć?

RODO w gabinecie medycznym – od czego zacząć i jaką dokumentację trzeba przygotować?

RODO w placówce medycznej bardzo często kojarzy się z klauzulą informacyjną na recepcji, kilkoma podpisami pacjenta i segregatorem z dokumentacją.

To zdecydowanie za mało.

Placówka medyczna przetwarza nie tylko podstawowe dane identyfikacyjne pacjentów, ale przede wszystkim dane dotyczące zdrowia, które należą do szczególnych kategorii danych osobowych i wymagają podwyższonego poziomu ochrony.

Dlatego RODO nie powinno być traktowane jako kolejny komplet dokumentów przygotowywany „pod kontrolę”.

To system organizacyjny i techniczny, który powinien odpowiadać na kilka bardzo praktycznych pytań: jakie dane zbieramy → po co je zbieramy → kto ma do nich dostęp → komu je przekazujemy → jak długo je przechowujemy → jak je zabezpieczamy → co robimy, gdy coś pójdzie nie tak.

Dopiero wtedy można mówić o realnie wdrożonej ochronie danych.


Najpierw ustal, kto jest administratorem danych

To jeden z pierwszych elementów, który trzeba prawidłowo określić.

Administrator to podmiot, który ustala cele i sposoby przetwarzania danych osobowych.

W praktyce może nim być np.:

Nie należy natomiast automatycznie wpisywać jako administratora: „właściciela”, „kierownika” czy „managera placówki” tylko dlatego, że dana osoba zarządza organizacją.

Administrator jest określany na podstawie rzeczywistej roli w przetwarzaniu danych. UODO zwraca uwagę, że status administratora należy każdorazowo analizować na podstawie tego, kto rzeczywiście ustala cele i sposoby przetwarzania.

To szczególnie ważne przy bardziej złożonych strukturach, współpracy kilku podmiotów albo działalności prowadzonej przez kilku specjalistów.


Czy placówka musi mieć „Politykę ochrony danych osobowych”?

Ustawodawca nakłada na administratora obowiązek wdrożenia odpowiednich środków organizacyjnych i technicznych oraz wykazania, że przetwarzanie odbywa się zgodnie z przepisami.

Dlatego w praktyce warto posiadać główny dokument opisujący system ochrony danych w placówce – może to być np.:

Polityka bezpieczeństwa ochrony danych osobowych wraz z powiązanymi procedurami, instrukcjami, rejestrami i załącznikami.

Taki dokument powinien odpowiadać rzeczywistej organizacji placówki, a nie być uniwersalnym wzorem zawierającym kilkadziesiąt stron zapisów, których nikt później nie stosuje.


1. Rejestr czynności przetwarzania

Jednym z podstawowych dokumentów jest rejestr czynności przetwarzania – RCP.

To nie jest po prostu lista programów czy dokumentów, w których znajdują się dane.

Rejestr opisuje procesy przetwarzania danych.

W placówce medycznej mogą to być przykładowo:

RODO przewiduje wprawdzie wyjątek od obowiązku prowadzenia rejestru dla części organizacji zatrudniających mniej niż 250 osób, ale wyjątek ten nie ma zastosowania m.in. wtedy, gdy przetwarzanie nie ma charakteru sporadycznego albo obejmuje szczególne kategorie danych, takie jak dane dotyczące zdrowia.

W przypadku placówki medycznej rejestr czynności przetwarzania powinien więc być jednym z podstawowych elementów dokumentacji RODO.


2. Ustal, kto może mieć dostęp do danych

Nie każdy pracownik powinien mieć dostęp do wszystkich informacji znajdujących się w systemie.

Recepcja może potrzebować innego zakresu dostępu niż lekarz, księgowość, manager czy osoba zajmująca się marketingiem.

RODO wymaga, aby osoby działające z upoważnienia administratora i mające dostęp do danych przetwarzały je wyłącznie zgodnie z jego poleceniami.

Jednym ze sposobów realizacji tego obowiązku jest stosowanie imiennych upoważnień do przetwarzania danych osobowych.

Warto jednak wiedzieć, że samo RODO nie nakazuje stosowania dokładnie takiego formularza.

UODO wskazuje, że administrator może zastosować formalne upoważnienia, ale może również wykazać w inny skuteczny sposób, że dostęp do danych jest odpowiednio kontrolowany.

W praktyce w placówce medycznej system upoważnień jest jednak bardzo użytecznym rozwiązaniem organizacyjnym.

Pozwala jasno ustalić: kto → od kiedy → do jakich danych → w jakim zakresie ma dostęp.


3. Ewidencja osób mających dostęp do danych

Jeżeli placówka stosuje system imiennych upoważnień, naturalnym rozwiązaniem jest również prowadzenie ewidencji osób upoważnionych.

Może ona zawierać np.:

Taka ewidencja bardzo ułatwia zarządzanie dostępami, szczególnie przy zmianach kadrowych.

Bo jeden z częstszych problemów w placówkach wygląda tak: pracownik odszedł pół roku temu, ale jego konto w systemie nadal jest aktywne.

Dlatego proces zakończenia współpracy powinien obejmować nie tylko rozliczenie kluczy i identyfikatora, ale również: cofnięcie dostępów → zamknięcie kont → odebranie uprawnień → aktualizację dokumentacji.


4. Klauzule informacyjne – tak. „Zgody RODO” – nie zawsze

To jeden z największych mitów dotyczących ochrony danych w placówkach medycznych.

Pacjent przychodzi na wizytę i dostaje formularz: „Wyrażam zgodę na przetwarzanie moich danych osobowych w celu leczenia”.

W większości przypadków taka zgoda nie jest potrzebna jako podstawa przetwarzania danych niezbędnych do udzielenia świadczenia.

Dane dotyczące zdrowia mogą być przetwarzane m.in. wtedy, gdy jest to niezbędne do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub leczenia, przy spełnieniu odpowiednich warunków wynikających z RODO i prawa krajowego.

Pacjenta trzeba natomiast prawidłowo poinformować o przetwarzaniu jego danych.

Dlatego placówka powinna posiadać odpowiednio przygotowane obowiązki informacyjne dotyczące właściwych grup osób, np.:

Zgoda powinna być wykorzystywana wtedy, gdy rzeczywiście stanowi właściwą podstawę określonego działania – np. przy części działań marketingowych.

Nie należy zbierać zgód „na wszelki wypadek”.


5. Umowy powierzenia – ale nie z każdym kontrahentem

Kolejnym częstym błędem jest założenie:

„Każda firma zewnętrzna, która widzi dane, musi podpisać umowę powierzenia”. Nie zawsze.

Umowa powierzenia jest potrzebna wtedy, gdy zewnętrzny podmiot przetwarza dane osobowe w imieniu administratora.

Przykładem może być firma IT, która administruje systemem placówki i w związku z tym ma dostęp do znajdujących się w nim danych.

UODO wskazuje, że przepisy dotyczące powierzenia mogą znajdować się w osobnej umowie, umowie głównej albo aneksie i powinny regulować m.in. przedmiot, czas, cel, charakter przetwarzania oraz obowiązki podmiotu przetwarzającego.

Ale jeżeli zewnętrzny podmiot otrzymuje dane po to, aby realizować własne cele i własne obowiązki prawne, może występować jako odrębny administrator, a nie procesor.

Dlatego przed podpisaniem kolejnej umowy trzeba najpierw ustalić: jaka jest rzeczywista rola tego podmiotu?

Dopiero później dobiera się właściwą dokumentację.


6. Procedura postępowania w przypadku naruszenia danych

Pacjent otrzymał dokumentację innej osoby.

E-mail został wysłany do niewłaściwego adresata.

Laptop zawierający dane został skradziony.

Pracownik zgubił dokument.

Ktoś uzyskał nieuprawniony dostęp do systemu.

To są sytuacje, które wymagają uruchomienia konkretnego procesu.

Placówka powinna wiedzieć: kto przyjmuje zgłoszenie → kto ocenia zdarzenie → jak oceniamy ryzyko → czy trzeba zawiadomić Prezesa UODO → czy trzeba poinformować osoby, których dane dotyczą → jak dokumentujemy zdarzenie.

RODO nakłada obowiązek dokumentowania naruszeń, a jeżeli naruszenie może powodować ryzyko dla praw lub wolności osób fizycznych, może powstać również obowiązek zgłoszenia go organowi nadzorczemu – co do zasady bez zbędnej zwłoki, w miarę możliwości nie później niż w ciągu 72 godzin od stwierdzenia naruszenia.

Dlatego w placówce warto posiadać:

Najgorszym momentem na ustalanie tych zasad jest chwila, gdy naruszenie właśnie się wydarzyło.


7. Analiza ryzyka – dokumenty trzeba przełożyć na zabezpieczenia

RODO nie daje jednej listy zabezpieczeń obowiązkowych dla każdego podmiotu.

Wymaga wdrożenia środków technicznych i organizacyjnych odpowiednich do ryzyka.

Przy ich doborze trzeba brać pod uwagę m.in. charakter danych, zakres i kontekst przetwarzania oraz potencjalne skutki naruszenia. Art. 32 RODO wskazuje m.in. na potrzebę zapewnienia poufności, integralności, dostępności i odporności systemów oraz regularnego oceniania skuteczności zastosowanych zabezpieczeń.

W praktyce placówka powinna przeanalizować m.in.:

Bo nawet najlepsza polityka RODO nie zabezpieczy placówki, jeżeli na recepcji wszyscy logują się jednym kontem: „recepcja123”.


8. Sprawdź, komu rzeczywiście przekazujesz dane

W ramach audytu RODO warto stworzyć mapę przepływu danych.

Dane pacjentów mogą trafiać np. do:

Nie każdy z tych podmiotów będzie procesorem.

Nie każdy będzie również odrębnym administratorem.

Dlatego każdą relację trzeba ocenić osobno.

To pozwala ustalić: czy dane są przekazywane zgodnie z prawem → na jakiej podstawie → w jakim zakresie → czy potrzebna jest umowa powierzenia → czy pacjent powinien zostać o tym poinformowany.

9. Czy każda placówka musi mieć IOD?

Nie.

Inspektor Ochrony Danych nie jest obowiązkowy automatycznie tylko dlatego, że placówka przetwarza dane dotyczące zdrowia.

RODO przewiduje jednak obowiązek jego wyznaczenia m.in. wtedy, gdy główna działalność administratora polega na przetwarzaniu na dużą skalę szczególnych kategorii danych.

Jednocześnie przetwarzanie danych pacjentów przez pojedynczego lekarza lub innego pojedynczego pracownika ochrony zdrowia nie jest uznawane za przetwarzanie na dużą skalę.

Nie oznacza to jednak, że każda przychodnia „pomiędzy tymi przykładami” automatycznie zna odpowiedź.

Trzeba ocenić m.in.:

Warto również udokumentować ocenę, dlaczego IOD został albo nie został wyznaczony, i wracać do niej wraz z rozwojem placówki. UODO wskazuje, że mała przychodnia może z czasem rozrosnąć się do podmiotu przetwarzającego dane wrażliwe na dużą skalę.


10. Dokumentacja musi być aktualizowana

RODO nie kończy się w dniu przygotowania segregatora.

Placówka się zmienia.

Pojawiają się:

Każda taka zmiana powinna uruchomić pytanie: czy wpływa to na sposób przetwarzania danych i czy trzeba zaktualizować dokumentację albo zabezpieczenia?

Jeżeli tak – aktualizacji mogą wymagać m.in.:

RODO powinno rozwijać się razem z placówką.


Najczęstsze błędy RODO w gabinetach

„Pacjent podpisał zgodę RODO, więc wszystko jest zabezpieczone”

Nie. Najpierw trzeba ustalić właściwą podstawę przetwarzania. Przy danych niezbędnych do udzielania świadczeń medycznych zazwyczaj nie jest nią zgoda pacjenta.


„Kupiliśmy dokumentację RODO kilka lat temu”

Jeżeli od tego czasu zmienił się system, personel, dostawcy albo procesy, dokumentacja może już nie odpowiadać rzeczywistości.


„Każdy zna hasło do recepcji – jest szybciej”

Wygoda organizacyjna nie może oznaczać braku możliwości ustalenia, kto wykonał określoną operację.


„Mamy umowy powierzenia ze wszystkimi”

Duża liczba umów nie oznacza prawidłowego systemu. Najpierw trzeba ustalić role poszczególnych stron.


„RODO prowadzi informatyk”

Informatyk może odpowiadać za część zabezpieczeń technicznych.

Ale ochrona danych obejmuje również procesy, dokumentację, personel, podstawy prawne, uprawnienia, umowy i reakcję na incydenty.

To system organizacyjny, nie wyłącznie informatyczny.


Jak powinien wyglądać uporządkowany system RODO?

W dobrze zorganizowanej placówce można przedstawić go w prostym ciągu:

identyfikacja procesów → podstawy prawne → rejestr czynności → analiza ryzyka → dostęp i uprawnienia → zabezpieczenia → obowiązki informacyjne → relacje z podmiotami zewnętrznymi → procedura naruszeń → szkolenie personelu → regularna weryfikacja.

Dopiero taki model pozwala mówić o wdrożeniu RODO.

Nie o posiadaniu segregatora.


RODO musi działać również na recepcji

Najwięcej problemów nie powstaje zwykle w samej polityce bezpieczeństwa.

Powstaje w codziennej pracy.

Pacjent stoi przy ladzie.

Telefon dzwoni.

Ktoś prosi o wynik badania mailem.

Rodzina chce uzyskać informacje.

Pracownik zostawia otwarty ekran.

Dokument leży na drukarce.

Rejestratorka słyszy: „Ja jestem mężem, proszę mi powiedzieć, o której żona ma wizytę”.

To właśnie w takich momentach okazuje się, czy RODO w placówce faktycznie działa.

Dlatego procedury powinny być przełożone na proste standardy pracy, instrukcje i szkolenia personelu.


Podsumowanie

RODO w placówce medycznej to zdecydowanie więcej niż klauzula informacyjna i podpis pacjenta.

To system, który powinien pozwolić odpowiedzieć na pytania:

jakie dane przetwarzamy → dlaczego → kto ma do nich dostęp → jak je zabezpieczamy → komu je przekazujemy → jak długo je przechowujemy → co robimy w przypadku naruszenia.

I właśnie dlatego dokumentacja powinna odpowiadać konkretnej placówce.

Nie istnieje jedno uniwersalne RODO dla:

gabinetu stomatologicznego, dużej przychodni, centrum zabiegowego i indywidualnej praktyki lekarskiej.

Inne procesy oznaczają inne ryzyka i często inne rozwiązania organizacyjne.

RODO nie ma komplikować pracy placówki. Dobrze zaprojektowane ma ją porządkować i zabezpieczać.


Chcesz sprawdzić RODO w swojej placówce?

Podczas audytu analizuję nie tylko dokumenty znajdujące się w segregatorze.

Sprawdzam również:

rzeczywiste procesy → dostęp personelu → obieg dokumentów → systemy → umowy → zabezpieczenia → sposób pracy recepcji → gotowość na naruszenie danych.

Dzięki temu otrzymujesz konkretną informację:

co jest prawidłowe → czego brakuje → co wymaga aktualizacji → co trzeba wdrożyć.

Dokumenty dla Gabinetu – wsparcie operacyjne podmiotów leczniczych
📞 +48 519 596 318
📧 kontakt@dokumentydlagabinetu.pl

ikonka strzałki w górę