Co ma zrobić lekarz, jeśli przez pomyłkę wyda receptę lub skierowanie niewłaściwemu pacjentowi? Kiedy należy poinformować o tym Urząd Ochrony Danych Osobowych (UODO)?

Omyłkowe wydanie przez lekarza recepty lub skierowania innemu pacjentowi to nieuprawnione udostępnienie danych osobowych osobie nieupoważnionej, w szczególności wrażliwych danych o stanie zdrowia. Taki incydent lekarz powinien niezwłocznie zgłosić administratorowi danych (kierownikowi podmiotu, u którego lekarz wykonuje zawód), a jeśli w podmiocie wyznaczono inspektora ochrony danych – także temu inspektorowi. Administrator musi analizować i rejestrować informacje o wszystkich naruszeniach ochrony danych, w tym okoliczności naruszenia ochrony danych osobowych, przebieg zdarzenia i naruszone dane osobowe. Ewidencja powinna obejmować ponadto skutki i konsekwencje naruszenia oraz działania naprawcze podjęte przez administratora.1 Administrator danych ma obowiązek podjęcia działań naprawczych, w tym przypadku przywrócenia porządku w dokumentacji: odzyskania recepty lub skierowania wydanego niewłaściwemu pacjentowi, przekazania dokumentów odpowiedniemu pacjentowi, a w razie potrzeby – skorygowania błędów powstałych w dokumentacji. Ponadto obowiązkiem administratora jest niezwłoczne poinformowanie poszkodowanego incydentem pacjenta, którego dane osobowe naruszono, o zaistniałej sytuacji omyłkowego ujawnienia jego danych osobie nieupoważnionej.2

Przypadek naruszenia ochrony danych osobowych podlega obowiązkowemu zgłoszeniu przez administratora do Prezesa UODO, jeśli wykryty incydent stwarza duże ryzyko dla praw i wolności osób fizycznych (np. doszło do zapoznania się z treścią recepty lub skierowania przez pacjenta, którego ten dokument nie dotyczył). Nie wymaga zgłoszenia do Prezesa UODO sytuacja omyłkowego wystawienia recepty lub skierowania innemu pacjentowi, jeśli pomyłkę wykryto przed ujawnieniem danych osobie nieupoważnionej (wówczas nie doszło do nieuprawnionego udostępnienia danych osobowych i ryzyko dla praw i wolności osób fizycznych jest małe).

Z ryzykiem naruszenia praw i wolności osób fizycznych mamy do czynienia, gdy naruszenie może skutkować fizyczną, materialną lub niematerialną szkodą dla osób fizycznych, których dane naruszono. Szkodą taką jest m.in. utrata poufności danych osobowych chronionych tajemnicą zawodową. Jeżeli naruszenie dotyczy danych genetycznych, dotyczących zdrowia lub życia seksualnego, należy uznać, że występuje duże prawdopodobieństwo takiej szkody. W przypadku podjęcia decyzji o niezgłoszeniu naruszenia, wskazane jest udokumentowanie takiego faktu w ewidencji wraz z podaniem przyczyny, dla której administrator uznaje ryzyko naruszenia praw i wolności osób fizycznych za mało prawdopodobne (np. pomyłkę wykrył lekarz lub pielęgniarka w rejestracji, tzn. styczność z danymi miały osoby upoważnione do wglądu w dokumentację pacjenta, zobowiązane do zachowania tajemnicy zawodowej).

Administrator dokonuje zgłoszenia naruszenia ochrony danych osobowych elektronicznie za pomocą odpowiedniego formularza dostępnego na stronie internetowej UODO.3

Przykłady innego rodzaju naruszeń ochrony danych osobowych pacjentów to:

• udostępnienie dokumentacji medycznej osobie nieupoważnionej (np. wydanie kserokopii historii zdrowia i choroby małżonkowi pacjenta, dla którego pacjent udzielił upoważnienia tylko w zakresie dostępu do informacji o stanie zdrowia)

• brak dostępu do dokumentacji medycznej (np. z powodu kradzieży lub utraty haseł dostępowych do komputera w przypadku prowadzenia dokumentacji elektronicznej itp.)

• upowszechnienie danych pacjentów (np. wyciek danych osobowych do internetu, wyrzucenie na śmietnik niedokładnie zniszczonej archiwalnej dokumentacji medycznej itp.).

Piśmiennictwo

1. Art. 33 RODO – rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), Dz.U.UE.L.2016.119.1
2. Art. 34 RODO
3. Instrukcja w jaki sposób powiadomić Prezesa UODO o naruszeniu oraz wzór formularza zgłoszeniowego są dostępne pod adresem: https://uodo.gov.pl/pl/134/233