Czy osoba upoważniona do wglądu w dokumentację pacjenta powinna wyrazić zgodę na przetwarzanie przez przychodnię lub szpital swoich danych osobowych?

Zgoda na przetwarzanie danych osobowych nie jest wymagana, jeśli przepis prawa jest podstawą prawną przetwarzania danych osobowych.1 W przypadku upoważnienia przez pacjenta innej osoby do wglądu w jego dokumentację medyczną przepis prawa upoważnia i zobowiązuje podmiot wykonujący działalność leczniczą do przetwarzania imienia i nazwiska osoby innej niż pacjent, której udostępniono dokumentację medyczną (na podstawie art. 27, ust. 4, pkt 4 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, tekst jedn.: Dz. U. z 2019 r., poz. 1127, a także § 8 ust. 1 pkt 2), rozporządzenia Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania, Dz. U. z 2015 r., poz. 2069). Szerszy zakres zbieranych danych osobowych lub zmiana celu przetwarzania wymaga uzyskania zgody od osoby, której dane dotyczą.

Zgoda na przetwarzanie danych osobowych osoby, która nie jest pacjentem przychodni, jest jednak wymagana, gdy przepis prawa nie precyzuje zakresu lub celu przetwarzanych danych, na przykład gdy po odbiór recepty lub zlecenia wystawionego bez osobistego badania pacjenta zgłasza się osoba nieupoważniona imiennie przez pacjenta. Pacjent ma bowiem ustawowe prawo nie wskazywać konkretnej osoby, której ma zostać wydana recepta lub zlecenie (na podstawie art. 42 ust. 3, pkt 2), ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty, tekst jedn.: Dz. U. z 2019 r., poz. 537, dalej jako u.z.l.). W takiej sytuacji przy odbiorze recepty lub zlecenia należy taką osobę poinformować, że podane przez nią dane osobowe (np. imię i nazwisko) będą przetwarzane w dokumentacji medycznej pacjenta przez okres jej archiwizacji i odebrać zgodę na ich przetwarzanie przez podmiot wykonujący działalność leczniczą. W tym przypadku przetwarzanie danych osoby odbierającej receptę jest wprawdzie uzasadnione wypełnieniem obowiązku nałożonego na administratora (na podstawie art. 42 ust. 5 u.z.l.), ale ze względu na fakt, że ustawa nie precyzuje, w jakim celu zbierane są te dane ani nie podaje zakresu przetwarzania danych, tzn. nie podaje, jaką informację2 o osobie, której przekazano taką receptę lub zlecenie, odnotowuje się w dokumentacji medycznej pacjenta albo dołącza do tej dokumentacji – warto zadbać o formalną zgodę na przetwarzanie pozyskanych danych osobowych.3

Piśmiennictwo

1. Art. 6 ust. 1 pkt c) RODO, tj. rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (tzw. ogólne rozporządzenie o ochronie danych, Dz. U. UE L 119, s. 1).
2. Zob. Jackowski M.: Ochrona danych medycznych. RODO w ochronie zdrowia. 3. wyd. Wolters Kluwer, Warszawa, 2018, s. 31–39
3. Art. 6 ust. 1 pkt a) RODO. Zob. także: Wytyczne dotyczące zgody na mocy rozporządzenia 2016/679, s. 28 (dostęp: www.uodo.gov.pl/pl/file/1207).