Szybka odpowiedź
RODO w gabinecie sprowadza się do trzech filarów: (1) właściwa podstawa przetwarzania danych zdrowotnych (leczenie i obowiązek prowadzenia dokumentacji - zwykle nie „zgoda"), (2) rejestr czynności przetwarzania (RCPD) - obowiązkowy także w jednoosobowym gabinecie, bo przetwarzasz dane szczególnej kategorii (art. 9), oraz (3) dziennik dostępu - dowód, kto i kiedy zaglądał do karty pacjenta. Naruszenie zgłaszasz do PUODO w 72 h. Prawo do bycia zapomnianym nie kasuje obowiązku przechowywania dokumentacji medycznej.
Pewna przychodnia była przekonana, że ma RODO ogarnięte. Gruby segregator z politykami, podpisane klauzule, wszystko od firmy szkoleniowej sprzed trzech lat. Aż jedna pacjentka napisała skargę: podejrzewała, że jej kartę przeglądała znajoma pracująca w rejestracji, bez żadnego powodu medycznego.
PUODO nie pytał o segregator. Zadał jedno pytanie: „Proszę pokazać, kto i kiedy miał dostęp do dokumentacji tej pacjentki". Przychodnia nie miała jak odpowiedzieć - system nie logował dostępów. I to był prawdziwy problem, nie brak polityki w segregatorze.
To pokazuje, gdzie naprawdę leży RODO w gabinecie: nie w dokumentach, które nikt nie czyta, tylko w dowodach, że dane są pod kontrolą.
Dlaczego gabinet to wyższy poziom RODO
Dane o zdrowiu to szczególna kategoria danych (art. 9 RODO). To nie to samo co imię i adres - to dane pod wzmocnioną ochroną. Konsekwencja praktyczna: część „ulg" dla małych firm Cię nie dotyczy, bo przetwarzasz właśnie te najwrażliwsze dane, i to regularnie.
Stąd bierze się m.in. obowiązek prowadzenia rejestru czynności przetwarzania nawet w jednoosobowej praktyce - o czym za chwilę.
Filar 1: podstawa przetwarzania (i częsty błąd ze zgodą)
Najczęstsze nieporozumienie: „skoro RODO, to na wszystko muszę mieć zgodę pacjenta". Nieprawda - i to wręcz szkodliwe.
- Leczenie i prowadzenie dokumentacji - podstawą jest świadczenie opieki zdrowotnej i obowiązek prawny, nie zgoda. Pacjent nie może „cofnąć zgody" na prowadzenie dokumentacji, bo ona nie opiera się na zgodzie.
- Rzeczy dodatkowe - marketing, newsletter, przypomnienia SMS o wizycie, zdjęcia przed/po do promocji - tu zgoda jest potrzebna i musi być dobrowolna, odwołalna, rozdzielona od leczenia.
Nie mieszaj zgód
Jeśli wrzucisz wszystko do jednej klauzuli („zgadzam się na przetwarzanie i marketing"), pacjent nie może odmówić marketingu bez odmowy leczenia - a to czyni zgodę nieważną. Trzymaj zgody marketingowe osobno od podstawy leczenia.
Filar 2: rejestr czynności przetwarzania (RCPD)
RCPD to wykaz tego, co robisz z danymi: jakie kategorie danych, w jakim celu, na jakiej podstawie, jak długo trzymane, komu udostępniane (np. laboratorium, firma niszcząca dokumenty, dostawca oprogramowania).
Dlaczego mały gabinet też musi? Bo wyłączenie dla podmiotów < 250 osób nie działa, gdy przetwarzanie danych szczególnej kategorii nie jest sporadyczne - a w gabinecie jest codzienne. To jeden dokument, ale żywy: aktualizujesz go, gdy zmieniasz laboratorium, wdrażasz SMS-y czy nowy system.
Rejestr czynności to nie sztuka dla sztuki - to mapa, dzięki której w razie incydentu wiesz, gdzie Twoje dane w ogóle są.
Filar 3: dziennik dostępu - to, na czym wywróciła się przychodnia z początku
Dziennik dostępu (audit log) odpowiada na pytanie, którego nie da się obejść politykami: kto, kiedy i do której karty pacjenta zaglądał. To zarazem techniczny środek bezpieczeństwa i dowód rozliczalności.
W praktyce oznacza to, że system gabinetowy powinien:
- logować każde otwarcie karty pacjenta z użytkownikiem i czasem,
- ograniczać dostęp per lekarz - tak, by personel widział tylko to, co potrzebne,
- pozwalać odtworzyć historię dostępu, gdy pojawi się skarga albo kontrola.
Bez tego nie udowodnisz, że nie doszło do nieuprawnionego wglądu - a ciężar dowodu jest po Twojej stronie.
Szyfrowanie danych wrażliwych
Dane takie jak PESEL czy szczegóły medyczne powinny być zaszyfrowane w bazie, a nie leżeć „plain text". W razie wycieku zaszyfrowane dane radykalnie zmniejszają ryzyko i są okolicznością łagodzącą w ocenie PUODO.
Naruszenie? 72 godziny
Jeśli dojdzie do incydentu - zgubiony laptop, wysłanie dokumentacji do złego adresata, nieuprawniony dostęp - masz 72 godziny od stwierdzenia na zgłoszenie do PUODO (chyba że naruszenie raczej nie skutkuje ryzykiem dla osób). Przy wysokim ryzyku informujesz też pacjentów. Dlatego warto mieć z góry ewidencję incydentów i prostą procedurę, zamiast szukać w panice, „komu i jak to zgłosić".
Checklista RODO dla gabinetu
Twój postęp
0/0 • 0%
Udowodnij, że dane pacjentów są pod kontrolą
MedEQ prowadzi dziennik dostępu per lekarz, szyfruje dane wrażliwe i pozwala prowadzić rejestry RODO oraz ewidencję incydentów w jednym miejscu. 30 dni gratis, polski hosting w UE.
RODO to nie segregator, to nawyk systemu
Najtrwalsze RODO w gabinecie nie wygląda jak półka z politykami. Wygląda jak system, który z automatu loguje dostępy, szyfruje wrażliwe pola, przypomina o umowach powierzenia i trzyma ewidencję incydentów. Polityki są potrzebne - ale to dowody, a nie deklaracje, wygrywają z kontrolą i skargą pacjenta.
FAQ - RODO w gabinecie
Zastrzeżenie: wpis ma charakter edukacyjny i nie jest poradą prawną. Obowiązki RODO (RCPD, IOD, okresy przechowywania, zgłaszanie naruszeń) zależą od skali i specyfiki Twojej działalności - przy wdrożeniu skonsultuj się z prawnikiem lub inspektorem ochrony danych oraz z aktualnymi wytycznymi PUODO.
Bartosz Krzyżaniak
Founder MedEQ
Buduje MedEQ - system do prowadzenia gabinetu medycznego z paszportem sprzętu, BDO, RODO i KSeF w jednym miejscu. Pisze o tym, czego sam nie mógł znaleźć, kiedy wdrażał compliance w pierwszych gabinetach.