Dane pacjenta wartością chronioną

- Jakie były przyczyny powstania i uchwalenia ustawy o ochronie danych osobowych?

- Dwie zasadnicze. Po pierwsze w naszej Konstytucji, w artykule 51, zapisano obywatelskie prawo do ochrony danych osobowych, a szczegółowy sposób jego realizacji musiał zostać określony ustawowo. A zatem ustawa ta została niejako wymuszona przez Konstytucję.

Drugie uzasadnienie wiąże się z naszym kandydowaniem do Unii Europejskiej. Ochrona danych osobowych na Zachodzie Europy jest w tej chwili traktowana jako element kanonu praw obywatelskich. W Unii doczekała się dwóch bardzo ważnych dokumentów: Konwencji nr 108, uchwalonej blisko 20 lat temu i bardzo szczegółowej Dyrektywy nr 95/46, która mówi o ochronie osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych.

Nasze wejście do Unii uwarunkowane jest dostosowaniem polskiego prawa do unijnych wymogów, jednym z nich jest wdrożenie postanowień wspomnianej konwencji i dyrektywy, czyli stworzenie ustawowych reguł przetwarzania danych osobowych. Ten wymóg spełniliśmy. Konwencja została podpisana w kwietniu 1999 r. przez działającego przy Unii Europejskiej przedstawiciela polskiego rządu, a teraz przygotowujemy się do ratyfikacji tego aktu.

Tak więc ustawa musiała powstać. Uważam jednak, że niestety uchwalono ją o kilka lat za późno. Zmianie ustrojowej, jaka nastąpiła w Polsce po 1989 r., powodując szybki rozrost sektora prywatnego, nie towarzyszyły reguły, które wprowadza prawo o ochronie danych osobowych. Sektor ten zaczął działać bez żadnych ograniczeń i przepisów dotyczących przetwarzania i udostępniania danych osobowych. W tej chwili, ex post, trudno wdrożyć i egzekwować tego typu regulację, ograniczającą swobodne działanie w tym obszarze. Wcześniejsze uchwalenie ustawy byłoby korzystniejsze, bo firmy – nowo tworzone rodzime lub zagraniczne, rozpoczynające działalność na polskim rynku – musiałyby się dostosować do obowiązujących regulacji prawnych.

Ustawa uświadamia, że dane osobowe są wartością chronioną, a dotychczasowa praktyka dowolnego ich zbierania, wykorzystywania i przekazywania osobom trzecim jest naganna. Pamiętamy jeszcze działania służb publicznych w minionych latach, kiedy to bez żadnego uzasadnienia zbierano o nas wszystkie możliwe informacje, a wielu z nas, w klimacie pewnego terroru psychicznego, bezwolnie przekazywało je każdemu, kto ich zażądał. Te przyzwyczajenia jeszcze w nas pokutują. Ale myślę, że ustawa zwróciła uwagę na zmianę jakości w tej dziedzinie, wprowadziła jasne reguły gry, które muszą być przestrzegane przy uzyskiwaniu danych osobowych i dysponowaniu nimi.

- Ustawa obowiązuje od niedawna. Lekarze i placówki ochrony zdrowia nie mają jeszcze ugruntowanej wiedzy, jakie dane pacjentów i komu poza własnym zakładem mogą przekazywać. Czy art. 27 ustawy o ochronie danych, mówiący o zarządzaniu i udzielaniu usług, obejmuje również przekazywanie danych osobowych kasom chorych przez świadczeniodawców?

- Przy przekazywaniu danych pojawiają się dwa problemy. Art. 27 pkt 7 omawianej ustawy pozwala na przekazywanie danych różnym podmiotom w interesie pacjenta. Nie jest tak, że przekazywanie danych innemu lekarzowi może odbywać się wyłącznie za zgodą pacjenta. Dotyczy to wszystkich instytucji, także kas chorych.

Ale kasy chorych działają na podstawie przepisów prawa, które wyraźnie określają, jakie dane i w jakim systemie mogą być zbierane przez te instytucje. Nie mogą one żądać dowolnych danych czy większej ich liczby.

Rodzaj danych o osobach ubezpieczonych, gromadzonych przez kasy chorych, określa ustawa o powszechnym ubezpieczeniu zdrowotnym. Są to: nazwisko, adres, PESEL itp. Te informacje kasy uzyskują z ZUS albo z KRUS.

Innym problemem są żądania kas udostępniania im danych od zakładów opieki zdrowotnej. To z kolei reguluje przepis wykonawczy do ustawy o powszechnym ubezpieczeniu zdrowotnym. W rozporządzeniu ministra zdrowia z 15 stycznia ub.r. wyraźnie sprecyzowano, jakie informacje mogą być przez placówki ochrony zdrowia przekazywane. A więc: PESEL, numer statystyczny choroby i informacje o udzielonych usługach.
Z sygnałów, jakie otrzymujemy, wynika, że w praktyce kasy chorych żądają o wiele więcej, w tym szczegółowych informacji o pacjencie. Tych danych zakład opieki zdrowotnej nie może podawać, nie ma takiego obowiązku ani prawa. W tym tkwi istota problemu – kasy chorych mają prawo do posiadania informacji, ale nie mogą żądać informacji, których wydanie wykracza poza obowiązujące przepisy.


- Czy w zakładach opieki zdrowotnej powinien być zatrudniony administrator bezpieczeństwa danych? I czy placówki miały obowiązek zgłosić posiadanie zbioru danych?

- Artykuł 43 ustawy o ochronie danych osobowych stanowi, że, z obowiązku rejestracji zbioru danych zwolnieni są m.in. administratorzy danych dotyczących osób korzystających z ich usług medycznych, czyli m.in. zozy zbierające dokumentację medyczną swoich pacjentów. Natomiast wymóg zatrudniania administratora bezpieczeństwa danych obejmuje wszystkie podmioty przetwarzające dane w systemach intormatycznych. Ale nie oznacza to, że w każdym zakładzie musi być osoba zatrudniona tylko w tym celu, na osobnym etacie. Te obowiązki mogą być powierzone pracownikowi zatrudnionemu dotychczas, np. informatykowi.
Osoba odpowiedzialna za bezpieczeństwo danych, dostęp do nich i ich wykorzystywanie powinna przede wszystkim opracować instrukcję dotyczącą codziennej ich ochrony, także w sytuacjach awaryjnych, np. gdy nastąpi włamanie do sieci bądź wykorzystanie danych niezgodne z przepisami. Obowiązki te w małych zakładach niepublicznych może wykonywać kierownik czy właściciel, pod warunkiem że zna się nieco na informatyce i potrafi tak zorganizować archiwum, aby dane były dobrze chronione przed niepożądanym wglądem.

- Jak powinien postąpić świadczeniodawca, gdy żądania ZUS lub innych firm ubezpieczeniowych dotyczące danych osobowych wykraczają poza granice zakreślone przez ustawę?

- Bezwzględnie odmówić udzielenia takich informacji, powołując się na przepisy regulujące działalność ubezpieczeniową. Powoływanie się na ustawę o ochronie danych niewiele daje. Ramy działalności instytucji ubezpieczeniowych stworzyła ustawa o ubezpieczeniach społecznych i wszystkie podmioty działające na tym rynku muszą się do nich stosować. Moim zdaniem, powinien także zawiadomić urząd Generalnego Inspektora Danych Osobowych. Walka indywidualnego pracownika czy właściciela zakładu opieki zdrowotnej z tak potężnymi instytucjami, jak kasy chorych czy firmy ubezpieczeniowe, może być bezowocna. Znam przypadki, gdy kasy chorych żądają przekazania danych pod rygorem niezawarcia umowy na świadczenia medyczne.

Jedynym organem, który może uzyskać konkretne rezultaty, jest nasz urząd. Zbieramy informacje o nieprawidłowościach i zgłaszamy takie fakty w Ministerstwie Zdrowia, Urzędzie Nadzoru Ubezpieczeń Zdrowotnych, kasach chorych. Jeżeli doszło do wyraźnego naruszenia przepisów prawnych, urząd jest zobowiązany do powiadomienia organów ścigania.

- Często się zdarza, że firmy ubezpieczeniowe, sprzedające polisy na życie, żądają od lekarzy świadectwa o stanie zdrowia ich ewentualnego klienta. Udzielanie takich informacji jest niezgodne zarówno z prawem, jak i kodeksem etyki lekarskiej. Czy są przypadki, w których lekarz ma jednak prawo taką opinię wydać?

- Poza wspomnianymi już ustawami i kodeksem etyki lekarskiej, kwestię tę reguluje także ustawa o zawodzie lekarza. Zakłady ubezpieczeniowe żądają danych opierając się na domniemanej zgodzie osoby zawierającej umowę ubezpieczeniową. Ustawa o zawodzie lekarza stawia istotny wymóg: lekarz może na żądanie pacjenta wystawić opinię o stanie jego zdrowia, ale ma obowiązek powiadomić pacjenta o skutkach wydania tej opinii. Moim zdaniem, ogólnikowa klauzula zgody ("wyrażam zgodę na udzielenie informacji o moim stanie zdrowia przez wszystkich lekarzy, którzy mnie kiedykolwiek leczyli, badali..."), jaką można znaleźć na kwestionariuszach firm ubezpieczeniowych, nie daje lekarzowi upoważnienia we wszystkich indywidualnych przypadkach do udzielania żądanych informacji.

- Czy zakład opieki zdrowotnej ma prawo do prowadzenia marketingu swoich usług, korzystając z bazy danych osobowych pacjentów? Zdarzają się przypadki, że do skrzynek pocztowych mieszkańców osiedla trafiają imiennie zaadresowane oferty świadczenia usług medycznych, przygotowane przez przychodnię działającą na tym terenie.

- Administrator danych osobowych może wykorzystywać dane w celu, dla którego zostały zebrane, czyli w przypadku zakładów opieki zdrowotnej – w celu udzielania usług medycznych. Zatem korzystanie z list pacjentów do działań marketingowych jest wykroczeniem poza cel podstawowy. Zakład zbierając dane powinien informować pacjentów, że chce je wykorzystywać także w celach marketingowych.

- Jakie są drogi dochodzenia swoich praw, w przypadku gdy pacjent wie, że jego dane są używane do innych celów niż ów podstawowy? Jak ma postąpić lekarz bądź zoz, gdy inne instytucje wywierają na niego naciski, aby dane udostępnił?

- Pacjent może zaprotestować przeciwko wykorzystywaniu swoich danych w samym zakładzie opieki zdrowotnej. Może także zgłosić sprawę nam. Jeżeli stwierdzimy złamanie przepisów, to zastosujemy wszystkie środki przewidziane w ustawie o ochronie danych osobowych, łącznie z zawiadomieniem organów ścigania. Zakład opieki zdrowotnej powinien trzymać się ściśle litery prawa. Przepisy są przecież precyzyjne. Nie ma zapisów, które dawałyby margines swobody i dowolności interpretacji. Zarówno lekarz, jak i kierownik placówki muszą się liczyć ze wszystkimi konsekwencjami łamania prawa, łącznie z odpowiedzialnością karną. Ustawa przewiduje surowe kary: przekazanie bądź przetworzenie danych bez uzasadnienia prawnego pociąga karę nawet do 3 lat pozbawienia wolności.

Rozmawiała Małgorzata Kukowska