RODO wymaga zdrowego rozsądku

Ewa Szarkowska: RODO miało wzmocnić ochronę naszej prywatności i zbudować poczucie, że jako właściciele danych osobowych mamy pełne prawo do decydowania o nich. Pierwsze miesiące obowiązywania nowych przepisów przyniosły, zwłaszcza w sektorze ochrony zdrowia, ogromną falę nieporozumień czy wręcz absurdalnych sytuacji. Dyrektorzy szpitali nie pozwalają na podpisywanie kroplówek imieniem i nazwiskiem chorego, a pacjenci w trakcie obchodów lekarskich nie godzą się na rozmowę z lekarzami o swoim stanie zdrowia w obecności innych chorych.

Maciej Kawecki: Z docierających do nas sygnałów wynika, że rzeczywiście nadinterpretacja przepisów unijnego rozporządzenia, doprowadza do wielu absurdów, zwłaszcza w ochronie zdrowia. W różnych obszarach pojawia się szereg sytuacji, w których ktoś bezpodstawnie odmawia udzielenia kluczowych dla czyjegoś zdrowia i życia informacji, powołując się na RODO. Jaskrawym przykładem nadinterpretacji RODO, wypaczającej jego sens, było to, do czego doszło po wypadku drogowym na zakopiance, w wyniku którego duża grupa poszkodowanych dzieci z Warszawy trafiła do kilku okolicznych szpitali. Kiedy rodzice próbowali telefonicznie ustalić, w której placówce jest hospitalizowane ich dziecko, szpitale odmawiały udzielenia odpowiedzi, powołując się na ochronę danych osobowych.

E.S.: I nie miały racji…

M.K.: Oczywiście, co do zasady szpital nie powinien przekazywać telefonicznie informacji o stanie zdrowia pacjentów z uwagi na problem z identyfikacją osoby dzwoniącej, bo mamy tutaj do czynienia ze szczególnymi kategoriami danych osobowych, danymi szczególne wrażliwymi. Ale nie może mieć miejsca sytuacja, w której placówka medyczna automatycznie, bez próby zrozumienia i analizy okoliczności, odmawia udzielenia informacji, powołując się na RODO. Po zastosowaniu metod uwierzytelniających osobę dzwoniącą, szpital ma prawo udzielić odpowiedzi, jeśli jest to uzasadnione tzw. ochroną żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, bądź mamy do czynienia z sytuacją kryzysową i przekazanie informacji jest konieczne, żeby ratować komuś życie lub zdrowie. Obejmuje to sytuacje, kiedy potrzebny jest nagły kontakt z osobą bliską, bo chodzi o dziecko, które nie potrafi personelowi szpitala podać numeru PESEL, odpowiedzieć, czy jest przewlekle chore, jakie bierze leki, czy jest na coś uczulone. Tak samo dotyczy to osób w bardzo podeszłym wieku, które mają swoich opiekunów i nie pamiętają wielu rzeczy. Nie możemy więc powiedzieć zerojedynkowo, że możesz przekazywać taką informacje, a innej nie możesz. Musimy apelować o zdrowy rozsadek.

E.S.: Co sprawia najwięcej kłopotów placówkom
medycznym w przestrzeganiu RODO?

M.K.: Szeroko rozumiane problemy związane z identyfikacją pacjenta w rejestracji, podczas wzywania do gabinetów lekarskich czy też na sali chorych w szpitalu. Trudności sprawia też identyfikacja osób dzwoniących, a także dostęp do dokumentacji medycznej. Wychodząc naprzeciw, w Ministerstwie Cyfryzacji w ramach specjalnej grupy roboczej powołaliśmy zespół ds. ochrony zdrowia, którego zadaniem było wypracowanie przewodnika po RODO m.in. dla placówek ochrony zdrowia. Nad poradnikiem pracowało Ministerstwo Cyfryzacji, Ministerstwo Zdrowia, Rzecznik Praw Pacjentów, Rzecznik Praw Obywatelskich, Centrum Systemów Informatycznych Ochrony Zdrowia po to, żeby ten dokument miał określoną rangę i był możliwie szeroko respektowany.

E.S.: Co zawiera przewodnik?

M.K.: Oprócz dłuższego wprowadzenia, odpowiadamy na 10 najbardziej nurtujących placówki medyczne pytań. Każda odpowiedź jest podzielona na dwie części. W pierwszej prostymi słowami wyjaśniamy, czy coś można lub nie i dlaczego. I to zostanie wydane w postaci biuletynu, który dostępny będzie na stronach internetowych wszystkich instytucji, które nad nim pracowały. Ale oprócz tego będzie drukowany i rozkładany na różnego rodzaju spotkaniach. Druga część przewodnika, już bardziej merytoryczna, z uzasadnieniem i konkretnymi paragrafami, będzie dostępna w postaci elektronicznej na stronach resortu zdrowia i resortu cyfryzacji.
W przewodniku staraliśmy się wyłapać wszystkie obszary, które rodzą wątpliwości w związku z RODO. Podajemy przykłady, w jaki sposób zapewnić anonimowość pacjentów w trakcie rejestracji przed wizytą lekarską czy też podczas wzywania do gabinetu. Odpowiadamy, czy placówka zdrowia na drzwiach gabinetów lekarskich może zamieszczać imiona i nazwiska oraz specjalizacje lekarzy przyjmujących pacjentów albo czy lekarz może w sali szpitalnej rozmawiać z chorym, gdy nie ma gwarancji, że nie słyszą tego inni pacjenci, a jeżeli tak, to w jakiej sytuacji. Staramy się odpowiedzieć, czy lekarz lub pielęgniarka w sali chorych może zwracać się do pacjenta po imieniu i nazwisku, czy można stosować karty przyłóżkowe i podpisywać produkty medyczne imieniem i nazwiskiem. Wyjaśniamy, że nie we wszystkich okolicznościach RODO znajduje zastosowanie. Są rozmowy, w których nie operujemy danymi osobowymi, np. rozmowa o organizacyjnych warunkach pobytu w szpitalu.
Mimo że od początku naszym założeniem było stworzenie dokumentu prostego, który w sposób klarowny odpowiadałby na pytania: tak, można lub nie, nie można, to w przypadku sektora zdrowia, w większości przypadków odpowiedzi tak jednoznacznie brzmieć nie mogą, bo w tym obszarze nie ma spraw zerojedynkowych.

E.S.: Dlaczego wykładnia RODO sprawia aż tyle problemów?

M.K.: Ponieważ sektor ochrony zdrowia pod względem ochrony danych osobowych jest absolutnie wyjątkowy. Nie ma innej branży, w której ważenie naszych dóbr jest dokonywane na tak dużą skalę. Proszę zwrócić uwagę, że w placówkach medycznych dochodzi do konfliktu bardzo wielu różnych praw podstawowych. Załóżmy hipotetyczną sytuację, że w szpitalu – z wyjątkiem gabinetu lekarskiego – zakazujemy w ogóle zwracania się do pacjentów imieniem i nazwiskiem, respektując w tak skrajny sposób prawo do ochrony prywatności i anonimowości pacjenta. To oznacza, że lekarz nie powinien w ogóle rozmawiać z pacjentem o jego stanie zdrowia, ani w sali chorych, ani na korytarzu. Ale z drugiej strony nałożenie tak restrykcyjnych ram skutkuje ograniczeniem jednego z podstawowych praw przysługującym wszystkim pacjentom – prawa do informacji o stanie zdrowia, bo nie każdy chory jest fizycznie w stanie przemieścić się do gabinetu lekarskiego.

E.S.: Niektóre placówki w celu ochrony prywatności wprowadzają numeryczną identyfikację pacjentów.

M.K.: Tu pojawia się konflikt prawa do prywatności i prawa do godności pacjenta. Część pacjentów ma ogromny problem z tym, że nie zwraca się do nich imieniem i nazwiskiem, tylko numerami albo bezosobowo. Do dziś pamiętam telefon poruszonego takimi praktykami pacjenta, który powiedział, że numerem to on już w swoim życiu był. Dyrektor jednego z dużych szpitali w Warszawie przyznał, że obecnie ma dwie kategorie pacjentów. Jedni powołują się na RODO i oczekują skrajnie restrykcyjnego podejścia w ochronie ich prywatności, z drugiej strony są pacjenci, których to restrykcyjne podejście drażni. Dlatego tak bardzo potrzebny jest zdrowy rozsadek.

E.S.: Dyrekcjom szpitali, które zakazały podpisywania organów i worków z krwią, chyba go zabrakło?

M.K.: Oczywiście, w celu wyeliminowania ryzyka związanego z pomyłką, która mogłaby być tragiczna w skutkach, produkty medyczne mogą być oznaczane. W przypadku sektora ochrony zdrowia należy podkreślić prymat prawa do życia lub zdrowia nad innymi prawami. W unijnej karcie praw podstawowych, która ma moc prawną równą traktatom, prawo do życia jest prawem bezwzględnym. Ochrona prywatności jest oczywiście bardzo ważna, zwłaszcza w XXI wieku, ale podlega ograniczeniom. Czyli ochrona żywotnych interesów najpierw, potem ochrona prywatności. Co oczywiście nie oznacza, że szpitale nie powinny zwracać zdecydowanie większej niż do tej pory uwagi na ochronę prywatności. Chciałbym mocno podkreślić, że RODO w sektorze ochrony zdrowia nie jest żadną rewolucją, bo przesłanka ochrony życia i zdrowia działała w ustawie o ochronie danych osobowych od 1997 r. RODO zmieniło jednak wrażliwość społeczną i w Polsce rzeczywiście zaczęliśmy zwracać dużo większą uwagę na ochronę prywatności. I dlatego chociażby lekarze w czasie przyjmowania pacjentów nie powinni rozkładać na biurku w sposób widoczny kart z nazwiskami i numerami PESEL. A jeżeli wzywamy pacjenta do gabinetu, to w celu jego identyfikacji możemy posłużyć się imieniem i wyznaczoną godziną wizyty, np. pan Zbigniew z godz. 14. Nie znajdzie jednak to zastosowania w każdym przypadku. Trudno wyobrazić sobie taki sposób wywoływania pacjenta na Szpitalnym Oddziale Ratunkowym lub w innym podobnym miejscu, gdzie kluczowa jest ochrona życia lub zdrowia tego pacjenta w przypadkach wystąpienia nagłego zagrożenia zdrowotnego.

E.S.: Pewien szpital, powołując się na RODO, zakazał w ogóle oznaczania gabinetów lekarskich w poradni przyszpitalnej.

M.K.: I o ile wiem, skutek był odwrotny od zamierzonego. Pacjenci, zwłaszcza w podeszłym wieku, zagubieni w tej reorganizacji, ujawniali osobom trzecim informacje o swoim stanie zdrowia. Nie wiedząc, gdzie przyjmuje kardiolog, neurolog czy psychiatra, opowiadali swoje historie, pytając na korytarzu o lekarza, do którego idą. Ten przykład pokazuje, że w sektorze ochrony zdrowia musimy dokonywać ważenia wszystkich praw.

E.S.: Czy problemy z RODO mają też inne kraje Unii Europejskiej?

M.K.: Tak. Na przykład na Słowacji pojawiły się fikcyjne firmy, które podają się za podmiot kontrolny uprawniony do nałożenia ogromnych kar za nieprzestrzeganie RODO i proszą przedsiębiorców o informacje na temat stopnia ich przygotowań do wdrożenia tej regulacji, by potem wyłudzone w ten sposób dane o zabezpieczeniach wykorzystać do cyberataku. Spora doza absurdów pojawiła się również we Francji i w Niemczech. Ale wydaje się, że Polska pod tym względem przoduje.

E.S.: Potrafi Pan wytłumaczyć dlaczego?

M.K.: Odpowiedzi należy szukać w dwóch obszarach. Po pierwsze, w Polsce wejście w życie RODO natrafiło na bardzo duży kryzys w zawodzie prawniczym. Prawnicy wręcz „rzucili się” na tę regulację, niestety często nieprofesjonalnie, wprowadzając bardzo duże zamieszanie. Po drugie, RODO jest bardzo oderwane od polskiej kultury prawnej. To jest regulacja z niedookreślonymi zapisami, charakterystycznymi dla sytemu anglosaskiego. Nie mówię już o Wielkiej Brytanii, ale w krajach, gdzie te systemy są pokrewne, np. w Irlandii unijne rozporządzenie weszło w życie dużo łatwiej. W Polsce mamy system bardzo kazuistyczny. Przepisy prawa wypowiadają się prawie na wszystkie tematy. I kiedy dostaliśmy do stosowania normę prawną, którą sami musimy sobie zinterpretować, to nagle pojawił się bardzo duży problem.

E.S.: Wiele osób uważa, że problemy z zachowaniem prywatności i anonimowości pacjentów znikną z chwilą pełnej informatyzacji ochrony zdrowia. Czy zgodzi się Pan z taką opinią?

M.K.: Nie do końca. Oczywiście, zarówno nasz resort, jak i resort zdrowia są za całkowitą cyfryzacją sektora medycznego, ale musimy pamiętać też o tym, że nawet najnowocześniejsze technologie bywają czasem zawodne i wtedy pojawiają się nowe zagrożenia. Wyobraźmy sobie, że pacjent mdleje nagle na szpitalnym korytarzu i potrzebujemy w trybie natychmiastowym ustalić jego tożsamość, by wiedzieć, co mu dolega i jakie bierze leki. I jedyną formą identyfikacji przyjętą w szpitalu jest opaska z kodem kresowym na ręku chorego, ale czytnik nie działa, bo akurat się wyładował, albo zapomnieliśmy wymienić baterię, albo najzwyczajniej w świecie leży w pokoju na drugim końcu szpitalnego korytarza, a tu minuty decydują o życiu bądź zdrowiu pacjenta.