Weryfikacja tożsamości pacjenta przez telefon i na teleporadzie: zasady z kodeksu RODO

Telefon w rejestracji. „Dzień dobry, Jan Kowalski, PESEL taki i taki, chciałem zapytać o wyniki”. Pani w rejestracji wpisuje PESEL, wszystko się zgadza, więc czyta wyniki. A po drugiej stronie mógł być syn, była żona albo ktoś z pracy, kto miał w ręku dowód osobisty pana Kowalskiego.

Kiedy porównywałem własne szkolenie RODO ze źródłami, slajd o weryfikacji tożsamości pacjenta przez telefon miał właśnie tę lukę: nie mówił, ile pytań zadać. A odpowiedź stoi czarno na białym w kodeksie zatwierdzonym przez Prezesa Urzędu Ochrony Danych Osobowych (UODO). Ten sam kodeks rozstrzyga też trzy sytuacje, przy których rejestracja łatwo się gubi: nowy pacjent na teleporadzie, dowód pokazany do kamery i pacjent, który na pytania nie odpowie.

Ile pytań kontrolnych zadać pacjentowi przez telefon?

Minimum trzy pytania, zanim przez telefon albo mailem przekażesz jakąkolwiek informację o pacjencie. Tak mówi Kodeks postępowania dotyczący ochrony danych osobowych przetwarzanych w małych placówkach medycznych przy teleporadach, wnioskach o dostęp do dokumentacji medycznej składanych elektronicznie i przy podawaniu kodu e-recepty przez telefon, które ma być wyjątkiem (rozdział 9.6.1, s. 77).

Kodeks przygotowała Federacja Związków Pracodawców Ochrony Zdrowia Porozumienie Zielonogórskie, a Prezes UODO zatwierdził go w grudniu 2022 r. Formalnie wiąże placówki, które do niego przystąpiły, a UODO uznał go za odpowiednie zabezpieczenie, więc to dobra wskazówka, czego urząd oczekuje od przychodni i gabinetów. Samo RODO mówi tylko ogólnie, że przy uzasadnionych wątpliwościach co do tożsamości osoby, która składa żądanie (na przykład o dostęp do swoich danych), możesz poprosić o dodatkowe informacje (art. 12 ust. 6 RODO). Ile i jakich, nie mówi.

Każde pytanie musi spełniać trzy warunki (rozdział 12.1.1, s. 102):

• pacjent zna odpowiedź;
• placówka zna odpowiedź, bo ma ją w dokumentacji;
• osoby nieupoważnione odpowiedzi nie znają.

Kodeks podaje przykłady: nazwisko lekarza, u którego pacjent złożył deklarację albo był na ostatniej wizycie, data ostatniej wizyty, leki lub badania z ostatniej wizyty (s. 103). Przy wynikach badań kodeks podaje też przykładowe zabezpieczenia: numer telefonu uzgodniony wcześniej z pacjentem jako jego własny i słowo-klucz ustalone wcześniej jako jedno z pytań (Przykład 3, s. 77).

Dlaczego PESEL i data urodzenia to za mało?

Bo nie spełniają trzeciego warunku. PESEL i datę urodzenia zna rodzina, często pracodawca, a także każdy, kto choć raz widział dowód osobisty pacjenta. Kodeks mówi wprost: przy telefonie albo mailu weryfikacja tylko na podstawie imienia, nazwiska, daty urodzenia i PESEL-u nie będzie wystarczająca (s. 77).

Dane identyfikacyjne mówią, za kogo podaje się dzwoniący. Pytania kontrolne sprawdzają, czy to naprawdę on. Dlatego PESEL pytasz, żeby znaleźć pacjenta w systemie, a dopiero potem zadajesz trzy pytania.

Jedno miejsce może Cię zmylić. W przykładzie o wynikach badań kodeks sam wymienia datę urodzenia jako informację, „którą zna tylko pacjent” (s. 77). Zaraz pod tym przykładem, w rozdziale 9.6.1, zastrzega jednak, że same dane identyfikacyjne, z datą urodzenia i PESEL-em, nie wystarczą.

Dlatego daty urodzenia nie liczę do trzech pytań. Po pomyłce to placówka tłumaczy się przed urzędem, a nie dzwoniący.

A gdy dzwoni ktoś z rodziny? Wtedy sprawdzasz dwie rzeczy: czy dzwoniący jest tym, za kogo się podaje, i czy ma prawo do informacji o pacjencie. Uprawnienia osoby upoważnionej i przedstawiciela ustawowego kodeks każe weryfikować przede wszystkim na podstawie dokumentacji medycznej pacjenta (rozdział 9.6.1, s. 77).

Teleporada nowego pacjenta - czy trzeba odmówić?

Nie. W moim szkoleniu stało, że nowemu pacjentowi odmawia się teleporady. Kodeks mówi coś odwrotnego. Skoro placówka nie ma o tej osobie żadnych informacji, nikt nieupoważniony nie może ich wyciągnąć (rozdział 12.1.2, s. 103).

Kodeks opisuje to tak:

• osoba udzielająca teleporady prosi o imię, nazwisko i PESEL i sprawdza pacjenta w eWUŚ, czyli systemie NFZ, który od ręki pokazuje, czy pacjent ma prawo do bezpłatnych świadczeń;
• pacjent jest ubezpieczony → podaje resztę danych potrzebnych do założenia dokumentacji: płeć, datę urodzenia i adres;
• eWUŚ nie potwierdza ubezpieczenia albo sprawdzenie nie jest możliwe → pacjent składa oświadczenie, że jest ubezpieczony (gdy chodzi o świadczenia na NFZ) i że podane dane są prawdziwe;
• oświadczenie się notuje, podpisuje je osoba udzielająca teleporady i dołącza do dokumentacji medycznej;
• formalna weryfikacja tożsamości następuje przy najbliższej wizycie pacjenta w placówce.

Wideoporada: czy pacjent może pokazać dowód do kamery?

Może. Przy wideoporadzie weryfikacja tożsamości pacjenta może się oprzeć na dokumencie: kodeks wymienia dokument okazany w trakcie teleporady z obrazem jako jedno ze źródeł weryfikacji po stronie pacjenta (s. 102).

Haczyk: okazania dokumentu nie wolno nagrywać. Kodeks mówi, że taka weryfikacja nie jest dopuszczalna, gdy wideoporada jest nagrywana, bo placówka nie ma podstawy prawnej, żeby utrwalać i przechowywać obraz dokumentu. Jeśli technika na to pozwala, nagrywanie przerywasz na czas pokazywania dowodu (s. 102). Jeśli nie da się go przerwać, dowodu nie pokazujesz i sprawdzasz pacjenta pytaniami. A jeśli w ogóle nagrywasz teleporadę, pacjent musi o tym wiedzieć przed jej rozpoczęciem (rozdział 12.2, s. 104).

Podobnie, gdy pacjent składa wniosek osobiście: w razie wątpliwości placówka prosi o okazanie dokumentu, ale go nie kopiuje i nie skanuje (rozdział 9.2, s. 70).

Ta sama zasada działa poza przychodnią, także wtedy, gdy klient sam podsuwa dowód do ksero i podpisuje zgodę. Dlaczego i wtedy bezpieczniej poprzestać na okazaniu, wyjaśniam we wpisie Kopia dowodu osobistego za zgodą klienta: dlaczego bezpieczniej poprzestać na okazaniu.

Co zrobić, gdy pacjent nie odpowie na pytania kontrolne?

Informacji nie przekazujesz. Kodeks jest tu ostry: brak odpowiedzi na choćby jedno z trzech pytań oznacza, że weryfikacja się nie udała i potrzebny jest osobisty kontakt pacjenta z placówką (s. 77).

Ale „nie” to nie koniec rozmowy. Kodeks każe zrobić wszystko, żeby tożsamość ustalić, i powiedzieć pacjentowi, jakie informacje musi dostarczyć, żeby ją potwierdzić (s. 70).

Przy wynikach badań kodeks podsuwa gotowe zdania: zamiast podawać wyniki przez telefon, powiedz pacjentowi, jak je dostanie, na przykład „wyniki może Pan odebrać w recepcji placówki” albo „powinna się Pani skontaktować z doktor X” (Przykład 3, s. 77). Po nieudanej weryfikacji pasują jak ulał.

Nie przesadzaj też w drugą stronę. Zasada „wnioski o dokumentację tylko na piśmie” wpisana do regulaminu też jest błędem. Kodeks przypomina wyrok Naczelnego Sądu Administracyjnego (II OSK 3019/15): wniosek o dokumentację medyczną można złożyć w dowolnej formie, także ustnie, a ograniczanie tego w regulaminie może być uznane za naruszenie praw pacjenta (przypis 27, s. 76). Przyjęcie wniosku przez telefon jest w porządku. Nie w porządku jest wydanie informacji bez weryfikacji.

Jak zapisać to w procedurze rejestracji?

Weryfikacja tożsamości pacjenta działa tylko wtedy, gdy zasady są spisane i zna je każdy, kto odbiera telefon w rejestracji, a nie tylko lekarze. Do procedury wpisz co najmniej to:

O tym, jak często i czego uczyć personel, piszę w tekście Szkolenie RODO dla pracowników: częstotliwość, treść i skuteczność. Pytania o kopię danych przez telefon zahaczają też o termin odpowiedzi z art. 15, który opisałem we wpisie Art. 15 RODO: kopia danych, termin i odmowa - kara za brak odpowiedzi.

Najczęstsze pytania o weryfikację tożsamości pacjenta

Pamiętaj: PESEL mówi, kogo szukasz, a trzy pytania mówią, czy rozmawiasz z właściwą osobą. Jeśli chcesz uporządkować procedury rejestracji, teleporad i udostępniania dokumentacji, zobacz, jak wygląda RODO w placówce medycznej u nas. Napisz albo zadzwoń, sprawdzimy, czego brakuje w Twojej przychodni.