Zgoda pacjenta na RODO: co pacjent podpisuje, a czego nie musi

Prowadzisz gabinet albo przychodnię i zastanawiasz się, czy każdy pacjent musi podpisać zgodę na RODO? Nie musi. Zgoda pacjenta na RODO do leczenia nie jest potrzebna, bo dane o zdrowiu przetwarzasz na podstawie przepisów.

Pacjent podpisuje jednak kilka innych dokumentów. A jedna źle napisana kartka w rejestracji potrafi wprowadzić pacjenta w błąd: sugeruje, że leczenie opiera się na zgodzie, którą może w każdej chwili wycofać. Wyjaśniam, co pacjent podpisuje naprawdę, czego podpisywać nie musi i jak przychodnia ma udowodnić, że poinformowała go o przetwarzaniu danych.

Czy do leczenia potrzebna jest zgoda pacjenta na RODO?

Nie. RODO co do zasady zakazuje przetwarzania danych o zdrowiu (art. 9 ust. 1), ale zaraz robi wyjątek: wolno je przetwarzać, gdy jest to niezbędne do diagnozy medycznej, leczenia i zapewnienia opieki zdrowotnej na podstawie prawa Unii albo prawa krajowego (art. 9 ust. 2 lit. h RODO).

Tym prawem krajowym jest m.in. ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta. Art. 24 ust. 1 każe podmiotowi, który udziela świadczeń zdrowotnych, prowadzić, przechowywać i udostępniać dokumentację medyczną. Art. 25 wylicza m.in. dane, które pozwalają ustalić tożsamość pacjenta: imię i nazwisko, datę urodzenia, płeć, adres, PESEL.

Te same dane służą rejestracji do odszukania pacjenta, ale przez telefon nie potwierdzają, że dzwoni właśnie on. Jak to robić, piszę we wpisie Weryfikacja tożsamości pacjenta przez telefon i na teleporadzie: zasady z kodeksu RODO.

Obok art. 9 potrzebna jest jeszcze jedna z podstaw z art. 6 ust. 1 RODO (to lista sytuacji, w których wolno przetwarzać jakiekolwiek dane osobowe). Potwierdził to Trybunał Sprawiedliwości UE w wyroku C-667/21, omówionym w piśmie Prezesa UODO. Przy dokumentacji medycznej tą podstawą jest obowiązek prawny (art. 6 ust. 1 lit. c), bo prowadzenie dokumentacji nakazuje ustawa.

Podstawą przetwarzania danych pacjenta jest przepis, a nie jego podpis. Tak samo pisze Kodeks postępowania dotyczący ochrony danych osobowych przetwarzanych w małych placówkach medycznych, zatwierdzony przez Prezesa Urzędu Ochrony Danych Osobowych (UODO) w 2022 r. Formalnie wiąże placówki, które do niego przystąpiły, ale dobrze pokazuje, jak urząd patrzy na placówki medyczne. Kodeks mówi wprost: placówka nie musi pozyskiwać dodatkowych zgód na przetwarzanie danych w celu udzielania świadczeń, bo ma do tego konkretny przepis.

RODO stawia przy tym warunek (art. 9 ust. 3): dane o zdrowiu przetwarza osoba objęta tajemnicą zawodową, ktoś działający na jej odpowiedzialność albo inna osoba, która też ma obowiązek zachowania tajemnicy. W przychodni to personel medyczny oraz rejestracja i administracja, które działają na podstawie upoważnienia administratora i są związane tajemnicą (art. 24 ust. 2 i 3 ustawy o prawach pacjenta).

Czy pacjent musi podpisać klauzulę informacyjną RODO?

Nie musi. RODO każe przychodni podać pacjentowi informacje o przetwarzaniu danych, kiedy je od niego zbiera (art. 13 ust. 1 RODO). Informacji udziela się na piśmie albo w inny sposób, także elektronicznie, a na prośbę pacjenta ustnie (art. 12 ust. 1). O podpisie pacjenta nie ma tam ani słowa.

No dobra, to po co przychodnie podsuwają kartki do podpisu? Bo jest jeszcze zasada rozliczalności: administrator odpowiada za przestrzeganie zasad RODO i musi być w stanie to wykazać (art. 5 ust. 2). Przejrzystość wobec pacjenta jest jedną z tych zasad (art. 5 ust. 1 lit. a).

Podpis pod klauzulą jest dowodem dla przychodni, a nie warunkiem leczenia. Kodeks wymienia też inne dowody: zdjęcie tablicy z klauzulą w rejestracji, nagranie komunikatu na początku rozmowy telefonicznej, kopia strony internetowej z klauzulą. Bez takiego śladu trudno wykazać, że pacjent informację w ogóle dostał.

Co pacjent podpisuje naprawdę?

RODO dla pacjentów to głównie informacja, nie podpisy. Podpisy, które w przychodni padają naprawdę, wynikają zwykle z ustawy o prawach pacjenta, a nie z RODO. Tak to wygląda w skrócie:

Dokument	Czy pacjent podpisuje?
Zgoda na przetwarzanie danych do leczenia	Nie. Podstawą jest przepis: art. 6 ust. 1 lit. c i art. 9 ust. 2 lit. h RODO w związku z ustawą o prawach pacjenta
Klauzula informacyjna RODO	Nie musi. Przychodnia musi mieć dowód, że ją przekazała
Upoważnienie do informacji o stanie zdrowia	Tak, jeśli chce kogoś wskazać (art. 9 ust. 3 ustawy o prawach pacjenta)
Upoważnienie do dokumentacji medycznej	Tak, jeśli chce kogoś wskazać (art. 26 ust. 1 ustawy o prawach pacjenta)
Zgoda na zabieg operacyjny albo leczenie o podwyższonym ryzyku	Tak, na piśmie albo w formie dokumentowej przez Internetowe Konto Pacjenta lub podpisem osobistym (art. 18 ust. 1 i 1a ustawy o prawach pacjenta). To zgoda medyczna, nie RODO
Zgoda na newsletter, SMS-y i telefony z ofertą	Tak, osobno i dobrowolnie (art. 6 ust. 1 lit. a i art. 7 RODO)
Ankieta satysfakcji	Nie. Według kodeksu dla małych placówek medycznych ankieta ma być anonimowa

Upoważnienie do informacji o stanie zdrowia i upoważnienie do dokumentacji medycznej

To dwa osobne upoważnienia. Pierwsze pozwala lekarzowi albo innej osobie wykonującej zawód medyczny przekazać wskazanej osobie informacje o stanie zdrowia pacjenta (art. 9 ust. 3 ustawy o prawach pacjenta). Drugie pozwala tej osobie dostać dokumentację medyczną, np. odebrać wyniki albo kopię karty (art. 26 ust. 1).

Oba pacjent składa jako oświadczenie. Rozporządzenie w sprawie dokumentacji medycznej (§ 8) mówi, że oświadczenie złożone inaczej niż przez Internetowe Konto Pacjenta trafia do dokumentacji pacjenta. Przy upoważnieniu do informacji o stanie zdrowia wpisuje się imię i nazwisko osoby upoważnionej oraz dane do kontaktu z nią. Zanim pacjent złoży te oświadczenia, przychodnia informuje go o tym, że może to zrobić także przez Internetowe Konto Pacjenta, i o skutkach tych oświadczeń.

Pacjent może też zaznaczyć, że nie upoważnia nikogo. Przewiduje to wprost kodeks (pkt 10.4).

Zgoda na badanie i zabieg to zgoda medyczna

Pacjent zgadza się na badanie i leczenie na podstawie art. 16 i 17 ustawy o prawach pacjenta. Przy zwykłym badaniu zgoda może być ustna albo wynikać z zachowania pacjenta (art. 17 ust. 4). Podpis jest potrzebny przy zabiegu operacyjnym i przy metodzie leczenia albo diagnostyki o podwyższonym ryzyku (art. 18 ust. 1).

Z RODO ta zgoda nie ma nic wspólnego. Nie dokładaj do formularza zgody na zabieg zgody na przetwarzanie danych, bo do leczenia nie jest potrzebna.

Marketing i ankiety

Zgody potrzebujesz przede wszystkim do marketingu, np. newslettera z ofertą. Ma być osobna i dobrowolna, a oferty mailem, SMS-em czy telefonem wymagają uprzedniej zgody także według art. 398 Prawa komunikacji elektronicznej. Przypomnienie o wizycie, jej przełożenie czy odwołanie to nie marketing, więc zgody nie wymaga (kodeks, pkt 2.1).

Inaczej jest z ankietą satysfakcji. Kodeks mówi, że nie ma podstawy prawnej, żeby używać do niej danych pacjentów, więc ankieta ma być anonimowa, a zaproszenia do niej nie wysyła się na dane pacjenta. Jeśli przychodnia ma stronę internetową, zgoda dotyczy też narzędzi śledzących, o czym piszemy we wpisie Piksel Facebooka na stronie gabinetu - dane o zdrowiu, zgoda, usunięcie, test.

Pułapka w formularzu: „wyrażam zgodę” zamiast „otrzymałem informację”

Uważaj na kartkę zatytułowaną „Zgoda na przetwarzanie danych osobowych” ze zdaniem „Wyrażam zgodę na przetwarzanie moich danych osobowych”. Wygląda niewinnie… a mówi pacjentowi, że podstawą jest zgoda.

Zgodę pacjent może wycofać w dowolnym momencie (art. 7 ust. 3 RODO). Europejska Rada Ochrony Danych pisze w wytycznych 05/2020 w sprawie zgody (pkt 122 i 123), że kto oparł przetwarzanie na zgodzie, musi być gotów przestać po jej wycofaniu. Informowanie ludzi o zgodzie, gdy w praktyce podstawa jest inna, nazywa „zdecydowanie nieuczciwym”. Podstawy nie wolno też potem zmienić wstecz.

Pacjent, który taką „zgodę” wycofa, będzie oczekiwał, że przestaniesz przetwarzać jego dane. A dokumentację musisz prowadzić i przechowywać dalej z mocy ustawy (art. 24 i 29 ustawy o prawach pacjenta), czego RODO nie zmienia (art. 17 ust. 3 lit. b i c). Kartka tego obowiązku nie znosi, ale podaje pacjentowi nieprawdziwą podstawę prawną, a RODO każe ją podać rzetelnie (art. 5 ust. 1 lit. a i art. 13 ust. 1 lit. c).

Formularz do podpisu ma brzmieć: „Potwierdzam, że otrzymałem/otrzymałam informację o przetwarzaniu moich danych osobowych”. Potwierdzenie niczego nie zmienia w podstawie prawnej, a daje przychodni dowód. Zgodę na newsletter, jeśli jest potrzebna, umieszczasz osobno, z okienkiem do zaznaczenia.

Jak przychodnie spełniają obowiązek informacyjny i mają na to dowód?

W placówkach medycznych, którym przygotowujemy dokumentację, robimy to w trzech krokach:

Ślad z kroku 3 to właśnie dowód, którego wymaga rozliczalność. Kodeks podpowiada też, że informację można umieścić w dokumentach, które pacjent i tak podpisuje, np. w deklaracji wyboru lekarza podstawowej opieki zdrowotnej (POZ) albo w umowie o usługi medyczne.

Klauzulę, upoważnienia dla personelu i zasady pracy rejestracji przygotowujemy w ramach usługi RODO w placówce medycznej.

Najczęstsze pytania o zgodę pacjenta na RODO

Pamiętaj: pacjent nie podpisuje zgody na RODO. Co najwyżej potwierdza, że dostał informację, a to potwierdzenie jest dowodem dla przychodni, nie jego obowiązkiem. Prawdziwe podpisy dotyczą upoważnień, zgody na zabieg i marketingu. Jeśli w Twojej rejestracji leży kartka z „wyrażam zgodę”, napisz do mnie albo zadzwoń, pomogę ją przerobić.