RODO w placówce medycznej

Nie. Do leczenia, diagnozy i prowadzenia dokumentacji zgoda pacjenta nie jest potrzebna, bo podstawą jest art. 9 ust. 2 lit. h RODO. Warunek: dane przetwarzają osoby objęte tajemnicą zawodową albo ktoś, kto działa pod ich odpowiedzialnością. Pacjentowi dajesz klauzulę informacyjną. Zgoda przyda się dopiero przy innych celach, np. przy newsletterze albo ofertach gabinetu.

Jeśli przyjmujesz pacjentów sam, zwykle nie: według UODO praca jednego lekarza, pielęgniarki albo położnej to jeszcze nie jest duża skala. Musi go mieć SP ZOZ (bo jest jednostką sektora finansów publicznych) oraz placówka, która zajmuje się głównie danymi o zdrowiu i ma ich bardzo dużo, np. szpital. Przychodni zalecam inspektora od około 6 tys. pacjentów. Kodeks postępowania dla małych placówek medycznych (Porozumienie Zielonogórskie, zatwierdzony przez Prezesa UODO w 2022 r.) idzie dalej i zaleca go każdej placówce poza lekarzem z niewielką grupą pacjentów. Ocenę warto zapisać, tak zaleca UODO. Zrobię ją z Tobą przy audycie. Więcej: Inspektor Ochrony Danych.

Tak. Rejestratorka nie jest lekarzem ani pielęgniarką, więc żeby zaglądać do dokumentacji medycznej, musi mieć pisemne upoważnienie placówki. Wymaga tego art. 24 ust. 2 pkt 2 ustawy o prawach pacjenta. To samo dotyczy informatyka, który serwisuje program gabinetowy. Obowiązuje ich też tajemnica, także po śmierci pacjenta.

Co do zasady tylko komuś, kogo pacjent upoważnił do informacji o swoim zdrowiu (art. 9 ust. 3 ustawy o prawach pacjenta), albo jego przedstawicielowi ustawowemu, i dopiero po sprawdzeniu, że rozmawiasz właśnie z nią. Głos w słuchawce, który przedstawia się jako córka, to jeszcze nie upoważnienie. Jak to sprawdzać, opisuję w zasadach pracy rejestracji.

Najczęściej tak. Piksel przekazuje firmie Meta informację, kto oglądał którą podstronę, a na stronie gabinetu to mówi coś o zdrowiu odwiedzającego. Bez zgody nie może się uruchamiać. Jeśli nie prowadzisz reklam na Facebooku, usuń go, bo moim zdaniem kliknięcie w banerze cookies nie wystarcza jako zgoda na przekazanie danych o zdrowiu. Przy audycie zawsze zaglądam na stronę placówki. Szczegóły i test do samodzielnego sprawdzenia: piksel Facebooka na stronie gabinetu.

Co do zasady 20 lat od końca roku, w którym dokonano ostatniego wpisu (art. 29 ustawy o prawach pacjenta). Są wyjątki, np. 30 lat przy zgonie wskutek urazu, 10 lat dla zdjęć RTG przechowywanych poza dokumentacją, 22 lata dla dzieci do 2. roku życia. Potem placówka niszczy ją tak, żeby nie dało się rozpoznać pacjenta, albo wydaje ją pacjentowi. Więcej: przechowywanie dokumentacji medycznej.

Dokumentacja kosztuje od 3000 zł netto. Kwota rośnie z liczbą oddziałów i osób w zespole, a także z liczbą programów i firm zewnętrznych, z których korzystasz. Kwotę mówię po krótkiej rozmowie, zanim cokolwiek zamówisz. Dojazd na audyt na Śląsku jest w cenie, dalej wyceniam go osobno. Szkolenie personelu i opiekę inspektora wyceniam osobno, ceny masz wyżej.

To jedno z pierwszych miejsc, które sprawdzam. Logowanie spoza placówki bez szyfrowanego połączenia i bez drugiego składnika, np. kodu z telefonu, było jednym z powodów kary dla szpitala we Francji. Opisuję tę sprawę we wpisie wyciek danych medycznych: kara dla szpitala. W dokumentacji takie ryzyko trafia do analizy ryzyka, a zabezpieczenie na listę zmian do wprowadzenia.