Pacjent podmiotu leczniczego poprosił o podanie podstawy prawnej do przeprowadzania przez ten podmiot ankiety epidemiologicznej i przetwarzania danych osobowych uzyskiwanych w ten sposób.
Prezes Urzędu Ochrony Danych Osobowych w jednym z prezentowanych stanowisk daje „zielone światło” dla przeprowadzania ankiet epidemiologicznych wskazując na art. 9 ust. 2 lit. i) RODO, ale jednocześnie wskazując na konieczność występowania wytycznych, zaleceń Głównego Inspektora Sanitarnego wydawanych na podstawie art. 17 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych.
Co jednak w sytuacji, gdy podmiot leczniczy stosuje ankiety, a nie odnoszą się do niego wprost żadne z wydanych wytycznych czy zaleceń. Podkreślić bowiem należy, że GIS w zasadzie nie wydał wytycznych dla podmiotów leczniczych. Oczywiście podmiot taki może zwrócić się do GIS o wydanie indywidualnych wytycznych, ale to nie rozwiązuje problemu, gdy podmiot stosuje ankiety nie mając jeszcze tych wytycznych. Przyjmujemy również, że nie znajdują dla tego podmiotu zastosowania żadne z wytycznych wydanych przez Ministerstwo Zdrowia oraz że brak jest wytycznych wojewódzkiego konsultanta.
W takiej sytuacji warto sięgnąć do art. 9 ust. 2 lit. h) RODO, który stanowi zasadniczą podstawę prawną do przetwarzania danych wrażliwych przez podmioty lecznicze, gdzie wskazano m.in. cele profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej, leczenia, zarządzania usługami opieki zdrowotnej w związku z art. 11 ust. 1 Ustawy z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, który obliguje kierowników podmiotów leczniczych oraz inne osoby udzielające świadczeń zdrowotnych do podejmowania działań zapobiegających szerzeniu się zakażeń i chorób zakaźnych. Mając na uwadze aktualny stan epidemii oraz zasadnicze cele przetwarzania danych wrażliwych przez podmioty lecznicze, uzasadnienia dla przeprowadzenia ankiet można próbować szukać w tych przepisach. Opierając to na obowiązku zarządzania usługami opieki zdrowotnej w taki sposób, aby świadcząc te usługi zapewnić bezpieczeństwo pacjentom oraz personelowi w celu przeciwdziałania rozprzestrzenianiu się wirusa SARS-COV-2. Co istotne, przedmiotowe dane mogą być przetwarzane przez pracownika podlegającego obowiązkowi zachowania tajemnicy zawodowej lub inną osobę podlegającą obowiązkowi zachowania tajemnicy zawodowej (art. 9 ust. 3 RODO). Uprawniony zatem do przetwarzania tego rodzaju danych będzie personel medyczny, a nie np. pracownicy portierni. Ważne zatem jest także to w jaki sposób dany podmiot przeprowadza ankiety. Powyższa argumentacja pozwala również uniknąć konieczności przedkładania pacjentom wraz z ankietą nowej klauzuli informacyjnej. Jeżeli bowiem stoimy na stanowisku, że dane te są przetwarzane na ww. podstawie, to obowiązek informacyjny zostaje spełniony przy zapoznaniu pacjenta ze standardową klauzulą stosowaną przez podmiot leczniczy (ta podstawa powinna znajdować się w klauzulach stosowanych przez te podmioty).
Zanim wprowadzi się w danej placówce ankiety warto przeanalizować czy ta konkretna placówka ma podstawę prawną do ich stosowania, a jeżeli tak to jaką i w jaki sposób i przez kogo będą te dane zbierane i przetwarzane. W przypadku bowiem pojawienia się problemu, argument „przecież wszyscy to stosują” zapewne nie wystarczy.
Radca prawny Artur Kukla