15 marca 2018 RODO: opublikowano wstępny szkic kodeksu dla placówek medycznych

14 marca 2018 roku została opublikowana robocza wersja kodeksu branżowego, który ma doprecyzować przepisy RODO.

Podczas warszawskiej konferencji "RODO w sektorze medycznym - gdzie jesteśmy, dokąd zmierzamy?" poinformowano, że została opublikowana robocza wersja kodeksu branżowego, który ma doprecyzować przepisy RODO i ułatwić stosowanie regulacji rozporządzenia przez placówki medyczne.

Przypomnijmy: placówki medyczne na terenie całej Unii od 25 maja br. obejmie obowiązek stosowania, wz. z przetwarzaniem danych osobowych i ich swobodnego przepływu, Ogólnego Rozporządzenia o Ochronie Danych Osobowych (RODO). Choć stworzenie kodeksu nie jest obowiązkowe, powstaje on, by ograniczać ryzyko prawne dla administratorów danych, a jednocześnie chronić interesy pacjentów.

- RODO dotyczy wszystkich administratorów danych, niezależnie od branży. Nie ma więc taryfy ulgowej dla ochrony zdrowia. Pamiętajmy, że ryzyko związane z nieuprawnionym ujawnieniem danych jest w medycynie - obok branży finansowej - najwyższe - wskazywał Piotr Najbuk, prawnik z kancelarii Domański Zakrzewski Palinka (DZP).

Poinformował, że na stronie www.rodowzdrowiu.pl jest już dostępny projekt kodeksu branżowego. Jak czytamy w jego treści, to „wersja robocza wyłącznie na potrzeby konsultacji wewnętrznych grupy inicjatywnej” i „nie stanowi oficjalnego stanowiska komitetu sterującego”.

Inicjatorem i partnerem merytorycznym prac nad kodeksem jest kancelaria DZP. Jego podmiotami tworzącymi są: Polska Federacja Szpitali, Fundacja Telemedyczna Grupa Robocza, Pracodawcy Medycyny Prywatnej, Konfederacja Lewiatan, Polska Izba Informatyki i Telekomunikacji oraz Federacja Związków Pracodawców Ochrony Zdrowia Porozumienie Zielonogórskie.

- To duże podmioty obejmujące swym zasięgiem ok. 50 proc. rynku medycznego w Polsce. Nadają więc odpowiedni ciężar gatunkowy pracom, które realizujemy - zauważył Piotr Najbuk.

Dodał, że kodeks powstawał także przy udziale strony publicznej (MZ, CSIOZ, CMJ) i wielu innych podmiotów wspierających.

Najbuk wskazywał na wiele przeszkód, które czekają branżę ochrony zdrowia wz. z wdrażaniem RODO. Mówił m.in. o problemie dużej liczby administratorów danych o różnej strukturze - od jednoosobowych praktyk po duże instytuty naukowo-badawcze, a co za tym idzie, o procesach przetwarzania o różnym stopniu złożoności; wspominał też o wysokim ryzyku związanym z przetwarzaniem danych medycznych, chociażby w kontekście działań cyberprzestępców, dla których takie informacje są bardzo cenne.

- Jeżeli mówimy o procesach, trudno znaleźć jedną wspólną listę dla wszystkich podmiotów wykonujących działalność leczniczą. Taką wskazówka jest mapowanie procedur, które realizowano na potrzeby wdrożenia ISO - tłumaczył.

Choć nie ma obowiązku stworzenia kodeksu, to, jak zauważał prawnik DZP, art. 40 ust. 1 i 2 RODO mówi, że "państwa członkowskie, organy nadzorcze, Europejska Rada Ochrony Danych oraz Komisja zachęcają do sporządzenia kodeksów postępowania mających pomóc we właściwym stosowaniu niniejszego rozporządzenia”.

Zatwierdzony kodeks postępowania ma podlegać okresowemu monitorowaniu przez wskazany podmiot - posiadający odpowiedni poziom wiedzy i akredytację od organu nadzorczego.

Najbuk przekonywał, że sektor medyczny ze stosowania kodeksu odniesie konkretne korzyści. Ma on ograniczać ryzyka prawne, może być wykorzystany jako element dla stwierdzenia przestrzegania przez administratora ciążących na nim obowiązków (art. 24 ust. 3 RODO), a, co istotne, według Najbuka ma mieć znaczenie przy decyzji o nałożeniu kary pieniężnej lub ustalaniu jej wysokości.

Kodeks ma jasno określać, co oznacza przetwarzanie na duża skalę danych wrażliwych (co pozwoli m.in. na ustalenie, kto musi mieć inspektora danych osobowych), ponadto ma zaproponować przykładową, podstawową metodykę ryzyka oraz wskazywać katalog rekomendowanych zabezpieczeń i zasady powierzania przetwarzania.

Kodeks musi zostać zaakceptowany przez Głównego Inspektora Ochrony Danych Osobowych bądź jego następcę prawnego, nie wcześniej niż 25 maja 2018 r.

Na razie ws. dokumentu można nadsyłać uwagi. Termin - do 3 kwietnia br.

Źródło: www.rynekzdrowia.pl