Prawnik wyjaśnia: Zgoda na przetwarzanie danych pacjenta

 

Jeżeli podpowiedź preparatów opiera się wyłącznie na podstawie rozpoznania (ICD-10) takie przetwarzanie nie będzie wymagać zgody pacjenta na podstawie art. 9 ust. 2 lit. a Rozporządzenia unijnego 2016/679. Działanie programu polegające na podpowiadaniu konkretnego leku w związku z postawionym pacjentowi rozpoznaniem nie jest czynnością, która jest związania z innym zakresem przetwarzania danych niż związane z udzielaniem świadczeń zdrowotnych wynikające z art. 9 ust. 2 lit. h Rozporządzenie unijnego RODO 2016/679, jeżeli nie obejmuje danych osobowych pacjenta. 

 

 

W sytuacji, gdy zakres przetwarzanych danych (służących do podpowiedzi konkretnego leku) obejmuje poza rozpoznaniem (ICD-10) również dane osobowe pacjenta (np. płeć, PESEL, inne) konieczne będzie uzyskanie na ten cel wyraźnej zgody pacjenta. Przetwarzanie danych  w ramach tzw. profilowania to znaczy: zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących jej zdrowia – wymaga poinformowania o tym fakcie pacjenta oraz uzyskania jego wyraźnej zgody. Dalsze działanie jest konieczne w związku z uzyskaniem zgody pacjenta w zakresie profilowania jego danych osobowych. 

 

 

W przypadku, gdy placówka medyczna za pośrednictwem programu przekazuje dane pacjenta do hurtowni farmaceutycznej, wówczas konieczne jest poinformowanie pacjenta o odpowiednim odbiorcy danych (hurtownia farmaceutyczna). Dodatkowo, hurtownia farmaceutyczna, w związku z przetwarzaniem danych pacjenta, musi wypełnić obowiązek informacyjny względem tej osoby. 

 

Jeżeli nie dochodzi do przekazania danych osobowych pacjenta do hurtowni informatycznej to nie ma również konieczności przekazywania informacji pacjentowi o odbiorcy jakim jest hurtownia farmaceutyczna. 

 

 

Dane uzyskiwane z aplikacji przez dostawcę oprogramowania mogą być wykorzystywane wyłącznie w zakresie wskazanym w umowie pomiędzy Administratorem danych a dostawcą oprogramowania z zachowaniem przepisów Rozporządzenia unijnego 2016/679 oraz ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. Na podstawie powyższych przepisów (Rozporządzenia unijnego) jeżeli umowa przewiduje możliwość pracy na danych osobowych pacjentów celu rozwijania programu, to takie działanie jest właściwe. Należy jednak pamiętać, że dostęp do dokumentacji medycznej dostawcy oprogramowania jest nadawany ustawowo. Zgodnie z art. 24 ust. 2: Do przetwarzania danych zawartych w dokumentacji medycznej są uprawnione: osoby wykonujące czynności związane z utrzymaniem systemu teleinformatycznego, w którym przetwarzana jest dokumentacja medyczna, i zapewnieniem bezpieczeństwa tego systemu, na podstawie upoważnienia administratora danych. Przy tym, dostęp ten musi wynikać z konieczności: ochrony zdrowia, udzielania oraz zarządzania udzielaniem świadczeń zdrowotnych, utrzymania systemu teleinformatycznego, w którym przetwarzana jest dokumentacja medyczna, i zapewnienia bezpieczeństwa tego systemu. 

 

W związku z powyższym, nie jest możliwe wykorzystywanie istniejącej dokumentacji medycznej przez dostawcę oprogramowania w innym niż wskazany powyżej zakresie. 

 

W przypadku usunięcia z kart pacjentów danych osobowych (zanonimizowania), informacje związane z pacjentem nie są przedmiotem ochrony na podstawie Rozporządzenia unijnego 2016/679.