Umowa z lektorem do szkolenia: prawa, pola eksploatacji i zgody
czytaj więcej
Ostatni wpis w karcie, teczka do pudła, pudło do piwnicy albo do firmy archiwizacyjnej i przez 20 lat nikt tam nie zagląda. Tak wygląda archiwum dokumentacji medycznej w wielu placówkach. Irlandzka sprawa pokazuje, że w zaniedbanych magazynach akt można naruszyć RODO, czyli unijne rozporządzenie o ochronie danych osobowych, na cztery sposoby naraz.
Omawiam te naruszenia, nakazy, które wydał organ, i to, co z nich wynika dla Ciebie, gdy trzymasz akta u siebie albo oddajesz je firmie archiwizacyjnej.
Spis treści
Papierowe archiwum irlandzkiej służby zdrowia - 645 tys. euro kary i nakazy
Zaczęło się w 2023 r. w dwóch nieczynnych dawnych szpitalach psychiatrycznych, St. Loman's w Mullingar i St. Conal's w Letterkenny: weszli tam intruzi i wrzucili do sieci nagrania leżących w środku akt. Irlandzka Komisja Ochrony Danych (DPC) przekazała publicznej służbie zdrowia, Health Service Executive (HSE), decyzję 25 sierpnia 2026 r. Oprócz 645 tys. euro kar HSE dostała nakazy, które czytają się jak gotowa procedura, i upomnienie.
Podczas 12 kontroli DPC widziała m.in. teczki w kontenerze w szopie na torf i w nieczynnych łazienkach. Kary podbiło to, że HSE już wcześniej traciła kontrolę nad papierowymi aktami pacjentów. Źródła: Biuletyn Urzędu Ochrony Danych Osobowych (UODO) i komunikat DPC.
Cztery naruszenia RODO w archiwach dokumentacji medycznej HSE
Integralność i poufność akt - 300 tys. euro
DPC uznała, że HSE naruszyła zasadę integralności i poufności (art. 5 ust. 1 lit. f RODO) oraz obowiązek odpowiednich zabezpieczeń (art. 32 ust. 1). Brakowało procesów i kontroli zarządzania dokumentacją, które dawałyby bezpieczeństwo adekwatne do ryzyka.
Ograniczenie przechowywania (art. 5 ust. 1 lit. e) - 300 tys. euro
Drugie 300 tys. euro to kara za samo przetrzymywanie akt: teczki, których HSE już nie potrzebowała, nadal leżały w magazynach i nadal dało się z nich ustalić, kogo dotyczą.
Spóźnione zgłoszenia - 30 tys. euro
Dwóch naruszeń w St. Loman's, w tym wejścia do piwnicy, o którym HSE dowiedziała się z mediów społecznościowych, nie zgłoszono bez zbędnej zwłoki, w ciągu 72 godzin (art. 33 ust. 1). Termin biegnie od stwierdzenia naruszenia, także gdy informacja przychodzi z zewnątrz, a do spóźnionego zgłoszenia dołącza się wyjaśnienie przyczyn.
Niezawiadomieni pacjenci - 15 tys. euro
HSE nie poinformowała osób, których dane dotyczyły, o naruszeniach w obu szpitalach (art. 34 ust. 1).
Nakazy DPC a polskie przepisy o przechowywaniu akt
HSE musi zrobić audyt wszystkich miejsc z papierową dokumentacją, przenieść akta z tych, które się nie nadają, wdrożyć system śledzenia, gdzie leży która teczka, regularnie oceniać miejsca przechowywania i niezwłocznie niszczyć akta zbędne. Ma też co jakiś czas sprawdzać, czy sama trzyma się przyjętych okresów przechowywania.
W polskim prawie warunkom przechowywania odpowiada § 1 ust. 7 rozporządzenia Ministra Zdrowia w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania: placówka zabezpiecza akta przed zniszczeniem, uszkodzeniem, utratą i dostępem osób nieupoważnionych, ale musi też móc z nich skorzystać bez zbędnej zwłoki, gdy są potrzebne do leczenia albo pacjent o nie prosi. Procedury obejmuje § 1 ust. 5: szacowanie ryzyka (pkt 1), udokumentowane procedury dostępu i przechowywania (pkt 2), bieżące kontrolowanie zabezpieczeń (pkt 5) i plany przechowywania dokumentacji przez długi czas (pkt 6).
Procedura niszczenia dokumentacji medycznej
Art. 29 ustawy o prawach pacjenta wyznacza okresy, najczęściej 20 lat od końca roku ostatniego wpisu. Po ich upływie akta niszczy się tak, żeby nie dało się zidentyfikować pacjenta (art. 29 ust. 2), a materiał archiwalny traktuje się według przepisów o narodowym zasobie archiwalnym (art. 29 ust. 3).
Twoja procedura niszczenia dokumentacji medycznej ma odpowiadać na trzy pytania: kto po końcu roku wybiera akta po terminie, kto sprawdza, czy nie są materiałem archiwalnym, i jak dokumentuje się zniszczenie.
Przekazanie dokumentacji medycznej do archiwum zewnętrznego
Gdy oddajesz akta firmie archiwizacyjnej, nadal jesteś ich administratorem, a firma przechowuje je w Twoim imieniu. Potrzebna jest umowa powierzenia przetwarzania danych z elementami z art. 28 ust. 3 RODO, w tym z prawem do audytu i inspekcji magazynu (lit. h).
Ustawa o prawach pacjenta dokłada trzy wymogi. Wykonywanie umowy nie może zakłócać udzielania świadczeń, w szczególności musisz mieć dostęp do akt bez zbędnej zwłoki (art. 24 ust. 5). Firma jest związana tajemnicą informacji o pacjentach, także po ich śmierci (art. 24 ust. 6). A gdy kończy działalność albo przestaje przechowywać akta, musi Ci je oddać (art. 24 ust. 7).
Przed podpisaniem umowy sprawdź w niej sześć rzeczy:
1
Adres magazynu
Wiesz, gdzie fizycznie leżą akta, i możesz to miejsce skontrolować.
2
Lista osób z dostępem
Firma wie, kto z jej pracowników może otwierać pudła, i ma ich upoważnienia.
3
Czas wydania teczki
Umowa mówi, w jakim czasie dostaniesz akta potrzebne do leczenia albo na żądanie pacjenta.
4
Zwrot akt na koniec
Przy końcu umowy lub likwidacji firmy akta wracają do Ciebie (art. 24 ust. 7).
5
Powiadomienie o incydencie
Konkretny, krótki termin, w którym firma informuje Cię o włamaniu, zalaniu czy zaginięciu akt.
6
Protokoły niszczenia
Jeśli firma niszczy akta po terminie, po każdym niszczeniu przesyła Ci protokół: kiedy i które teczki zniszczono.
Kara w Polsce za zaniedbane archiwum
Za naruszenie zasad z art. 5 RODO placówce prywatnej grozi do 20 mln euro albo 4% rocznego światowego obrotu, jeśli to więcej (art. 83 ust. 5 RODO), a za brak zabezpieczeń i spóźnione zgłoszenia połowa tego (art. 83 ust. 4). Jeśli prowadzisz samodzielny publiczny zakład opieki zdrowotnej, kara z ustawy kończy się na 100 tys. zł (art. 102 ust. 1 ustawy o ochronie danych osobowych); szpital-spółka miejska tej ochrony nie ma.
Najczęstsze pytania o archiwum dokumentacji medycznej
Czy archiwum dokumentacji medycznej może być w piwnicy?+
Przepisy nie wskazują konkretnego pomieszczenia. Liczy się efekt z § 1 ust. 7 rozporządzenia. Piwnica, do której mogą wejść osoby postronne albo w której akta niszczeją, tego nie zapewnia; w sprawie HSE intruzi weszli do piwnicy z aktami.
Co z aktami, gdy firma archiwizacyjna kończy działalność?+
Musi przekazać dokumentację placówce, która powierzyła jej przetwarzanie (art. 24 ust. 7 ustawy o prawach pacjenta). Warto, żeby umowa opisywała, jak i w jakim czasie to nastąpi.
Kto może mieć klucz do archiwum dokumentacji medycznej?+
Osoby wykonujące zawód medyczny oraz, na podstawie upoważnienia administratora, osoby wykonujące czynności pomocnicze (art. 24 ust. 2 ustawy o prawach pacjenta, § 1 ust. 4 rozporządzenia). Z tej grupy klucz dostają tylko osoby, które wskażesz, bo każdy, kto ma dostęp do danych, przetwarza je wyłącznie na Twoje polecenie (art. 29 RODO). Przy archiwum zewnętrznym dostęp mają też pracownicy firmy archiwizacyjnej, wskazani w umowie powierzenia.
Czy dokumentacja medyczna podlega RODO, skoro ma własną ustawę?+
Tak. Ustawa o prawach pacjenta i rozporządzenie o dokumentacji medycznej określają okresy i sposób prowadzenia akt, a RODO dokłada obowiązki dotyczące bezpieczeństwa, okresów przechowywania, zgłaszania naruszeń i zawiadamiania pacjentów.
Od czego zacząć porządki w aktach pacjentów
Zacznij od umowy z firmą archiwizacyjną albo, jeśli trzymasz akta u siebie, od listy osób z kluczem do archiwum. Jak zgłosić naruszenie, opisuję we wpisie Zgłoszenie naruszenia danych osobowych - procedura 72h, a co powinna zawierać umowa z firmą archiwizacyjną, we wpisie Umowa powierzenia przetwarzania danych - kiedy i jak.
Umowę z archiwum i procedurę niszczenia przygotujemy w ramach usługi dokumentacja RODO.
