RODO w placówce medycznej: dokumentacja i Inspektor Ochrony Danych dla gabinetu i przychodni

Tak, choć mniejszej niż przychodnia. Informacje o zdrowiu to dane szczególnej kategorii (art. 9 RODO), a Ty jako administrator musisz umieć pokazać, jak je chronisz (art. 5 ust. 2). W małym gabinecie zwykle wystarczą klauzula dla pacjentów, rejestr czynności, analiza ryzyka i umowy powierzenia z dostawcą programu gabinetowego, biurem rachunkowym i firmą IT. Zakres ustalamy w pierwszej rozmowie.

Dokumentację medyczną, czyli historię choroby, karty wizyt i wyniki, prowadzisz na podstawie ustawy o prawach pacjenta i co do zasady przechowujesz 20 lat. Dokumentacja RODO odpowiada na inne pytania: kto w placówce ma dostęp do danych, komu je przekazujesz, jak zabezpieczasz program i laptopy oraz co robisz, gdy dane wyciekną. My przygotowujemy tylko tę drugą.

Zależy, kto ją prowadzi i na jaką skalę. Samodzielny publiczny zakład opieki zdrowotnej wyznacza inspektora zawsze, bo jest podmiotem publicznym (art. 37 ust. 1 lit. a RODO). Prywatna placówka musi go mieć, gdy jej główna działalność to przetwarzanie danych o zdrowiu na dużą skalę (lit. c). Lekarz, który sam przyjmuje swoich pacjentów, zwykle tego warunku nie spełnia, ale zatwierdzony przez Prezesa UODO kodeks postępowania dla małych placówek medycznych zaleca inspektora większości z nich. Abonament Inspektora Ochrony Danych dla placówki kosztuje od 450 zł netto miesięcznie.

Od liczby oddziałów i liczby osób, które widzą dane pacjentów (licz też lekarzy współpracujących na kontrakcie), od programu gabinetowego, liczby firm zewnętrznych i od tego, czy jest monitoring. Dokumentacja kosztuje od 3900 zł netto. Kwotę znasz po rozmowie, przed zamówieniem. Jeśli placówka kupuje po zapytaniu ofertowym, ustalimy to w tej samej rozmowie.

Osoby, które nie wykonują zawodu medycznego, na przykład rejestratorka albo informatyk, mają dostęp do danych z dokumentacji medycznej tylko na podstawie upoważnienia od placówki. Ustawa o prawach pacjenta wymaga też od nich zachowania tajemnicy. Upoważnienia i ewidencję kont w programie gabinetowym przygotowujemy w ramach dokumentacji.

W poczekalni tak, jeśli monitoring jest potrzebny dla bezpieczeństwa pacjentów i personelu. W gabinecie tylko w wyjątkowych sytuacjach opisanych w ustawie o działalności leczniczej (art. 23a), która każe też kasować nagrania najpóźniej po 3 miesiącach. Pacjenci muszą wiedzieć o kamerach, zanim wejdą w ich zasięg.