👉🩺 Zgoda pacjenta na przetwarzanie danych osobowych – kiedy jest potrzebna, a kiedy nie?
Co mówi na ten temat Inspektor Ochrony Danych osobowych dla podmiotów leczniczych z Lublina?
Wielu lekarzy i administratorów placówek medycznych wciąż żyje w przekonaniu, że przetwarzanie danych pacjentów zawsze wymaga pisemnej zgody. Tymczasem RODO wskazuje, że zgoda to tylko jedna z podstaw prawnych przetwarzania danych – i w medycynie najczęściej wcale nie jest potrzebna. Sprawdź, kiedy możesz przetwarzać dane pacjentów bez zgody, a kiedy lepiej ją uzyskać.
Dane pacjenta – szczególna kategoria informacji
Dane o stanie zdrowia należą do tzw. danych szczególnej kategorii (art. 9 RODO). To informacje wyjątkowo wrażliwe, które wymagają szczególnej ochrony. Obejmują m.in. dane o chorobach, leczeniu, wynikach badań czy historii medycznej.
Z tego powodu przetwarzanie danych medycznych jest co do zasady zabronione – chyba że zachodzi jedna z wyjątkowych sytuacji określonych w RODO lub przepisach krajowych, takich jak ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta oraz ustawa o działalności leczniczej.
Kiedy zgoda pacjenta nie jest wymagana
W większości przypadków lekarz, przychodnia czy szpital nie muszą uzyskiwać zgody pacjenta na przetwarzanie jego danych. Dzieje się tak, gdy:
- przetwarzanie jest niezbędne do udzielania świadczeń zdrowotnych (art. 9 ust. 2 lit. h RODO),
- przetwarzanie wynika z obowiązku prawnego (np. prowadzenie dokumentacji medycznej, raportowanie do NFZ, obowiązki wobec sanepidu),
- dane są przetwarzane w celu ochrony żywotnych interesów pacjenta, gdy ten nie jest w stanie wyrazić zgody (np. utrata przytomności, nagły zabieg ratujący życie).
Przykład praktyczny:
Lekarz rodzinny nie potrzebuje zgody pacjenta na prowadzenie historii choroby czy przesyłanie danych do systemu eWUŚ. Podstawą przetwarzania jest obowiązek wynikający z przepisów prawa i zadań ochrony zdrowia.
Kiedy zgoda jest konieczna
Zgoda pacjenta będzie potrzebna wtedy, gdy dane mają być wykorzystywane w innych celach niż medyczne.
Dotyczy to zwłaszcza sytuacji, gdy:
- placówka publikuje opinie lub zdjęcia pacjentów na stronie internetowej lub w mediach społecznościowych,
- dane pacjentów mają być użyte w działaniach marketingowych lub promocyjnych,
- dane są przekazywane innym podmiotom komercyjnym, np. firmie badającej satysfakcję klientów.
W takich przypadkach konieczna jest dobrowolna, świadoma i konkretna zgoda pacjenta. Co ważne – pacjent może ją cofnąć w dowolnym momencie, a placówka musi uszanować jego decyzję.
Jak prawidłowo uzyskać zgodę pacjenta
Zgoda nie może być domniemana ani „ukryta” w regulaminie.
Powinna spełniać kilka kluczowych warunków:
- być dobrowolna – pacjent nie może być zmuszony do jej udzielenia;
- być konkretna – musi dotyczyć jasno określonego celu;
- być świadoma – pacjent musi wiedzieć, kto i w jakim zakresie jego dane przetwarza;
- być odrębna – nie można jej łączyć np. ze zgodą na leczenie.
Wskazówka praktyczna:
Warto stosować osobne formularze zgód, np.
„Wyrażam zgodę na wykorzystanie mojego wizerunku w celach promocyjnych placówki medycznej XYZ.”
Dzięki temu pacjent ma pełną świadomość, na co się godzi.
Najczęstsze błędy placówek medycznych
Naruszenia zasad RODO często wynikają nie ze złej woli, lecz z nieświadomości.
Oto najczęstsze błędy, jakie obserwuję podczas audytów w placówkach medycznych:
- żądanie zgody tam, gdzie przetwarzanie danych wynika z obowiązku prawnego,
- brak informacji o możliwości cofnięcia zgody,
- łączenie zgody na leczenie ze zgodą na przetwarzanie danych w celach marketingowych,
- przechowywanie nieaktualnych zgód, które utraciły ważność.
Tego typu błędy mogą skutkować kontrolą i nałożeniem kary przez Prezesa UODO – a przede wszystkim utratą zaufania pacjentów.
Rola Inspektora Ochrony Danych (IOD) w placówce medycznej
W większych podmiotach leczniczych obowiązkowo powołuje się Inspektora Ochrony Danych (IOD).
Jego zadaniem jest m.in.:
- monitorowanie zgodności przetwarzania danych z RODO,
- doradzanie personelowi w zakresie właściwego pozyskiwania zgód,
- prowadzenie szkoleń i audytów wewnętrznych,
- reagowanie na incydenty i naruszenia ochrony danych.
W praktyce IOD pełni funkcję łącznika między personelem medycznym a przepisami prawa – pomaga działać zgodnie z RODO, ale bez nadmiernej biurokracji.
Podsumowanie: zgoda to wyjątek, nie reguła
W ochronie zdrowia podstawą przetwarzania danych nie jest zgoda, lecz obowiązek udzielania świadczeń zdrowotnych i wymogi prawa. Zgoda ma znaczenie tylko wtedy, gdy dane pacjentów wykorzystywane są do celów wykraczających poza leczenie – na przykład marketingowych.
Pamiętajmy: nadmiar zgód nie zwiększa bezpieczeństwa prawnego placówki – przeciwnie, może prowadzić do chaosu i błędów w dokumentacji.
⚖️ Potrzebujesz wsparcia we wdrożeniu RODO w swojej placówce?
Jako radca prawny i inspektor ochrony danych osobowych z Lublina, pomagam podmiotom leczniczym prawidłowo wdrażać i stosować przepisy RODO:
- opracowuję procedury i klauzule informacyjne,
- przygotowuję wzory zgód pacjentów,
- prowadzę szkolenia i audyty zgodności.
📩 Skontaktuj się, jeśli chcesz mieć pewność, że Twoja placówka działa zgodnie z przepisami i w pełni chroni dane swoich pacjentów.
🤙+48 602340131
📨 biuro@kancelariakam.pl
📌
Dowiedz się, kiedy lekarz naprawdę potrzebuje zgody pacjenta na przetwarzanie danych osobowych, a kiedy wystarczy obowiązek wynikający z prawa. Praktyczne wskazówki radcy prawnego i IOD z Lublina.
