Do Urzędu Ochrony Danych Osobowych (UODO) wpłynęła informacja od Rzecznika Praw Pacjenta o możliwości zaistnienia naruszenia ochrony danych osobowych w Uniwersyteckim Centrum Klinicznym Warszawskiego Uniwersytetu Medycznego.
Kosztowne zaniechanie
Jeden z pacjentów otrzymał od lekarza skierowanie do poradni specjalistycznej zawierające dane osobowe dotyczące innej osoby w zakresie: imię, nazwisko, adres zamieszkania, numer ewidencyjny PESEL oraz informacje o stanie zdrowia (informacja o rozpoznaniu i celu porady). W toku postępowania administrator potwierdził, że doszło do omyłkowego wpisania na skierowaniu do poradni specjalistycznej danych osobowych innego pacjenta, jednak po dokonaniu analizy uznał on, że na skierowaniu pojawiły się dane osobowe nieistniejącej w rzeczywistości osoby.
Czytaj też: Jak zapewnić bezpieczeństwo elektronicznej dokumentacji medycznej (EDM) >>>
Mimo że administrator zakwalifikował zaistniałe zdarzenie jako incydent bezpieczeństwa, to jednak uznał, iż nie wywiera ono znaczących skutków dla praw i obowiązków osoby, której dane dotyczą. Z tego względu administrator zaniechał zgłoszenia organowi nadzorczemu tego zdarzenia, jak również nie zawiadomił o nim osoby, której dane dotyczą.
Czytaj także na Prawo.pl: UODO sprawdza, jak pracują inspektorzy ochrony danych>>
Czytaj też: Jak Prezes UODO nakłada administracyjne kary pieniężne? >>>
Interwencja UODO
Tymczasem w ocenie UODO doszło do naruszenia ochrony danych osobowych polegającego na ujawnieniu, w wyniku błędu lekarza wystawiającego skierowanie do poradni specjalistycznej, danych osobowych osobie nieuprawnionej (innemu pacjentowi administratora). Ponadto, zdaniem Urzędu wydany przez lekarza dokument zawierał jedynie omyłkę w imieniu pacjenta, natomiast pozostałe dane zawarte na ww. skierowaniu, tj. nazwisko, adres zamieszkania oraz nr PESEL, dotyczyły już tego konkretnego pacjenta. Stąd też nie można uznać, że zdarzanie dotyczyło nieistniejącej osoby. Pomimo błędu w imieniu tej osoby, można ją w sposób łatwy zidentyfikować.
Czytaj też: Korzystanie z praw pacjenta w świetle RODO >>>
Naruszenia należy zgłaszać
Zgłaszanie naruszeń ochrony danych osobowych przez administratorów stanowi skuteczne narzędzie przyczyniające się do realnej poprawy bezpieczeństwa przetwarzania danych osobowych. Zgłaszając naruszenie do UODO, administratorzy informują Urząd, czy w ich ocenie wystąpiło wysokie ryzyko naruszenia praw lub wolności osób, których dane dotyczą oraz – jeżeli takie ryzyko wystąpiło – czy przekazali stosowne informacje osobom fizycznym, na które naruszenie wywiera wpływ. Z kolei UODO dokonuje weryfikacji oceny dokonanej przez administratora.
Ujawniona tajemnica lekarska
UODO stwierdził, że w tej sprawie niezaprzeczalnym jest, że dane osobowe udostępnione osobie nieuprawnionej, oprócz tzw. danych zwykłych, obejmują także dane należące do szczególnych kategorii danych osobowych, tj. dane o stanie zdrowia na temat rozpoznania i celu porady lekarskiej. Ich szeroki zakres wiąże się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych. Dodatkowo wskazać należy, że ujawnienie nieuprawnionemu odbiorcy danych osobowych innej osoby, z uwagi na przekazanie mu przez lekarza administratora skierowania do poradni specjalistycznej z niewłaściwymi danymi, stanowi jednocześnie naruszenie tajemnicy lekarskiej.
Czytaj też: Zwolnienie z tajemnicy lekarskiej w postępowaniu przygotowawczym >>>
Czytaj też: Analiza decyzji administracyjnych Prezesa UODO z lat 2018-2021 >>>
W opinii UODO, administrator świadomie nie zawiadomił o naruszeniu zarówno organu nadzorczego, jak i osoby, której dane dotyczą, pomimo powzięcia informacji o zdarzeniu od Rzecznika Praw Pacjenta oraz kierowanych do niego pism przez UODO wskazujących na możliwość zaistnienia w niniejszej sprawie wysokiego ryzyka naruszenia praw lub wolności osoby, której dotyczyło naruszenie.
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.