UODO: Aplikacja mojeIKP Junior bez zabezpieczenia danych osobowych młodzieży
Ministerstwo Zdrowia przedstawiło założenia Internetowego Konta Pacjenta dla nastolatków - mojeIKP Junior, które ma być przeznaczona dla młodzieży w wieku od 13 do 17 lat. UODO zauważył, że nie ma w nich słowa o ochronie informacji o małoletnich użytkownikach.
– Rozwiązania techniczne i organizacyjne gwarantujące ochronę danych osobowych powinny zostać uwzględnione już na etapie projektowania nowej usługi – zauważa Mirosław Wróblewski, prezes UODO w piśmie do ministry zdrowia Jolanty Sobierańskiej-Grendy.
Założeniem projektu mojeIKP Junior jest stworzenie aplikacji mobilnej dla młodzieży w wieku od 13 do 17 lat na wzór Internetowego Konta Pacjenta, które od kilku lat istnieje dla dorosłych. Jak argumentuje Ministerstwo Zdrowia, to odpowiedź na narastające problemy zdrowotne dzieci i nastolatków, szczególnie w obszarze zdrowia psychicznego, nadwagi i otyłości, chorób przewlekłych oraz spadającej realizacji szczepień ochronnych.
Zdaniem resortu, dodatkowym argumentem za stworzeniem Internetowego Konta Pacjenta dla nastolatków jest wprowadzenie od 1 września 2025 r. przedmiotu edukacja zdrowotna, który tworzy podstawę merytoryczną, lecz nie zapewnia narzędzi wspierających utrwalanie nawyków i praktyczne stosowanie wiedzy. Problemem jest brak rozwiązania cyfrowego dostosowanego do potrzeb młodzieży, integrującego dostęp do usług e-zdrowia z przystępną informacją zdrowotną i mechanizmami wspierającymi codzienne zachowania prozdrowotne. Obecne narzędzia są projektowane dla dorosłych i nie uwzględniają specyfiki grupy 13-17 lat.
mojeIKP Junior pod lupą Urzędu Ochrony Danych Osobowych
Projektowi mojeIKP Junior przyjrzeli się eksperci Urzędu Ochrony Danych Osobowych i zauważyli, że na etapie założeń MZ nie wskazuje, jakie rozwiązania ma zamiar wprowadzić, żeby chronić dane małoletnich użytkowników.
- Konieczne jest zapewnienie szczególnie wysokiego poziomu ochrony danych osobowych. Z usługi będą bowiem korzystać osoby małoletnie. Będzie ona obejmowała również dane dotyczące zdrowia. Natomiast komunikacja z osobami małoletnimi musi zostać dostosowana do ich wieku, stopnia dojrzałości oraz poziomu ich świadomości – zauważa Mirosław Wróblewski.
Zdaniem prezesa Urzędu Ochrony Danych Osobowych, rozwiązania techniczne i organizacyjne gwarantujące ochronę danych osobowych powinny zostać uwzględnione już na etapie projektowania i tworzenia nowej usługi. Gwarancje zapewniające ochronę danych osobowych nie mogą zostać wdrożone dopiero po uruchomieniu aplikacji. Jednocześnie, z uwagi na wysokie ryzyko związane z przetwarzaniem danych dotyczących zdrowia osób małoletnich, przed uruchomieniem usługi niezbędne jest przeprowadzenie oceny skutków dla ochrony danych.
Prezes UODO wskazuje, że planowane przedsięwzięcie będzie wymagało systemowych zmian legislacyjnych. Tymczasem w przedstawionych założeniach do projektu tej kwestii nie uwzględniono.
- Niezbędne jest ustanowienie jednoznacznej podstawy prawnej oraz uregulowanie zasad funkcjonowania usługi „mojeIKP Junior”. Projektowane rozwiązanie będzie wiązało się z przetwarzaniem szczególnych kategorii danych i dlatego przepisy prawa muszą wskazać dla niego podstawę prawną, określić cel, zakres i kategorie danych, krąg podmiotów uprawnionych do przetwarzania danych, okres ich przechowywania. Przepisy wymagają wskazania, jak będą chronione prawa i wolności osób, zwłaszcza ze względu na zwiększone ryzyko naruszenia prywatności – zaleca Mirosław Wróblewski.
Uwzględnienie praw małoletnich
Prezes UODO wskazuje też, że projektowane rozwiązanie wymaga kompleksowej analizy przepisów regulujących status małoletniego pacjenta oraz uprawnień jego przedstawicieli ustawowych. Prawo bowiem odmiennie reguluje zakres autonomii w sferze ochrony zdrowia odnośnie do wieku pacjenta. W polskim prawie przyjęto model współdecydowania z przedstawicielem ustawowym w przypadku osób, które ukończyły 16. rok życia. Zakres tej autonomii rozszerza się wraz z wiekiem. W przypadku osób poniżej 16. roku życia przewidziano prawo do informacji.
- Konieczne jest zatem rozstrzygnięcie, czy korzystanie przez małoletniego z usługi „mojeIKP Junior” będzie ograniczało się do czynności technicznych lub organizacyjnych, czy będzie również wiązało się ze składaniem zgód, wniosków lub oświadczeń – twierdzi Mirosław Wróblewski.
Jeśli przewidywane jest podejmowanie za pomocą projektowanej usługi czynności wywołujących skutki prawne, to niezbędne staje się określenie zasad udziału przedstawicieli ustawowych małoletniego i jednoznaczne uregulowanie zakresu ich dostępu do danych dotyczących np. zdrowia dziecka. Uregulowanie tych kwestii pomoże uniknąć kolizji między przepisami dotyczącymi ochrony danych osobowych, praw pacjenta, prawa cywilnego i wykonywania władzy rodzicielskiej.
UODO akcentuje też, że projekt powinien zostać oceniony z perspektywy zgodności z rozporządzeniem EHDS (European Health Data Space – EHDS - rozporządzenie UE w sprawie europejskiej przestrzeni danych dotyczących zdrowia), które weszło w życie 26 marca 2025 r. Udostępnianie i dalsze wykorzystywanie danych osobowych oraz danych nieosobowych dotyczących zdrowia, przetwarzanych w rejestrach publicznych, ma bowiem istotne znaczenie zarówno dla interesów państwa, jak i interesów indywidualnych oraz zbiorowych. Należy również uwzględnić wynikający z EHDS obowiązek umożliwienia wtórnego wykorzystania elektronicznych danych dotyczących zdrowia.
Kto odpowiada za przetwarzanie danych?
Prezes UODO zauważa, że projektodawca nie wskazał również podmiotów odpowiedzialnych za przetwarzanie danych, ani zasad i sposobu pozyskiwania danych z innych systemów oraz baz danych. Szczególnej uwagi wymaga planowana integracja usługi z rejestrami publicznymi. Mechanizm, który ją umożliwi powinien wynikać ze stosownej podstawy prawnej oraz uwzględniać zasady ochrony danych już w fazie projektowania oraz domyślnej ochrony danych, o której mowa w art. 25 RODO.
Zgodnie z zaleceniami UODO, należy także wdrożyć odpowiednie zabezpieczenia techniczne i organizacyjne. Natomiast jeśli zakres i sposób wykorzystania danych pozyskiwanych z rejestrów publicznych będzie wiązał się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, konieczne może okazać się przeprowadzenie oceny skutków dla ochrony danych zgodnie z art. 35 RODO.
Wnioskodawca powinien zidentyfikować ryzyka związane z przetwarzaniem danych osobowych oraz określić ich poziom wraz z uwzględnieniem charakteru, zakresu, kontekstu i celów planowanych operacji przetwarzania. Szczególnej analizy wymagają również zagrożenia związane z przetwarzaniem danych szczególnych kategorii, które zgodnie z art. 9 RODO podlegają szczególnej ochronie.
- Mam nadzieję, że uwzględnienie uwag przyczyni się do zapewnienia właściwego poziomu ochrony danych osobowych w mojeIKP Junior – stwierdza Mirosław Wróblewski.
