Kodeks dla szpitali – nowa regulacja zasad RODO, kogo dotyczy?

data publikacji: 2024-03-12

Kodeks postępowania, ochrona zdrowia, dane osobowe, Urząd Ochrony Danych Osobowych, KPMG Advisory, monitorowanie, przystąpienie, sektor medyczny, audyt, standardy ochrony danych, przetwarzanie danych, wniosek, jednolite kryteria, procedury analizy ryzyka, ochrona danych pacjentów.
Zgodnie z komunikatem opublikowanym 11 grudnia 2023 na stronie Urzędu Ochrony Danych Osobowych (dalej: „UODO”), Prezes UODO zatwierdził Kodeks postępowania dla sektora ochrony zdrowia. Jak czytamy na stronie Urzędu:
„(…) Prezes Urzędu Ochrony Danych Osobowych zatwierdził „Kodeks postępowania dla sektora ochrony zdrowia” przygotowany przez Polską Federację Szpitali. Podpisany dokument to pierwszy w Europie kodeks obejmujący podmioty publiczne i prywatne z sektora medycznego. Dokument przewiduje odrębne mechanizmy monitorowania przestrzegania jego postanowień dla publicznych placówek medycznych. Przystąpienie do kodeksu nie wiąże się z członkostwem w żadnej organizacji. (…)”

Proces przystąpienia do Kodeksu:

Przystąpienie do Kodeksu odbywa się na wniosek. Legitymacja do jego skierowania przysługuje:
1. Podmiotowi wykonującemu działalność leczniczą (PWDL) – podmiot leczniczy lub lekarz, pielęgniarka, położna lub fizjoterapeuta, wykonujący zawód w ramach działalności leczniczej jako praktykę zawodową, o których mowa w przepisach ustawy o działalności leczniczej;
2. Podmiotowi przetwarzającemu – osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który przetwarza dane osobowe w imieniu Administratora.

Wniosek o przystąpienie do Kodeku ma być kierowany do podmiotu monitorującego. Jak czytamy ze strony Urzędu Ochrony Danych Osobowych: „Organ nadzorczy udzielił akredytacji KPMG Advisory sp. z o.o. sp. k., który będzie pełnił funkcję podmiotu monitorującego stosowanie kodeksu wśród jego członków z sektora prywatnego.”.

Rola KPMG Advisory sp. z o.o. sp. k. w monitorowaniu:

Wniosek ma być kierowany w formie elektronicznej. Złożenie wniosku, zgodnie z postanowieniami Kodeksu, jest jednoznaczne ze złożeniem przez Wnioskującego oświadczenia, że spełnia on wszelkie wymogi z niego wynikające. Wzór wniosku stanowi załącznik oznaczony numerem 8 do Kodeksu, zawiera on następujące dane:
1. kwestionariusz odnoszący się do poszczególnych obowiązków wynikających z Kodeksu; pozytywną opinię wydaną przez Inspektora Ochrony Danych (jeśli został powołany) lub inny podmiot dysponujący odpowiednim poziomem wiedzy fachowej w dziedzinie będącej przedmiotem Kodeksu, stwierdzającą spełnianie przez PWDL lub Podmiot przetwarzający wymogów Kodeksu;
2. wskazanie sposobu dalszego monitorowania przestrzegania przepisów Kodeksu.

Pozytywne rozpoznanie wniosku o Przystąpienie do Kodeksu oznacza nadanie Wnioskującemu statusu Podmiotu przestrzegającego Kodeksu. Jednakże nadanie tego statusu będzie poprzedzać przeprowadzenie audytu, któremu wnioskujący będzie miał obowiązek poddać się. Audyt będzie przeprowadzany przez Podmiot monitorujący.

Wartość dodana i zalecenia:

Za pozytywne należy ocenić wprowadzenie omawianego Kodeksu. Pozwoli to z całą pewnością na ujednolicenie praktyk w zakresie ochrony danych osobowych w oparciu o jednolite kryteria i schematy postępowań. Kodeks zawiera wiele cennych wskazówek pozwalających na poprawę jakości w tymże obszarze. Między innymi jednymi z załącznikami do Kodeksu są opracowane zasady postępowania w wybranych sytuacjach związanych ze zwiększonym ryzykiem naruszenia praw Pacjentów w związku z przetwarzaniem danych osobowych, a także przykładowa procedura analizy ryzyka, której wdrożenie i stosowanie zapewniają realizację podejścia opartego na ryzyku.
Rekomendowanym jest, aby złożenie wniosku poprzedzał wewnętrzny audyt mający na celu weryfikację procedur i schematów postępowań w obszarze ochrony danych osobowych względem postanowień wynikających z treści samego Kodeksu.
Dodatkowo należy podkreślić, jak to wynika wprost z komunikatu Urzędu Ochrony Danych Osobowych: „Przystąpienie do kodeksu nie wiąże się z członkostwem w żadnej organizacji.”. Ponadto sama treść Kodeksu nie zawiera norm dotyczących odpłatności za skierowanie wniosku jak i związanych ze statusem Podmiotu przestrzegającego Kodeksu.

Link: https://uodo.gov.pl/pl/138/2929