Nowe technologie a ochrona danych osobowych pacjenta

Prawo do prywatności jest jednym z podstawowych praw człowieka. Wiąże się jednak nierozerwalnie z przetwarzaniem informacji, w tym danych osobowych pacjentów, ponieważ składa się na proces udzielania świadczeń medycznych.

Autor: Edyta Bielak – Jomaa

Prawo do prywatności w obszarze medycznym skorelowane jest wprost z prawami pacjenta. Choć prawo do prywatności nie ma charakteru bezwzględnego, ponieważ jego granicą jest prywatność innych osób oraz uzasadnione jego ograniczenia niezbędne dla dobra publicznego, to jednak należy podkreślić, że żadne okoliczności czy sytuacja nie wyłączają prawa do prywatności.

Z problematyką prywatności immamentnie łączą się kwestie związane z przetwarzaniem informacji, w tym danych osobowych pacjentów, ponieważ jest ono nieodzownym elementem procesu udzielania przez podmioty wykonujące działalność leczniczą, świadczeń medycznych.

Nie ulega wątpliwości, że dane medyczne pacjentów przetwarza się również w interesie publicznym, np. jeśli wykorzystywane są one do badań klinicznych, czy tworzenia i prowadzenia polityki zdrowotnej. W przetwarzaniu tych danych uczestniczą więc nie tylko podmioty świadczące usługi bezpośrednio medyczne, ale również inne podmioty wspomagające podmioty lecznicze w procesie udzielania świadczeń, instytucje i organy, które wykonują powierzone im zadania publiczne w ramach systemu ochrony zdrowia.

Informacje dotyczące pacjentów ze względu na ich prywatny, a niejednokrotnie intymny, charakter podlegają szczególnej ochronie, która przewidziana jest zarówno w RODO, jak i przepisach ustawy o Prawach Pacjenta i Rzeczniku Praw Pacjenta.

Reguły wskazane w tych aktach prawnych zobowiązują podmioty przetwarzające dane osobowe (administratorzy danych, podmioty przetwarzające) do postepowania wyłącznie zgodnego z zasadami określonymi w przepisach sektorowych i innych odnoszących się do przetwarzania danych osobowych. Warto jednak zwrócić uwagę, że dla realizacji praw osób fizycznych i obowiązków administratorów danych (np. podmiotów leczniczych), kluczowe znaczenia ma otoczenie prawne i zmiany otoczenia technologicznego.

Brak pewności prawnej, na którą składają się częste zmiany przepisów, brak czytelności norm prawnych, brak implementacji regulacji europejskich albo niewłaściwa ich implementacja, powodują trudności w interpretowaniu prawa, a zatem także w jego stosowaniu.

To, z kolei, przekłada się na realizację praw pacjentów, w tym prawa do bycia poinformowanym o podstawach, celach, czasie, zakresie przetwarzanych danych i innych prawach, w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

Ma to, z jednej strony, podstawowe znaczenia z puntu widzenia prawidłowej realizacji wymogów prawnych (zasada rozliczalności wynikająca z art. 5 ust. 2 RODO), w zakresie dbałości o prywatność i poszanowania prawa do ochrony danych osobowych pacjenta, z drugiej buduje zaufanie osób fizycznych do procesów przetwarzania informacji prywatnych, osobistych i intymnych przez podmioty lecznicze.

Rozwój technologiczny oraz coraz większe wymagania w zakresie jakości świadczeń zdrowotnych powodują, że podmioty świadczące usługi lecznicze zbierają, analizują, przetwarzają, udostępniają coraz szerszy zakres informacji w tym również dane osobowe pacjentów. Obowiązkiem tych podmiotów jest zachowanie rzetelności w przetwarzaniu danych osobowych pacjentów. Rzetelność rozumiana jest jako dokładność, staranność, należyte wypełnienie obowiązków, w  sposób uczciwy i w dobrej wierze. W procesach występujących w sektorze ochrony zdrowia  zasada ta ma istotne znaczenie. Rzetelne przetwarzanie danych osobowych powinno uwzględniać interesy i rozsądne oczekiwania osób, których dane dotyczą, zachować równowagę między (komercyjnymi) interesami administratora i prywatnością podmiotu danych.

Nie jest to bez znaczenia, jeżeli zauważymy, że działalność lecznicza to nie tylko udzielanie świadczeń zdrowotnych ale również promocja zdrowia oraz działania naukowo-badawcze polegające m.in. na wdrażaniu nowych technologii medycznych lub metod leczenia. Podmiot wykonujący działalność leczniczą może również prowadzić działalność dydaktyczną polegającą na kształceniu kadr medycznych. Z punktu widzenia ochrony danych osobowych i prywatności pacjenta jest to istotne, ponieważ oznacza, że w procesie leczenia pacjenta, dostęp do jego danych mają osoby odbywające praktyki, staże czy specjalizacje w zakresie zawodów medycznych.

Wdrażanie rozbudowanych i skomplikowanych systemów informatycznych, wykorzystywanie sztucznej inteligencji, wielkich zasobów danych, korzystanie z Internetu Rzeczy i zaawansowanej maszynerii robotycznej niesie nowe zagrożenia i ryzyka dla systemów demokratycznych wartości, takich jak godność jednostki, jej autonomia, równość, prywatność. Nie oznacza to, rzecz jasna, konieczności zaprzestania wykorzystywania nowoczesnych technologii w medycynie. Wręcz przeciwnie, dla dobra pacjentów, podnoszenia poziomu opieki zdrowotnej i dbałości o zdrowie społeczeństwa, bezpieczeństwo zdrowotne, także w ujęciu globalnym, wymagane jest wdrażania w proces medyczny najbardziej zaawansowanych technologii. Istotne jednak jest, aby twórcy rozwiązań, systemów, programów i aplikacji informatycznych mieli świadomość, że korzystanie z tych narzędzi i cyfrowych rozwiązań przyniesie zamierzony efekt, wyłącznie wówczas, gdy opierać się będzie na rzetelnych, prawdziwych i etycznych informacjach. Cel ten (np. w obszarze badań klinicznych i analizy danych medycznych pacjentów) będzie mógł być osiągnięty przy zaangażowaniu samych pacjentów. Im większa ich świadomość i zaufanie do usług medycznych, tym skuteczniejsze wykorzystywanie i stosowanie technologii opartych na analizie danych. 

Rodzi to konieczność stosowania odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych minimalizowało ryzyko naruszenia praw i wolności osób fizycznych. Nie wystarczą zatem najbardziej nawet wyspecjalizowane technicznie środki ochrony przetwarzanych informacji. Negatywne konsekwencje nieprawidłowego przetwarzania danych wymagają wdrożenia określonych, czyli odpowiednich do rodzaju danych osobowych, ich ilości, charakteru, kontekstu przetwarzania, ryzyka naruszenia praw osób fizycznych oraz potencjalnych zagrożeń i ich wagi, procedur zapewniających klarowny podział obowiązków, określających uprawnienia i odpowiedzialność personelu przetwarzającego dane pacjentów. W tym zakresie podstawowe znaczenie ma wiedza pracowników (personelu medycznego i niemedycznego) na temat zasad przetwarzania danych osobowych, znajomość wewnętrznych procedur i reguł,  rozumienie oraz świadomość odpowiedzialności za bezpieczeństwo cudzych danych osobowych.

Nie ulega wątpliwości, że celem personelu medycznego i niemedycznego zaangażowanego w proces leczenia, czy szerzej podmiotów udzielających świadczeń zdrowotnych, tworzących system ochrony zdrowia w Polsce jest dbałość o życie i zdrowie pacjentów. Efektywny proces leczenia i opieki nad pacjentem wymaga jednak nie tylko wykorzystania dostępnych i dopuszczalnych, nowoczesnych metod leczenia, wiedzy medycznej, doświadczenia i zaangażowania personelu, ale również upodmiotowienia pacjenta, poszanowania jego prywatności, intymności oraz zrozumienia wagi ryzyka naruszenia informacji stanowiących jego dane osobowe.

Edyta Bielak – Jomaa: prawniczka i nauczyciel akademicki, doktor nauk prawnych, były Generalny Inspektor Ochrony Danych Osobowych oraz prezes Urzędu Ochrony Danych Osobowych.

Polecamy także:

Prawo: placówki medyczne powinny liczyć się z kontrolą UODO

Dane osobowe lekarzy niewystarczająco chronione?

Zgłoś naruszenie/Błąd