Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Opracowujemy politykę bezpieczeństwa dla przychodni - SPZOZ. Próbuję znaleźć odpowiedź w uodo i przepisach, czy lekarze, pielęgniarki, położne powinni posiadać pisemne upoważnienie do przetwarzania danych osobowych z zakresem danych.
Ustawa odo mówi o zakazie dopuszczania do przetwarzania danych osobowych osób innych, niż mających upoważnienie nadane przez administratora danych.

Są jednak przepisy dot. zawodów medycznych - ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta mówi:
Art 24 pkt 2. Lekarze, pielęgniarki i położne są uprawnieni do uzyskiwania i przetwarzania danych zawartych w dokumentacji medycznej, o których mowa w art. 25.

Czy zatem ustawa nie zwalnia ADO z nadania lekarzowi, pielęgniarce, położnej upoważnienia do przetwarzania danych w konkretnym SPZOZ, do konkretnych zbiorów (np. pacjentów)?

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Pani Magdaleno, cytowany przez Panią art. z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta może być podstawą do przetwarzania danych w myśl art. 23 ust. 1 pkt. 2 "Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy (...) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa".
Nie zmienia to jednak faktu, że upoważnienia powinny być nadane. Jeśli ktoś ma dostęp do danych to upoważnienie obligatoryjnie musi być.

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Podstawą przetwarzania danych pacjentów jest art 27 pkt 7. Wspomniane upoważnienie ustawowe jest szczegółowe i wydaje się być wystarczające do przetwarzania danych przez lekarzy, pielęgniarki i położne, jako dokumentacji medycznej. Upoważnienia trzeba dać innym osobom np. sekretarkom medycznym czy rejestratorkom. Warto prowadzi ewidencję tych osób z uwagi na "Art. 38. Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane." Wielokrotnie było omawiane, że ustawa o ochronie danych są to przepisy ogólne a sposób prowadzenia dokumentacji ustawa o prawach pacjenta i rozporządzenie w sprawie d.m. to przepisy szczególne.

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Pani Basiu, moim zdaniem jest inaczej.
Art 27 pkt 7 u.o.d.o. oraz art 24. pkt 2. ustawy o prawach pacjenta i rzeczniku praw pacjenta (dalej u.p.p.r.p.p.) stanowią łącznie podstawę prawną do przetwarzania wrażliwych danych osobowych przez pielęgniarki i lekarzy.

Czym innym jest jednak upoważnienie do przetwarzania konkretnego zbioru danych, wydane przez odpowiadającego za ten zbiór ADO konkretnej osobie (w tym przypadku konkretnemu lekarzowi lub pielęgniarce), które wg mojego rozumienia jest narzędziem nadzoru na tym komu i w jakim zakresie ten ADO umożliwia dostęp do administrowanych przez siebie danych.

Idąc Pani tokiem rozumowania u.p.p.r.p.p. daje każdemu lekarz w naszym kraju upoważnienie do przetwarzania każdego zbioru danych medycznych, w pełnym zakresie, niezależnie od tego czy lekarz ten zajmuje się danym pacjentem i czy dane te potrzebne mu są do wykonywania pracy w zakresie jego specjalności.
Chyba tak jednak nie jest?

O ile mi wiadomo, od art. 37. u.o.d.o. , czyli :
"Do przetwarzania danych mogą być dopuszczone wyłącznie osoby posiadające upoważnienie nadane przez administratora danych."
nie przewidziano wyjątków...

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Bardzo ładnie napisane Panie Marku, w pełni się zgadzam :)

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Nie każdemu, bo jak Państwo prześledzicie przepisy znajdziecie , że obowiązek prowadzenia dokumentacji medycznej ma np. podmiot leczniczy i to jest wtedy konkretny podmiot, który w różnych formach prawnych zatrudnia u siebie lekarzy, pielęgniarki i nie wyobrażam sobie sytuacji że któryś z lekarzy będzie przed konsultacją czy przed udzieleniem pomocy sprawdzał czy ma upoważnienie do przetwarzania danych z danego oddziału:) poza tym często mamy do czynienia z tak zwaną kontynnuacją leczenia...Ten post został edytowany przez Autora dnia 08.09.15 o godzinie 07:56

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Na początki myślałam dokładnie tak jak Państwo, jednak po doświadczeniach w placówkach medycznych zrozumiałam, że jest inaczej:)

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Ja wiem że podstawa z 27 to co innego niż upoważnienie do przetwarzania danych osobowych :)
to była odpowiedź na stwierdzenie, że Pani Marty:
"Pani Magdaleno, cytowany przez Panią art. z ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta może być podstawą do przetwarzania danych w myśl art. 23 ust. 1 pkt. 2 "Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy (...) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa".

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

W sumie ciekawy case study:) Pani Barbaro przechodziliście już kontrolę GIODO? Może ktoś inny? Chodzi mi o potwierdzenie takiej interpretacji.

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Art. 24. 1. W celu realizacji prawa, o którym mowa w art. 23 ust. 1, podmiot udzielający świadczeń zdrowotnych jest obowiązany prowadzić, przechowywać i udostępniać dokumentację medyczną w sposób określony w niniejszym rozdziale oraz zapewnić ochronę danych zawartych w tej dokumentacji.
2. Lekarze, pielęgniarki i położne są uprawnieni do uzyskiwania i przetwarzania danych zawartych w dokumentacji medycznej, o których mowa w art. 25.

Art. 25. Dokumentacja medyczna zawiera co najmniej:
1) oznaczenie pacjenta, pozwalające na ustalenie jego tożsamości:
a) nazwisko i imię (imiona),
b) datę urodzenia,
c) oznaczenie płci,
d) adres miejsca zamieszkania,
e) numer PESEL, jeżeli został nadany, w przypadku noworodka - numer PESEL matki, a w przypadku osób, które nie mają nadanego numeru PESEL - rodzaj i numer dokumentu potwierdzającego tożsamość,
f) w przypadku gdy pacjentem jest osoba małoletnia, całkowicie ubezwłasnowolniona lub niezdolna do świadomego wyrażenia zgody - nazwisko i imię (imiona) przedstawiciela ustawowego oraz adres jego miejsca zamieszkania;
2) oznaczenie podmiotu udzielającego świadczeń zdrowotnych ze wskazaniem komórki organizacyjnej, w której udzielono świadczeń zdrowotnych;
3) opis stanu zdrowia pacjenta lub udzielonych mu świadczeń zdrowotnych;
4) datę sporządzenia.

Może zastanówmy się w takim razie w jakim celu ustawodawca ustanowił takie przepisy.Ten post został edytowany przez Autora dnia 08.09.15 o godzinie 09:36

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Dodajmy jeszcze dla jasności, że przesłanką zbierania danych w podmiocie leczniczym jest art 27 ust. 2 pkt 7 ustawy ODO

"przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych"

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Barbara S.:
Nie każdemu, bo jak Państwo prześledzicie przepisy znajdziecie , że obowiązek prowadzenia dokumentacji medycznej ma np. podmiot leczniczy i to jest wtedy konkretny podmiot, który w różnych formach prawnych zatrudnia u siebie lekarzy, pielęgniarki

To, że podmiot ma obowiązek prowadzenia dokumentacji medycznej to nie znaczy, że każdy lekarz (już nie mówiąc o pielęgniarce), który się w nim pojawi jest z automatu upoważniony do przetwarzania wszelkich danych medycznych administrowanych przez ten podmiot.
Lekarz ten jest _uprawniony_ ale nie jest jeszcze _upoważniony_,
ponieważ o upoważnieniu decyduje ADO danego podmiotu, jest to jego autonomiczna decyzja.

nie wyobrażam sobie sytuacji że któryś z lekarzy będzie przed konsultacją czy przed udzieleniem pomocy sprawdzał czy ma upoważnienie do przetwarzania danych z danego oddziału:)

To nie lekarz ma to sprawdzać czy jest upoważniony, tylko podmiot musi mieć kontrolę nad tym kogo dopuszcza do danych itp. ("Art. 38. Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.") i dokumentem potwierdzającym sprawowanie tej kontroli jest właśnie upoważnienie.
Bez wydania upoważnienia podmiot nie ma prawa dopuścić lekarza wykonywania pracy na jego terenie. Upoważnienie jest w tym przypadku niezbędnym dokumentem tak samo jak np. umowa o pracę.
Przez analogię - to, że ktoś ma dyplom lekarski, czyli ma _prawo_ wykonywania zawodu
nie oznacza, że może wejść do dowolnego szpitala, czy przychodni i od razu zacząć tam leczyć ludzi. Dlaczego? Ponieważ nie ma _upoważnienia_ w postaci umowy o pracę z danym zakładem.

Pracuję jako ABI w Szpitalu i nie wyobrażam sobie takiej sytuacji, że np. pojawia się u nas nowy lekarz i bez formalnego upoważnienia i określenia uprawnień uzyskuje dostęp do dokumentacji medycznej i systemu informatycznego, w którym gromadzimy dane.
Jakie mam metody kontroli nad tym?
Podstawowa to świadomość pracowników - w czasie szkoleń, spotkań itp. tłumaczę wszystkim , a szczególnie ordynatorom, pielęgniarkom oddziałowym i kierownikom innych komórek, że nikt nie ma prawa dostępu do danych bez wydania upoważnienia i określenia zakresu uprawnień.
Pracownicy wiedzą też, że nikt nie mają prawa udostępniać komukolwiek swojego loginu i hasła,
ani udostępniać zalogowanego komputera innej osobie. Sami użytkownicy często doceniają tą zasadę bo np. nikt z lekarzy nie chciałby, żeby ktoś inny wpisał błędne rozpoznanie pacjentowi i podpisał się ich nazwiskiem.
Drugą metodą kontroli jest właśnie kwestia dostępu do systemu informatycznego. Skoro nie można się zalogować pod nie swoim loginem to ten przykładowy nowy lekarz musi się zgłosić do działu informatyki po login i hasło. Jeżeli zgłasza się bez wydanego upoważnienia, to niestety, ale dowiaduje się, że najpierw musi załatwić formalności.
Większość przyjmuje to ze zrozumieniem, ale zdarzyło mi się też spotkać z pretensjami lekarzy, że utrudniamy im rozpoczęcie wykonywania pracy. Na oddziela czekają na nich pacjenci itd. Rozumiem takiego lekarza, ale nie ja wymyśliłem te przepisy. Z całym szacunkiem - jak idzie podpisywać umowę o pracę to też w tym czasie mógłby leczyć ludzi, ale jakoś z tym nie ma problemu...

PS. Żeby nie było, że u mnie to jest tak super - z o.d.o. w szpitalu jest mnóstwo różnych problemów i u nas też nieraz zdarzają się różne nieprawidłowości i naruszenia. Po ponad 3 latach bycia ABI to mógłbym pewnie o tym napisać książkę :)

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Barbara S.:
Dodajmy jeszcze dla jasności, że przesłanką zbierania danych w podmiocie leczniczym jest art 27 ust. 2 pkt 7 ustawy ODO

"przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych"

Ale mówimy tu teraz o upoważnieniu a nie o przesłance zbierania danych. Jednak sama końcówka przytoczonego przez Panią informuje nas, że są stworzone pełne gwarancje ochrony danych osobowych. Gwarancją ochrony jest nie tylko ochrona fizyczna, ale też kontrola nad przetwarzaniem danych.
Osoba uprawniona do przetwarzania danych osobowych nie posiada jeszcze upoważnienia do przetwarzania, które określa zakres, czas oraz datę nadania itp... Analogicznie można to odnieść do Policji, gdzie w przypadku, gdy policjant prosi o udostępnienie danych osobowych w trakcie wykonywania ustawowych zadań musi okazać odznakę i imienne upoważnienie nadane przez Komendanta. Sugeruje to, że mimo, że policjanci są uprawnieni, to potrzebują jeszcze upoważnienia.
Oczywiście lekarze nie muszą chodzić z upoważnieniem do pacjentów, ale jednak muszą takowe posiadać.
Poza tym ADO, żeby spełnić przepisy prawa (art. 37-39) musi nadać upoważnienie. W tych artykułach nie masz odniesienia do wyjątków określonych w odrębnych przepisach ;)

Edit: O, P. Marcin mnie wyprzedził ;)Ten post został edytowany przez Autora dnia 08.09.15 o godzinie 10:19

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Pełna dokumentacja co do okresu dostępu do danych, procedura nadania uprawnień: login i hasło.., szkolenia z ochrony co do zabezpieczeń idt. - to wszystko ma być tak jak dla wszystkich, natomiast uważam, że nie jest konieczne wystawienie osobnego, specjalnego upoważnienia do przetwarzania danych tak jakby to miała sekretarka medyczna.

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Ale mówimy tu teraz o upoważnieniu a nie o przesłance zbierania danych.

ja wiem że mówimy o upoważnieniu, chciałam jedynie uporządkować ponieważ na początku dyskusji te przepisy były podawane jako przesłanka do zbierania danych.

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Marek P.:

Barbara S.:
Nie każdemu, bo jak Państwo prześledzicie przepisy znajdziecie , że obowiązek prowadzenia dokumentacji medycznej ma np. podmiot leczniczy i to jest wtedy konkretny podmiot, który w różnych formach prawnych zatrudnia u siebie lekarzy, pielęgniarki

To, że podmiot ma obowiązek prowadzenia dokumentacji medycznej to nie znaczy, że każdy lekarz (już nie mówiąc o pielęgniarce), który się w nim pojawi jest z automatu upoważniony do przetwarzania wszelkich danych medycznych administrowanych przez ten podmiot.
Lekarz ten jest _uprawniony_ ale nie jest jeszcze _upoważniony_,
ponieważ o upoważnieniu decyduje ADO danego podmiotu, jest to jego autonomiczna decyzja.

nie wyobrażam sobie sytuacji że któryś z lekarzy będzie przed konsultacją czy przed udzieleniem pomocy sprawdzał czy ma upoważnienie do przetwarzania danych z danego oddziału:)

To nie lekarz ma to sprawdzać czy jest upoważniony, tylko podmiot musi mieć kontrolę nad tym kogo dopuszcza do danych itp. ("Art. 38. Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.") i dokumentem potwierdzającym sprawowanie tej kontroli jest właśnie upoważnienie.

Też wskazywałam na konieczność kontroli w poprzednich postach, ale ta kontrola może być też sprawowana w inny sposób.

Bez wydania upoważnienia podmiot nie ma prawa dopuścić lekarza wykonywania pracy na jego terenie. Upoważnienie jest w tym przypadku niezbędnym dokumentem tak samo jak np. umowa o pracę.
Przez analogię - to, że ktoś ma dyplom lekarski, czyli ma _prawo_ wykonywania zawodu
nie oznacza, że może wejść do dowolnego szpitala, czy przychodni i od razu zacząć tam leczyć ludzi. Dlaczego? Ponieważ nie ma _upoważnienia_ w postaci umowy o pracę z danym zakładem.

Pracuję jako ABI w Szpitalu i nie wyobrażam sobie takiej sytuacji, że np. pojawia się u nas nowy lekarz i bez formalnego upoważnienia i określenia uprawnień uzyskuje dostęp do dokumentacji medycznej i systemu informatycznego, w którym gromadzimy dane.
Jakie mam metody kontroli nad tym?
Podstawowa to świadomość pracowników - w czasie szkoleń, spotkań itp. tłumaczę wszystkim , a szczególnie ordynatorom, pielęgniarkom oddziałowym i kierownikom innych komórek, że nikt nie ma prawa dostępu do danych bez wydania upoważnienia i określenia zakresu uprawnień.

uprawnienia w systemie jak najbardziej, prezycyzyjnie opisane w karcie uprawnień

Pracownicy wiedzą też, że nikt nie mają prawa udostępniać komukolwiek swojego loginu i hasła,
ani udostępniać zalogowanego komputera innej osobie. Sami użytkownicy często doceniają tą zasadę bo np. nikt z lekarzy nie chciałby, żeby ktoś inny wpisał błędne rozpoznanie pacjentowi i podpisał się ich nazwiskiem.
Drugą metodą kontroli jest właśnie kwestia dostępu do systemu informatycznego. Skoro nie można się zalogować pod nie swoim loginem to ten przykładowy nowy lekarz musi się zgłosić do działu informatyki po login i hasło. Jeżeli zgłasza się bez wydanego upoważnienia, to niestety, ale dowiaduje się, że najpierw musi załatwić formalności.
Większość przyjmuje to ze zrozumieniem, ale zdarzyło mi się też spotkać z pretensjami lekarzy, że utrudniamy im rozpoczęcie wykonywania pracy. Na oddziela czekają na nich pacjenci itd. Rozumiem takiego lekarza, ale nie ja wymyśliłem te przepisy. Z całym szacunkiem - jak idzie podpisywać umowę o pracę to też w tym czasie mógłby leczyć ludzi, ale jakoś z tym nie ma problemu...

PS. Żeby nie było, że u mnie to jest tak super - z o.d.o. w szpitalu jest mnóstwo różnych problemów i u nas też nieraz zdarzają się różne nieprawidłowości i naruszenia. Po ponad 3 latach bycia ABI to mógłbym pewnie o tym napisać książkę :)

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Być uprawnionym a upoważnionym to dwie różne rzeczy. Uprawnienie jest przesłanką do wydania upoważnienia danej osobie.

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Marek P.:

Barbara S.:
Nie każdemu, bo jak Państwo prześledzicie przepisy znajdziecie , że obowiązek prowadzenia dokumentacji medycznej ma np. podmiot leczniczy i to jest wtedy konkretny podmiot, który w różnych formach prawnych zatrudnia u siebie lekarzy, pielęgniarki

To, że podmiot ma obowiązek prowadzenia dokumentacji medycznej to nie znaczy, że każdy lekarz (już nie mówiąc o pielęgniarce), który się w nim pojawi jest z automatu upoważniony do przetwarzania wszelkich danych medycznych administrowanych przez ten podmiot.
Lekarz ten jest _uprawniony_ ale nie jest jeszcze _upoważniony_,
ponieważ o upoważnieniu decyduje ADO danego podmiotu, jest to jego autonomiczna decyzja.

nie wyobrażam sobie sytuacji że któryś z lekarzy będzie przed konsultacją czy przed udzieleniem pomocy sprawdzał czy ma upoważnienie do przetwarzania danych z danego oddziału:)

To nie lekarz ma to sprawdzać czy jest upoważniony, tylko podmiot musi mieć kontrolę nad tym kogo dopuszcza do danych itp. ("Art. 38. Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.") i dokumentem potwierdzającym sprawowanie tej kontroli jest właśnie upoważnienie.
Bez wydania upoważnienia podmiot nie ma prawa dopuścić lekarza wykonywania pracy na jego terenie. Upoważnienie jest w tym przypadku niezbędnym dokumentem tak samo jak np. umowa o pracę.

Przez analogię - to, że ktoś ma dyplom lekarski, czyli ma _prawo_ wykonywania zawodu
nie oznacza, że może wejść do dowolnego szpitala, czy przychodni i od razu zacząć tam leczyć ludzi. Dlaczego? Ponieważ nie ma _upoważnienia_ w postaci umowy o pracę z danym zakładem.

Ja nie mówię o jakimkolwiek lekarzu ale o lekarzu który podpisze umowe o pracę lub jakąkolwiek inną formę

Pracuję jako ABI w Szpitalu i nie wyobrażam sobie takiej sytuacji, że np. pojawia się u nas nowy lekarz i bez formalnego upoważnienia i określenia uprawnień uzyskuje dostęp do dokumentacji medycznej i systemu informatycznego, w którym gromadzimy dane.
Jakie mam metody kontroli nad tym?
Podstawowa to świadomość pracowników - w czasie szkoleń, spotkań itp. tłumaczę wszystkim , a szczególnie ordynatorom, pielęgniarkom oddziałowym i kierownikom innych komórek, że nikt nie ma prawa dostępu do danych bez wydania upoważnienia i określenia zakresu uprawnień.
Pracownicy wiedzą też, że nikt nie mają prawa udostępniać komukolwiek swojego loginu i hasła,
ani udostępniać zalogowanego komputera innej osobie. Sami użytkownicy często doceniają tą zasadę bo np. nikt z lekarzy nie chciałby, żeby ktoś inny wpisał błędne rozpoznanie pacjentowi i podpisał się ich nazwiskiem.
Drugą metodą kontroli jest właśnie kwestia dostępu do systemu informatycznego. Skoro nie można się zalogować pod nie swoim loginem to ten przykładowy nowy lekarz musi się zgłosić do działu informatyki po login i hasło. Jeżeli zgłasza się bez wydanego upoważnienia, to niestety, ale dowiaduje się, że najpierw musi załatwić formalności.
Większość przyjmuje to ze zrozumieniem, ale zdarzyło mi się też spotkać z pretensjami lekarzy, że utrudniamy im rozpoczęcie wykonywania pracy. Na oddziela czekają na nich pacjenci itd. Rozumiem takiego lekarza, ale nie ja wymyśliłem te przepisy. Z całym szacunkiem - jak idzie podpisywać umowę o pracę to też w tym czasie mógłby leczyć ludzi, ale jakoś z tym nie ma problemu...

PS. Żeby nie było, że u mnie to jest tak super - z o.d.o. w szpitalu jest mnóstwo różnych problemów i u nas też nieraz zdarzają się różne nieprawidłowości i naruszenia. Po ponad 3 latach bycia ABI to mógłbym pewnie o tym napisać książkę :)

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Barbara S.:

Ja nie mówię o jakimkolwiek lekarzu ale o lekarzu który podpisze umowe o pracę lub jakąkolwiek inną formę

Obowiązek posiadania upoważnienia dotyczy wszystkich lekarzy, którzy przetwarzają dane osobowe. Nie wydając upoważnienia spełnia się tylko jeden warunek - art 51 ;)

Temat: Upoważnienie do przetwarzania danych osobowych w służbie...

Barbara S.:

Marek P.:

Barbara S.:
Nie każdemu, bo jak Państwo prześledzicie przepisy znajdziecie , że obowiązek prowadzenia dokumentacji medycznej ma np. podmiot leczniczy i to jest wtedy konkretny podmiot, który w różnych formach prawnych zatrudnia u siebie lekarzy, pielęgniarki

To, że podmiot ma obowiązek prowadzenia dokumentacji medycznej to nie znaczy, że każdy lekarz (już nie mówiąc o pielęgniarce), który się w nim pojawi jest z automatu upoważniony do przetwarzania wszelkich danych medycznych administrowanych przez ten podmiot.
Lekarz ten jest _uprawniony_ ale nie jest jeszcze _upoważniony_,
ponieważ o upoważnieniu decyduje ADO danego podmiotu, jest to jego autonomiczna decyzja.

nie wyobrażam sobie sytuacji że któryś z lekarzy będzie przed konsultacją czy przed udzieleniem pomocy sprawdzał czy ma upoważnienie do przetwarzania danych z danego oddziału:)

To nie lekarz ma to sprawdzać czy jest upoważniony, tylko podmiot musi mieć kontrolę nad tym kogo dopuszcza do danych itp. ("Art. 38. Administrator danych jest obowiązany zapewnić kontrolę nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.") i dokumentem potwierdzającym sprawowanie tej kontroli jest właśnie upoważnienie.
Bez wydania upoważnienia podmiot nie ma prawa dopuścić lekarza wykonywania pracy na jego terenie. Upoważnienie jest w tym przypadku niezbędnym dokumentem tak samo jak np. umowa o pracę.

Przez analogię - to, że ktoś ma dyplom lekarski, czyli ma _prawo_ wykonywania zawodu
nie oznacza, że może wejść do dowolnego szpitala, czy przychodni i od razu zacząć tam leczyć ludzi. Dlaczego? Ponieważ nie ma _upoważnienia_ w postaci umowy o pracę z danym zakładem.

Ja nie mówię o jakimkolwiek lekarzu ale o lekarzu który podpisze umowe o pracę lub jakąkolwiek inną formę np. kontrakt

i będzie przetwarzał dane osobowe w zakresie ustalonym przez art 25 - wykonując swoje obowiązki czyli będzie leczył ludzi i sporządzał dokumentację medyczną w określonym miejscu cu i określonym czasie, po przeszkoleniu po nadaniu uprawnień w systemie itd.

Pracuję jako ABI w Szpitalu i nie wyobrażam sobie takiej sytuacji, że np. pojawia się u nas nowy lekarz i bez formalnego upoważnienia i określenia uprawnień uzyskuje dostęp do dokumentacji medycznej i systemu informatycznego, w którym gromadzimy dane.
Jakie mam metody kontroli nad tym?
Podstawowa to świadomość pracowników - w czasie szkoleń, spotkań itp. tłumaczę wszystkim , a szczególnie ordynatorom, pielęgniarkom oddziałowym i kierownikom innych komórek, że nikt nie ma prawa dostępu do danych bez wydania upoważnienia i określenia zakresu uprawnień.
Pracownicy wiedzą też, że nikt nie mają prawa udostępniać komukolwiek swojego loginu i hasła,
ani udostępniać zalogowanego komputera innej osobie. Sami użytkownicy często doceniają tą zasadę bo np. nikt z lekarzy nie chciałby, żeby ktoś inny wpisał błędne rozpoznanie pacjentowi i podpisał się ich nazwiskiem.
Drugą metodą kontroli jest właśnie kwestia dostępu do systemu informatycznego. Skoro nie można się zalogować pod nie swoim loginem to ten przykładowy nowy lekarz musi się zgłosić do działu informatyki po login i hasło. Jeżeli zgłasza się bez wydanego upoważnienia, to niestety, ale dowiaduje się, że najpierw musi załatwić formalności.
Większość przyjmuje to ze zrozumieniem, ale zdarzyło mi się też spotkać z pretensjami lekarzy, że utrudniamy im rozpoczęcie wykonywania pracy. Na oddziela czekają na nich pacjenci itd. Rozumiem takiego lekarza, ale nie ja wymyśliłem te przepisy. Z całym szacunkiem - jak idzie podpisywać umowę o pracę to też w tym czasie mógłby leczyć ludzi, ale jakoś z tym nie ma problemu...

PS. Żeby nie było, że u mnie to jest tak super - z o.d.o. w szpitalu jest mnóstwo różnych problemów i u nas też nieraz zdarzają się różne nieprawidłowości i naruszenia. Po ponad 3 latach bycia ABI to mógłbym pewnie o tym napisać książkę :)Ten post został edytowany przez Autora dnia 08.09.15 o godzinie 11:14