Smartfony na oddziałach psychiatrycznych a ochrona danych osobowych. Czy placówki medyczne są przygotowane na ryzyko?
Smartfony na oddziałach psychiatrycznych a ochrona danych osobowych. Czy placówki medyczne są przygotowane na ryzyko?
Smartfon jest dziś nie tylko narzędziem służącym do kontaktu z rodziną. Umożliwia wykonywanie zdjęć, nagrywanie obrazu i dźwięku, prowadzenie transmisji na żywo oraz natychmiastowe publikowanie materiałów w mediach społecznościowych.
W warunkach zamkniętego oddziału psychiatrycznego korzystanie z tych funkcji może prowadzić do ujawnienia szczególnie chronionych informacji o innych pacjentach.
Problem został dostrzeżony przez Prezesa Urzędu Ochrony Danych Osobowych, który przekazał Ministrowi Zdrowia petycję dotyczącą wprowadzenia systemowych zasad korzystania z telefonów komórkowych przez pacjentów przebywających na zamkniętych oddziałach psychiatrycznych.
Nagranie może ujawnić więcej niż wizerunek
Zdjęcie lub nagranie wykonane na oddziale może ujawnić nie tylko twarz albo głos pacjenta. Materiał może wskazywać również fakt hospitalizacji psychiatrycznej, choroby lub aktualny stan emocjonalny, a nawet informacje o diagnozie i leczeniu, oraz elementy dokumentacji medycznej.
Należy zauważyć, że informacje dotyczące zdrowia należą do szczególnych kategorii danych osobowych i podlegają podwyższonej ochronie na gruncie RODO.
Nawet pozornie niewinne zdjęcie wykonane na korytarzu może więc prowadzić do identyfikacji innego pacjenta i ujawnienia informacji, które nigdy nie powinny trafić do osób nieuprawnionych.
Prawo do kontaktu z bliskimi nie oznacza prawa do nagrywania innych osób
Pacjent ma jednak niekwestionowane prawo do kontaktu osobistego, telefonicznego i korespondencyjnego z innymi osobami. Prawo to powinno być respektowane także podczas hospitalizacji. Nie oznacza ono jednak prawa do nieograniczonego rejestrowania i rozpowszechniania informacji dotyczących pozostałych pacjentów.
Jednocześnie komunikatu UODO nie należy interpretować jako wprowadzenia powszechnego zakazu korzystania ze smartfonów ani jako automatycznej podstawy do odbierania pacjentom telefonów. Ewentualne ograniczenia powinny mieć podstawę prawną, być proporcjonalne i uwzględniać indywidualną sytuację pacjenta.
To właśnie konieczność pogodzenia prawa do kontaktu ze światem zewnętrznym z prawem innych osób do prywatności powoduje, że problem wymaga jasnych i systemowych regulacji.
Skutki publikacji mogą być nieodwracalne
Materiały opublikowane w internecie mogą zostać skopiowane, zapisane i rozpowszechnione poza pierwotnym serwisem. Usunięcie wpisu lub nagrania nie zawsze oznacza odzyskanie kontroli nad treścią. Konsekwencje dla osoby nagranej mogą pojawić się także po zakończeniu hospitalizacji i wpływać na jej życie osobiste, społeczne oraz zawodowe.
Szczególne znaczenie ma również fakt, że pacjenci przebywający na zamkniętych oddziałach psychiatrycznych mogą mieć czasowo ograniczoną zdolność do prawidłowej oceny skutków własnych działań. Dotyczy to zarówno publikowania informacji o innych osobach, jak i udostępniania materiałów na własny temat.
Co placówka medyczna może zrobić już teraz?
Brak szczegółowych regulacji ustawowych nie oznacza, że podmiot leczniczy powinien czekać z podjęciem działań. Placówka powinna w szczególności:
przeprowadzić analizę ryzyka związanego z wykonywaniem i publikowaniem nagrań,
zweryfikować regulaminy oraz zasady korzystania z urządzeń elektronicznych,
jasno informować pacjentów o zasadach ochrony prywatności innych osób,
przeszkolić personel z reagowania na zdjęcia, nagrania i transmisje,
ustalić sposób zgłaszania incydentów inspektorowi ochrony danych,
wdrożyć procedurę dokumentowania i oceny potencjalnych naruszeń,
określić zasady postępowania w przypadku publikacji materiału w intrenecie,
unikać automatycznych i nadmiernych ograniczeń praw pacjentów.
Samo przyjęcie regulaminu może być niewystarczające. Placówka powinna również zadbać o to, aby personel wiedział, jak reagować w praktyce, a każdy incydent był oceniany indywidualnie.
Czy publikacja nagrania zawsze oznacza naruszenie RODO przez szpital?
Nie każdy przypadek nagrywania przez pacjenta będzie automatycznie oznaczał naruszenie ochrony danych, za które odpowiada placówka. Konieczne jest ustalenie między innymi jakie informacje zostały ujawnione, czy można zidentyfikować osoby widoczne lub słyszalne na nagraniu, kto decydował o przetwarzaniu danych oraz czy placówka mogła zapobiec zdarzeniu lub ograniczyć jego skutki. Oczywiście kluczowym będzie jakie konsekwencje mogą wystąpić po stronie pacjentów.
Jeżeli placówka stwierdzi naruszenie ochrony danych, powinna je udokumentować i przeprowadzić ocenę ryzyka dla praw i wolności osób fizycznych. Od wyniku tej oceny może zależeć obowiązek zgłoszenia zdarzenia Prezesowi UODO, a w określonych przypadkach również zawiadomienia osób, których dane dotyczą.
RODO w placówce medycznej powinno działać także w praktyce
Ochrona danych pacjentów nie może ograniczać się do dokumentacji przygotowanej kilka lat temu. Rozwój technologii, mediów społecznościowych i urządzeń mobilnych tworzy nowe ryzyka, które powinny być regularnie identyfikowane i uwzględniane w procedurach placówki.
Aktualna analiza ryzyka, odpowiednie regulaminy, przeszkolony personel oraz procedura reagowania na incydenty mogą ograniczyć zarówno skutki naruszenia, jak i ryzyko odpowiedzialności podmiotu leczniczego.
Nasza Kancelaria wspiera placówki medyczne w przeprowadzaniu audytów zgodności z RODO, aktualizacji dokumentacji, analizie ryzyka oraz przygotowywaniu procedur reagowania na naruszenia ochrony danych.
