Czy pacjent musi podpisać zgodę RODO w gabinecie?

Na jakiej podstawie przetwarzasz dane pacjentów?

Dokumentację medyczną prowadzisz, bo wymagają tego przepisy: ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta oraz rozporządzenie w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej. To podstawa z art. 6 ust. 1 lit. c RODO. Dane o zdrowiu są szczególną kategorią, więc potrzebujesz jeszcze przesłanki z art. 9 ust. 2. Dla leczenia jest to lit. h, a art. 9 ust. 3 wymaga, żeby dane przetwarzała osoba zobowiązana do tajemnicy zawodowej albo ktoś działający pod jej odpowiedzialnością, objęty obowiązkiem tajemnicy. Dlatego rejestracja i obsługa IT pracują na upoważnieniach.

Zgoda z art. 6 ust. 1 lit. a i art. 9 ust. 2 lit. a RODO nie jest tu potrzebna.

Czy zgoda na leczenie to to samo co zgoda RODO?

Nie. To dwie różne rzeczy:

• Zgoda na leczenie (zabieg, badanie) wynika z przepisów o prawach pacjenta i zawodach medycznych. Dotyczy ingerencji w ciało pacjenta.
• Zgoda RODO dotyczy przetwarzania danych osobowych. W leczeniu zwykle nie jest wymagana.

Pacjent może podpisać pierwszą i nie musi podpisywać drugiej.

Dlaczego zbędna zgoda RODO szkodzi?

1. Myli podstawę prawną. Skoro prosisz o zgodę, pacjent i UODO mogą uznać, że to ona jest podstawą przetwarzania. A zgodę da się wycofać (art. 7 ust. 3 RODO).
2. Pacjent może ją wycofać, a dokumentację i tak musisz prowadzić. Powstaje sprzeczność: pacjent myśli, że cofnięcie zgody zatrzyma przetwarzanie, a Ty masz obowiązek zachować dokumentację przez okres wskazany w przepisach.
3. Zgoda musi być dobrowolna. Jeśli odmowa podpisu oznacza brak wizyty, zgoda nie jest dobrowolna i jest nieważna.
4. Daje poczucie, że sprawa jest załatwiona. Tymczasem formularz zgody nie wypełnia obowiązku informacyjnego z art. 13, jeśli nie zawiera wymaganych informacji. Liczy się treść informacji, nie podpis.

Co pacjent powinien dostać zamiast zgody?

Informację o przetwarzaniu danych zgodną z art. 13 RODO: kto jest administratorem, w jakim celu i na jakiej podstawie przetwarzasz dane, komu je udostępniasz, jak długo je przechowujesz oraz jakie przysługują mu prawa. Nie musi jej podpisywać. Możesz ją wywiesić w rejestracji, dać do przeczytania albo przesłać. Jeśli wieszasz ją w rejestracji, niech będzie czytelna, łatwo dostępna i wyraźnie wskazana pacjentowi przy zbieraniu danych (także przy rejestracji telefonicznej i internetowej). Wzór znajdziesz w artykule klauzula informacyjna dla pacjenta.

Raportowanie do P1 też bez zgody

Raportowanie zdarzeń medycznych do systemu P1 obowiązuje także gabinety prywatne. Wynika z przepisów, a nie ze zgody pacjenta, więc nie pytasz o nią pacjenta. W informacji z art. 13 uwzględnij cel i podstawę prawną raportowania oraz odbiorców danych lub ich kategorie.

Kiedy zgoda pacjenta jest potrzebna?

Gdy dla konkretnego celu nie ma zastosowania inna podstawa prawna, na przykład obowiązek ustawowy, leczenie czy umowa. Dla danych o zdrowiu potrzebna jest też przesłanka z art. 9 ust. 2 RODO, a poza leczeniem zwykle jest nią wyraźna zgoda. Przykłady:

• marketing i newsletter (zgoda na wysyłanie wiadomości, osobna dla każdego kanału tam, gdzie wymagają tego przepisy o łączności elektronicznej),
• zdjęcia pacjenta do publikacji, na przykład „przed i po” na stronie albo w mediach społecznościowych (gdy pacjent jest rozpoznawalny, wymagana jest wyraźna zgoda na publikację danych o zdrowiu, art. 9 ust. 2 lit. a RODO),
• opinie i referencje z danymi pacjenta, które chcesz opublikować.

Taka zgoda ma być osobna, dobrowolna, konkretna i możliwa do wycofania w każdej chwili (art. 7 RODO). Nie łącz jej ze zgodą na leczenie.

Formularze „zgoda RODO” z programów gabinetowych

Wiele programów gabinetowych podsuwa pacjentowi na tablecie formularz „Wyrażam zgodę na przetwarzanie danych osobowych”. Jeżeli dotyczy on tylko leczenia i dokumentacji, nie wprowadzaj go. Jeśli już go używasz, przestań zbierać zgodę na przetwarzanie niezbędne do leczenia i prowadzenia dokumentacji, bo wprowadza pacjenta w błąd co do podstawy przetwarzania. Zastąp go informacją o rzeczywistej podstawie prawnej. Potwierdzenie jej otrzymania jest opcjonalne. Wcześniej podpisanych formularzy nie musisz niszczyć.

Możemy to przygotować za Ciebie

Komplet dokumentacji RODO dla gabinetu, 999 zł. Informacja dla pacjentów z art. 13, rejestr czynności, analiza ryzyka, procedura naruszeń i pozostałe dokumenty. Przygotowane pod to, jak naprawdę pracujesz. Szczegóły w cenniku.

Zadzwoń: 880 133 640, Roman Jońca.

Zobacz też: dokumentacja RODO gabinetu lekarskiego i lista kontrolna RODO dla gabinetu.

Najczęstsze pytania

Czy pacjent musi podpisać zgodę RODO przed pierwszą wizytą? Nie. Podstawą przetwarzania danych w leczeniu są przepisy, nie zgoda. Pacjent musi dostać informację z art. 13 RODO.

Czy zgoda na leczenie to zgoda na przetwarzanie danych? Nie. To dwie odrębne rzeczy z różnych przepisów.

Czy mogę poprosić o zgodę na przetwarzanie danych w leczeniu na wszelki wypadek? Nie warto. Zgodę można wycofać, a dokumentację i tak musisz prowadzić. To wprowadza w błąd.

Czy zgoda jest potrzebna na wysyłanie przypomnień o wizytach? Przypomnienie o umówionej wizycie jest elementem organizacji leczenia. Zgoda jest potrzebna na wiadomości marketingowe.

Czy do zdjęć „przed i po” potrzebna jest zgoda? Tak, jeśli pacjent jest na nich rozpoznawalny i chcesz je publikować. Powinna być wyraźna, osobna, konkretna i możliwa do wycofania.