Ochrona danych osobowych w gabinecie fizjoterapii

Najważniejszym krajowym aktem prawnym dotyczącym danych osobowych w placówce medycznej jest ustawa o ochronie danych osobowych (dalej u.o.d.o.). Omawiana ustawa nakłada na wszystkich takie same wymogi. Nie ma większego znaczenia, czy w placówce pracuje jedna osoba, czy jest to cała przychodnia, w skład której wchodzi poradnia rehabilitacyjna. Istotną rolę w regulacji ochrony danych osobowych odgrywa również ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta (wraz z właściwymi rozporządzeniami resortowymi) – regulująca chociażby kwestie związane z udostępnianiem i przechowywaniem dokumentacji medycznej. Należy pamiętać, że powyższe czynności muszą mieć miejsce z zachowaniem wymogów stawianych w ustawie u.o.d.o. Aby dobrze zrozumieć tę problematykę, konieczne jest wyjaśnienie podstawowych pojęć z tego zakresu.
Przepisy u.o.d.o. wprowadzają pojęcie:
1 „Danych osobowych”, za jakie należy uznać wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (osoba możliwa do zidentyfikowania to osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne). Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań. Doktryna prawnicza przyjmuje, że adres
e-mail umożliwiający identyfikację określonej osoby należy do danych osobowych i jako taki powinien być chroniony w zgodzie z przepisami.

2 „Administratora danych osobowych”, pod którym rozumie osobę fizyczną, osobę prawną bądź jednostkę organizacyjną bez osobowości prawnej, która decyduje o celach i środkach. W przypadku, gdy administrator danych osobowych nie wykonuje funkcji administratora bezpieczeństwa informacji nadzorującego przestrzeganie zasad ochrony, musi powołać taką osobę wewnątrz placówki.

3 „Administratora Bezpieczeństwa Informacji” (zwanego potocznie ABI), wyznaczonego przez administra-
tora danych osobowych, do którego należy sprawowanie nadzoru nad przestrzeganiem przepisów u.o.d.o. Może nim być tylko osoba fizyczna, która: 1) ma pełną zdolność do czynności prawnych oraz korzysta z pełni praw publicznych; 2) posiada odpowiednią wiedzę w zakresie ochrony danych osobowych; 3) nie była karana za umyślne przestępstwo. Administrator Bezpieczeństwa Informacji może powoływać swoich zastępców (którzy także powinni spełniać warunki wskazane w oświadczeniu). Do podstawowych zadań ABI należy:

• sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie sprawozdania dla administratora danych,
• nadzorowanie opracowania i aktualizowania dokumentacji opisującej sposób przetwarzania danych oraz środki techniczne i organizacyjne zapewniające ochronę przetwarzanych oraz przestrzegania zasad określonych w dokumentacji (przez dokumentację rozumie się tworzenie polityki bezpieczeństwa przetwarz...