RODO w podmiotach leczniczych: termin na pismo i skutki zwłoki

Podmioty lecznicze, takie jak szpitale, przychodnie, gabinety lekarskie czy laboratoria diagnostyczne, każdego dnia przetwarzają ogromne ilości danych osobowych o szczególnym charakterze. Dane dotyczące zdrowia, jako dane wrażliwe (szczególne kategorie danych w rozumieniu art. 9 RODO), podlegają rygorystycznej ochronie prawnej. Pacjenci są coraz bardziej świadomi swoich praw i chętnie korzystają z narzędzi, jakie daje im Ogólne Rozporządzenie o Ochronie Danych (RODO). Najczęstszym wyrazem tej aktywności jest składanie wniosków o realizację praw, takich jak prawo dostępu do danych, ich sprostowanie, ograniczenie przetwarzania czy usunięcie. Dla personelu administracyjnego oraz kadry zarządzającej placówek medycznych kluczowe znaczenie ma znajomość procedur oraz terminów na udzielenie odpowiedzi. Opóźnienie lub brak reakcji na pismo pacjenta może bowiem skutkować poważnymi konsekwencjami prawnymi, finansowymi oraz wizerunkowymi. W niniejszej publikacji szczegółowo omawiamy zasady obliczania terminów, procedurę obsługi wniosków oraz skutki zwłoki w podmiotach leczniczych.

Specyfika danych medycznych a prawa pacjenta na gruncie RODO

Dane o stanie zdrowia, historii leczenia, wynikach badań czy receptach stanowią fundament działalności każdego podmiotu leczniczego. RODO klasyfikuje te informacje jako dane szczególnej kategorii, których przetwarzanie jest co do zasady zabronione, chyba że zachodzi jedna z przesłanek legalizujących określonych w art. 9 ust. 2 RODO. Najczęściej jest to niezbędność do celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego. Ta szczególna wrażliwość sprawia, że pacjenci mają prawo do pełnej kontroli nad swoimi informacjami. Do najczęściej realizowanych uprawnień należą: prawo dostępu do danych (art. 15 RODO), w tym uzyskanie ich kopii, prawo do sprostowania nieprawidłowych danych (art. 16 RODO), prawo do usunięcia danych (art. 17 RODO – choć tu stosowanie jest mocno ograniczone przez obowiązek prawny przechowywania dokumentacji medycznej), a także prawo do ograniczenia przetwarzania (art. 18 RODO). Każde z tych żądań wymaga od podmiotu leczniczego podjęcia konkretnych działań i udzielenia formalnej odpowiedzi w ściśle określonym czasie.

Termin na odpowiedź na wniosek pacjenta: zasada ogólna

Podstawowym obowiązkiem podmiotu leczniczego jako administratora danych jest udzielenie odpowiedzi na wniosek pacjenta bez zbędnej zwłoki. Zgodnie z art. 12 ust. 3 RODO, maksymalny termin na przekazanie informacji o działaniach podjętych w związku z żądaniem wynosi jeden miesiąc od dnia otrzymania wniosku. Warto podkreślić, że sformułowanie 'bez zbędnej zwłoki' oznacza, iż placówka medyczna nie powinna zwlekać z odpowiedzią do ostatniego dnia, jeśli sprawa jest prosta i możliwa do załatwienia od ręki. Miesięczny termin jest terminem maksymalnym, a nie standardowym czasem oczekiwania. Jeśli wniosek pacjenta jest jasny, a tożsamość wnioskodawcy nie budzi wątpliwości, odpowiedź powinna zostać wysłana tak szybko, jak to możliwe.

Jak prawidłowo obliczyć miesięczny termin?

Obliczanie terminów na gruncie RODO budziło początkowo pewne kontrowersje, jednak obecnie dominuje pogląd oparty na prawie unijnym (rozporządzenie Rady nr 1182/71). Termin miesięczny upływa z dniem, który nazwą lub datą odpowiada dniowi, w którym nastąpiło zdarzenie początkowe (czyli wpłynięcie wniosku do placówki). Przykładowo, jeśli wniosek pacjenta wpłynął do rejestracji przychodni w dniu 15 marca, termin na udzielenie odpowiedzi upływa w dniu 15 kwietnia. Jeżeli w danym miesiącu nie ma takiego dnia (np. wniosek złożono 31 sierpnia, a wrzesień ma tylko 30 dni), termin upływa w ostatnim dniu tego miesiąca (czyli 30 września). Jeśli koniec terminu przypada na dzień wolny od pracy lub święto, termin nie ulega automatycznemu wydłużeniu na gruncie RODO tak jak w polskim Kodeksie postępowania administracyjnego, dlatego bezpieczniej jest odpowiedzieć przed tym dniem.

Przedłużenie terminu – kiedy i na jakich warunkach jest dopuszczalne?

RODO przewiduje możliwość przedłużenia miesięcznego terminu o kolejne dwa miesiące. Oznacza to, że maksymalny czas na ostateczne załatwienie sprawy może wynieść łącznie trzy miesiące. Taka sytuacja jest jednak dopuszczalna wyłącznie w szczególnie uzasadnionych przypadkach. Podmiot leczniczy może powołać się na dwie przesłanki: skomplikowany charakter żądania lub dużą liczbę wniosków składanych przez pacjentów. W praktyce medycznej skomplikowany charakter może wynikać np. z konieczności odszukania archiwalnej dokumentacji papierowej przechowywanej w zewnętrznym składzie, konieczności konsultacji z wieloma lekarzami prowadzącymi lub konieczności wydzielenia danych osób trzecich z dokumentacji pacjenta (tzw. anonimizacja danych współpacjentów lub członków rodziny).

Obowiązek informacyjny przy przedłużaniu terminu

Samo istnienie przesłanek do przedłużenia terminu nie uprawnia placówki do milczenia. Podmiot leczniczy ma bezwzględny obowiązek poinformować pacjenta o przedłużeniu terminu w ciągu miesiąca od otrzymania pierwotnego wniosku. W piśmie skierowanym do pacjenta należy wskazać: dokładny nowy termin realizacji żądania (nie dłuższy niż 3 miesiące od daty wpływu wniosku) oraz szczegółowe i merytoryczne przyczyny opóźnienia. Brak takiego powiadomienia w ciągu pierwszego miesiąca stanowi bezpośrednie naruszenie przepisów RODO, nawet jeśli samo żądanie zostanie ostatecznie zrealizowane w ciągu trzech miesięcy.

Styk RODO a Ustawa o prawach pacjenta – kluczowe rozróżnienie

Jednym z największych wyzwań dla podmiotów leczniczych jest odróżnienie wniosku o udostępnienie dokumentacji medycznej składanego na podstawie ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta od wniosku o dostęp do danych na podstawie art. 15 RODO. Choć oba wnioski mogą dotyczyć tych samych materiałów (np. historii choroby), to rządzą się innymi prawami. Ustawa o prawach pacjenta pozwala na pobieranie opłat za kopie dokumentacji (poza pierwszym udostępnieniem w określonych przypadkach) i nie określa tak sztywnych terminów jak RODO (choć nakazuje działanie bez zbędnej zwłoki). Z kolei art. 15 RODO gwarantuje pacjentowi prawo do bezpłatnej pierwszej kopii danych osobowych podlegających przetwarzaniu (w tym dokumentacji medycznej). Jeśli pacjent wyraźnie powołuje się na RODO, placówka musi zastosować procedurę i terminy unijne. Mylenie tych dwóch podstaw prawnych i bezrefleksyjne żądanie opłat od pacjenta powołującego się na RODO jest częstym błędem skutkującym skargami do organu nadzorczego.

Skutki zwłoki i bezczynności podmiotu leczniczego

Niedotrzymanie terminów określonych w RODO niesie za sobą poważne konsekwencje prawne. Pacjent, którego wniosek został zignorowany lub załatwiony z opóźnieniem, dysponuje skutecznymi narzędziami prawnymi.

Skarga do Prezesa Urzędu Ochrony Danych Osobowych (PUODO)

Najczęstszą reakcją pacjentów na bezczynność placówki medycznej jest złożenie skargi do organu nadzorczego, którym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych. Wniesienie skargi jest wolne od opłat, co sprzyja tej ścieżce postępowania. PUODO po wszczęciu postępowania administracyjnego bada, czy doszło do naruszenia przepisów. Jeśli organ stwierdzi zwłokę lub brak odpowiedzi, może wydać decyzję nakazującą spełnienie żądania pacjenta w określonym terminie, a także nałożyć na podmiot leczniczy administracyjną karę pieniężną.

Kary finansowe dla podmiotów leczniczych

Zgodnie z art. 83 RODO, za naruszenie praw osób, których dane dotyczą (w tym niedotrzymanie terminów), grożą kary finansowe do 20 000 000 EUR lub do 4% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego. W przypadku publicznych podmiotów leczniczych (np. samodzielnych publicznych zakładów opieki zdrowotnej - SPZOZ) polska ustawa o ochronie danych osobowych wprowadza limity kar do 100 000 złotych. Dla placówek prywatnych (np. spółek z o.o. prowadzących kliniki) limity te nie obowiązują, co oznacza ryzyko znacznie wyższych sankcji finansowych dostosowanych do skali działalności i stopnia zawinienia.

Odpowiedzialność cywilna i odszkodowania

Oprócz kar administracyjnych, podmiot leczniczy musi liczyć się z odpowiedzialnością cywilną. Art. 82 RODO przyznaje każdej osobie, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia rozporządzenia, prawo do uzyskania odszkodowania od administratora. Pacjent może wytoczyć powództwo przed sądem powszechnym, żądając zadośćuczynienia za naruszenie jego dóbr osobistych i stres związany z brakiem dostępu do własnych danych medycznych, co w kontekście trwającego procesu leczenia może mieć kluczowe znaczenie dla jego zdrowia i życia.

Praktyczna procedura obsługi wniosków RODO krok po kroku

Aby uniknąć zwłoki, każdy podmiot leczniczy powinien wdrożyć przejrzystą procedurę wewnętrzną. Oto rekomendowane kroki:

Krok 1: Identyfikacja i rejestracja wniosku. Każde pismo, e-mail czy ustne żądanie pacjenta dotyczące jego danych musi zostać odnotowane w rejestrze wniosków RODO z dokładną datą wpływu.
Krok 2: Weryfikacja tożsamości wnioskodawcy. Przed udostępnieniem jakichkolwiek danych należy upewnić się, że osoba składająca wniosek to rzeczywiście pacjent lub jego upoważniony przedstawiciel. Weryfikacja nie może jednak prowadzić do żądania nadmiernych danych (np. skanu dowodu osobistego, jeśli wystarczy porównanie podpisu lub numeru PESEL).
Krok 3: Analiza merytoryczna żądania. Inspektor Ochrony Danych (IOD) lub wyznaczony pracownik ocenia, czy żądanie jest zasadne (np. czy pacjent ma prawo żądać usunięcia danych z historii choroby – co do zasady nie ma takiego prawa ze względu na obowiązki archiwizacyjne dokumentacji medycznej).
Krok 4: Podjęcie decyzji o terminie. Jeśli sprawa jest skomplikowana, należy niezwłocznie (przed upływem miesiąca) przygotować i wysłać pismo o przedłużeniu terminu.
Krok 5: Realizacja żądania i udzielenie odpowiedzi. Przygotowanie żądanych informacji lub kopii danych i przekazanie ich pacjentowi w bezpieczny sposób (np. listem poleconym za zwrotnym potwierdzeniem odbioru lub zaszyfrowanym plikiem e-mail).
Krok 6: Dokumentacja działań. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO), placówka musi przechowywać dowody na terminowe i prawidłowe załatwienie sprawy.

Najczęstsze błędy popełniane przez placówki medyczne

W praktyce audytorskiej i kontrolnej PUODO najczęściej powtarzają się następujące błędy podmiotów leczniczych:

Ignorowanie wniosków składanych drogą elektroniczną. Wiele placówek uznaje, że oficjalny wniosek musi być złożony na papierze z odręcznym podpisem. RODO wprost wskazuje, że jeśli pacjent składa wniosek drogą elektroniczną, informacji należy udzielić również drogą elektroniczną, o ile pacjent nie zażąda innej formy.
Żądanie opłat za pierwszą kopię danych. Przekonanie, że za każdą kopię dokumentacji medycznej można pobrać opłatę na podstawie cennika placówki, jest błędne w świetle art. 15 ust. 3 RODO. Pierwsza kopia danych jest zawsze bezpłatna.
Brak kontaktu z pacjentem w przypadku przedłużenia terminu. Placówki często zakładają, że skoro mają 3 miesiące na trudne sprawy, to nie muszą o tym informować pacjenta w pierwszym miesiącu. To kardynalny błąd proceduralny.
Niedostateczna weryfikacja tożsamości. Udostępnienie wrażliwych danych medycznych osobie nieuprawnionej (np. członkowi rodziny bez upoważnienia) z powodu pośpiechu stanowi rażące naruszenie bezpieczeństwa danych.

Praktyczny przykład (Case Study)

Pacjent Jan Kowalski złożył 10 stycznia wniosek drogą mailową do przychodni medycznej o przesłanie mu kopii jego historii leczenia okulistycznego na podstawie art. 15 RODO. Pracownik rejestracji odczytał wiadomość, ale uznał, że wnioski o dokumentację medyczną należy składać osobiście na specjalnym formularzu kliniki. Mail pozostał bez odpowiedzi. Po upływie 6 tygodni (21 lutego) zniecierpliwiony pacjent złożył skargę do Prezesa UODO na bezczynność administratora. Urząd wszczął postępowanie wyjaśniające. Przychodnia, otrzymawszy pismo z UODO, natychmiast wysłała pacjentowi żądane dokumenty, tłumacząc się natłokiem pracy i brakiem formalnego wniosku papierowego. PUODO w wydanej decyzji uznał tłumaczenie placówki za bezzasadne. Organ wskazał, że przychodnia miała obowiązek odpowiedzieć w terminie miesiąca, a forma elektroniczna wniosku była w pełni dopuszczalna. Fakt ostatecznego udostępnienia danych po terminie złagodził wymiar kary, jednak na przychodnię (będącą spółką z o.o.) nałożono administracyjną karę pieniężną w wysokości 5 000 złotych za rażące naruszenie terminów i brak wdrożenia odpowiednich procedur obsługi wniosków elektronicznych.

Podsumowanie

Przestrzeganie terminów na udzielenie odpowiedzi na wnioski pacjentów w ramach RODO to nie tylko kwestia unikania kar finansowych, ale przede wszystkim element budowania zaufania i profesjonalnego wizerunku podmiotu leczniczego. Kluczową rolę w tym procesie odgrywa Inspektor Ochrony Danych (IOD), który powinien na bieżąco monitorować wpływające zapytania, wspierać personel w ich kwalifikacji prawnej oraz dbać o terminowość wysyłki pism. Wdrożenie jasnych procedur wewnętrznych, regularne szkolenia personelu rejestracji oraz rzetelne prowadzenie rejestru wniosków to najskuteczniejsze metody na minimalizację ryzyka zwłoki i jej negatywnych konsekwencji prawnych.