Strona główna › Dla przychodni i gabinetów

Przychodnie, gabinety i praktyki

Dane pacjentów to szczególna kategoria. I tak trzeba je opisać.

Rejestracja online, system gabinetowy w chmurze, wyniki wysyłane do pacjentów, monitoring w poczekalni, laboratorium zewnętrzne. Sprawdzam, czy dokumentacja ochrony danych odpowiada temu, jak placówka faktycznie pracuje — i mówię wprost, czego nie potrzebujesz.

Umów bezpłatny przegląd Wolisz zadzwonić?605 218 041
Co jest inne w placówce medycznej

Więcej danych wrażliwych, więcej dostawców, więcej pytań.

Większość obowiązków jest taka sama jak w każdej firmie. Różnica polega na tym, jakie dane są przetwarzane i jak długo trzeba je przechowywać.

Ochrona danych

Dane szczególnej kategorii

Dane dotyczące zdrowia należą do szczególnych kategorii danych (art. 9 RODO): trzeba wiedzieć, kto ma do nich dostęp, w jakim systemie i komu są przekazywane. Dokumentację medyczną przechowuje się co do zasady przez 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu (art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta) — to też powinno wynikać z rejestru.

Inspektor

Czy potrzebny jest Inspektor Ochrony Danych?

Obowiązek dotyczy m.in. sytuacji, gdy główna działalność polega na przetwarzaniu na dużą skalę szczególnych kategorii danych (art. 37 ust. 1 lit. c RODO). Przetwarzanie danych pacjentów przez pojedynczego lekarza nie powinno być uznawane za przetwarzanie na dużą skalę (motyw 91 RODO). Granica nie jest liczbowa — oceniam ją na przeglądzie i mówię wprost, jeśli obowiązku nie ma.

Dostawcy

Systemy i podmioty zewnętrzne

System gabinetowy, rejestracja online, laboratorium, firma informatyczna, biuro rachunkowe — każdy podmiot, który przetwarza dane na zlecenie placówki, potrzebuje umowy powierzenia (art. 28 RODO). W placówkach medycznych takich umów bywa więcej, niż ktokolwiek pamięta.

Budynek

Ochrona przeciwpożarowa przy pacjentach

Przychodnie są obiektami użyteczności publicznej i co do zasady wymagają instrukcji bezpieczeństwa pożarowego (§ 6 ust. 1 rozporządzenia, z wyłączeniami dla małych obiektów). Przy pacjentach o ograniczonej zdolności poruszania się organizacja ewakuacji musi to uwzględniać.

Stanowiska

Ocena ryzyka zawodowego

Ocena ryzyka w placówce medycznej musi obejmować m.in. narażenie na czynniki biologiczne i zranienia ostrymi narzędziami. Pomagam przygotować ją tak, żeby opisywała faktyczne stanowiska — jako doradca, nie jako służba bhp.

Zakres

Co robię — i czego nie robię.

Zakres ustalamy po przeglądzie — najpierw sprawdzam, czego placówka faktycznie potrzebuje.

Co robię

  • Przegląd przetwarzania danych pacjentów: rejestracja, system, wyniki, monitoring
  • Rejestr czynności przetwarzania, upoważnienia, procedura naruszeń
  • Umowy powierzenia z dostawcami systemów i usług
  • Ocena, czy wymagany jest Inspektor Ochrony Danych — a jeśli tak, pełnienie tej funkcji
  • Opracowanie i aktualizacja instrukcji bezpieczeństwa pożarowego
  • Doradztwo przy ocenie ryzyka zawodowego

Czego nie robię

  • Nie proponuję inspektora tam, gdzie obowiązku nie ma — chyba że chcesz go wyznaczyć dobrowolnie
  • Nie oceniam dokumentacji medycznej pod względem merytorycznym
  • Nie konfiguruję systemów gabinetowych — opisuję organizację i dokumenty
  • Nie przejmuję odpowiedzialności administratora danych

Jak wygląda rejestr czynności przetwarzania przygotowany pod konkretną organizację: przykładowy rejestr. Umowy z dostawcami: przewodnik „Umowa powierzenia, która przejdzie kontrolę”.

Podział ról

Kto za co odpowiada.

Za dane pacjentów odpowiada placówka

Za zgodność przetwarzania odpowiada administrator — placówka albo prowadzący praktykę (art. 24 RODO). Jeśli wyznaczony jest Inspektor Ochrony Danych, informuje on, doradza i monitoruje przestrzeganie przepisów (art. 39 RODO), ale tej odpowiedzialności nie przejmuje.

Za stan ochrony przeciwpożarowej odpowiada właściciel, zarządca lub użytkownik obiektu (art. 4 ust. 1 ustawy o ochronie przeciwpożarowej). Moją rolą jest doradztwo i dokumentacja.

Pytania

Zanim zadzwonisz

Prowadzę jednoosobowy gabinet. Czy muszę mieć Inspektora Ochrony Danych?
Zwykle nie. Przetwarzanie danych pacjentów przez pojedynczego lekarza lub innego przedstawiciela zawodu medycznego nie powinno być uznawane za przetwarzanie na dużą skalę (motyw 91 RODO). Pozostałe obowiązki administratora zostają: podstawy prawne, zabezpieczenia, umowy z dostawcami, obowiązek informacyjny i procedura na wypadek naruszenia.
Czy mogę wysyłać wyniki badań pacjentom e-mailem?
RODO nie zakazuje tego wprost, ale wymaga zabezpieczeń odpowiednich do ryzyka (art. 32 RODO), a przy danych o zdrowiu ryzyko jest wysokie. Sposób przekazywania wyników warto ustalić i opisać świadomie — robię to na przeglądzie, na podstawie tego, jak placówka faktycznie pracuje, a nie przez telefon.
Ile to kosztuje?
Zakres zależy od wielkości placówki, liczby systemów i stanu dokumentacji, więc wycenę przedstawiam po bezpłatnym przeglądzie wstępnym — dopiero wtedy wiadomo, co realnie trzeba zrobić.
Bezpłatny przegląd wstępny

Sprawdźmy, czego placówka naprawdę potrzebuje.

Przegląd bez zobowiązań. Jeśli dokumentacja odpowiada temu, jak pracujesz — powiem to wprost. Jeśli czegoś nie potrzebujesz — też to usłyszysz.

  • Czy obowiązek wyznaczenia inspektora Cię dotyczy
  • Jakie umowy z dostawcami są potrzebne
  • Jak opisać przekazywanie wyników i monitoring
  • Wycena dopiero wtedy, gdy wiadomo, co trzeba zrobić
Zadzwoń — odbieram osobiście, pn–pt 8:00–18:00 605 218 041 kontakt@protectcore.pl
Dziękuję. Wiadomość dotarła — odezwę się w ciągu jednego dnia roboczego.

Administratorem danych jest MK INVEST Michał Kaczmarek (ProtectCore Solutions), Fiołkowa 11a, 52-200 Wysoka. Dane przetwarzane wyłącznie w celu obsługi zapytania (art. 6 ust. 1 lit. a i f RODO), przechowywane do czasu zakończenia korespondencji. Masz prawo dostępu, sprostowania, usunięcia i ograniczenia przetwarzania, wniesienia sprzeciwu oraz skargi do Prezesa UODO. Podanie danych jest dobrowolne, ale niezbędne do udzielenia odpowiedzi. Polityka prywatności.

Umów przegląd Zadzwoń