RODO wymaga, aby każde przetwarzanie danych osobowych (w tym danych o zdrowiu) było legalne, celowe i adekwatne do potrzeb. Sam fakt, że ktoś jest pracownikiem ochrony zdrowia, nie oznacza automatycznie prawa dostępu do danych każdego pacjenta. Dostęp powinien wynikać z roli w procesie udzielania świadczeń, z nadanych upoważnień oraz z przyjętych procedur.
Udostępnianie danych pacjenta innym pracownikom służby zdrowia bez zgody pacjenta jest wskazane jako działanie niezgodne z RODO, ponieważ sugeruje przekazanie danych bez zapewnienia właściwej podstawy prawnej i bez ograniczenia kręgu odbiorców do osób uprawnionych. W praktyce, aby udostępnienie było zgodne, trzeba wykazać, że odbiorca danych jest upoważniony i że udostępnienie jest niezbędne do realizacji konkretnego celu (np. ciągłości świadczeń). Bez tego dochodzi do naruszenia zasady poufności i legalności.
Pozostałe odpowiedzi opisują działania zasadniczo zgodne z wymaganiami RODO:
- Przechowywanie danych pacjenta na zabezpieczonym serwerze – odpowiada wymogowi stosowania odpowiednich środków technicznych i organizacyjnych (kontrola dostępu, kopie zapasowe, szyfrowanie, logowanie dostępu), aby zmniejszyć ryzyko naruszenia.
- Informowanie pacjenta o celu przetwarzania jego danych – to element obowiązku informacyjnego. Pacjent powinien wiedzieć m.in. po co dane są zbierane, kto je przetwarza i jakie ma prawa.
- Usunięcie danych pacjenta na jego żądanie – nawiązuje do prawa do usunięcia danych. W praktyce należy ocenić, czy w danej sytuacji prawo to może być zrealizowane w pełnym zakresie, czy istnieją prawne obowiązki dalszego przechowywania części dokumentacji. Samo rozpoznanie i obsługa żądania jest jednak działaniem oczekiwanym w systemie zgodności.
Na egzaminie warto pamiętać o dwóch krokach: (1) czy jest podstawa prawna i upoważnienie do dostępu, (2) czy zakres danych jest minimalny i przekazany wyłącznie osobom, które rzeczywiście muszą je znać.
