Podczas zbierania danych osobowych pacjenta w placówce medycznej (np. na potrzeby terapii zajęciowej) kluczowe jest spełnienie obowiązku informacyjnego. Chodzi o to, aby osoba, której dane dotyczą, rozumiała dlaczego i w jaki sposób jej dane będą wykorzystywane oraz jakie ma w związku z tym prawa.
Poprawna odpowiedź wskazuje typowe elementy tej informacji: cel przetwarzania (np. realizacja świadczeń i prowadzenie dokumentacji), kategorie danych (jakie rodzaje danych są gromadzone), odbiorcy danych (kto może uzyskać dostęp/otrzymać dane w uzasadnionym zakresie) oraz okres przechowywania (jak długo dane będą przechowywane).
Odpowiedź "Twoje imię i nazwisko, adres domowy i numer telefonu" jest nieadekwatna, ponieważ miesza obowiązek informacyjny z ujawnianiem prywatnych danych pracownika. Co do zasady pacjent powinien otrzymać dane kontaktowe administratora lub osoby właściwej w sprawach ochrony danych, a nie prywatne dane zatrudnionych.
Odpowiedź "Twoje ulubione hobby i zainteresowania" jest błędna, bo nie dotyczy żadnego wymaganego elementu transparentności przetwarzania i nie ma związku z ochroną danych.
Odpowiedź "Wszystkie informacje o innych pacjentach, których leczysz" jest błędna i groźna praktycznie: narusza zasadę poufności i minimalizacji oraz mogłaby prowadzić do ujawnienia danych osób trzecich bez podstawy. Pacjent ma prawo do informacji o swoim przetwarzaniu, nie o danych innych osób.
W praktyce na egzaminie warto kojarzyć obowiązek informacyjny z krótką listą: po co (cel), co (kategorie danych), komu (odbiorcy) i jak długo (retencja). Dzięki temu łatwiej odróżnić informacje wymagane od treści przypadkowych lub naruszających poufność.
