Biuletyn Informacji Publicznej RPO

• Matka autystycznego dziecka, które przebywa w domu pomocy społecznej, z powodu RODO nie może telefonicznie uzyskać informacji o jego zdrowiu
• Rzecznik widzi potrzebę podjęcia działań, które pozytywnie wpłynęłyby na prawa dzieci i rodziców znajdujących się niejednokrotnie w trudnej sytuacji
• RPO wystąpił do Prezes Urzędu Ochrony Danych Osobowych w sprawie zapewnienia rodzicom dostępu do informacji dotyczących ich dzieci z niepełnosprawnościami

2 kwietnia przypada Światowy Dzień Wiedzy na temat Autyzmu. Osoby z autyzmem mają problemy z mówieniem, postrzeganiem świata, rozumieniem relacji społecznych. Światowy Dzień Wiedzy na temat Autyzmu ma na celu propagowanie wiedzy na temat tego zaburzenia.

Do Rzecznika Praw Obywatelskich skargę złożyła kobieta, która ze względu na sytuację życiową może odwiedzać syna w DPS raz na dwa tygodnie. A telefonicznie czy drogą elektroniczną nikt nie chce jej udzielić jakiejkolwiek informacji o zdrowiu czy samopoczuciu jej dziecka. Jako przyczynę odmowy informacji - wcześniej przekazywanej – podano unijną reformę ochrony danych osobowych i wprowadzone w jej ramach regulacje.

Wprowadzenie nowych zasad przetwarzania danych osobowych, związane z wejściem w życie RODO  -  rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE - doprowadziło do  stanu niepewności co do sposobu interpretacji zasad przetwarzania danych o stanie zdrowia, w szczególności po stronie podmiotów świadczących usługi zdrowotne oraz innych podmiotów publicznych przetwarzających te informacje.

Rzecznik widzi potrzebę podjęcia działań, które mogłyby wpłynąć pozytywnie na prawa dzieci i rodziców znajdujących się niejednokrotnie w trudnej sytuacji.

Zapewnienie ochrony tajemnicy medycznej jest konieczne. Jednocześnie pacjent ma też prawo do informacji o swoim stanie zdrowia. Co do dzieci prawo to realizują  rodzice. A udzielanie tego rodzaju informacji drogą telefoniczną nie jest zabronione przez prawo. Zgodnie zaś art. 51 ust. 3 Konstytucji, każdy ma prawo dostępu do dotyczących go urzędowych dokumentów i zbiorów danych. Również te prawa mogą realizować rodzice.

Rzecznik zdaje sobie sprawę, że w  przypadku domów pomocy społecznej sytuacja jest bardziej złożona. Tajemnica lekarska odnosi się bowiem do zachowania poufności przez osoby wykonujące zawód medyczny, a w DPS są one zatrudnione w różnym zakresie i wymiarze.

Jak stanowi RODO, dane dotyczące zdrowia oznaczają „dane osobowe o zdrowiu fizycznym lub psychicznym osoby fizycznej - w tym o korzystaniu z usług opieki zdrowotnej - ujawniające informacje o stanie jej zdrowia”. Podlegają one szczególnej ochronie. Co do zasady RODO  wprowadza zakaz ich przetwarzania. Jednak po spełnieniu odpowiednich warunków, informacje te mogą być przetwarzane m.in. dla celów profilaktyki zdrowotnej, diagnozy medycznej, zapewnienia opieki zdrowotnej, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego (art. 9 ust. 2 lit. h RODO oraz art. 9 ust. 3 RODO).

Zdaniem Rzecznika, niezależnie od gwarancji dotyczących przetwarzania danych po stronie ustawodawcy i podmiotów je przetwarzających, osoba, której dane dotyczą, powinna mieć możliwość korzystania z jej praw.  W omawianej sytuacji powinny mieć zatem zastosowanie również ogólne przepisy RODO,  a w szczególności przepisy dotyczące dostępu do danych.

- Kwestia przekazywania danych przez telefon nie jest zagadnieniem prostym, ponieważ konieczne jest znalezienie równowagi pomiędzy prawami rodzica, bezpieczeństwem i zdrowiem dziecka a ochroną jego danych – wskazuje Adam Bodnar.

W sprawie takiej Rzecznik Praw Pacjenta wyjaśniał, że: „Kwestią problematyczną jest [...], aby udzielić informacji osobie do tego uprawnionej. Nie ma określonych reguł czy też sposobów weryfikacji statusu osoby kontaktującej się ze szpitalem telefonicznie. Stąd też ważne jest, aby każdy taki kontakt podmiot udzielający świadczeń zdrowotnych rozpatrywał indywidualnie, z uwzględnieniem okoliczności danej sprawy. Niedopuszczalne jest postępowanie zakładające z góry odmowę udzielenia informacji o stanie zdrowia pacjenta, w tym o jego pobycie w podmiocie leczniczym, bez jakiejkolwiek próby indywidualnego rozpatrzenia sygnału i weryfikacji osoby dzwoniącej”.

W ocenie RPO w wypadku dzieci przebywających w DPS, gdzie nie mamy do czynienia z sytuacją nagłą, stworzenie systemu weryfikacji tożsamości dzwoniących rodziców, może być rozwiązaniem dopuszczanym z perspektywy prawa ochrony danych osobowych.

Rzecznik zwrócił się do prezes UODO Edyty Bielak-Jomaa o stanowisko w sprawie. Chciałby wiedzieć, czy i jakie rozwiązania uznałaby za dopuszczalne w omawianej sytuacji. Spytał też, czy w tej kwestii widzi ona konieczność podjęcia dodatkowych prac legislacyjnych.

Odpowiedź PUODO

W odpowiedzi Edyta Bielak-Jomaa wskazała, że pracownik socjalny może udzielić takiej informacji przez telefon tylko w przypadku gdy zweryfikuje, czy rozmawia z osobą, która ma prawo - zgodnie z powszechnie obowiązującymi przepisami - taką informację uzyskać. Prowadząc rozmowę przez telefon, nie można być absolutnie pewnym, czy rozmawia się z właściwą osobą. Niemniej jednak pracownik socjalny przed udzieleniem informacji powinien poprowadzić rozmowę tak, aby jego rozmówca uwiarygodnił swą tożsamość, np. przez podanie kilku danych o sobie i swoim dziecku (numer PESEL dziecka, data jego urodzenia, drugie imię dziecka, znaki szczególne). Domy pomocy społecznej powinny stworzyć wewnętrzne procedury, które uregulowałyby postępowanie swoich pracowników w podobnych sytuacjach. Podobnie należy postąpić w sytuacji korespondencji pracownika socjalnego z rodzicem (opiekunem prawnym, przedstawicielem ustawowym) za pośrednictwem poczty elektronicznej. 

Oprócz weryfikacji tożsamości, na administratorze w rozumieniu przepisów ogólnego rozporządzenia o ochronie danych, będzie ciążył obowiązek dodatkowego technicznego (informatycznego) zabezpieczenia udostępnianych w taki sposób informacji. Stosowanie wskazanych środków ostrożności pomoże pracownikom socjalnym domów pomocy społecznej w dołożeniu należytej staranności w procesie identyfikacji rodzica, któremu następnie udzielone zostaną odpowiednie informacje. Należy przy tym pamiętać, że - z uwagi na występującą w każdym przypadku niepewność co do tożsamości osoby - przedmiotowe informacje powinny być adekwatne i niezbędne do celu udostępnienia, jakim będzie poinformowanie rodzica o stanie zdrowia, samopoczuciu, czy kondycji psychicznej jego dziecka.

W ocenie PUODO każdy przypadek takiego udostępnienia danych osobowych trzeba rozpatrywać indywidualnie. - Ze względu na mnogość oraz różnorodność sytuacji, w których takie udostępnienie może wystąpić, uregulowanie wprost w przepisach powszechnie obowiązujących poruszonej przez Rzecznika kwestii - zdaniem Prezesa Urzędu Ochrony Danych Osobowych - wydaje się być niecelowe - głosi odpowiedź Edyty Bielak-Jomaa.

VII.520.68.2018