Biuletyn Informacji Publicznej RPO

• Właściwe organy powinny śledzić działania, które mogą prowadzić do nadużyć i nieprawidłowości w wystawianiu e-recept 
• Z punktu widzenia prawa wątpliwości budzi natomiast podawanie do publicznej wiadomości danych osobowych lekarza oraz danych o rodzaju leków przez niego przepisanych
• Rzecznik Praw Obywatelskich prosi Ministra Zdrowia o wyjaśnienia
• AKTUALIZACJA:  Upublicznienie uzasadnione było: wypełnieniem obowiązków i wykonywaniem szczególnych praw przez administratora (Ministra Zdrowia) w dziedzinie zabezpieczenia społecznego; niezbędnością ze względów związanych z ważnym interesem publicznym; niezbędnością do celów zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego; niezbędnością ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego - odpisał (jeszcze jako minister) Adam Niedzielski
•  W jego ocenie dyskusyjne jest stwierdzenie o ujawnieniu danych o charakterze sensytywnym danego lekarza z uwagi na fakt, iż upublicznione informacje nie obejmowały danych dotyczących konkretnego leku, którego dotyczyła recepta wystawiona przez tę osobę

Media podały o ujawnieniu przez Ministra danych lekarza oraz wystawionej przez niego recepty „pro auctore”. 

Nie ulega wątpliwości, że właściwe organy powinny śledzić działania, które mogą prowadzić do nadużyć i nieprawidłowości w zakresie wystawiania recept. Bezdyskusyjna wydaje się również kwestia odpowiedzialności w przypadku wszelkich nieprawidłowości związanych z nadużyciem uprawnień w tym zakresie. Celowi temu służą zasady tej odpowiedzialności, opisane przez przepisy powszechnie obowiązującego prawa. 

Z punktu widzenia obowiązującego prawa wątpliwości budzi natomiast podawanie do publicznej wiadomości danych osobowych lekarza oraz danych o rodzaju leków przepisanych przez niego na recepcie. 

Udostępnianie danych w tym zakresie musi bowiem mieć podstawę w ustawie (art. 51 ust. 5 Konstytucji RP), a także musi być niezbędne w demokratycznym państwie prawnym (art. 51 ust. 2 Konstytucji RP).

RPO Marcin Wiącek zwraca się o wyjaśnienia, zwłaszcza o wskazanie podstawy prawnej udostępnienia danych osobowych lekarza wraz z informacją o rodzaju leków, które sobie zaordynował w recepcie.

Odpowiedź Adama Niedzielskiego

Odpowiadając na Pana wystąpienie z dnia 8 sierpnia 2023 r. (sygn.: VII.501.138.2023.KSZ), w sprawie „udostępnienia danych lekarza oraz informacji dotyczących wystawionej przez niego recepty pro auctore, uprzejmie informuję, co następuje.

Po pierwsze, pragnę z całą stanowczością zaakcentować, iż działanie polegające na upublicznieniu informacji o wystawieniu przez danego lekarza recepty pro auctore, bez wskazywania jakiego konkretnie leku dotyczyła ta recepta, podyktowane było dbałością o ochronę interesu pacjentów. Leki, w odniesieniu do których wcześniej wypowiedział się publicznie (w audycji emitowanej w programie nadawanym przez telewizję o ogólnokrajowym zasięgu) ww. lekarz należą bowiem do grupy objętej szczególnym nadzorem oraz monitoringiem z uwagi na ich wpływ na bezpieczeństwo pacjentów. Przekazanie zaś przez ww. osobę do publicznej wiadomości informacji o rzekomym braku możliwości wystawiania recept na leki z tej grupy godziło w mojej ocenie w zbiorowy interes pacjentów. Upublicznienie zatem informacji dotyczącej wystawienia recepty pro auctore na lek z tej grupy produktów miało na celu przeciwdziałanie bezprawnemu upublicznianiu nieprawdziwych danych, jakoby brak było możliwości wystawienia recepty na leki z grupy produktów psychotropowych i przeciwbólowych. Informacje przekazane przez lekarza wprowadzały nieuzasadniony lęk wśród pacjentów dotyczący potencjalnego (nieprawdziwego) braku możliwości uzyskania recept na leki niezbędne dla tych pacjentów. Wymagało to stanowczej reakcji i wyeliminowania stanu niepewności pacjentów, który został wywołany wypowiedzią ww. lekarza.

Po wtóre - w zakresie podstawy normatywnej przetwarzania przez Ministra Zdrowia danych dotyczących wystawienia określonej recepty - informuję, że zgodnie z przepisem art. 7 ust. 1 pkt 8 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. z 2022 r. poz. 1555, z późn. zm.), Elektroniczna Platforma Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych jest systemem teleinformatycznym, który umożliwia w szczególności dostęp ministra właściwego do spraw zdrowia do danych gromadzonych za pośrednictwem tej Elektronicznej Platformy niezbędnych do realizacji przez ten organ zadań określonych w art. 11 ust. 1 ustawy z dnia Tl sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (Dz. U. z 2022 r. poz. 2561, z późn. zm.), zwanej dalej „ustawą o świadczeniach". Stosownie zaś do brzmienia art. 11 ust. 1 pkt 6 ustawy o świadczeniach, do zadań ministra właściwego do spraw zdrowia w zakresie objętym tą ustawą należy w szczególności sprawowanie nadzoru nad ubezpieczeniem zdrowotnym w zakresie określonym w dziale VII tego aktu normatywnego. Nie dokonując pogłębionej analizy uprawnień Ministra Zdrowia przysługujących temu organowi na podstawie przepisów działu VII ustawy o świadczeniach, stwierdzić należy, że podmiot ten jest normatywnie legitymowany do przetwarzania wszelkich danych gromadzonych w Elektronicznej Platformie Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych w celu sprawowania nadzoru nad ubezpieczeniem zdrowotnym w zakresie określonym w dziale VII ustawy o świadczeniach. Bezdyskusyjna prawnie jest zatem przesłanka legalizująca przetwarzanie ww. danych przez Ministra Zdrowia - w zakresie realizacji przez ten organ określonych normatywnie zadań, w których bez wątpienia zawiera się weryfikacja możliwości (dostępności) korzystania przez pacjentów (świadczeniobiorców w rozumieniu przepisów ustawy o świadczeniach) z leków objętych refundacją ze środków pozostających w dyspozycji Narodowego Funduszu Zdrowia.

Po trzecie - w zakresie podstawy prawnej podania do publicznej wiadomości informacji dotyczących wystawienia przez określoną osobę recepty, odnotowanej w Elektronicznej Platformie Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych - uprzejmie informuję, że zgodnie z art. 9 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia Tl kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwanego dalej „RODO”, zabrania się przetwarzania danych osobowych dotyczących zdrowia danej osoby.

Zakaz ten nie ma jednak zastosowania, jeżeli:

1)    przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora w dziedzinie zabezpieczenia społecznego, o ile jest to dozwolone prawem państwa członkowskiego przewidującym odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. b RODO);
2)    przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. g RODO);
3)    przetwarzanie jest niezbędre do celów zarządzania systemami i usługami opiek j zdrowotnej lub zabezpieczenia społecznego na podstawie prawa państwa członkowskiego, z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 9 ust. 3 RODO (art. 9 ust. 2 lit. h RODO);
4)    przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak zapewnienie bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa państwa członkowskiego, które przewiduje odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową (art. 9 ust. 2 lit. h RODO).

Przytoczone normy w przesłankach statuowanych przepisami art. 9 ust. 2 lit. b, g-i RODO stanowią w mojej ocenie podstawę przetwarzania przez Ministra Zdrowia danych osobowych dotyczących okoliczności wystawienia przez określoną osobę recepty. Przetwarzanie tych danych było bowiem:

1)    niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora (Ministra Zdrowia) w dziedzinie zabezpieczenia społecznego - tj. publicznego przekazania przez Ministra Zdrowia, iż nieprawdą jest informacja
o rzekomym braku możliwości wystawiania pacjentom recept na leki refundowane w określonych schorzeniach;
2)    niezbędne ze względów zv.>iązanych z ważnym interesem publicznym, na podstawie prawa państwa członkowskiego - tj. jak zostało wykazane powyżej było legalne
na podstawie art. 7 ust. 1 pkt 8 ustawy o sioz w zw. z art. art. 11 ust. 1 pkt 6 ustawy o świadczeniach oraz zachodziła konieczność publicznego przekazania przez Ministra Zdrowia, że nieprawdą jest informacja o rzekomym braku możliwości wystawiania pacjentom recept na leki refundowane w określonych schorzeniach;
3)    niezbędne do celów zarząd zania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa państwa członkowskiego -  
tj. zachodziła konieczność publicznego przekazania przez Ministra Zdrowia, że nieprawdą jest informacja o rzekomym braku możliwości wystawiania pacjentom recept na leki refundowane w określonych schorzeniach;
4)    niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego - tj. zachodziła konieczność publicznego przekazania przez Ministra Zdrowia, że nieprawdą jest informacja o rzekomym braku możliwości wystawiania pacjentom recept na leki refundowane w określonych schorzeniach.

Zaakcentować przy tym należy, że brzmienie art. 4 pkt 2 RODO wskazuje, iż na użytek tego aktu normatywnego przetwarzanie danych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Skoro zatem - jak zostało wykazane powyżej - administrator danych (in casu- Minister Zdrowia) legitymowany był prawnie do przetwarzania określonych kategorii danych osobowych (danych o stanie zdrowia), a definicja legalna pojęcia „przetwarzanie danych" obejmuje swym zakresem czynność ujawnienia poprzez rozpowszechnianie, uznać w mojej ocenie należy, że podmiot uprawniony do przetwarzania danych pozostawał w sferze legalności w zakresie upublicznienia określonych danych przetwarzanych w oparciu o przytoczone podstawy legalizujące przetwarzanie tzw. danych o charakterze sensytywnych (w tym danych o stanie zdrowia danej osoby - in casu o okoliczności wystawienia przez lekarza recepty pro auctore} w warunkach określonych normami statuowanymi w tych przepisach.

Powyższe upublicznienie danych o wystawieniu przez określoną osobę recepty pro auctore uzasadnione było:

1)    wypełnieniem obowiązków i wykonywaniem szczególnych praw przez administratora (Ministra Zdrowia) w dziedzinie zabezpieczenia społecznego;
2)    niezbędnością ze względów związanych z ważnym interesem publicznym;
3)    niezbędnością do celów zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego;
4)    niezbędnością ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego.

Jednocześnie podkreślić należy, że w przedmiotowym stanie faktycznym ziściły się przesłanki zapewnienia odpowiedniego zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. b RODO), jak również zapewnienia odpowiednich i konkretnych środków ochrony praw podstawowych i interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. g oraz i RODO), czego egzemplifikacją jest w szczególności wystąpienie (postępowanie prowadzone) Pana Ministra, ale również uprawnienia przydane normatywnie w postępowaniach prowadzonych przez inne organy, w tym: Prezesa Urzędu Ochrony Danych Osobowych (zgodnie z przepisami ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz. U. z 2019 r. poz. 1781, z późn. zm.), czy też Rzecznika Praw Pacjenta (zgodnie z przepisami ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta - Dz. U. z 2023 r. poz. 1545, z późn. zm.).

Konkludując, raz jeszcze pragnę podkreślić, że działania podjęte w przedmiotowej sprawie stanowiły wyraz najwyższej dbałości o interes pacjentów, pozostawały w zakresie uprawnień przydanych Ministrowi Zdrowia na podstawie obowiązujących przepisów, a ponadto były proporcjonalne do wyznaczonego celu, który stanowiła ochrona praw pacjentów.

In casu ochrona dobra w postaci interesu pacjentów, którego zabezpieczenie wymagało wypełnienia określonych obowiązków (art. 9 ust. 2 lit. b RODO), było niezbędne: ze względów związanych z ważnym interesem publicznym (art. 9 ust. 2 lit. g RODO), było niezbędne do celów zarządzania systemami i usługami opieki zdrowotnej i zabezpieczenia społecznego (art. 9 ust. 2 lit. h RODO), jak również było niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego (art. 9 ust. 2 lit. i RODO), przeważała nad dbałością o dobro indywidualne w postaci ochrony danych osobowych lekarza, który uprzednio zdecydował się na publiczne prezentowanie nieprawdziwych informacji godzących w interes większej grup osób (pacjentów).

Na marginesie dodam, iż dyskusyjne - w mojej ocenie - jest stwierdzenie o ujawnieniu danych o charakterze sensytywnym danego lekarza z uwagi na fakt, iż upublicznione informacje nie obejmowały danych dotyczących konkretnego leku, którego dotyczyła recepta wystawiona przez tę osobę.

Z daleko idącej ostrożności przedstawiam powyżej pogłębioną analizę stanowiącą podstawę legalności podjętych działań wierząc, iż będzie ona wystarczająca do uznania przez Pana Ministra ich zasadności.

VII.501.138.2023