Odpowiedź Urzędu Ochrony Danych Osobowych w sprawie trybu pozyskania danych pacjenta przez aptekę w przypadku błędu

Poniżej i w załączeniu prezentujemy zapytanie Śląskiej Izby Aptekarskiej w Katowicach do Prezesa Urzędu Ochrony Danych Osobowych oraz odpowiedź w sprawie pozyskiwania danych osobowych pacjentów w przypadku pomyłki w wydaniu leku lub innej okoliczności, w której kontakt jest niezbędny dla ochrony zdrowia i życia pacjenta.

Jak wskazał w piśmie Prezes Urzędu Ochrony Danych Osobowych, podmiot leczniczy, ale wyrażam pogląd, że dotyczy to też innych podmiotów (w szczególności np. straży miejskiej lub policji), apteka ma możliwość pozyskania wrażliwych danych pacjenta (np. numeru telefonu, adresu zamieszkania) w sytuacjach, kiedy zdrowie lub życie pacjenta może być zagrożone.

Zwracam uwagę na stanowisko Prezesa UODO (ostatni akapit pisma), w którym Prezes nie pozostawia podmiotowi leczniczemu decyzji, co do tego, czy dane udostępni, czy nie, ale przyjmuje, że dane są udostępniane, wskazując tylko środki ostrożności, które należy podjąć przy udostępnianiu danych, aby nie trafiły w niepowołane ręce.

„Ponadto wskazać należy, że podmiot udzielający informacji powinien dołożyć wszelkich starań, aby zidentyfikować czy osoba która się z nim kontaktuje jest osobą uprawnioną do uzyskania informacji na temat pacjenta, np. poprzez zadanie pytań kontrolnych. W przypadku wątpliwości co do tożsamości osoby dzwoniącej o informacje dotyczące pacjenta w sytuacjach zwyczajnych „powinno się odmówić udzielenia informacji.”

Wyrażam pogląd, że w ten sposób, w sytuacji awaryjnej, dane pacjenta nie powinny być w aptece przetwarzane dalej w innym celu i przechowywane na przyszłość. Wynika to z ostatniego zdania pisma Prezesa UODO.

Można też z podmiotem leczniczym kontaktować się za pomocą e-maila tak jak zostało to wcześniej wskazane na naszej stronie:

https://katowice.oia.pl/aktualnosci/procedura_uzyskania_danych_kontaktowych_pacjenta_w___wietle_rodo

Z poważaniem
Krystian Szulc
radca prawny Śląskiej Izby Aptekarskiej

***

Śląska Izba Aptekarska, 40-637 Katowice, ul. Kryniczna 15
tel.: +48 (32) 6089760, fax: 48 (32) 6089769,
kom. 668220354, email: katowice@oia.pl
www.katowice.oia.pl

Nasz znak: SIAKat-0228-2018
Katowice, 12 lipca 2018 r.

Pani Edyta Bielak-Jomaa
Prezes
Urzędu Ochrony Danych Osobowych
ul. Stawki 2
00-193 Warszawa

Dot.: zapytania o tryb pozyskiwania danych adresowych przez aptekę ogólnodostępną w przypadku podejrzenia błędu w wydaniu leku

Szanowna Pani Prezes,

w związku z wejściem w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1) – dalej RODO oraz ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000), które obowiązują od 25 maja 2018 r., zwracam się z zapytaniem o tryb pozyskiwania danych adresowych pacjenta (w tym numeru telefonu) z placówki medycznej, przychodni, policji, operatora telekomunikacji itp. przez aptekę ogólnodostępną w przypadku podejrzenia błędu w wydaniu leku, z poszanowaniem wyżej powołanych przepisów.

W trybie pilnym, gdyż dotyczy to zdrowia i życia ludzi, proszę o wskazanie sposobu współpracy w tym przypadku pomiędzy apteką a przychodnią (lub innym podmiotem, który wystawił receptę dla pacjenta).

Dotychczasowa praktyka polegała na tym, że apteka dzwoniła do przychodni i zazwyczaj bez problemów otrzymywała numer telefonu pacjenta oraz faktyczny adres pobytu, często różny od podanego na recepcie.

Obecnie przychodnie odmawiają podania numeru telefonu, powołując się na przepisy RODO.

Przedstawiciel Urzędu Ochrony Danych Osobowych w informacji w Gazecie Prawnej:
http://prawo.gazetaprawna.pl/artykuly/1159725,ochrona-danych-osobowych-w-przychodni-rodo.html
sugerował pewne rozwiązanie i wskazywał podstawy prawne, jednak artykułu nie można traktować jako wykładnię przepisów, dlatego nie jest to wiążąca praktyka dla przychodni.

Pomimo, że apteka jest placówką ochrony zdrowia publicznego (art. 86 i nast. ustawy prawo farmaceutyczne tj. Dz.U. z 2017 r. poz. 2211 ze zm.), nie jest ujęta w przepisach branżowych podmiotów uprawnionych do uzyskania danych pacjenta, a każdorazowe tłumaczenie przepisów zawartych w p. 46 motywów RODO w związku z art. 6 ust. 1 p. d może być nieskuteczne i długotrwałe. Dlatego konieczne jest zajęcie przez Państwa jasnego stanowiska w tej sprawie, co umożliwi wskazanie placówkom ochrony zdrowia publicznego zgodnego z prawem trybu ratowania zdrowia i życia pacjenta.

Podnosimy, że życie i zdrowie pacjenta jest najważniejsze, a wszystkie działania winny być tak ukształtowane, aby przepisy nie powodowały nawet możliwości narażenia pacjenta na szkodę poprzez ich stosowanie.

Sprawa ta ma istotnie znaczenie dla wykonywania zawodu farmaceuty, zgodnie z art. 1 w związku z art. 7 ust. 1 p. i p. 6 ustawy o izbach aptekarskich (Dz. U. z 2016 r. poz. 1496 ze zm.) i dlatego Śląska Izba Aptekarska w Katowicach ma podstawy do działania w tej sprawie w imieniu farmaceutów i pacjentów. W związku z powyższym, zapytuję jak na wstępie.

Z poważaniem
Prezes Rady Śląskiej Izby Aptekarskiej
dr n. farm. Piotr Brukiewicz

***

URZĄD OCHRONY DANYCH OSOBOWYCH
Zespól ds. Sektora Zdrowia, Zatrudnienia i Szkolnictwa

Warszawa, dnia 13 września 2018 r.
ZSZZS.027.128.2018.NS.14089

Pan
dr n. farm. Piotr Brukiewicz
Prezes Rady Śląskiej Izby
Aptekarskiej
ul. Kryniczna 15
40-637 Katowice

W odpowiedzi na pismo z dnia 12 lipca br., znak: SIAKat-0228-2018, dotyczące zapytania o tryb pozyskania danych adresowych przez aptekę ogólnodostępną w przypadku podejrzenia błędu w wydaniu leku, poniżej przedstawiam opinię w przedmiotowej sprawie.

Na podstawie obowiązujących przepisów podmiot udzielający świadczeń zdrowotnych nie jest zobowiązany do udostępniania farmaceucie danych osobowych pacjenta w zakresie jego danych kontaktowych i adresowych.

Niemniej jednak zdarzenie, w którym farmaceuta błędnie wydał pacjentowi lek jest sytuacją, która niewątpliwie może doprowadzić do zagrożenia zdrowia bądź życia pacjenta. W powyższej sytuacji należy zatem mieć na uwadze motyw 46 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, RODO) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm)1, zgodnie z którym „Przetwarzanie danych osobowych należy uznać za zgodne z prawem również w przypadkach, gdy jest niezbędne do ochrony interesu, który ma istotne znaczenie dla życia osoby, której dane dotyczą, lub innej osoby fizycznej. Żywotny interes innej osoby fizycznej powinien zasadniczo być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie da się oprzeć na innej podstawie prawnej”.

Zgodnie z RODO żywotny interes osoby fizycznej może stanowić przesłankę zgodnego z prawem pozyskania danych osobowych w celu ochrony życia bądź zdrowia, w sytuacji kiedy przetwarzania nie można oprzeć na przepisie prawa wprost regulującym kwestię, o której mowa w przedmiotowej sprawie. Zatem, w sytuacji kiedy nie można w żaden inny sposób pozyskać danych teleadresowych pacjenta, kwestię udostępnienia jego danych teleadresowych należy rozpatrywać w oparciu o przesłankę z art. 6 ust. 2 lit. c RODO dopuszczającą przetwarzanie danych w celu ochrony żywotnych interesów osoby, której dane dotyczą.

Nie oznacza to jednak, że udostępnianie danych osobowych pacjenta (numer telefonu czy faktyczny adres pobytu) powinno stać się powszechną praktyką, pozwalającą na każdorazowe udostępnianie danych osobowych pacjentów przez podmioty udzielające świadczeń zdrowotnych. Nie powinno to również stanowić podstawy do uzupełniania recepty „na wszelki wypadek” o dane kontaktowe pacjenta. Należy mieć na uwadze, że przepisy regulujące kwestie dostępu do dokumentacji medycznej jednoznacznie wskazują komu mogą zostać udostępnione zawarte w niej dane osobowe.

Ponadto wskazać należy, że podmiot udzielający informacji powinien dołożyć wszelkich starań, aby zidentyfikować czy osoba która się z nim kontaktuje jest osobą uprawnioną do uzyskania informacji na temat pacjenta, np. poprzez zadanie pytań kontrolnych. W przypadku wątpliwości co do tożsamości osoby dzwoniącej o informacje dotyczące pacjenta w sytuacjach zwyczajnych powinno się odmówić udzielenia informacji.

1 Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 127 z 23.05.2018 r., s. 2.

Z up. Prezesa Urzędu Ochrony Danych Osobowych Dyrektor Zespołu ds. Sektora Zdrowia
Paulina Dawidczyk

Autor: Krystian Szulc