Spośród wymienionych tam sytuacji wyjątkowych, w których dopuszcza się przetwarzanie danych wrażliwych, do informacji o stanie zdrowia znajdują zastosowanie następujące wypadki:

  • a) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych;
  • b) przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dotyczą i stwarza pełne gwarancje ich ochrony;
  • c) przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody do czasu ustanowienia opiekuna prawnego lub kuratora;
  • d) przetwarzanie dotyczy danych, które są niezbędne do dochodzenia praw przed sądem;
  • e) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych;
  • f) przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą.

Ustawodawca w art. 27 ust. 1 ustawy o ochronie danych osobowych posługuje się zwrotem „zabrania się przetwarzania danych ujawniających” (m.in. stan zdrowia), co należy interpretować w ten sposób, że zakazane jest przetwarzanie zarówno informacji odnoszących się bezpośrednio do stanu zdrowia człowieka, jak również informacji, z których przeciętny odbiorca może w prosty sposób wywieść takie dane (np. informacja, że osoba A musi codziennie zażywać insulinę)1. Przez przetwarzanie danych osobowych należy rozumieć jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych (art. 7 pkt 2 ustawy o ochronie danych osobowych).

2. Dane osobowe zawarte w dokumentacji medycznej

Jedną z form przetwarzania danych osobowych jest prowadzenie dokumentacji medycznej. Zgodnie z art. 18 ust. 1 i 2 ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej (tekst jedn.: Dz. U. z 2007 r. Nr 14, poz. 89; dalej jako: u.z.o.z.) zakład opieki zdrowotnej jest zobowiązany prowadzić dokumentację medyczną osób korzystających ze świadczeń zdrowotnych zakładu oraz zapewnia ochronę danych zawartych w tej dokumentacji. Zgodnie z art. 18 ust. 2a u.z.o.z. dokumentacja medyczna musi zawierać co najmniej następujące danej:

  1. oznaczenie pacjenta, pozwalające na ustalenie jego tożsamości,
  2. oznaczenie zakładu opieki zdrowotnej ze wskazaniem komórki organizacyjnej zakładu, w której udzielono świadczeń zdrowotnych,
  3. opis stanu zdrowia pacjenta lub udzielonych mu świadczeń zdrowotnych,
  4. datę sporządzenia.

Dokumentacja medyczna zawiera zatem dane osobowe pacjenta, w tym dane o jego stanie zdrowia, które podlegają szczególnej ochronie prawnej. Przetwarzanie tych danych, w tym także ich udostępnianie, może mieć miejsce albo tylko za zgodą osoby, której dotyczą albo w innych wypadkach wymienionych w art. 27 ust. 2 ustawy o ochronie danych osobowych. Artykuł 27 ust. 2 pkt 2 tej ustawy stanowi, że przetwarzanie danych dotyczących stanu zdrowia jest dopuszczalne wtedy, gdy przepis szczególny innej ustawy na to zezwala i stwarza pełne gwarancje ich ochrony. W omawianym wypadku o udostępnianiu dokumentacji medycznej stanowi przepis art. 18 ust. 3 i 4 u.z.o.z., który wymienia przypadki zgodnego z prawem przekazania informacji objętych tą dokumentacją. Zgodnie z art. 18 ust. 3 i 4 u.z.o.z. zakład udostępnia dokumentację:

  1. pacjentowi lub jego przedstawicielowi ustawowemu, bądź osobie upoważnionej przez pacjenta,
  2. zakładom opieki zdrowotnej, jednostkom organizacyjnym tych zakładów i osobom wykonującym zawód medyczny poza zakładami opieki zdrowotnej, jeżeli dokumentacja ta jest niezbędna do zapewnienia ciągłości świadczeń zdrowotnych,
  3. właściwym do spraw zdrowia organom państwowym oraz organom samorządu terytorialnego w zakresie niezbędnym do wykonywania kontroli i nadzoru,
  4. Ministrowi właściwemu do spraw zdrowia, sądom i prokuratorom oraz sądom i rzecznikom odpowiedzialności zawodowej, w związku z prowadzonym postępowaniem,
  5. uprawnionym na mocy odrębnych ustaw organom i instytucjom, jeżeli badanie zostało przeprowadzone na ich wniosek,
  6. organom rentowym oraz zespołom do spraw orzekania o stopniu niepełnosprawności, w związku z prowadzonym przez nie postępowaniem,
  7. rejestrom usług medycznych, w zakresie niezbędnym do prowadzenia rejestrów,
  8. zakładom ubezpieczeń na zasadach określonych w przepisach o działalności ubezpieczeniowej,
  9. szkole wyższej lub jednostce badawczo-rozwojowej do wykorzystania dla celów naukowych, bez ujawniania nazwiska lub innych danych umożliwiających identyfikację osoby, której dokumentacja dotyczy.

Zgodnie z art. 18 ust. 3 pkt 8 u.z.o.z. dokumentacja medyczna może być udostępniona zakładom ubezpieczeń na zasadach określonych w przepisach o działalności ubezpieczeniowej. Zasady te zostały określone w art. 22 ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (Dz. U. z 2003 r. Nr 124, poz. 1151, z późn. zm.). Zgodnie z art. 22 ust. 1 tej ustawy zakład ubezpieczeń może uzyskać od zakładu opieki zdrowotnej, który udzielał świadczeń zdrowotnych ubezpieczonemu lub osobie, na rzecz której ma zostać zawarta umowa ubezpieczenia, informacje o okolicznościach związanych z oceną ryzyka ubezpieczeniowego i weryfikacją podanych przez tę osobę danych o jej stanie zdrowia, ustaleniem prawa tej osoby do świadczenia z zawartej umowy ubezpieczenia i wysokością tego świadczenia, a także informacje o przyczynie śmierci ubezpieczonego, z wyłączeniem wyników badań genetycznych. Art. 22 ust. 3 ustawy o działalności ubezpieczeniowej stanowi jednak, że wystąpienie zakładu ubezpieczeń o wskazane wyżej informacje, zawarte w dokumentacji medycznej, wymaga pisemnej zgody ubezpieczonego lub osoby, na rzecz której ma zostać zawarta umowa ubezpieczenia albo jej przedstawiciela ustawowego. Zakład ubezpieczeń może zatem uzyskać informacje o stanie zdrowia nie tylko ubezpieczonego, ale także osoby, która dopiero zamierza zawrzeć umowę ubezpieczenia jednak wyłącznie za jej zgodą lub zgodą jej przedstawiciela ustawowego. Szczegółowe zasady udzielania zakładom ubezpieczeń informacji zawartych w dokumentacji medycznej pacjenta zakładu opieki zdrowotnej reguluje rozporządzenie Ministra Zdrowia z dnia 23 marca 2004 r. w sprawie szczegółowego zakresu i trybu udzielania zakładom ubezpieczeń informacji o stanie zdrowia ubezpieczonych lub osób, na rzecz których ma zostać zawarta umowa ubezpieczenia, oraz sposobu ustalania wysokości opłat za udzielenie tych informacji (Dz. U. Nr 71, poz. 654).

Z punktu widzenia ochrony danych o stanie zdrowia istotny wydaje się także sposób udostępniania dokumentacji medycznej, który został uregulowany w art. 18 ust. 4a u.z.o.z. Przepis ten przewiduje następujące sposoby udostępniania dokumentacji:

  • do wglądu w zakładzie opieki zdrowotnej,
  • poprzez sporządzenie wyciągów, odpisów lub kopii,
  • poprzez wydanie oryginału za pokwitowaniem odbioru i z zastrzeżeniem zwrotu po wykorzystaniu, jeśli uprawniony organ lub podmiot żąda udostępnienia oryginału dokumentacji.

Szczegółowe przepisy określające rodzaje i zakres dokumentacji medycznej oraz sposób jej przetwarzania, uwzględniające konieczność zapewnienia realizacji prawa dostępu do dokumentacji medycznej, rzetelnego jej prowadzenia oraz ochrony danych i informacji dotyczących stanu zdrowia pacjenta, znajdują się w rozporządzeniu Ministra Zdrowia z dnia 21 grudnia 2006 r. w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania (Dz. U. Nr 247, poz. 1819), wydanym na podstawie delegacji zawartej w art. 18 ust. 8 u.z.o.z. Zgodnie z art. 18 ust. 9 u.z.o.z. odpowiednie rozporządzenia w tej sprawie powinni także wydać: Minister właściwy do spraw wewnętrznych, Minister Sprawiedliwości oraz Minister Obrony Narodowej, każdy w zakresie swojego działania. Rozporządzenia te nie zostały jednak dotychczas wydane, a poprzednio obowiązujące w tej materii rozporządzenie Ministra Spraw Wewnętrznych i Administracji utraciło moc dnia 31 maja 2006 r. na skutek orzeczenia Trybunału Konstytucyjnego z dnia 28 listopada 2005 r., który uznał za sprzeczny z Konstytucją m.in. art. 18 ust. 6 i 7 u.z.o.z.

Zgodnie z powołanym wyżej rozporządzeniem Ministra Zdrowia dokumentacja medyczna indywidualna, czyli taka, która odnosi się do określonego pacjenta korzystającego z usług zakładu opieki zdrowotnej, dzieli się na wewnętrzną i zewnętrzną (§ 5 rozporządzenia). Oprócz tego, informacje na temat pacjenta mogą znajdować się także w dokumentacji zbiorczej odnoszącej się do ogółu pacjentów korzystających ze świadczeń zdrowotnych zakładu (§ 1 ust. 1 rozporządzenia). Dokumentacja jest prowadzona albo w postaci pisemnej albo też elektronicznej (§ 1 ust. 2 rozporządzenia). Zgodnie z § 44 tego rozporządzenia dokumentacja indywidualna wewnętrzna przechowywana jest w zakładzie, w którym została sporządzona, zaś zewnętrzna, w postaci zleceń lub skierowań, pozostaje z kolei w tym zakładzie, który realizował zlecone świadczenie zdrowotne. Kierownik zakładu jest odpowiedzialny za stworzenie odpowiednich warunków organizacyjnych i technicznych przechowywania dokumentacji, zapewniających jej poufność, zabezpieczających przed dostępem osób nieuprawnionych oraz umożliwiających jej wykorzystanie bez zbędnej zwłoki (§ 45 rozporządzenia). Zgodnie z § 46 - 47 oraz § 50 rozporządzenia, sposób i miejsce przechowywania dokumentacji bieżącej określają kierownicy poszczególnych komórek organizacyjnych w porozumieniu z kierownikiem zakładu, zaś dokumentację zakończoną przechowuje się w archiwum zakładu przez okres określony w art. 18 ust. 4f u.z.o.z., czyli przez 20 lat licząc od końca roku kalendarzowego, w którym dokonano ostatniego wpisu z wyjątkiem: dokumentacji w przypadku zgonu pacjenta na skutek uszkodzenia ciała lub zatrucia (wtedy 30 lat licząc od końca roku kalendarzowego, w którym zgon nastąpił), zdjęć rentgenowskich przechowywanych poza dokumentacją (10 lat licząc od końca roku kalendarzowego, w którym zrobiono zdjęcie), skierowań na badania lub zleceń pacjenta (5 lat licząc od końca roku kalendarzowego, w którym zrealizowano świadczenie będące przedmiotem skierowania lub zlecenia). Dokumentacja indywidualna wewnętrzna przewidziana do zniszczenia może zostać wydana za pokwitowaniem na wniosek pacjenta lub jego przedstawiciela ustawowego, a w razie śmierci pacjenta na wniosek osoby przez niego upoważnionej do uzyskania dokumentacji w razie zgonu. O wydaniu dokumentacji zakład jest zobowiązany powiadomić pacjenta lub inną osobę upoważnioną do złożenia wniosku (§ 51 rozporządzenia). W razie likwidacji zakładu dokumentacja archiwalna przekazywana jest do innego archiwum, zgodnie z regulacją § 51 rozporządzenia.

Informacje dotyczące pacjenta zawarte w dokumentacji medycznej mogą być udostępnianie tylko w sposób określony w art. 18 ust. 4a u.z.o.z. (czyli do wglądu w zakładzie opieki zdrowotnej, poprzez sporządzenie wyciągów, odpisów lub kopii oraz poprzez wydanie oryginału za pokwitowaniem odbioru i z zastrzeżeniem zwrotu po wykorzystaniu), na podstawie decyzji kierownika zakładu lub osoby przez niego upoważnionej. Odmowa wydania dokumentacji wymaga zachowania formy pisemnej oraz podania przyczyny (§ 53 ust. 1 i 2 rozporządzenia). Wydając oryginały należy pozostawić w zakładzie kopie lub pełny odpis wydanej dokumentacji, chyba że zwłoka w wydaniu dokumentacji mogłaby narazić pacjenta na szkodę (§ 53 ust. 3 rozporządzenia). Dokumentacja jest udostępniana tylko podmiotom i organom uprawnionym na podstawie odrębnych przepisów, a w razie śmierci pacjenta – osobie przez niego upoważnionej do uzyskiwania dokumentacji w przypadku jego zgonu. Udostępnienie dokumentacji następuje w trybie zapewniającym zachowanie poufności i ochrony danych osobowych (§ 52 rozporządzenia). Szczególne zasady dotyczące przechowywania i zabezpieczenia dokumentacji medycznej prowadzone w formie elektronicznej uregulowane zostały w rozdziale 7 rozporządzenia (§§ 54 – 60).

3. Prawnokarna ochrona danych osobowych zawartych w dokumentacji medycznej pacjenta

Ustawa o ochronie danych osobowych zawiera także przepisy karne (art. 49–54), których celem jest zapewnienie należytej ochrony tych danych przed ich bezprawnym przetwarzaniem oraz odpowiednie wypełnianie obowiązków w zakresie administrowania zbiorami danych. Podstawowym przepisem przewidującym karalność niezgodnego z prawem przetwarzania danych osobowych jest art. 49 ustawy o ochronie danych osobowych. Przepis ten w § 1 statuuje podstawowy typ przestępstwa i stanowi, że podlega karze grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2 ten, kto przetwarza w zbiorze dane osobowe, choć ich przetwarzanie jest niedopuszczalne albo do których przetwarzania nie jest uprawniony. W stosunku do danych wrażliwych, w tym także zawartych w dokumentacji medycznej danych dotyczących stanu zdrowia pacjenta, ustawodawca przewidział jednak surowszy wymiar kary. Artykuł 49 ust. 2 ustawy o ochronie danych osobowych stanowi, że jeżeli czyn z art. 49 ust. 1 dotyczy danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym, sprawca podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3. Ze względu na charakter danych o stanie zdrowia nielegalne ich przetwarzanie wypełnia znamiona przestępstwa z art. 49 ust. 2 ustawy o ochronie danych osobowych, który przewiduje typ kwalifikowany.

Sprawcą przestępstwa z art. 49 ustawy o ochronie danych osobowych może być każdy – gdy chodzi o niedozwolone przetwarzanie danych, oraz osoba, która nie jest uprawniona do ich przetwarzania – w zakresie przetwarzania danych bez uprawnienia.

W tym drugim wypadku chodzi o każdego z wyjątkiem osoby upoważnionej zgodnie z art. 31 i 35 ustawy o ochronie danych osobowych . Omawiane przestępstwo może być popełnione w dwojaki sposób: poprzez przetwarzanie danych w wypadkach, gdy jest to niedopuszczalne oraz poprzez przetwarzanie danych, które wprawdzie jest dopuszczalne, ale dokonuje tego osoba nieuprawniona.
(…)