Wyciek danych pacjenta przez pracownika – czy grozi dyscyplinarka?

Wyciek danych osobowych – czy w opisanej sytuacji w ogóle doszło do naruszenia?

Taką sytuację trzeba ocenić przede wszystkim przez pryzmat art. 4 pkt 12 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), zgodnie z którym „naruszenie ochrony danych osobowych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utracenia, zmodyfikowania, nieuprawnionego ujawnienia lub nieuprawnionego dostępu do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych.

Jeżeli pracownik wysłał skan skierowania medycznego na błędny adres e-mail, to co najmniej istnieje ryzyko nieuprawnionego ujawnienia danych. W opisanym stanie faktycznym chodzi nie tylko o zwykłe dane identyfikacyjne, ale także o dane dotyczące zdrowia, które są szczególną kategorią danych osobowych w rozumieniu art. 9 ust. 1 RODO.

Nie zawsze jednak da się od razu stwierdzić, czy rzeczywiście ktoś obcy zapoznał się z wiadomością. Jeżeli e-mail wrócił jako niedoręczony, skala ryzyka może być mniejsza. Jeżeli natomiast wiadomość została skutecznie dostarczona na aktywny adres, incydent należy traktować poważniej. To właśnie administrator powinien ustalić, czy doszło wyłącznie do błędu technicznego, czy do realnego naruszenia poufności danych.

Zobacz również: dane osobowe w pracy

Kto odpowiada za zabezpieczenie danych – pracownik czy pracodawca?

Na gruncie RODO podstawowa odpowiedzialność za zgodne z prawem i bezpieczne przetwarzanie danych spoczywa na administratorze. Wynika to z art. 5 ust. 2 RODO (zasada rozliczalności) oraz z art. 24 ust. 1 RODO, zgodnie z którym administrator wdraża odpowiednie środki techniczne i organizacyjne, aby przetwarzanie odbywało się zgodnie z RODO.

W sprawach pracowniczych administratorem danych pacjentów będzie co do zasady przychodnia, podmiot leczniczy albo pracodawca prowadzący placówkę. To on odpowiada za procedury, instrukcje, upoważnienia, szkolenia i zabezpieczenia systemów.

Potwierdza to także art. 32 ust. 1 RODO, który nakazuje administratorowi i podmiotowi przetwarzającemu wdrożenie odpowiednich środków technicznych i organizacyjnych, uwzględniając stan wiedzy technicznej, koszt wdrażania, charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych. Przepis wymienia przykładowo pseudonimizację i szyfrowanie danych, ale nie wprowadza bezwzględnego obowiązku szyfrowania każdej wiadomości e-mail w każdej sytuacji.

Istotny jest też art. 29 RODO, zgodnie z którym osoba działająca z upoważnienia administratora, mająca dostęp do danych osobowych, przetwarza je wyłącznie na polecenie administratora, chyba że wymaga tego prawo Unii lub prawo państwa członkowskiego. Oznacza to, że pracownik nie tworzy samodzielnie polityki bezpieczeństwa – powinien działać według zasad wdrożonych przez pracodawcę.

Jeżeli więc w zakładzie pracy nie stosowano dotąd szyfrowania, nie było jasnej procedury podwójnej weryfikacji adresu e-mail albo pracownicy nie zostali przeszkoleni, to okoliczności te obciążają przede wszystkim administratora, a nie automatycznie pracownika.

Czy pracownik odpowiada bezpośrednio na gruncie RODO?

Co do zasady sankcje administracyjne z RODO, w tym obowiązki związane z oceną incydentu, zgłoszeniem naruszenia oraz ewentualna odpowiedzialność wobec Prezesa UODO, dotyczą administratora albo podmiotu przetwarzającego, a nie zwykłego pracownika działającego w ramach poleceń służbowych.

Zgodnie z art. 33 ust. 1 RODO administrator bez zbędnej zwłoki, nie później niż w terminie 72 godzin po stwierdzeniu naruszenia, zgłasza je organowi nadzorczemu, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych. Z kolei art. 34 ust. 1 RODO przewiduje obowiązek zawiadomienia osoby, której dane dotyczą, jeżeli naruszenie może powodować wysokie ryzyko naruszenia jej praw lub wolności.

Pracownik ma natomiast obowiązek niezwłocznie zgłosić incydent przełożonemu, administratorowi systemu, inspektorowi ochrony danych albo osobie wyznaczonej w procedurach wewnętrznych. Ten obowiązek zwykle wynika z regulaminów, polityk bezpieczeństwa i podstawowego obowiązku dbania o dobro zakładu pracy, o którym mowa w art. 100 § 2 pkt 4 ustawy z 26 czerwca 1974 r. – Kodeks pracy.

Inaczej trzeba ocenić sytuację, gdy pracownik działał umyślnie, świadomie przekazał dane osobie nieuprawnionej albo zignorował jednoznaczne procedury. Wtedy odpowiedzialność może być znacznie dalej idąca – pracownicza, cywilna, a w skrajnych przypadkach także karna. Jednak przy jednorazowym, nieumyślnym błędzie nie można automatycznie przyjąć, że pracownik „odpowiada z RODO” w takim samym zakresie jak administrator.

Czy brak hasła lub szyfrowania przesądza o winie pracownika?

Nie. Art. 32 ust. 1 lit. a RODO wskazuje pseudonimizację i szyfrowanie jako możliwe środki bezpieczeństwa „w stosownym przypadku”. To oznacza, że zabezpieczenia powinny być adekwatne do ryzyka, ale przepis nie stanowi, że każdy pracownik ma samodzielnie decydować o zaszyfrowaniu załącznika, jeśli organizacja nie wdrożyła takiego standardu.

Znaczenie ma także art. 32 ust. 4 RODO, zgodnie z którym administrator i podmiot przetwarzający podejmują działania w celu zapewnienia, by każda osoba działająca z ich upoważnienia przetwarzała dane wyłącznie na polecenie administratora. W praktyce to pracodawca powinien określić, czy dokumenty medyczne wysyła się wyłącznie przez bezpieczny portal pacjenta, czy e-mailem z hasłem przekazywanym odrębnie, czy w inny sposób.

Jeżeli więc przez dłuższy czas w placówce normalną praktyką było wysyłanie dokumentów zwykłą pocztą elektroniczną bez hasła, to trudno przypisać pracownikowi wyłączną winę za to, że zastosował przyjęty model działania. Co innego, gdyby obowiązywała jasna instrukcja, szkolenie i techniczna możliwość zabezpieczenia pliku, a pracownik świadomie zignorował te zasady.

Czy pracodawca może zwolnić pracownika dyscyplinarnie?

Rozwiązanie umowy bez wypowiedzenia z winy pracownika reguluje art. 52 § 1 pkt 1 Kodeksu pracy. Jest to możliwe w razie ciężkiego naruszenia podstawowych obowiązków pracowniczych. Sam błąd pracownika nie wystarcza. W orzecznictwie przyjmuje się, że potrzebny jest wysoki stopień winy – co najmniej rażące niedbalstwo albo umyślność – oraz naruszenie obowiązku o podstawowym charakterze.

Przy ocenie, czy dyscyplinarka jest dopuszczalna, bierze się pod uwagę m.in.:

• czy pracownik działał umyślnie czy nieumyślnie,
• czy naruszył jasną i wcześniej zakomunikowaną procedurę,
• czy incydent był jednorazowy czy powtarzalny,
• jakie było realne ryzyko lub skutek dla pacjenta i pracodawcy,
• czy pracodawca zapewnił szkolenia, instrukcje i odpowiednie zabezpieczenia.

W opisanej sytuacji jednorazowe, nieumyślne wpisanie błędnego adresu e-mail samo w sobie nie musi uzasadniać dyscyplinarnego zwolnienia. Zwłaszcza jeśli w zakładzie nie wdrożono wcześniej szyfrowania wiadomości, a sposób działania nie był jasno uregulowany.

Nie oznacza to jednak pełnej nietykalności pracownika. W zależności od okoliczności pracodawca może rozważać łagodniejsze reakcje, np. rozmowę dyscyplinującą, zmianę procedur, dodatkowe szkolenie, a w niektórych przypadkach karę porządkową na podstawie art. 108 § 1 Kodeksu pracy. Kara porządkowa również wymaga jednak zachowania trybu i terminów określonych w art. 109–110 Kodeksu pracy.

Jeżeli pracodawca powołuje się na ciężkie naruszenie, warto pamiętać, że podobne pojęcie jest rygorystycznie oceniane także w innych sprawach pracowniczych, np. przy analizie takich zdarzeń jak ciężkie naruszenie obowiązków w miejscu pracy.

Odpowiedzialność materialna pracownika wobec pracodawcy

Odrębna od RODO i od samego zwolnienia jest odpowiedzialność materialna pracownika wobec pracodawcy. Zgodnie z art. 114 Kodeksu pracy pracownik, który wskutek niewykonania lub nienależytego wykonania obowiązków pracowniczych ze swojej winy wyrządził pracodawcy szkodę, ponosi odpowiedzialność materialną.

Przy winie nieumyślnej odszkodowanie co do zasady jest ograniczone. Zgodnie z art. 119 Kodeksu pracy nie może przewyższać kwoty trzymiesięcznego wynagrodzenia przysługującego pracownikowi w dniu wyrządzenia szkody. Pełna odpowiedzialność pojawia się przy winie umyślnej – art. 122 Kodeksu pracy.

W praktyce pracodawca musiałby wykazać wszystkie przesłanki odpowiedzialności: winę pracownika, szkodę po stronie pracodawcy i normalny związek przyczynowy. Sama abstrakcyjna możliwość nałożenia kary przez UODO nie oznacza jeszcze automatycznie, że pracownik ma pokryć jakąś kwotę.

Co powinien zrobić pracownik po ujawnieniu błędu?

Najbezpieczniej działać od razu. W praktyce warto:

• niezwłocznie poinformować przełożonego lub inspektora ochrony danych,
• zabezpieczyć dowody: treść wiadomości, godzinę wysyłki, adres odbiorcy, informację, czy e-mail wrócił jako niedoręczony,
• nie podejmować samodzielnie działań pozornych, np. ukrywania incydentu,
• stosować się do poleceń administratora w zakresie ograniczenia skutków naruszenia,
• zachować korespondencję i dokumentację na wypadek sporu pracowniczego.

Ukrywanie incydentu może zostać ocenione znacznie surowiej niż sam pierwotny błąd. Z punktu widzenia pracowniczego liczy się nie tylko to, że doszło do pomyłki, ale też sposób reakcji po jej wykryciu.

Zobacz również: RODO w pracy

Jak ocenić sytuację, gdy pracodawca wręczy wypowiedzenie albo dyscyplinarkę?

Jeżeli pracodawca rozwiąże umowę o pracę za wypowiedzeniem albo bez wypowiedzenia, znaczenie ma treść pisma i konkretna przyczyna wskazana przez pracodawcę. Przy umowie na czas nieokreślony przyczyna wypowiedzenia musi być rzeczywista i konkretna, a przy rozwiązaniu bez wypowiedzenia musi dodatkowo odpowiadać rygorom z art. 52 Kodeksu pracy.

Pracownik może odwołać się do sądu pracy. Terminy wynikają z art. 264 § 1 i § 2 Kodeksu pracy: odwołanie od wypowiedzenia wnosi się w terminie 21 dni od doręczenia pisma wypowiadającego umowę, a żądanie dotyczące rozwiązania umowy bez wypowiedzenia – w terminie 21 dni od doręczenia zawiadomienia o takim rozwiązaniu.

W sporze duże znaczenie mają: zakres obowiązków, szkolenia RODO, regulaminy, polityka bezpieczeństwa, historia wcześniejszych naruszeń oraz to, czy pracodawca dopiero po incydencie wprowadził zabezpieczenia, których wcześniej nie było.

Podsumowanie

Przypadkowe wysłanie dokumentu medycznego na błędny adres e-mail może stanowić naruszenie ochrony danych osobowych, ale nie oznacza automatycznie, że pracownik ponosi pełną odpowiedzialność za incydent. Na gruncie RODO główne obowiązki spoczywają na administratorze danych, który powinien wdrożyć odpowiednie procedury i zabezpieczenia.

W prawie pracy kluczowe jest to, czy pracownik naruszył podstawowe obowiązki w sposób ciężki, zawiniony i rażący. Jednorazowa, nieumyślna pomyłka – zwłaszcza przy braku jasnych procedur – nie musi uzasadniać dyscyplinarki. Każdą sprawę trzeba jednak oceniać indywidualnie, na podstawie dokumentów, zakresu obowiązków i rzeczywistego przebiegu incydentu.

FAQ

Czy samo wysłanie e-maila na zły adres oznacza wyciek danych?

Nie zawsze w potocznym sensie „wyciek”, ale może oznaczać naruszenie ochrony danych osobowych z art. 4 pkt 12 RODO. Trzeba ustalić, czy wiadomość została dostarczona i jakie ryzyko powstało dla pacjenta.

Czy pracownik musi sam zgłosić incydent do UODO?

Nie. Obowiązek zgłoszenia naruszenia do Prezesa UODO wynika z art. 33 ust. 1 RODO i obciąża administratora danych. Pracownik powinien natomiast niezwłocznie zgłosić incydent wewnątrz organizacji.

Czy brak szyfrowania wiadomości zawsze jest naruszeniem?

Nie automatycznie. Art. 32 RODO wymaga zastosowania odpowiednich środków bezpieczeństwa adekwatnych do ryzyka. Istotne jest, jakie procedury obowiązywały u pracodawcy i jakie dane były przesyłane.

Czy za taki błąd można dostać dyscyplinarkę?

Tak, ale tylko wtedy, gdy zachowanie pracownika spełnia przesłanki z art. 52 § 1 pkt 1 Kodeksu pracy, czyli stanowi ciężkie naruszenie podstawowych obowiązków pracowniczych. Jednorazowy błąd nieumyślny często nie wystarcza.

Czy pracownik może odpowiadać finansowo wobec pracodawcy?

Tak, ale pracodawca musi wykazać winę pracownika, szkodę i związek przyczynowy. Przy winie nieumyślnej odszkodowanie jest co do zasady ograniczone przez art. 119 Kodeksu pracy.

Źródła:

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO) – w szczególności art. 4 pkt 12, art. 5 ust. 2, art. 9 ust. 1, art. 24 ust. 1, art. 29, art. 32 ust. 1 i 4, art. 33 ust. 1, art. 34 ust. 1, art. 82 ust. 1.

2. Ustawa z dnia 26 czerwca 1974 r. – Kodeks pracy – w szczególności art. 52 § 1 pkt 1, art. 100 § 2 pkt 4, art. 108–110, art. 114–122, art. 264 § 1 i § 2.

3. Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych - Dz.U. 2018 poz. 1000.