Udostępnienie danych dziecka sanepidowi przy kontroli szczepień

Podstawa prawna przetwarzania danych dziecka przy kontroli szczepień

Dane dziecka zawarte w dokumentacji medycznej są danymi osobowymi w rozumieniu art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), a informacje o szczepieniach należą do danych dotyczących zdrowia w rozumieniu art. 4 pkt 15 RODO.

Co do zasady przetwarzanie danych o zdrowiu jest zabronione, ale wyjątki przewiduje art. 9 ust. 2 RODO. W opisanej sytuacji znaczenie mają przede wszystkim:

• art. 6 ust. 1 lit. c RODO – przetwarzanie jest zgodne z prawem, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
• art. 9 ust. 2 lit. h RODO – przetwarzanie danych zdrowotnych jest dopuszczalne m.in. do celów profilaktyki zdrowotnej i zarządzania systemami i usługami opieki zdrowotnej,
• art. 9 ust. 2 lit. i RODO – przetwarzanie jest dopuszczalne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, w tym ochroną przed poważnymi transgranicznymi zagrożeniami zdrowotnymi.

Nie jest więc potrzebna zgoda rodzica jako podstawa przekazania danych do sanepidu. Jeżeli istnieje obowiązek ustawowy, zgoda nie tylko nie jest konieczna, ale nie może zastąpić właściwej podstawy z art. 6 i art. 9 RODO.

Skąd wynika obowiązek szczepień i nadzór sanepidu

Obowiązek poddawania się szczepieniom ochronnym wynika z art. 5 ust. 1 pkt 1 lit. b oraz art. 17 ust. 1 ustawy z 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi. Zgodnie z tymi przepisami osoby przebywające na terytorium RP są obowiązane do poddawania się obowiązkowym szczepieniom ochronnym.

Zakres szczepień i grupy osób objętych obowiązkiem są doprecyzowywane w rozporządzeniu Ministra Zdrowia wydanym na podstawie art. 17 ust. 10 tej ustawy oraz w Programie Szczepień Ochronnych ogłaszanym corocznie w formie komunikatu Głównego Inspektora Sanitarnego na podstawie art. 17 ust. 11 ustawy. Jeżeli kontrola sanepidu dotyczy braku wykonania obowiązkowych szczepień, osobno wyjaśniamy także jakie sankcje mogą grozić rodzicom za nieszczepienie dziecka.

Państwowa Inspekcja Sanitarna działa na podstawie ustawy z 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej. Zgodnie z art. 1 i art. 4 ust. 1 tej ustawy PIS realizuje zadania z zakresu zdrowia publicznego, w szczególności nadzoru nad warunkami higieny i zwalczania chorób zakaźnych. W praktyce obejmuje to także czynności kontrolne dotyczące wykonywania obowiązkowych szczepień ochronnych.

Uprawnienia kontrolne inspekcji sanitarnej należy czytać łącznie z przepisami o dokumentacji medycznej i obowiązkach podmiotów leczniczych. To właśnie z tego zestawu przepisów wynika możliwość żądania danych potrzebnych do ustalenia realizacji obowiązku szczepień.

Czy rodzic może zakazać przekazania danych dziecka

Nie. Jeżeli organ Państwowej Inspekcji Sanitarnej działa w granicach ustawowych kompetencji, a żądanie dotyczy danych niezbędnych do przeprowadzenia kontroli lub nadzoru nad wykonywaniem obowiązkowych szczepień, sprzeciw rodzica nie uchyla obowiązku placówki.

Wynika to z tego, że podstawą przetwarzania nie jest zgoda, lecz obowiązek prawny administratora w rozumieniu art. 6 ust. 1 lit. c RODO. W odniesieniu do danych o zdrowiu dochodzi dodatkowo podstawa z art. 9 ust. 2 lit. h lub i RODO.

Rodzic może oczywiście pytać o podstawę prawną, zakres przekazanych danych, sposób zabezpieczenia dokumentacji i odnotowanie udostępnienia. Nie może jednak skutecznie żądać, aby placówka zignorowała prawidłowe żądanie organu.

W tym kontekście warto też pamiętać, że prawo do sprzeciwu z art. 21 RODO nie ma zastosowania do przetwarzania opartego na art. 6 ust. 1 lit. c RODO. Placówka nie działa tu na podstawie prawnie uzasadnionego interesu, lecz wykonuje obowiązek ustawowy.

Na jakiej podstawie placówka udostępnia dokumentację medyczną

Zasady udostępniania dokumentacji medycznej reguluje art. 26 ustawy z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Zgodnie z art. 26 ust. 3 pkt 2 tej ustawy dokumentacja medyczna jest udostępniana m.in. organom władzy publicznej oraz innym podmiotom uprawnionym na podstawie odrębnych ustaw, jeżeli jest to niezbędne do wykonywania przez nie zadań, w szczególności kontroli i nadzoru.

To bardzo ważny przepis praktyczny: placówka nie udostępnia danych „bo sanepid poprosił”, lecz dlatego, że konkretny organ jest uprawniony ustawowo, a dokumentacja jest niezbędna do wykonania jego zadań.

Dodatkowo sposób prowadzenia, zakres i tryb udostępniania dokumentacji medycznej doprecyzowuje rozporządzenie Ministra Zdrowia z 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania. Przy udostępnieniu dokumentacji trzeba więc zachować także wymogi organizacyjne, w tym odnotowanie komu, kiedy i w jakim zakresie dokumentację wydano lub udostępniono.

Jakie dane można przekazać podczas kontroli

Placówka powinna stosować zasadę minimalizacji danych z art. 5 ust. 1 lit. c RODO. Oznacza to, że wolno przekazać dane adekwatne, stosowne i ograniczone do tego, co niezbędne do celu kontroli.

W praktyce oznacza to konieczność odpowiedzi na trzy pytania:

• czy żądanie pochodzi od właściwego organu lub osoby działającej z jego upoważnienia,
• jaka jest dokładna podstawa prawna żądania,
• jaki zakres danych jest rzeczywiście potrzebny do realizacji celu kontroli.

Jeżeli sanepid bada poziom realizacji obowiązkowych szczepień, zwykle uzasadnione będą dane identyfikujące dziecko, informacje o wykonanych lub niewykonanych szczepieniach, terminach oraz ewentualnych odroczeniach potwierdzonych dokumentacją medyczną. Nie oznacza to automatycznie prawa do żądania całej historii leczenia, jeżeli nie jest potrzebna do celu kontroli.

Obowiązki placówki medycznej krok po kroku

W praktyce bezpieczne postępowanie placówki powinno wyglądać następująco:

1. zweryfikować, jaki organ występuje o dane i czy działa w ramach kontroli lub nadzoru przewidzianego ustawą,
2. sprawdzić podstawę prawną żądania oraz jego zakres,
3. udostępnić tylko dane niezbędne do celu, zgodnie z art. 5 ust. 1 lit. c RODO,
4. zabezpieczyć sposób przekazania danych, zgodnie z art. 32 RODO,
5. odnotować udostępnienie dokumentacji zgodnie z przepisami o dokumentacji medycznej,
6. w razie pytań rodzica przekazać mu informację, że podstawą przetwarzania nie jest zgoda, lecz obowiązek ustawowy.

Jeżeli stan faktyczny jest nietypowy, np. kontrola dotyczy dziecka z przeciwwskazaniami medycznymi, odroczeniem szczepień albo sporem co do statusu pacjenta w placówce, warto osobno ocenić, jaki konkretnie zakres danych jest niezbędny i jak sformułować odpowiedź do organu.

Jak odpowiedzieć rodzicowi, który sprzeciwia się przekazaniu danych

Najbezpieczniej odpowiedzieć rzeczowo i krótko. Placówka może wskazać, że:

• administratorem danych jest podmiot leczniczy,
• dane są przetwarzane na podstawie art. 6 ust. 1 lit. c RODO oraz art. 9 ust. 2 lit. h i i RODO,
• udostępnienie następuje na podstawie art. 26 ust. 3 pkt 2 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta,
• zakres przekazania ogranicza się do danych niezbędnych dla ustawowego celu kontroli.

Taka odpowiedź zwykle wystarcza. Nie ma potrzeby uzyskiwania dodatkowego oświadczenia rodzica ani prowadzenia z nim negocjacji co do tego, czy dane wolno przekazać.

Ryzyka dla placówki: nie tylko za szerokie udostępnienie, ale też bezpodstawna odmowa

Placówka medyczna powinna unikać dwóch skrajności. Z jednej strony nie wolno przekazywać danych „na zapas” i bez kontroli zakresu żądania. Z drugiej strony bezpodstawna odmowa udostępnienia danych uprawnionemu organowi może zostać potraktowana jako naruszenie obowiązków ustawowych.

W zależności od okoliczności może to prowadzić do zastrzeżeń pokontrolnych, dalszych czynności nadzorczych, a w niektórych przypadkach także do odpowiedzialności organizacyjnej po stronie podmiotu leczniczego. Dlatego najlepszym rozwiązaniem jest formalna weryfikacja żądania i prawidłowe, udokumentowane udostępnienie danych.

FAQ

Czy do przekazania danych dziecka sanepidowi potrzebna jest zgoda rodzica?

Nie. Jeżeli żądanie wynika z przepisów prawa i pochodzi od uprawnionego organu, podstawą jest art. 6 ust. 1 lit. c RODO, a przy danych o zdrowiu także art. 9 ust. 2 lit. h lub i RODO.

Czy rodzic może skutecznie wnieść sprzeciw na podstawie RODO?

Nie w takim zakresie, w jakim placówka wykonuje obowiązek prawny. Prawo do sprzeciwu z art. 21 RODO nie dotyczy przetwarzania opartego na art. 6 ust. 1 lit. c RODO.

Czy placówka może przekazać pełną dokumentację medyczną?

Tylko wtedy, gdy pełny zakres jest niezbędny do celu kontroli. Co do zasady należy ograniczyć udostępnienie do danych potrzebnych do oceny realizacji obowiązkowych szczepień.

Czy trzeba poinformować rodzica o przekazaniu danych?

Najczęściej rodzic już zna cel przetwarzania z klauzuli informacyjnej. Samo udostępnienie powinno być zgodne z zasadą rozliczalności i odnotowane w dokumentacji. Zakres dodatkowych informacji zależy od okoliczności konkretnej sprawy.

Co zrobić, gdy żądanie sanepidu jest zbyt ogólne?

Warto poprosić o doprecyzowanie podstawy prawnej i zakresu danych. Placówka nie powinna odmawiać automatycznie, ale ma prawo i obowiązek zadbać, aby przekazywać tylko dane niezbędne.

Źródła:

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), w szczególności art. 4 pkt 1 i 15, art. 5 ust. 1 lit. c, art. 6 ust. 1 lit. c, art. 9 ust. 1 oraz art. 9 ust. 2 lit. h i i.

2. Ustawa z dnia 5 grudnia 2008 r. o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi, w szczególności art. 5 ust. 1 pkt 1 lit. b oraz art. 17 ust. 1, 10 i 11.

3. Ustawa z dnia 14 marca 1985 r. o Państwowej Inspekcji Sanitarnej, w szczególności art. 1 i art. 4 ust. 1.

4. Ustawa z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, w szczególności art. 26 ust. 3 pkt 2.

5. Rozporządzenie Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania.