Nielegalne udostępnienie dokumentacji medycznej – jakie masz prawa?

Dane o stanie zdrowia należą do tzw. szczególnych kategorii danych osobowych (art. 9 RODO) i podlegają wzmocnionej ochronie. Jeśli placówka medyczna lub jej pracownik udostępni Twoją dokumentację osobie nieuprawnionej – bez Twojej zgody i bez podstawy prawnej – masz kilka równoległych ścieżek reakcji: zgłoszenie naruszenia do administratora danych (placówki), skargę do Prezesa Urzędu Ochrony Danych Osobowych, skargę do Rzecznika Praw Pacjenta oraz roszczenie cywilne o zadośćuczynienie. Ścieżki te można uruchamiać niezależnie od siebie.

Prawo do poufności dokumentacji medycznej

Tajemnicę dotyczącą stanu zdrowia chronią równolegle: RODO, ustawa o ochronie danych osobowych z 10 maja 2018 r., ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta oraz tajemnica zawodowa lekarza (art. 40 ustawy o zawodach lekarza i lekarza dentysty). Pacjent ma prawo dostępu do swojej dokumentacji, a placówka ma obowiązek przechowywać ją co do zasady przez 20 lat, licząc od końca roku kalendarzowego ostatniego wpisu (art. 29 ustawy o prawach pacjenta), z wyjątkami – np. 30 lat przy zgonie wskutek uszkodzenia ciała lub zatrucia. Udostępnienie danych zdrowotnych osobie nieuprawnionej narusza zarówno przepisy o ochronie danych, jak i tajemnicę zawodową.

Co zrobić po naruszeniu – kolejne kroki

Najpierw udokumentuj zdarzenie: zapisz daty, okoliczności, komu dane ujawniono, oraz zgromadź korespondencję i inne dowody. Następnie złóż skargę do administratora (placówki) i zażądaj wyjaśnień – administrator ma obowiązek prowadzić rejestr naruszeń, a poważniejsze naruszenia zgłaszać do PUODO w ciągu 72 godzin (art. 33–34 RODO). Możesz samodzielnie złożyć skargę do Prezesa UODO (art. 77 RODO) oraz do Rzecznika Praw Pacjenta. Warto rozważyć konsultację z prawnikiem przed wyborem ścieżki cywilnej.

Roszczenia cywilne o zadośćuczynienie

Na podstawie art. 82 RODO osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia przepisów o ochronie danych, ma prawo do odszkodowania od administratora lub podmiotu przetwarzającego. Roszczenia można też opierać na ochronie dóbr osobistych (art. 23 i 24 oraz art. 448 Kodeksu cywilnego). Co do zasady to poszkodowany powinien wykazać fakt naruszenia i powstałą szkodę, choć w reżimie art. 82 RODO administrator może zwolnić się z odpowiedzialności tylko wtedy, gdy udowodni, że nie ponosi winy. Sprawy zbiorowe są w Polsce możliwe w trybie ustawy o dochodzeniu roszczeń w postępowaniu grupowym, ale ich praktyczne zastosowanie do roszczeń RODO bywa ograniczone.