Nielegalne pozyskanie danych medycznych - jakie grozi odpowiedzialność?

Dane dotyczące zdrowia należą do tzw. szczególnych kategorii danych osobowych, objętych najwyższym poziomem ochrony. Ich przetwarzanie jest co do zasady zakazane, z wyjątkami przewidzianymi w art. 9 RODO (m.in. zgoda, cele zdrowotne, obowiązek prawny). Nielegalne pozyskanie takich danych - np. nieuprawniony dostęp do dokumentacji medycznej - może rodzić odpowiedzialność administracyjną, cywilną, a w niektórych przypadkach karną. Poniżej przedstawiamy ramy prawne; konkretna strategia obrony zawsze zależy od okoliczności sprawy i powinna być ustalana z prawnikiem.

Podstawy ochrony danych medycznych w Polsce

Ochronę danych o zdrowiu tworzą przede wszystkim RODO (rozporządzenie 2016/679), ustawa z 10 maja 2018 r. o ochronie danych osobowych oraz ustawa z 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Ta ostatnia nakłada na podmioty lecznicze obowiązek zachowania tajemnicy informacji o pacjencie oraz właściwego zabezpieczenia dokumentacji medycznej. Naruszenie tych obowiązków może skutkować administracyjnymi karami pieniężnymi nakładanymi przez Prezesa Urzędu Ochrony Danych Osobowych oraz roszczeniami odszkodowawczymi pacjentów.

Kiedy w grę wchodzi odpowiedzialność karna

Nieuprawniony dostęp do informacji może wypełniać znamiona przestępstw z Kodeksu karnego. Art. 267 KK penalizuje uzyskanie dostępu do informacji nieprzeznaczonej dla sprawcy poprzez przełamanie zabezpieczeń lub podłączenie się do systemu (do 2 lat pozbawienia wolności). Bezprawne ujawnienie lub wykorzystanie cudzych danych osobowych może być oceniane na gruncie przepisów ustawy o ochronie danych osobowych. Z kolei ujawnienie tajemnicy zawodowej (np. lekarskiej) przez osobę zobowiązaną może stanowić przestępstwo z art. 266 KK. Kwalifikacja zależy od konkretnego sposobu działania sprawcy i jego pozycji wobec danych.

Środki techniczne i organizacyjne wymagane przez prawo

RODO (art. 32) wymaga od administratora i podmiotu przetwarzającego wdrożenia odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo danych - adekwatnych do ryzyka. W praktyce oznacza to m.in. kontrolę dostępu opartą na rolach, uwierzytelnianie wieloskładnikowe, szyfrowanie, prowadzenie rejestrów dostępu i regularne audyty. Wykazanie, że takie środki były wdrożone, ma znaczenie zarówno dla obrony przed zarzutem naruszenia, jak i dla ograniczenia odpowiedzialności administratora. W razie naruszenia ochrony danych obowiązuje zgłoszenie do PUODO w terminie 72 godzin (art. 33 RODO).