Przetwarzanie danych osobowych dotyczących zdrowia [45 tys. kary dla Kancelarii]

Przetwarzanie danych osobowych

Zgodnie z RODO dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (,,zgodność z prawem, rzetelność i przejrzystość''). 

Czym są dane dotyczące zdrowia?

Do danych osobowych dotyczących zdrowia należy zaliczyć wszystkie dane o stanie zdrowia osoby, której dane dotyczą, ujawniające informacje o przeszłym, obecnym lub przyszłym stanie fizycznego lub psychicznego zdrowia osoby, której dane dotyczą. Do danych takich należą:

• informacje o danej osobie fizycznej zbierane podczas jej rejestracji do usług opieki zdrowotnej lub podczas świadczenia jej usług opieki zdrowotnej, jak to określa dyrektywa Parlamentu Europejskiego i Rady 2011/24/UE;
• numer, symbol lub oznaczenie przypisane danej osobie fizycznej w celu jednoznacznego zidentyfikowania tej osoby fizycznej do celów zdrowotnych;
• informacje pochodzące z badań laboratoryjnych lub lekarskich części ciała lub płynów ustrojowych, w tym danych genetycznych i próbek biologicznych;
• oraz wszelkie informacje, na przykład o chorobie, niepełnosprawności, ryzyku choroby, historii medycznej, leczeniu klinicznym lub stanie fizjologicznym lub biomedycznym osoby, której dane dotyczą, niezależnie od ich źródła, którym może być na przykład lekarz lub inny pracownik służby zdrowia, szpital, urządzenie medyczne lub badanie diagnostyczne in vitro.

Pozyskując od osoby dane o jej stanie zdrowia konieczna jest jej wyraźna zgoda – potwierdził Wojewódzki Sąd Administracyjny w Warszawie w wyroku o sygn. akt. II SA/Wa 1861/23. Dane te należą do sfery życia prywatnego stąd tez są szczególnie chronione. Na gruncie polskiego prawa potwierdza to już Konstytucja RP.

Przetwarzanie danych osobowych dotyczących zdrowia

Generalnie na podstawie art. 9 ust. 1 RODO zabronione jest przetwarzanie danych osobowych dotyczących zdrowia, jednak przewidziane są w kolejnym ustępie wyjątki od tej zasady. Przepis art. 9 ust. 2 RODO określa w jakich sytuacjach można przetwarzać szczególne kategorie danych. Te szczególne kategorie danych, oprócz danych dot. zdrowia to jeszcze dane: ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących seksualności lub orientacji seksualnej tej osoby.

Jeżeli osoba, której dane mają być przetwarzane (a dotyczy to ww. danych szczególnej kategorii, w tym zdrowia) wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach - jest możliwe ich przetwarzanie.

Czym jest wyraźna zgoda na przetwarzanie danych?

Do uzyskiwania zgody są wyraźne oświadczenia wyrażające przyzwolenie, takie jak podpisana umowa lub pisemne oświadczenie o chęci wyrażenia przyzwolenia. Jednocześnie dostarczają one administratorowi danych dowodu, że uzyskano zgodę. I tak, zgoda udzielona na piśmie, za pomocą formularza internetowego czy telefonicznie, która: 1) będzie miała postać oświadczenia woli, a nie przyjęcia do wiadomości; 2) będzie zbierana w sposób niebudzący wątpliwości co faktu jej udzielenia przez osobę, której dane dotyczą,
powinna zostać uznana za zgodę spełniającą wymóg zgody wyraźnej.

Wyrok WSA i decyzja Prezesa Urzędu Ochrony Danych Osobowych, nakładająca karę w wysokości ponad 45 tys. zł - dot. przetwarzania danych zw. ze zdrowiem

W ostatnim czasie przez Wojewódzkim Sądem Administracyjnym w Warszawie zapadł ważny wyrok (sygn. akt. II SA/Wa 1861/23), w który WSA oddalił skargę wspólników spółki cywilnej Kancelarii PIONIER na decyzję Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Decyzja PUODO była tak, że nakłada on na tego administratora karę w wysokości ponad 45 tys. zł za to, że przetwarzał dane osobowe bez podstawy prawnej.

Jak podaje w swoim komunikacje UODO: Spółka w swojej działalności docierała do osób poszkodowanych głównie w wypadkach komunikacyjnych, by nawiązać z nimi współpracę w zakresie reprezentowania ich m.in. przed towarzystwami ubezpieczeniowymi, w sprawach sądowych  w celu uzyskania na ich rzecz odszkodowań, zadośćuczynienia i rent, a także zwrotu kosztów leczenia i rehabilitacji. Informacje o potencjalnych klientach uzyskiwała na podstawie m.in. wiadomości prasowych, publikacji internetowych, w tym treści dostępnych w mediach społecznościowych, a także informacji przekazywanych lub rozpowszechnianych przez organizacje zajmujące się działalnością dobroczynną. Podczas spotkania przedstawiciel Kancelarii PIONIER odbierał ustną zgodę na przetwarzanie danych osobowych do czasu ewentualnego zawarcia umowy z tymi osobami o świadczenie usług.