Grčka - voditelj obrade je ginekolog koji je pratio trudnoću ispitanice u razdoblju od rujna 2020. do listopada 2021.
U listopadu 2021. ispitanica je imala spontani pobačaj te je obavijestila voditelja obrade da ne želi nastaviti suradnju. Istovremeno, zatražila je kopiju svog potpunog medicinskog kartona koji je voditelj obrade bio dužan čuvati.
Kome smijete predati medicinsku dokumentaciju- obratiti posebnu pozornost!
Voditelj obrade predao je suprugu ispitanice nepotpuni medicinski karton koji nije uključivao sve pretrage provedene tijekom praćenja njezine trudnoće. Voditelj obrade tvrdio je da nije vodio evidenciju o drugim podacima.
U lipnju 2022. ispitanica je otkrila kako voditelj obrade pristupa njezinom elektroničkom medicinskom kartonu nakon prestanka suradnje.
Koliko dugo smijete pristupati podacima pacijenata? Nije isto obrađivati podatke jer su samo pohranjeni u sustavu radi rokova iz propisa i analizirati ih i dalje!
Podnjela je pritužbu Helenskom tijelu za zaštitu podataka (HDPA), tvrdeći da:
a. voditelj obrade nije u potpunosti udovoljio njezinom zahtjevu za pristup dostavivši joj nepotpuni medicinski karton, kako bi prikrio dokaze ili prikrio da ne vodi potpuni medicinski karton, te kako bi se pripremio za mogući sudski postupak zbog liječničke greške,
b. iako nije imao status njenog liječnika i nije dobio privolu za pristup njezinim zdravstvenim podacima, više je puta nepropisno pristupao elektroničkom medicinskom kartonu, dobivajući medicinske informacije koje se odnose na zdravstveno stanje ispitanice kršeći članak 9(1) GDPR-a, te
c. voditelj obrade je zatim nezakonito prenio te informacije trećim stranama.
Ne smijete bilo kome ustupati podatke o pacijentima! Ukoliko ne znate kome smijete dati podatke, pitajte DPO-a odnosno službenika za zaštitu podataka!
Voditelj obrade je tvrdio da su svi pregledi provedeni tijekom trudnoće ispitanice već predani tijekom njezinih posjeta ordinaciji, a preostali testovi koje je čuvala u svom dosjeu predani su njezinom suprugu nakon njezina zahtjeva. Što se tiče pristupa njezinom dosjeu, voditelj obrade je tvrdio da je obaviješten da je ispitanica ponovno trudna te da se želi prisjetiti što se dogodilo s obzirom na njezinu moguću novu trudnoću kako bi joj pomogao, čak i ako više nije njezin liječnik. Konačno, voditelj obrade je odbio postojanje bilo kakavih prijenosa podataka ispitanika trećim stranama.
Zaključak u odnosu na ovaj kontretan slučaj
Prvo, DPA nije utvrdio kršenje prava ispitanika na pristup (članak 15. GDPR-a). Voditelj obrade nije udovoljio zahtjevu ispitanika za pristup jer nije imao na raspolaganju sve tražene osobne podatke iz medicinskog kartona ispitanice, osim medicinske dokumentacije koju je predao suprugu nakon njezina zahtjeva, kao i podataka koje je koristio za ulazak u elektronički zdravstveni sustav u vrijeme kada je pravo pristupa ostvareno.
Inače, ispitanik kod prava na pristup mora dobiti sve informacije i kopiju svih svojih podataka, a što uključuje, ali se ne ograničava na samo medicinsku dokumentaciju.
Drugo, nadzorno tijelo je utvrdilo da je voditelj obrade nezakonito obrađivao osobne podatke ispitanice (broj socijalnog osiguranja, puno ime itd.) koje je koristio za ulazak u elektronički zdravstveni sustav kao i posebnu kategoriju osobnih podataka iz članka 9. GDPR-a (zdravstveni podaci) ispitanika, te je stoga prekršio članak 5. stavak 1. točka (a) GDPR-a.
Ne smijete koristiti i prikupljati osobne podatke pacijenata jer mislite da će vam trebati za "ubuduće", obrađuju se samo podaci koju su vam nužni za izvršenje usluge, čuvanje javnog zdravlja, pružanja pune usluge liječenja kako bi se zaštitio život i zdravlje pacijenta/ pacijentice.
Treće, DPA je utvrdio da dokazi u spisu ne pokazuju da je voditelj doista prenio zdravstvene podatke trećim stranama te je odbacio zahtjev kao neutemeljen.
Pazite s kime dijelite podatke. Kada ispitanik ostvaruje svoje pravo na pristup, brisanje i sl., smije ga ostvarivati samo u odnosu na sebe, a iznimno, uz određene dokaze (primjerice punomoć), za druge.
Konačno, uzimajući u obzir članak 83(2) GDPR-a, DPA je voditelju obrade izrekao novčanu kaznu u iznosu od 5.000,00 eura.
Svaka greška i kriva obrada koja se vama čini sitnicom (ili bezazlenom) može značiti 2% ili 4% kazne i to u odnosu na ukupan godišnji prihod. Bolje pitati, nego platiti skupo greške!
