UODO punktuje braki i niedociągnięcia w projekcie „mojeIKP Junior”
– Planowane przedsięwzięcie będzie wymagało systemowych zmian legislacyjnych. Tymczasem w przedstawionych założeniach do projektu tej kwestii nie uwzględniono – czytamy w uwagach prezesa Urzędu Ochrony Danych Osobowych (UODO) Mirosława Wróblewskiego do projektu wprowadzającego usługę „mojeIKP Junior”.
Usługa „mojeIKP Junior” docelowo ma być przeznaczona dla młodzieży w wieku od 13 do 17 lat. Ma być to odpowiednie Internetowego Konta Pacjenta i aplikacji mojeIKP, tylko przeznaczony dla niepełnoletnich.
Na zlecenie Ministerstwa Zdrowia realizuje ją Centrum e-Zdrowia. Przedsięwzięcie jest opiniowane np. w ramach prac rządowego Komitetu do spraw Cyfryzacji.
Prezes UODO zwraca uwagę, że przy tym projekcie konieczne jest zapewnienie szczególnie wysokiego poziomu ochrony danych osobowych. Z usługi będą bowiem korzystać osoby małoletnie. Będzie ona obejmowała również dane dotyczące zdrowia. Natomiast komunikacja z osobami małoletnimi musi zostać dostosowana do ich wieku, stopnia dojrzałości oraz poziomu ich świadomości.
W komunikacie UODO czytamy, że uwagi urzędu zostały już przekazane minister zdrowia Jolancie Sobierańskiej-Grendzie. Urząd podkreśla, że rozwiązania techniczne i organizacyjne gwarantujące ochronę danych osobowych powinny zostać uwzględnione już na etapie projektowania i tworzenia nowej usługi oraz jej funkcjonowania.
Gwarancje zapewniające ochronę danych osobowych nie mogą zostać wdrożone dopiero po uruchomieniu planowanej usługi. Jednocześnie, z uwagi na wysokie ryzyko związane z przetwarzaniem danych dotyczących zdrowia osób małoletnich – przed uruchomieniem usługi – niezbędne jest przeprowadzenie oceny skutków dla ochrony danych.
Prezes UODO wskazuje, że planowane przedsięwzięcie będzie wymagało systemowych zmian legislacyjnych. Tymczasem w przedstawionych założeniach do projektu tej kwestii nie uwzględniono. W jego ocenie niezbędne jest ustanowienie jednoznacznej podstawy prawnej oraz uregulowanie zasad funkcjonowania usługi „mojeIKP Junior”.
Zwraca uwagę, że projektowane rozwiązanie będzie wiązało się z przetwarzaniem szczególnych kategorii danych i dlatego przepisy prawa muszą wskazać dla niego podstawę prawną, określić cel, zakres i kategorie danych, krąg podmiotów uprawnionych do przetwarzania danych, okres ich przechowywania. Przepisy wymagają wskazania, jak będą chronione prawa i wolności osób, zwłaszcza ze względu na zwiększone ryzyko naruszenia prywatności.
Uwzględnienie praw małoletnich i ich ustawowych przedstawicieli
Projektowane rozwiązanie wymaga również kompleksowej analizy przepisów regulujących status małoletniego pacjenta oraz uprawnień jego przedstawicieli ustawowych. Prawo bowiem odmiennie reguluje zakres autonomii w sferze ochrony zdrowia odnośnie do wieku pacjenta.
W polskim prawie przyjęto model współdecydowania z przedstawicielem ustawowym w przypadku osób, które ukończyły 16. rok życia. Zakres tej autonomii rozszerza się wraz z wiekiem. W przypadku osób poniżej 16. roku życia przewidziano prawo do informacji. Konieczne jest zatem rozstrzygnięcie, czy korzystanie przez małoletniego z usługi „mojeIKP Junior” będzie ograniczało się do czynności technicznych lub organizacyjnych, czy będzie również wiązało się ze składaniem zgód, wniosków lub oświadczeń.
Jeśli przewidywane jest podejmowanie za pomocą projektowanej usługi czynności wywołujących skutki prawne – to niezbędne staje się określenie zasad udziału przedstawicieli ustawowych małoletniego i jednoznaczne uregulowanie zakresu ich dostępu do danych dotyczących np. zdrowia dziecka. Uregulowanie tych kwestii pomoże uniknąć kolizji między przepisami dotyczącymi ochrony danych osobowych, praw pacjenta, prawa cywilnego i wykonywania władzy rodzicielskiej.
Rozporządzenie UE w sprawie europejskiej przestrzeni danych dotyczących zdrowia
Kolejną kwestią, na która zdanie Urzędu Ochrony Danych Osobowych, powinna być wzięta pod uwagę, jest ocenienie projektu z punktu widzenia zgodności z rozporządzeniem EHDS (Europejska Przestrzeń Danych dotyczących Zdrowia, ang. European Health Data Space), które weszło w życie 26 marca 2025 r.
Udostępnianie i dalsze wykorzystywanie danych osobowych oraz danych nieosobowych dotyczących zdrowia, przetwarzanych w rejestrach publicznych, ma bowiem istotne znaczenie zarówno dla interesów państwa, jak i interesów indywidualnych oraz zbiorowych. Należy również uwzględnić wynikający z EHDS obowiązek umożliwienia wtórnego wykorzystania elektronicznych danych dotyczących zdrowia.
Projektodawca nie wskazał podmiotów odpowiedzialnych za przetwarzanie danych, ani zasad i sposobu pozyskiwania danych z innych systemów oraz baz danych. Szczególnej uwagi wymaga planowana integracja usługi z rejestrami publicznymi. Mechanizm, który ją umożliwi powinien wynikać ze stosownej podstawy prawnej oraz uwzględniać zasady ochrony danych już w fazie projektowania oraz domyślnej ochrony danych, o której mowa w art. 25 RODO.
Należy także wdrożyć odpowiednie zabezpieczenia techniczne i organizacyjne. Natomiast jeśli zakres i sposób wykorzystania danych pozyskiwanych z rejestrów publicznych będzie wiązał się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, konieczne może okazać się przeprowadzenie oceny skutków dla ochrony danych zgodnie z art. 35 RODO.
Obowiązek oceny ryzyka przez projektodawcę
Wnioskodawca powinien zidentyfikować ryzyka związane z przetwarzaniem danych osobowych oraz określić ich poziom wraz z uwzględnieniem charakteru, zakresu, kontekstu i celów planowanych operacji przetwarzania. Szczególnej analizy wymagają również zagrożenia związane z przetwarzaniem danych szczególnych kategorii, które zgodnie z art. 9 RODO podlegają szczególnej ochronie.
W komunikacie prezes UODO wyraża nadzieję, że uwzględnienie jego uwag przyczyni się do zapewnienia właściwego poziomu ochrony danych osobowych w projektowanym przedsięwzięciu.
Przeczytaj także: „Dane medyczne 500 tys. Brytyjczyków wystawione na sprzedaż na chińskim portalu ”
