Zastępca RPO Stanisław Trociuk napisał do ministra Łukasza Szumowskiego, że problem ujawnił się na tle jednej ze spraw badanych w Biurze RPO. W 2015 r. w Wojewódzkim Centrum Psychiatrii Długoterminowej w Stroniu Śląskim opublikowano na stronach internetowych dane osobowe pacjentów w ogłoszeniu o „ostatecznym wezwaniu do odbioru depozytu". Chodziło o pieniądze pacjentów, którzy opuścili szpital bądź zmarli.
Czytaj także: RODO dla pacjentów - co powinno zmienić się w szpitalach i przychodniach po 25 maja 2018
Jak wskazał rzecznik, szpitale stosują w tych sytuacjach przepisy ustawy z 18 października 2006 r. o likwidacji niepodjętych depozytów. Procedury te mogą naruszać dobra osobiste pacjentów, poprzez ujawnianie danych wrażliwych.
Zgodnie z ustawą o likwidacji niepodjętych depozytów, termin do odbioru depozytu wynosi 3 lata od doręczenia wezwania do jego odbioru osobie uprawnionej. W przypadku gdy uprawniony nie jest znany albo nie jest możliwe ustalenie jego miejsca zamieszkania na podstawie ewidencji, rejestrów lub zbiorów danych, wezwanie do odbioru może nastąpić po 3 latach od złożenia depozytu. W przypadku braku możliwości doręczenia wezwania lub nieustalenia uprawnionego, przechowujący depozyt jest wywiesić wezwanie na tablicy informacyjnej w swej siedzibie na pół roku. Jeżeli szacunkowa wartość depozytu przekracza 5 tys. zł, przechowujący depozyt zamieszcza również ogłoszenie w dzienniku poczytnym w danej miejscowości lub w Biuletynie Informacji Publicznej.
W styczniu 2017 r. departament prawny resortu zdrowia wyjaśniał w piśmie do RPO, że do postępowania z nieodebranymi depozytami odpowiednie zastosowanie mają przepisy ustawy z 2006 r. o likwidacji niepodjętych depozytów - w stosunku do podmiotów leczniczych będących jednostkami sektora finansów publicznych, a do pozostałych podmiotów - przepisy Kodeksu cywilnego o nieodpłatnym przechowaniu.