Czy czarne listy pacjentów są zgodne z prawem

Kilka dni temu na łamach „Rzeczpospolitej" opublikowana została informacja, że powstał portal dla lekarzy, na którym można uzyskać informację, czy dany pacjent nie ma w zwyczaju odwoływania niechcianych wizyt lekarskich. Czy przepisy dopuszczają możliwość tworzenia tego rodzaju czarnych list?

Czytaj także: Lekarze tworzą czarną listę niesolidnych pacjentów

Przetwarzanie

Kiedy pacjent umawia wizytę lekarską, najczęściej podaje swoje imię i nazwisko oraz dane kontaktowe, przy czym częściej numer telefonu niż adres e-mail, bo ta forma komunikacji jest zwykle szybsza. Gabinet lekarski już na tym etapie może mieć zatem do czynienia z zebraniem danych osobowych potencjalnego pacjenta, jeśli pozyska dane, dzięki którym będzie możliwe zidentyfikowanie osoby. Jeżeli na wizytę umówi się pacjent, który już korzystał z usług danej placówki medycznej, wówczas sprawa jest jeszcze prostsza – placówka z całą pewnością posiada już dane osobowe pacjenta i może go po nich zidentyfikować.

Pierwsze pytanie w takiej sytuacji brzmi: kto jest administratorem danych osobowych pacjenta? I tu wiele zależy od tego, jak lekarz ureguluje to z podmiotem leczniczym, w którym świadczy usługi. Jeżeli sam prowadzi gabinet – jest administratorem. Jeżeli przyjmuje pacjentów w podmiocie leczniczym, z którym ma umowę o świadczenie usług – może przetwarzać dane na podstawie upoważnienia lub jako podmiot przetwarzający na zlecenie administratora. Rzadziej będzie odrębnym administratorem. Nie zawsze więc pojedynczy lekarz korzystający z jakiegokolwiek serwisu internetowego weryfikującego solidność pacjentów będzie miał prawo dysponowania danymi pacjentów – nie zawsze bowiem to on osobiście będzie ustalał cele i sposoby przetwarzania.

Podstawą do przetwarzania danych zwykłych, jak imię i nazwisko lub numer telefonu, będzie oczywiście podstawa określona w art. 6 ust. 1 lit. b RODO, czyli przetwarzanie będzie niezbędne w celu wykonania umowy – świadczenia medycznego. Dane o stanie zdrowia, jako dane szczególnych kategorii, mogą być przetwarzane na innej podstawie, w szczególności na podstawie art. 9 ust. 2 lit. h RODO, który zezwala na ich przetwarzanie w celu prowadzenia leczenia. W każdym z tych przypadków administrator będzie musiał spełnić wobec pacjenta – podmiotu danych obowiązek informacyjny i poinformować go m.in. o celach i podstawach przetwarzania danych, okresie ich przechowywania czy odbiorcach danych.

W niektórych przypadkach przetwarzanie danych będzie możliwe także na podstawie uzasadnionego interesu administratora, np. dla działań marketingowych czy komunikacji. Należy tu jednak wskazać, że uzasadnionym interesem placówki medycznej nie mogą być działania ograniczające dostęp do świadczeń medycznych, polegające na umieszczaniu pacjentów na tzw. czarnej liście. Ponadto takie praktyki jak czarna lista pacjentów mogą stanowić naruszenie praw pacjenta oraz dóbr osobistych pacjenta, w tym ograniczenia dostępu do świadczeń medycznych.

Pojawia się pytanie o celowość i podstawę prawną działania rejestru z tzw. czarną listą pacjentów w relacji do przepisów o dostępie do ochrony zdrowia i życia, a także wykonywania zawodu lekarza. W naszej ocenie istnieje tu kolizja nie tylko norm prawnych, ale i etycznych, którymi związany jest lekarz. Na gruncie obecnych przepisów takie praktyki jak czarna lista pacjentów są niedopuszczalne i bezprawne.

Ujawnianie

Czy lekarz może swobodnie dysponować otrzymanymi od pacjenta danymi kontaktowymi? W naszej ocenie nie.

Lekarz chcący ujawnić dane kontaktowe pacjenta powinien z całą pewnością poinformować go o tym w momencie zbierania danych. W klauzuli informacyjnej powinna się więc znaleźć informacja, że odbiorcami danych będą użytkownicy serwisu X lub inne osoby. Gdyby przyjąć, że w takim serwisie umieszczany byłby tylko numer telefonu, to wciąż nie mamy pewności, że żadna osoba nie zostanie po nim zidentyfikowana. Wiele osób korzysta np. z telefonów służbowych do celów prywatnych i w łatwy sposób można je po tym numerze telefonu zidentyfikować. W tym zakresie zdrowy rozsądek jest niezbędny, ale przyjęcie ostrożnościowej perspektywy, że numer telefonu może stanowić daną osobową, jest z całą pewnością bezpieczniejsze. Tym bardziej że sam cel takiej bazy jest jasny i opiera się na zasadzie „podaj wątpliwy numer telefonu, a powiemy ci, czy ta osoba nie odwołuje niechcianych wizyt u lekarza". Serwis weryfikujący np. numery telefonów już z samej swej specyfiki zachęca do poszukiwania numerów telefonów czy identyfikacji osób przy ich użyciu. Z tego powodu bliżej nam do przyjęcia, że numer telefonu jest daną osobową w kontekście tak określonego przetwarzania.

Gdyby jednak lekarzowi przyszło się podzielić w serwisie, nawet tylko z zalogowanymi użytkownikami – innymi lekarzami, że oto pod tym numerem telefonu kryje się nieuczciwy pacjent nieodwołujący wizyt, to może się okazać, że kolega czy koleżanka po fachu również może ten numer telefonu mieć zapisany jako numer nieuczciwego pacjenta. A wówczas będziemy mieć do czynienia z sytuacją nie tylko ujawnienia danych zwykłych pacjenta bez podstawy prawnej (umowa o świadczenie usług medycznych nie przewiduje możliwości przekazywania danych innym lekarzom), ale i z ujawnieniem danych o stanie zdrowia. Inny lekarz otrzyma bowiem informację, do jakiego to jeszcze specjalisty ten przysłowiowy Kowalski się zapisał.

Wydaje się zatem, że jedyną dopuszczalną podstawą przetwarzania danych pacjentów w celu tworzenia publicznych lub mających określonych adresatów baz danych jest zgoda. A czy pacjenci chętnie wyrażaliby zgodę na umieszczenie ich na takiej czarnej liście? Co do tego mamy poważne wątpliwości.