Proces informatyzacji służby zdrowia wymaga szczególnego zaangażowania środków prawnych, bo na szali stoi zdrowie i prywatność pacjenta.Dlatego unijne i polskie prawodawstwo restrykcyjnie odnosi się do dostępu dodanych medycznych.

Kluczowym aktem prawnym, który konstytuuje gromadzenie i przetwarzanie osobowych danych medycznych w rejestrach medycznych na poziomie ustawodawstwa europejskiego, jest Dyrektywa 95/46/We Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych do spraw wewnętrznych (DzU L 281; dalej: dyrektywa). Stanowi ona punkt odniesienia dla regulacji polskich, w tym dla ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. DzU z 2002 r. nr 101, poz. 926 ze zm.; dalej:uodo). Oba akty prawne zawierają podobne zapisy, niemniej polska ustawa jest bardziej restrykcyjna w zakresie dostępu do danych.

Anonimizacja przede wszystkim

Zarówno ustawodawstwo europejskie, jak i krajowe traktują zgodę na przetwarzanie osobowych danych medycznych na zasadach wyjątku od generalnej zasady zakazującej – zgodnie z art. 8 dyrektywy – przetwarzania danych wrażliwych tj. „danych (…) ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne,przynależność do związków zawodowych, jak również przetwarzanie danych dotyczących zdrowia i życia seksualnego”. Zgodnie z art. 27 uodo wyjątkami umożliwiającymi przetwarzanie osobowych danych medycznych, które mają znaczenie w kontekście instytucjonalizacji rejestrów medycznych, są:

    pisemna zgoda osoby, której dane dotyczą;

   cel związany z ochroną zdrowia – np. kiedy przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych;

 cel naukowy – w sytuacji, gdy przetwarzane danych jest niezbędne do prowadzenia badań naukowych, przy czym publikowanie wyników nie może następować w sposób umożliwiający identyfikację osób, których dane są przetwarzane;

  przepisy prawne rangi ustawy umożliwiające przetwarzanie osobowych danych medycznych bez zgody osoby, której dane dotyczą, przy czym stworzone są pełne gwarancje ochrony danych.

Każda z powyższych przesłanek ma ograniczenia. Przesłanka w postaci pisemnej zgody osoby znacząco ogranicza funkcje rejestru. Rejestry ustanowione na takiej podstawie trudno wykorzystywać w ramach typowych procesów administracyjnych, np. gdy wpis do rejestru związany jest z nadaniem określonych uprawnień. Równie mocno ograniczone są funkcje informacyjne przetwarzania danych (np. prowadzenie statystyk), gdyż podmiot gromadzący dane nie jest w stanie zagwarantować prawidłowo dobranej próbki badawczej. Ponadto zgoda osoby, której dane będą przetwarzane, musi być świadoma i dobrowolna.Osoba taka nie może mieć poczucia zależności pomiędzy udzieleniem zgody a udzieleniem świadczenia zdrowotnego (mówi o tym art. 2 pkt h dyrektywy). Cel związany z ochroną zdrowia lub zarządzaniem udzielaniem świadczeń zdrowotnych ogranicza natomiast zasadniczo zasięg rejestru do osób, które poddawane są procesowi leczenia w konkretnym podmiocie leczniczym lub ich dane są przedmiotem rozliczeń z płatnikiem świadczeń zdrowotnych. Grupa Robocza ds. Ochrony Danych Komisji Europejskiej do funkcji zarządzania usługami opieki zdrowotnej zalicza(mocą dokumentu roboczego ws. przetwarzania danych osobowych dotyczących zdrowia w elektronicznej dokumentacji zdrowotnej z dnia 15 lutego 2007 r.)m.in. wystawianie faktur oraz prowadzenie rachunków i statystyk. Nie jest możliwe ustanowienie jednej bazy danych, w której gromadzone byłyby osobowe dane medyczne z kliku podmiotów leczniczych, chyba że jest to związane z zarządzaniem udzieleniem świadczeń zdrowotnych (np. organizacją rozliczeń z płatnikiem świadczeń). Cel naukowy z kolei ogranicza znacząco zakres wykorzystania gromadzonych danych. Po przeprowadzaniu badań zgromadzone dane powinny co do zasady podlegać anonimizacji – zgodnie z art. 6 ust. 1 ppkt e)dyrektywy dane osobowe mogą być przechowywane w formie umożliwiającej identyfikację osób, których dane dotyczą, przez czas nie dłuższy niż jest to konieczne do celów, dla których dane zostały zgromadzone lub dla których są dalej przetwarzane.

Przepisy szczególne

Przetwarzanie danych medycznych umożliwiają również szczególne przepisy ustawowe. Pozwalają one gromadzić dowolny zakres danych bez zgody osoby, której dane są przetwarzane. Jednocześnie zapewniają wysoką jakość danych i skuteczność ich gromadzenia poprzez nałożenie obowiązków przekazywania danych. Warunkiem jest jednak ustanowienie bardzo precyzyjnych przepisów dotyczących zakresu i bezpieczeństwa przetwarzanych danych.

Podstawowa trudność tworzenia szczególnych przepisów polega na skomplikowanej i długotrwałej procedurze legislacyjnej. Do 2011 r. każdy rejestr medyczny musiał być ustanowiony na poziomie przepisów ustawowych. Po wejściu w życie ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (DzU nr 113, poz. 657; dalej: usioz) ustanawianie rejestrów medycznych zostało ułatwione. Usioz zawiera szczegółową procedurę instytucjonalizacji rejestrów przez Ministra Zdrowia na drodze rozporządzenia –jego ścieżka legislacyjna co do zasady jest znacznie krótsza niż ścieżka legislacyjna ustawy. Zgodnie z art. 19 usioz Minister Zdrowia może tworzyć lub prowadzić rejestry medyczne lub zlecać prowadzenie rejestrów medycznych,stanowiących uporządkowany zbiór danych i informacji o zachorowaniach,chorobach, stanie zdrowia, metodach leczenia, diagnozowania, monitorowania postępów w leczeniu oraz zagrożeniach związanych z występowaniem niektórych chorób.Utworzenie takiego rejestru powinno być poprzedzone analizą potrzeb jego utworzenia (patrz ramka: Analiza potrzeb utworzenia rejestru medycznego).

W stosunku do już istniejących rejestrów medycznych, które nie mają podstawy prawnej, ustawodawca nałożył okres karencji do końca 2012 r.Zgodnie z art. 53 ust. 1 usioz wszystkie podmioty prowadzące rejestry medyczne,dla których brak jest podstaw prawnych, w terminie sześciu miesięcy od dnia wejścia w życie ustawy (tj. do dnia 30 czerwca 2012 r.) są obowiązane przekazać Ministrowi Zdrowia informacje o ich prowadzeniu, zakresie danych w nich zawartych oraz przedstawić analizę potrzeb jego utworzenia. Jeżeli  do 31 grudnia 2012 r. rejestr medyczny niezostanie utworzony w drodze rozporządzenia Ministra Zdrowia, podmiot prowadzący przedmiotowy rejestr medyczny jest obowiązany w do 31 stycznia 2013 r.zaprzestać jego prowadzenia oraz zniszczyć bazy danych i nośniki informacji w sposób uniemożliwiający ich wykorzystanie.

Fragment artykułu opublikowanego przez autora bloga w październikowym numerze IT w Administracji