Zlecenie świadczeń innemu szpitalowi – powierzamy czy udostępniamy dane

Jak sprawdzić, czy w danym przypadku mamy do czynienia z procesorem? Warto przeprowadzić test polegający na tym, aby zastanowić się, czy po zakończeniu współprac, podmiot zlecający ma prawo żadać usunięcia lub wydania wszystkich danych. Jeśli nie, gdyż zleceniobiorca ma własną podstawę przetwarzania, wtedy oznacza to, że ten zleceniobiorca jest samodzielnym administratorem.

Takie też wnioski płyną z projektu kodeksu branżowego dla podmiotów leczniczych,

Poniżej fragment projektu kodeksu - pkt 4.6.2

Z zastrzeżeniem pkt. 4.6.3. każdy PWDL (podmiot wykonujacy działalność leczniczą) jest Administratorem danych Pacjentów, których dane przetwarza w celach zdrowotnych. Oznacza to w szczególności, że PWDL jest niezależnym Administratorem i nie jest zasadne na potrzeby realizacji celów zdrowotnych zawieranie z tym podmiotem jako Podmiotem przetwarzającym umowy powierzenia przetwarzania danych osobowych przekazywanych np. przez:

4.6.2.1. Pracodawcę przekazującego dane osobowe pracowników w celu objęcia ich opieką medyczną bez względu na okoliczność, czy opieka ta dotyczy świadczeń zdrowotnych z zakresu medycyny pracy, czy wykracza ona poza ten zakres (tzw. benefity pracownicze);

4.6.2.2. Organizatora udzielania świadczeń zdrowotnych lub zakład ubezpieczeń; 23 Należy pamiętać, że RODO nie wymaga pobierania zgód na piśmie.

4.6.2.3. Inny PWDL udostępniający dane na potrzeby zachowania ciągłości usług medycznych, w tym w ramach podwykonawstwa udzielania świadczeń, w tym wykonywania badań diagnostyki laboratoryjnej i obrazowej oraz badań histopatologicznych (obejmuje to m.in. sytuacje, w których Pacjent uzyskuje świadczenia na podstawie skierowania w podmiocie, będącym podwykonawcą PWDL wydającego skierowanie na określony rodzaj badania, celem jego wykonania) ;

4.6.2.4. Podmiot prowadzący szkołę, w celu udzielania świadczeń zdrowotnych z zakresu opieki profilaktycznej nad uczniami.

Pozwala na to przyjęcie, że szpital wykonujący świadczenia zlecone przez inny szpital jest odrębnym administratorem danych osobowych.