Kodeks postępowania RODO dla małych placówek medycznych – jak przystąpić do jego stosowania i go przestrzegać

Przypomnijmy, że pierwszy w Polsce kodeks postępowania RODO dla małych placówek medycznych to jak od tej pory jedyny kodeks branżowy zatwierdzony w Polsce przez Prezesa Urzędu Ochrony Danych Osobowych. Jego pełna nazwa brzmi: „Kodeks postępowania dotyczącego ochrony danych osobowych przetwarzanych w małych placówkach medycznych”. Kodeks ten przygotowała Federacja Związków Pracodawców Ochrony Zdrowia Porozumienie Zielonogórskie we współpracy z RS Jamano Sp. z o.o. Wspomniana spółka jest jednocześnie podmiotem monitorującym przestrzeganie kodeksu RODO dla placówek medycznych. Więcej o samym kodeksie przeczytasz w artykule: Wszystko o pierwszym polskim zatwierdzonym kodeksie postępowania Porozumienia Zielonogórskiego.

Aby przystąpić do stosowania do kodeksu RODO dla placówek medycznych, należy złożyć stosowną deklarację przystąpienia. Deklarację tę składa się za pośrednictwem strony https://kodeksrodo.pl/.

Kodeks postępowania RODO dla małych placówek medycznych nie wyklucza możliwości nałożenia na placówki medyczne opłat na rzecz podmiotu monitorującego z tytułu wykonywania jego zadań. Opłaty takie może nałożyć podmiot monitorujący w uzgodnieniu z Porozumieniem Zielonogórskim.

Proces wstępnej weryfikacji placówki, która złożyła deklarację przystąpienia, przeprowadzi podmiot monitorujący – w tym przypadku Jamano sp. z o.o. Rolą podmiotu monitorującego jest przede wszystkim stała kontrola, czy placówki, które przystąpiły do stosowania kodeksu RODO, przestrzegają jego postanowień.

Kontrola wstępna będzie polegała na ocenie zgodności istniejących w placówce sposobów przetwarzania danych osobowych z RODO. W praktyce przeprowadza się ją z wykorzystaniem komunikacji elektronicznej.

Dlatego jeżeli placówka medyczna zamierza przystąpić do stosowania kodeksu, to dobrą praktyką jest sprawdzenie, jak kodeks reguluje te kwestie.

Jeżeli kontrola wstępna w placówce przeprowadzona przez podmiot monitorujący wypadnie pozytywnie, to placówka zostanie wpisana na listę podmiotów, które przystąpiły do stosowania kodeksu. Listę tę znajdziemy na stronach internetowych Porozumienia a także spółki Jamano. Jednocześnie placówce zostanie wydany certyfikat.

Pozytywny wynik kontroli wstępnej stanowi podstawę do wydania certyfikatu oraz wpisania wnioskującej placówki na listę podmiotów stosujących Kodeks.

Już po przystąpieniu do stosowania kodeksu postępowania RODO mała placówka medyczna musi opublikować na swojej stronie internetowej (jeśli taką posiada):

• informację o przystąpieniu,

• treść kodeksu postępowania RODO dla małych placówek medycznych,

• informację możliwości i sposobie złożenia do podmiotu monitorującego skargi na placówkę w związku z naruszeniem postanowień kodeksu.

Oczywiście obowiązki placówki medycznej nie kończą się na przystąpieniu do stosowania kodeksu RODO. Jak już wskazaliśmy, placówka będzie podlegała bieżącemu monitorowaniu przestrzegania kodeksu postępowania przez podmiot monitorujący. Przystąpienie do stosowania kodeksu jest w istocie zgodą na takie monitorowanie.

Monitorowanie może być przeprowadzane zarówno stacjonarnie (czyli w miejscu przetwarzania danych osobowych) jak i zdalnie. Może ono polegać np. na sprawdzeniu dokumentów udostępnionych przez placówkę medyczną. Podmiot monitorujący może żądać od placówki informacji dotyczących przetwarzania przez nią danych osobowych.

To jednak nie wszystko. Podmiot monitorujący będzie bowiem przyjmował i obsługiwał skargi składane na placówkę medyczną w związku z przypadkami naruszenia postanowień Kodeksu. W związku z tym będzie on prowadził korespondencję ze skarżącym, analizował treść skarg i w razie konieczności wzywał placówkę do złożenia wyjaśnień w terminie 14 dni, wskazując na zarzucone uchybienia.

Na tej podstawie podjęte zostaną decyzje związane z ewentualnym naruszeniem postanowień kodeksu RODO. Podmiot monitorujący będzie mógł:

• nakazać osobom odpowiedzialnym za przetwarzanie danych w placówce przejście zdalnego szkolenia z zakresu ochrony danych;

• wydać placówce ostrzeżenie i przekazać informację o tym Porozumieniu Zielonogórskiemu;

• przeprowadzić szerszą kontrolę w placówce medycznej;

• zawiesić placówkę do czasu usunięcia stwierdzonych nieprawidłowości (zawieszenie polega na zakazie powoływania się przez placówkę na stosowanie kodeksu w celu wykazywania zgodności z RODO);

• wykreślić placówkę z grupy podmiotów stosujących kodeks.

Oczywiście każda placówka medyczna można posługiwać się rozwiązaniami przyjętymi w Kodeksie. Niemniej jednak tylko te placówki, które oficjalnie przystąpiły do stosowania Kodeksu i zostały w związku z tym wpisane na listę prowadzoną przez Porozumienie i Jamano, mogą na tej podstawie wykazywać zgodność z RODO. Innymi słowy tylko wtedy możliwe jest powoływanie się przed Prezesem UODO na stosowanie Kodeksu w celu wykazania, że dana placówka postępuje zgodnie z RODO.