Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski przekazał ministrze zdrowia Jolancie Sobierańskiej-Grendzie uwagi dotyczące planowanej usługi mojeIKP Junior. Rozwiązanie ma być skierowane do młodzieży w wieku od 13 do 17 lat i umożliwiać korzystanie z wybranych funkcji Internetowego Konta Pacjenta. UODO zwraca uwagę, że projekt wymaga nie tylko odpowiednich zabezpieczeń technicznych, ale również zmian ustawowych, które jednoznacznie uregulują zasady przetwarzania danych zdrowotnych osób małoletnich.
Z tego artykułu dowiesz się…
- Jakie uwagi do projektu mojeIKP Junior przedstawił Prezes UODO.
- Dlaczego dane zdrowotne osób małoletnich wymagają szczególnej ochrony.
- Jakich zmian legislacyjnych oczekuje UODO przed uruchomieniem usługi.
- Jakie znaczenie dla projektu mają przepisy RODO i rozporządzenie EHDS.
UODO: ochrona danych musi być uwzględniona od początku
Jak wskazuje Prezes UODO, projektowana usługa będzie przetwarzać dane dotyczące zdrowia osób małoletnich, czyli szczególną kategorię danych osobowych objętą najwyższym poziomem ochrony. Z tego względu rozwiązania techniczne i organizacyjne powinny zostać zaprojektowane jeszcze przed uruchomieniem usługi, zgodnie z zasadą privacy by design.
Urząd podkreśla również konieczność przeprowadzenia oceny skutków dla ochrony danych jeszcze przed wdrożeniem projektu. Jest to uzasadnione wysokim ryzykiem związanym z przetwarzaniem danych zdrowotnych dzieci i młodzieży.
Potrzebne przepisy regulujące funkcjonowanie mojeIKP Junior
Zdaniem PUODO obecne założenia projektu nie uwzględniają koniecznych zmian legislacyjnych. Prezes urzędu wskazuje, że funkcjonowanie mojeIKP Junior powinno zostać jednoznacznie uregulowane w ustawie.
Przepisy powinny określać między innymi:
- podstawę prawną przetwarzania danych,
- cele i zakres przetwarzanych informacji,
- kategorie danych,
- podmioty uprawnione do ich przetwarzania,
- okres przechowywania danych,
- mechanizmy ochrony praw i wolności użytkowników.
Według UODO takie rozwiązania są konieczne ze względu na charakter danych oraz zwiększone ryzyko naruszenia prywatności osób małoletnich.
Trzeba określić prawa małoletnich i ich przedstawicieli ustawowych
W przekazanych uwagach zwrócono również uwagę na konieczność doprecyzowania zasad korzystania z usługi przez osoby niepełnoletnie. Polskie przepisy różnicują zakres samodzielności pacjentów w zależności od wieku.
Osoby, które ukończyły 16 lat, współdecydują wraz z przedstawicielem ustawowym o części świadczeń zdrowotnych. W przypadku młodszych dzieci przepisy przewidują przede wszystkim prawo do informacji.
UODO wskazuje, że należy jednoznacznie rozstrzygnąć, czy mojeIKP Junior będzie służyć wyłącznie do wykonywania czynności technicznych i organizacyjnych, czy także do składania zgód, wniosków lub oświadczeń wywołujących skutki prawne. Jeżeli taka możliwość zostanie przewidziana, konieczne będzie określenie zasad udziału przedstawicieli ustawowych oraz zakresu ich dostępu do danych zdrowotnych dziecka.
Projekt powinien uwzględniać przepisy EHDS
Prezes UODO zwraca uwagę, że projekt należy ocenić również pod kątem zgodności z rozporządzeniem w sprawie Europejskiej Przestrzeni Danych dotyczących Zdrowia (EHDS), które weszło w życie 26 marca 2025 r.
W opinii urzędu należy uwzględnić wynikające z tego aktu przepisy dotyczące udostępniania i wtórnego wykorzystywania elektronicznych danych zdrowotnych, które mają znaczenie zarówno dla interesu publicznego, jak i ochrony praw pacjentów.
Nie wskazano odpowiedzialnych za przetwarzanie danych
PUODO zwraca również uwagę, że projekt nie określa, które podmioty będą odpowiadały za przetwarzanie danych osobowych ani w jaki sposób dane będą pozyskiwane z innych systemów i rejestrów publicznych.
Zdaniem urzędu mechanizmy integracji z publicznymi bazami danych powinny mieć wyraźną podstawę prawną oraz spełniać wymagania wynikające z art. 25 RODO dotyczącego ochrony danych już w fazie projektowania i domyślnej ochrony danych. W przypadkach wysokiego ryzyka konieczne może być również przeprowadzenie oceny skutków dla ochrony danych zgodnie z art. 35 RODO.
Projektodawca powinien przeprowadzić ocenę ryzyka
W przekazanych uwagach podkreślono także obowiązek zidentyfikowania ryzyk związanych z planowanym przetwarzaniem danych osobowych. Analiza powinna uwzględniać charakter, zakres, cele oraz kontekst przetwarzania, a szczególnej ocenie powinny zostać poddane dane dotyczące zdrowia, które zgodnie z art. 9 RODO korzystają ze szczególnej ochrony.
Prezes UODO wyraził nadzieję, że przedstawione uwagi zostaną uwzględnione podczas dalszych prac nad projektem mojeIKP Junior, co pozwoli zapewnić odpowiedni poziom ochrony danych osobowych osób małoletnich.
Główne wnioski
- PUODO oczekuje zmian ustawowych, które określą podstawę prawną, zakres przetwarzania danych oraz zasady funkcjonowania usługi mojeIKP Junior.
- Przed uruchomieniem usługi konieczna jest ocena skutków dla ochrony danych, ponieważ projekt będzie obejmował dane zdrowotne osób w wieku od 13 do 17 lat.
- Projekt wymaga doprecyzowania zasad udziału przedstawicieli ustawowych oraz zakresu dostępu do danych zdrowotnych małoletnich użytkowników.
- UODO wskazuje na konieczność zgodności z RODO i rozporządzeniem EHDS, a także jednoznacznego określenia odpowiedzialności za przetwarzanie danych.
Źródło:
- https://uodo.gov.pl/pl/138/4516
