Udostępnienie dokumentacji medycznej nieuprawnionej osobie wymaga zgłoszenia naruszenia ochrony danych

Opracowanie: Michał Kowalski

Naruszenie ochrony danych we wspomnianym we wstępie szpitalu polegało na omyłkowym udostępnieniu dokumentacji medycznej osobie, której ta dokumentacja nie dotyczyła. W konsekwencji nieuprawniona osoba uzyskała dostęp do danych osobowych pacjenta takich jak:imię i nazwisko, data urodzenia, numer PESEL oraz dane dotyczące zdrowia.

Administrator danych osobowych nie dokonał zgłoszenia tego naruszenia do Prezesa Urzędu Ochrony Danych Osobowych ani też nie zawiadomił o nim osoby, której dane dotyczą (ostatecznie to drugie zawiadomienie zostało dokonane, aczkolwiek ze znacznym opóźnieniem). Prezes UODO powziął informację o zdarzeniu od Rzecznika Praw Pacjenta.

Szpital początkowo tłumaczył swoje zaniechanie brakiem wiedzy o incydencie. Następnie argumentował, że ryzyko naruszenia praw i wolności osoby fizycznej w wyniku omyłkowego udostępnienia dokumentacji medycznej było niskie. Ze stanowiskiem tym nie zgodził się jednak organ nadzorczy. Jak wskazał Prezes UODO, pacjent mógł odczuwać obawę co najmniej przed „utratą kontroli nad swoimi danymi, kradzieżą tożsamości lub oszustwem dotyczącym tożsamości, dyskryminacją, czy wreszcie przed stratą finansową.”Organ powołał się w tym aspekcie m.in. na stanowisko przedstawione w wyroku Trybunału Sprawiedliwości UE z dnia 14 grudnia 2023 r. w sprawie Natsionalna agentsia za prihodite (C-340/21). W ocenie TSUE: „Art. 82 ust. 1 RODO należy interpretować w ten sposób, że obawa przed ewentualnym wykorzystaniem przez osoby trzecie w sposób stanowiący nadużycie danych osobowych, jaką żywi osoba, której dane dotyczą, w następstwie naruszenia tego rozporządzenia może sama w sobie stanowić „szkodę niemajątkową” w rozumieniu tego przepisu”.

Sprawa zakończyła się ukaraniem szpitala na kwotę 29 648 zł. Na wymiar kary wpływ miał m.in. charakter naruszenia, jak również kategorie danych osobowych, których dotyczyło naruszenie (m.in. numer PESEL).