Za wyciek odpowiada lekarka. Zapadło ważne orzeczenie

16 godziny temu 6

Poszkodowana skierowała skargę do prezesa UODO, w której wyjaśniła, że doszło do wycieku danych jej i jej syna
Według kobiety przychodnia i ZUS wielokrotnie udostępniły dane osobowe jej i dziecka w zakresie płci oraz nazwisk - przytacza "Rzeczpospolita"
W konsekwencji prezes UODO za naruszenie RODO w postaci pozyskania danych osobowych bez podstawy prawnej ukarał lekarkę
W ocenie UODO to na lekarzu jako administratorze udostępnianych mu przez ZUS za pośrednictwem PUE ZUS danych spoczywają obowiązki wynikające z RODO
Ponadto w ocenie NSA istotne jest to, że uprawnienie do wystawienia zaświadczeń lekarskich i związanego z tym przetwarzania danych osób ubezpieczonych przysługuje lekarzom

Wyciek danych pacjentki i jej dziecka na wokandzie

"Rzeczpospolita" przytoczyła sprawę dotyczącą skargi kobiety, która zaalarmowała prezesa Urzędu Ochrony Danych Osobowych, że doszło do wycieku danych jej i jej syna. Wskazała na nieprawidłowości w procesie przetwarzania ich danych przez NZOZ, ZUS oraz konkretną związaną z placówką lekarkę, prowadzącą własną praktykę.

Jak wskazała skarżąca, przychodnia i ZUS wielokrotnie udostępniły dane osobowe jej i dziecka w zakresie płci oraz nazwisk. Z kolei informacje te zostały ujawnione postronnej osobie (czyli ojcu dziecka) przez pielęgniarkę zatrudnioną w przychodni. Na dodatek – przypomina "Rzeczpospolita" - skarżąca ani jej syn nie byli pacjentami lekarki, przez której konto zaciągnięto dane z PUE ZUS. Załączyła przy tym wydruki z profilu na portalu PUE ZUS oraz korespondencję SMS-ową swojego partnera z byłą żoną.

W konsekwencji prezes UODO za naruszenie RODO w postaci pozyskania danych osobowych bez podstawy prawnej ukarał wyłącznie lekarkę - udzielił jej upomnienia. Natomiast sprawę w odniesieniu do samej przychodni, w której lekarka przyjmowała pacjentów umorzył. Według urzędników nie uprawdopodobniono ewentualnego korzystania z lekarskiego konta w PUE ZUS przez innego lekarza przychodni, a w ocenie UODO, to na lekarzu, jako administratorze udostępnianych mu przez ZUS za pośrednictwem PUE ZUS danych, spoczywają obowiązki wynikające z RODO.

Decyzja prezesa UODO nie zadowoliła jednak ukaranej, ponieważ lekarka zapewniała, że nie przetwarzała i nie udostępniała nikomu danych osobowych matki i dziecka i przekonywała, że nie wie, kto dopuścił się naruszenia.

Jednakże jej argumenty nie przekonały Wojewódzkiego Sądu Administracyjnego w Warszawie. Miał on podkreślić – jak wynika z relacji „RP” – że sam fakt logowania z konta skarżącej nie został zakwestionowany i nie zostało uprawdopodobnione, aby dopuścił się tego ktoś inny. WSA nie miał wątpliwości, że jako lekarka korzysta z indywidualnego konta w systemie ZUS, a udostępnienie danych do logowania osobom trzecim obciąża ją jako administratora i generuje jej odpowiedzialność za nieprzestrzeganie przepisów RODO.

NSA nie zgodził się z argumentacją lekarki

Ponadto lekarce racji nie przyznał także NSA, który nie zgodził się, że jako lekarz nie była administratorem, bo świadcząc usługi na rzecz przychodni, przetwarza dane jej pacjentów zgodnie z upoważnieniem z art. 29 RODO.

W tym przypadku przesądzająca okazała się treść art. 54 ust. 1 ustawy o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa. Jak wylicza „RP”, w swojej argumentacji NSA przytoczył, że zgodnie z tym przepisem ZUS uprawnia do wystawiania zaświadczeń lekarskich m.in. lekarza i dentystę, po złożeniu pisemnego lub elektronicznego oświadczenia. Tym samym lekarz zobowiązuje się w nim do przestrzegania zasad orzekania o czasowej niezdolności do pracy i wykonywania obowiązków wynikających z ustawy oraz o ochronie danych osobowych.

W ocenie NSA istotne jest to, że uprawnienie do wystawienia zaświadczeń lekarskich i związanego z tym przetwarzania danych osób ubezpieczonych przysługuje lekarzom, a nie zatrudniającym ich placówkom. Sąd tłumaczył, że to lekarz jest uprawnionym do wystawienia zaświadczeń lekarskich, bo tylko on ma dostęp do indywidualnego konta przydzielanego przez ZUS i następuje to bez udziału przychodni.

Zdaniem NSA sam fakt logowania się z konta lekarki nie budzi wątpliwości. Z przytoczonego wyroku wynika, że kobieta, której dane naruszono, nie była pacjentką lekarki, więc doszło do nieuzasadnionego przetwarzania danych. Zwłaszcza że, „dostęp do konta PUE ZUS powinna mieć tylko lekarka i jako administrator nie zapewniła przetwarzania w sposób gwarantujący bezpieczeństwo danych”. Wspomniany wyrok jest prawomocny - wyjaśnia "Rzeczpospolita".