Outsourcing danych medycznych

Przy okazji lektury artykułu w Rzeczpospolitej dotyczącego sporu o przetwarzanie danych medycznych pacjenta zwróciłem uwagę na wypowiedź dr Sibigi o następującej treści : "Ustawa o prawach pacjenta i rzeczniku praw pacjenta w żaden sposób nie reguluje powierzenia innym podmiotom usług związanych z dostępem do danych medycznych, np. serwisującym sprzęt z utrwalonymi danymi czy zarządzającym systemami informatycznymi z danymi osobowymi. A ponieważ chodzi o dane objęte tajemnicą zawodową, nie można powoływać się na ogólne zasady powierzenia przetwarzania danych określone w ustawie o ochronie danych osobowych." 

Wypowiedź nie dotyczy wprawdzie bezpośrednio sprawy poruszanej w artykule, niemniej bardzo cieszy mnie, że ktoś publicznie zwrócił uwagę powyższą okoliczność. Wspomniana ustawa o prawach i o Rzeczniku Praw Pacjenta faktycznie w żaden sposób nie odnosi się do kwestii dopuszczalności outsourcingu w działalności zakładów opieki zdrowotnej - nie ma w niej żadnych zapisów poświęconych outsourcingowi, takich jak np. w ustawie o działalności ubezpieczeniowej czy też prawie bankowym, które regulują tą formę działalności. Mamy więc do czynienia z pytaniem czy ustawodawca umyślnie zdecydował, że outsourcing jest zakazany i nie poświęcił mu choćby jednego zdania w przepisach czy też brak regulacji w tym względzie jest po prostu przeoczeniem, luką ustawową, wobec czego należy szukać rozwiązań problemu na gruncie zasad ogólnych wyznaczanych przez ustawę o ochronie danych osobowych.

Jednocześnie ustawa o ochronie danych osobowych wyznacza bardzo wąskie przesłanki do przetwarzania tzw."danych wrażliwych", ograniczając krąg podmiotów uprawnionych do przetwarzania takich danych do "osób trudniących się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych". Przy takim brzmieniu ustawy ciężko znaleźć jednoznaczne przyzwolenie do powierzenia przetwarzania danych medycznych na rzecz podmiotów trzecich.  

Niektórzy komentatorzy upatrują przyzwolenia dla outsourcingu w niedawnej zmianie rozporządzenia dotyczącego przechowywania dokumentacji medycznej, niektórzy "podciągają" outsourcing pod pojęcie 'zarządzania udzielaniem usług medycznych", niemniej sytuacja prawna pozostaje takiej działalności pozostaje w mojej opinii niejasna i przydałoby się podjąć rzeczową dyskusję na temat jej uregulowania, jeżeli myślimy poważnie o unowocześnieniu przetwarzania dokumentacji medycznej.
 

Uważam, że tak samo jak w przypadku ustaw dla bankowców i ubezpieczycieli outsourcing powinien być uregulowany instytucjonalnie, w postaci odpowiednich przepisów rangi ustawowej.Gdyby w międzyczasie pojawiły się jakieś wskazówki ze strony  GIODO jak poruszać się na tym polu minowym, byłoby niezmiernie miło.