Monitorowanie stosowania Kodeksu postępowania dla sektora ochrony zdrowia

Wejście w życie przepisów ogólnego rozporządzenia o ochronie danych osobowych (RODO) wprowadziło możliwość zatwierdzania kodeksów postępowania przez krajowe organy nadzorcze. Stosowanie kodeksu jest możliwe dzięki podmiotom monitorującym, które odpowiadają za przyjmowanie podmiotów w poczet członków oraz zapewniają ich właściwy nadzór. KPMG podjęło się tej roli i w tym celu spełniło szereg wymagań oraz przeszło pozytywną weryfikację w ramach postępowania prowadzonego przez Prezesa Urzędu Ochrony Danych Osobowych.

• Kodeks postępowania dla sektora ochrony zdrowia ma na celu zapewnienie adekwatnego poziomu ochrony pacjentów w związku z przetwarzaniem ich danych osobowych – ze szczególnym uwzględnieniem ochrony zdrowia i życia pacjentów jako dóbr o nadrzędnym znaczeniu.
• Kodeks ten uzyskał pozytywną opinię Prezesa Urzędu Ochrony Danych Osobowych, a KPMG jako jeden z pierwszych podmiotów w Polsce przystąpił do pełnienia roli podmiotu monitorującego. Monitorowaniu podlega stosowanie kodeksu, w odniesieniu do procesów przetwarzania danych pacjentów, zachodzących w podmiotach wykonujących działalność leczniczą (PWDL) oraz w podmiotach przetwarzających dane na zlecenie PWDL.
• Jest to pierwszy zatwierdzony kodeks w Polsce, do którego stosowania mogą przystępować także Organy i podmioty publiczne.
• Przystąpić do kodeksu może każdy podmiot prowadzący działalność leczniczą, bez względu na formę prawną działalności, strukturę właścicielską, uczestnictwo w systemie opieki zdrowotnej finansowanym ze środków publicznych czy zakres i rodzaj działalności leczniczej.
• Podmioty, które przystąpiły do kodeksu uzyskują status członka kodeksu.

Podmioty wykonujące działalność leczniczą zajmują się świadczeniem usług medycznych i na co dzień muszą borykać się z wieloma wyzwaniami dotyczącymi ochrony zdrowia pacjentów. Przepisy prawne dotyczące danych osobowych nie są proste i łatwe w interpretacji, zwłaszcza w dobie powszechnej informatyzacji i zagrożeń pojawiających się w cyberprzestrzeni. Przedsiębiorcy działają również pod presją wysokich kar wymierzanych przez organ nadzorczy. Właściwe wdrożenie RODO, to nie tylko przygotowanie odpowiedniej dokumentacji, ale przede wszystkim stosowanie jej w praktyce i świadomość oraz minimalizacja ryzyka, jakie wiąże się z przetwarzaniem danych.

• Rozliczalność – stosowanie kodeksu pomaga wykazać, że podmiot podjął odpowiednie działania i przedsięwziął właściwe środki w celu zgodnego z prawem przetwarzania danych.
• Dochowanie staranności – stosowanie kodeksu jest brane pod uwagę przez organ nadzorczy przy podejmowaniu decyzji w przypadku wystąpienia naruszenia ochrony danych.
• Konkretne rozwiązania – kodeks został przygotowany wyłącznie dla podmiotów wykonujących działalność leczniczą oraz podmiotów przetwarzających dane na zlecenie PWDL, co gwarantuje, że uwzględnia on specyfikę funkcjonowania branży ochrony zdrowia.
• Dobre praktyki i aktualne wytyczne – kodeks uwzględnia przepisy z zakresu prawa medycznego, orzecznictwo sądowe i wytyczne Europejskiej Rady Ochrony Danych (EROD), a mechanizm jego okresowych przeglądów zapewni bieżącą aktualizację.
• Niezależna ocena – kandydaci przystępujący do kodeksu mają gwarancję, że zostaną zweryfikowani przez profesjonalny podmiot, a w toku działań audytowych przeprowadzona zostanie gruntowna ocena zgodności z postanowieniami kodeksu.
• Bezstronność rozpatrywania skarg – stosowanie zatwierdzonego kodeksu oznacza korzyść także w dla osób składających skargi – będą one rozpatrywane przez KPMG jako podmiot monitorujący.
• Prostsza weryfikacja procesorów – podmiot przetwarzający, który przystępuje do kodeksu, wykazuje w ten sposób zapewnienie wystarczających gwarancji wdrożenia odpowiednich środków technicznych i organizacyjnych – administrator nie musi wykonywać dodatkowej weryfikacji.

Proces przystąpienia do stosowania kodeksu składa się z następujących etapów:

• złożenie wniosku przez kandydata na członka kodeksu,
• ocena kompletności wniosku przez Zespół Monitorujący,
• zawarcie umowy o świadczenie usług,
• wybór metody audytu i przeprowadzenie audytu wstępnego,
• przygotowanie i przekazanie raportu z audytu,
• wydanie zaświadczenia o uzyskaniu statusu członka kodeksu.

Członkowie kodeksu są objęci stałym nadzorem i okresowymi audytami monitoringowymi.

Audyt wstępny realizowany jest w formie wizyty na miejscu lub zdalnie poprzez wywiady telefoniczne (wideokonferencje). Audyty nadzoru mogą mieć również formę ankiet monitoringowych. Metoda przeprowadzania audytu jest dobierana z uwzględnieniem zasady racjonalizacji kosztów dla kandydata. Jest ona uzależniona od wielkości podmiotu wykonującego działalność leczniczą, określonego liczbą osób wykonujących zawody medyczne, zatrudnionych w jednostce organizacyjnej.

KPMG jest podmiotem monitorującym zewnętrznym, niepowiązanym osobowo, kapitałowo ani organizacyjnie z żadnym z twórców kodeksu, członków komitetu sterującego, członków kodeksu lub kandydatów na członków kodeksu.

Dysponujemy odpowiednim personelem oraz środkami organizacyjnymi i materialnymi, w tym technicznymi, niezbędnymi do skutecznego wykonywania zadań podmiotu monitorującego. Pracownicy Zespołu Monitorującego KPMG dysponują wiedzą związaną z przedmiotem kodeksu postępowania oraz znajomością i doświadczeniem w stosowaniu przepisów prawa z zakresu ochrony danych osobowych.

Poza przyjmowaniem nowych podmiotów w poczet członków, firma KPMG jako podmiot monitorujący odpowiada za poniższe działania:

• prowadzenie punktu kontaktowego poprzez dedykowaną skrzynkę poczty elektronicznej, dedykowany numer telefoniczny, pisemnie na adres KPMG lub osobiście, po uprzednim umówieniu wizyty,
• rozpatrywanie wniosków i skarg,
• udzielanie informacji kandydatom oraz członkom kodeksu,
• prowadzenie wykazu członków kodeksu,
• współpraca z UODO i komitetem sterującym - przekazywanie niezbędnych informacji, udzielanie odpowiedzi na pytania i udzielanie wyjaśnień w zakresie monitorowania stosowania kodeksu,
• wsparcie komitetu sterującego w prowadzeniu okresowych przeglądów kodeksu,
• współpraca w zakresie promowania stosowania kodeksu.