cyt.:”Zatem w myśl przepisów RODO, konieczność zawarcia umowy powierzenia przetwarzania danych osobowych istnieje wówczas, gdy administrator zleca wykonywanie swoich zadań innemu podmiotowi (podmiotowi przetwarzającemu). Istotne jest podkreślenie, że podmiot przetwarzający przetwarza dane w imieniu administratora, a nie w imieniu własnym (tj. nie staje się administratorem tych danych). Podmiot przetwarzający nie decyduje bowiem o celach i sposobach przetwarzania, gdyż przetwarza dane osobowe wyłącznie na udokumentowane polecenie administratora (art. 28 ust. 3 lit. a RODO).

Inną kwestią jest udostępnienie danych osobowych innemu administratorowi. Do takiego udostępnienia danych dochodzi, jeśli dane te przekazywane są innemu podmiotowi w celu realizacji przez ten podmiot jego własnych zadań, wynikających np. z przepisów prawa. Staje się on wtedy odrębnym administratorem.

Regulacje dotyczące diagnostyki laboratoryjnej znaleźć można w szczególności w ustawie o działalności leczniczej, ustawie o prawach pacjenta i Rzeczniku Praw Pacjenta, ustawie o diagnostyce laboratoryjnej oraz w rozporządzeniu Ministra Zdrowia z dnia 23 marca 2006 r. w sprawie standardów jakości dla medycznych laboratoriów diagnostycznych i mikrobiologicznych.

Zgodnie z art. 11 ustawy o działalności leczniczej badania diagnostyczne zostały zaliczone do szczególnego rodzaju działalności leczniczej, jakim jest ambulatoryjne świadczenie zdrowotne. Bliższa charakterystyka tej działalności zawarta jest w ustawie o diagnostyce laboratoryjnej. Zgodnie z art. 1a tejże ustawy, medyczne laboratorium diagnostyczne wykonuje badania in vitro materiału biologicznego. Laboratorium diagnostyczne zazwyczaj jest zakładem leczniczym podmiotu leczniczego w rozumieniu przepisów ustawy o działalności leczniczej, ale może być także jednostką organizacyjną zakładu leczniczego podmiotu leczniczego, instytutu badawczego albo uczelni medycznej (art. 17 ustawy o diagnostyce laboratoryjnej).

W celu wykonywania badań diagnostycznych podmioty świadczące takie usługi przetwarzają dane osobowe osób, od których pochodzi materiał do tych badań. Dane te pozyskiwane są bezpośrednio od osób, których dotyczą lub też z innych źródeł, np. od szpitali, które zlecają tym podmiotom wykonywanie badań próbek pobranych od swoich pacjentów.

Przetwarzając powyższe dane osobowe, laboratorium diagnostyczne realizuje swoje własne zadania, związane chociażby z:

• obowiązkiem prowadzenia, przechowywania i udostępniania dokumentacji medycznej pacjenta (art. 24 w zw. z art. 23 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta),
• uprawnieniem diagnosty laboratoryjnego do zgłaszania Prezesowi Urzędu Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych lub podmiotowi odpowiedzialnemu za wprowadzenie produktu leczniczego do obrotu działania niepożądanego produktu leczniczego (art. 27a ustawy o diagnostyce laboratoryjnej),
• obowiązkiem diagnosty laboratoryjnego zgłaszania wyniku określonych badań właściwemu państwowemu inspektorowi sanitarnemu  (art. 29 ust. 1 ustawy o zapobieganiu i zwalczania zakażeń i chorób zakaźnych u ludzi).

Ponadto zgodnie z art. 26 ust. 3 pkt 1 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta podmiot udzielający świadczeń zdrowotnych udostępnia dokumentację medyczną m.in. podmiotom udzielającym świadczeń zdrowotnych, jeżeli dokumentacja ta jest niezbędna do zapewnienia ciągłości świadczeń zdrowotnych. Z takim udostępnieniem, a więc w celu zapewnienia ciągłości leczenia, mamy do czynienia w sytuacji, w której dane osobowe pacjentów są przekazywane przez placówkę medyczną do zewnętrznego laboratorium diagnostycznego.

Powyższe pozwala zasadnie przyjąć, że w przypadku gdy np. szpital zleca przeprowadzenie badań podmiotowi świadczącemu usługi z zakresu diagnostyki laboratoryjnej, podmiot ten przetwarza pozyskane w tym celu dane osobowe dla realizacji własnych zadań. W takiej sytuacji mamy zatem do czynienia z udostępnieniem danych osobowych na rzecz odrębnego administratora.

Powyższe oznacza, że nie istnieje tutaj relacja administrator – podmiot przetwarzający. Tym samym nie ma podstaw do zawarcia umowy powierzenia przetwarzania danych osobowych.”