Wystąpienie UODO w sprawie monitoringu wizyjnego w podmiotach leczniczych
Wystąpienie UODO w sprawie monitoringu wizyjnego w podmiotach leczniczych – dnia 20.02.2025r., na stronach UODO pojawił się komunikat informujący o takim wystąpieniu skierowanym do Ministerstwa Zdrowia. Prezes UODO zwrócił się do Minister Zdrowia, za sprawą wystąpienia z dnia 27 stycznia 2025r., [DOL.413.13.2024] z wnioskiem o doprecyzowanie przepisów dotyczących stosowania monitoringu wizyjnego w podmiotach wykonujących działalność leczniczą. Przyczyną takiego wystąpienia, była analiza regulacji prawnych podjęta przez organ nadzorczy w związku z sygnalizowanymi mu problemami w ich stosowaniu, a także przypadki zgłaszanych naruszeń przepisów o ochronie danych osobowych w tym obszarze. Zapewnienie skuteczne ochrony danych osobowych oraz poszanowanie prawa do prywatności i godności Pacjentów, oraz osób objętych zakresem działania monitoringu wizyjnego również zostały wskazane jako uzasadnienie dla wystąpienia. Na temat tego, jak obecnie po zmianach przepisów kształtują się regulacje dotyczące monitoringu wizyjnego w podmiotach medycznych, pisywałem w opracowaniu „Monitoring w podmiotach medycznych”.
Art. 23a ust. 1 Ustawa o działalności leczniczej
Kierownik podmiotu wykonującego działalność leczniczą może określić w regulaminie organizacyjnym sposób obserwacji pomieszczeń:
- ogólnodostępnych, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pacjentów lub pracowników,
- w których są udzielane świadczenia zdrowotne oraz pobytu pacjentów, w szczególności pokoi łóżkowych, pomieszczeń higieniczno-sanitarnych, przebieralni, szatni, jeżeli wynika to z przepisów odrębnych,
- w których są udzielane świadczenia zdrowotne, jeżeli jest to konieczne w procesie leczenia pacjentów lub do zapewnienia im bezpieczeństwa -w przypadku szpitali, zakładów opiekuńczo-leczniczych, zakładów pielęgnacyjno-opiekuńczych, zakładów rehabilitacji leczniczej i hospicjów
– za pomocą urządzeń umożliwiających rejestrację obrazu (monitoring), uwzględniając konieczność poszanowania intymności i godności pacjenta, w tym przekazywanie obrazu z monitoringu w sposób uniemożliwiający ukazywanie intymnych czynności fizjologicznych, potrzebę zastosowania monitoringu w danym pomieszczeniu oraz konieczność ochrony danych osobowych.
Brak precyzji oraz opisu zasad i procedur stosowania monitoringu ...
cyt.: „(…)Treść art. 23a ust. 1 ww. ustawy nie jest zatem jasna, a sam pkt 3 został sformułowany bardzo ogólnie, nie precyzuje bowiem zasad i procedur stosowania monitoringu, ani wymaganych i odpowiadających ratio legis gwarancji dla ochrony danych osobowych poszczególnych osób objętych monitoringiem odzwierciedlających wymogi wynikające z rozporządzenia 2016/679 (w szczególności art. 5 ust. 1 lit. a, b, c, f w zw. z art. 6 ust. 3 w zw. z art. 9 ust. 2 i 3 rozporządzenia 2016/679). Regulacje szczegółowe dotyczące przetwarzania danych osobowych musi zaś cechować zupełność, przejrzystość i konkretność, zwłaszcza w odniesieniu do przetwarzania danych dotyczących zdrowia. Odesłanie – o którym mowa w art. 23a ust. 1 ustawy – do stosowania regulacji ogólnych dotyczących ochrony danych osobowych z całą pewnością nie jest wystarczające.(…)”.
W wystąpieniu Prezes UODO wskazuje, iż stosowanie monitoringu wizyjnego w podmiotach medycznych cyt.: „(…) oznacza w większości przypadków przetwarzanie danych osobowych szczególnych kategorii, dotyczących zdrowia (art. 9 ust. 1 rozporządzenia 2016/679). (…)”. Od razu wskazując w związku z tym, na obowiązki ustawodawcy, który to w myśl przepisów RODO obciążony został szczególnym obowiązkiem cyt.: „(…) wprowadzenia precyzyjnych i adekwatnych do ochrony danych osobowych regulacji w tym obszarze, uwzględniających nie tylko zasady wynikające z rozporządzenia 2016/679, ale i zasady wyznaczone przez art. 51 ust. 2 i art. 31 ust. 3 Konstytucji RP. (…)”.
Osobiście, pragnę w tym miejscu wskazać, na pochodną takiego stanu rzeczy, jaką jest obowiązek stosowania przepisów przez administratorów danych osobowych, którzy obciążeni zobowiązaniami prawnymi, muszą podejmować decyzje, ryzykując jednak wystąpieniem stanu faktycznego, w którym to poniosą określone konsekwencje wynikające z oceny zapadłych rozstrzygnięć, rozstrzygnięć podjętych na bazie przepisów, co do których PUODO wnioskuje, słusznie zresztą, o ich doprecyzowanie, celem zapewnienia skutecznej ochrony danych osobowych oraz poszanowanie prawa do prywatności i godności Pacjentów, oraz osób objętych zakresem działania monitoringu wizyjnego.
[Uwagi PUODO - II.1]
Niedookreśloność art. 23a ustawy o działalności leczniczej w kontekście zasady legalności
W wystąpieniu PUODO zwraca uwagę na fakt, iż cyt.: „(…) ustawodawca nie uregulował w przepisach dotyczących stosowania monitoringu wizyjnego w placówkach medycznych zasad stosowania monitoringu, o którym mowa w art. 23a ustawy o działalności leczniczej. Pozostawił te istotne zagadnienia woli wykonawcy normy, tj. do unormowania w regulaminie organizacyjnym, a zatem akcie pozbawionym mocy powszechnie obowiązującego źródła prawa (…)”., co budzi zasadnicze zastrzeżenia organu nadzorczego.
W tym miejscu jednak zwracam uwagę na inny aspekt tego zagadnienia, potwierdza się moje stanowisko, iż ze słów wytłuszczonych użytych w przepisie cyt.: „Kierownik podmiotu wykonującego działalność leczniczą może określić w regulaminie organizacyjnym sposób obserwacji pomieszczeń: (…)”. wynika, iż w sytuacji podjęcia decyzji o stosowaniu monitoringu wizyjnego, którą to decyzję może, ale nie musi podjąć kierownik, obowiązkiem jego a nie możliwością, jest zawarcie stosownych regulacji w regulaminie organizacyjnym. Innymi słowy, kierownik, który podjął decyzję o stosowaniu monitoringu wizyjnego, ma obowiązek wprowadzenia do przepisów regulaminu organizacyjnego określonych regulacji. W praktyce spotykałem się często ze stanowiskami, iż zwrot „może określić w regulaminie organizacyjnym” oznacza tyle, iż ma taką możliwość, ale obowiązku takiego kierownik nie ma. W praktyce skutkowało to często tym, iż regulacje dotyczące monitoringu wizyjnego albo w ogóle nie były tworzone, albo stanowiły część procedur ochrony danych osobowych, bądź zamieszczane byłyu w przepisach praw pracy.
PUODO wskazał również, iż cyt.: „(…) brak jest również regulacji wymaganych art. 9 ust. 3 rozporządzenia 2016/679, dotyczących zapewnienia upoważnienia dla osób przetwarzających dane z monitoringu i gwarantujących zachowanie tajemnicy zawodowej. W tym kontekście należy również mieć na względzie konieczność zagwarantowania tajemnicy lekarskiej podczas udzielania świadczeń zdrowotnych w monitorowanych pomieszczeniach.(…)”.
W wystąpieniu czytamy także, iż cyt.: „(…) Brak jest więc aktualnie jakichkolwiek regulacji w przepisach powszechnie obowiązujących, które określałyby zasady i warunki – standardy – stosowania monitoringu wizyjnego w placówkach medycznych.(…)”.
[Uwagi PUODO - II.2]
Brak regulacji gwarantujących prawo do informacji pacjentów w kontekście zasady przejrzystości
W tej części wystąpienia PUODO zwraca uwagę na szczególny obowiązek, jakim jest obowiązek informacyjny, na gruncie przepisów o ochronie danych osobowych, jaki powinien być skutecznie i rzetelnie realizowany względem podmiotów danych objętych zakresem działania monitoringu wizyjnego.
Przypomnijmy iż w stosunku do monitoringu wizyjnego stosowanego dla realizacji celów o jakich mowa w kodeksie pracy, ustawodawca wskazał w art. 22(2) § 7 kl.p., określił, iż pracodawca informuje pracowników o wprowadzeniu monitoringu, w sposób przyjęty u danego pracodawcy, nie później niż 2 tygodnie przed jego uruchomieniem, oraz w art. 22(2) § 8 k.p., wskazał, iż Pracodawca przed dopuszczeniem pracownika do pracy przekazuje mu na piśmie informacje, dotyczące stosowanego zasad stosowania monitoringu wizyjnego oraz w art. 22(2) § 9 k.p., określił, iż w przypadku wprowadzenia monitoringu pracodawca oznacza pomieszczenia i teren monitorowany w sposób widoczny i czytelny, za pomocą odpowiednich znaków lub ogłoszeń dźwiękowych, nie później niż jeden dzień przed jego uruchomieniem.
[Uwagi PUODO - II.3]
Proporcjonalność przyjętych rozwiązań dotyczących stosowania monitoringu wizyjnego w placówkach medycznych
W tej części wystąpienia PUODO zwraca uwagę na znowelizowaną treść art. 23a ust. 1 pkt 3 ustawy o działalności leczniczej, którego treść prowadzić może do wniosku, o możliwości zastosowania monitoringu wizyjnego w każdym pomieszczeniu, w którym są udzielane świadczenia zdrowotne. PUODO jednak trafnie raz jeszcze podkreśla, iż cyt.: „(…)W ocenie EROD, monitoring wizyjny nie jest domyślnie niezbędny, gdy istnieją inne środki umożliwiające osiągnięcie założonego celu. W przeciwnym razie dojść może do ryzykownych zmian w zakresie norm kulturowych, prowadzących do zaakceptowania braku prywatności jako warunku podstawowego. Oznacza to, że monitoring wizyjny może być wprowadzany wyłącznie wtedy, kiedy inne, mniej inwazyjne metody zapewniania bezpieczeństwa pacjentom są niewystarczające(…)”.
W wystąpieniu znajdujemy także fragment, w którym to słusznie i kategorycznie podniesione zostają, iż treść obecnie obowiązujących przepisów, art. 23a ust. 1 ustawy o działalności leczniczej sama w sobie, nie stanowi podstawy do rejestracji zarówno obrazu z monitoringu wizyjnego, ale łącznie z nim i dźwięku
Zamykając tę część wystąpienia PUODO napisał cyt.: „(…) Wobec braku precyzyjnych przepisów zapewniających właściwe gwarancje dla skutecznej ochrony danych osobowych, w ocenie Prezesa Urzędu Ochrony Danych Osobowych, aktualne regulacje przyzwalające na daleko idącą swobodę w stosowaniu monitoringu mogą więc prowadzić do nadmiernej, nieproporcjonalnej ingerencji w prawo do autonomii informacyjnej pacjenta i jego prawa do prywatności, a tym samym naruszać przepisy rozporządzenia 2026/679, a także art. 47 i art. 51 Konstytucji RP w z art. 31 ust. 3 Konstytucji RP. (…)”
[Uwagi PUODO - II.4]
Zapewnienie gwarancji bezpieczeństwa danych przetwarzanych w związku ze stosowaniem monitoringu wizyjnego.
PUODO podnosi, iż cyt.: „(…) przepisy nie przewidują żadnych gwarancji ani minimalnych kryteriów zapewniających pogodzenie celów regulacji z wymogami z rozporządzenia 2016/679 w odniesieniu do stosowania środków zabezpieczenia danych, w szczególności zapewniających ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem, uniemożliwiających ich utratę lub bezprawne rozpowszechnienie, a także uniemożliwiających dostęp do danych osobom nieuprawnionym (art. 5 ust. 1 lit. f rozporządzenia 2016/679). (…) konieczne jest zapewnienie wysokich standardów bezpieczeństwa danych w związku z wykorzystywaniem urządzeń monitorujących. Implementacja systemów rejestracji obrazu wiąże się niewątpliwie z szeregiem wyzwań technicznych i organizacyjnych. Wdrażanie takiego rozwiązania wymaga odpowiednich środków technicznych, w tym zapewniających integrację danych, takich jak szyfrowanie danych, mechanizmy kontroli dostępu, rejestrowanie poszczególnych operacji oraz procedury aktualizacji i reakcji na incydenty bezpieczeństwa. (…)”.
Ciekawym, z praktycznego punktu widzenia, fragmentem wystąpienia PUODO, jest ten w którym to opisane zostają ryzyka związane ze stosowaniem monitoringu wizyjnego. Mowa w nim bowiem nie tylko o ryzykach technicznych, ale także o ryzykach wykorzystywania nagrań do celów innych aniżeli cele, dla których nagrania zostały stworzone. Wnioski płynące z tego fragmentu polecam szczególnie tym podmiotom leczniczym, które w sposób bezkrytyczny, czasami wręcz pozbawiony pierwiastka racjonalności, zdają się formułować wizje rozwoju jednostek, w oparciu o wykorzystywanie nagrań z monitoringu wizyjnego, do celów, które nie sposób pogodzić z obowiązkiem zachowania prywatności i godności pacjentów jak również przepisami dotyczącymi ochrony danych osobowych.
Cyt.: „(…) Obecne środowisko technologiczne, ze względu na dynamicznie zmieniające się zagrożenia, wymaga podejścia z dużą ostrożnością do uznawania jakichkolwiek systemów za w pełni bezpieczne. Jak zwracano uwagę w ww. opinii EROD dotyczącej monitoringu wizyjnego, „przy funkcjonowaniu monitoringu należy mieć na względzie konieczność ustanowienia zabezpieczenia, aby uniknąć wykorzystania danych niezgodnie z przeznaczeniem w zupełnie innych – dla osób, których dane dotyczą – i nieoczekiwanych celach (np. w celach marketingowych, monitorowania wyników pracownika itd.). Ponadto zauważono, że obecnie wdraża się wiele narzędzi służących wykorzystaniu utrwalonych wizerunków i przekształceniu tradycyjnych kamer w inteligentne kamery. Ilość danych generowanych przez nagrania wideo, w połączeniu z tymi narzędziami i technikami zwiększają ryzyko ich wtórnego wykorzystania (bez względu na to, czy są związane z celem pierwotnie przypisanym systemowi) lub nawet ryzyko związane z wykorzystaniem danych niezgodnie z przeznaczeniem. Oprócz kwestii prywatności istnieją również ryzyka związane z ewentualnym nieprawidłowym działaniem tych urządzeń oraz związanych z tym uprzedzeń.(…)”.
Na zakończenie PUODO podsuymowyje, iż cyt.: „(…) Przykłady niewłaściwego stosowania monitoringu w dotychczasowej działalności podmiotów leczniczych, których dostarczają kontrole NIK dowodzą, że monitoring był wykorzystywany nadmiernie i prowadził do naruszenia prawa do prywatności i prawa ochrony danych osobowych. Aktualne regulacje – dodatkowo poszerzające dopuszczalność stosowania monitoringu wizyjnego w podmiotach leczniczych – zostały zaś sformułowane w sposób bardzo ogólny, przez co nie zapewniają aktualnie właściwej ochrony prywatności i danych osobowych pacjentów. W konsekwencji mogą prowadzić do nadmiernej ingerencji w prawo do prywatności i ochrony danych osobowych pacjenta.(…)”.
Podsumowanie
W opinii Prezesa UODO koniecznością jest cyt.: „(…) stworzenie spójnego systemu w zakresie stosowania monitoringu wizyjnego w placówkach medycznych, w miejsce rozproszonych fragmentarycznych regulacji w tym obszarze, poprzez odpowiednie uwzględnienie wskazywanych zasad i standardów ochrony danych osobowych, tak, aby uniknąć jakiejkolwiek dowolności po stronie podmiotów wykonujących działalność leczniczą i jednocześnie zagwarantować właściwą ochronę danych osobowych i prawa do prywatności osób objętych monitoringiem. (…)”.
Osobiście ze swojej strony dodam tylko, iż proces zmian legislacyjnych powinien zostać także uzupełniony o proces ukierunkowany na edukację, osób odpowiedzialnych za podejmowanie decyzji o stosowaniu monitoringu wizyjnego, decyzji o jego zakresie, w jakim będzie wykorzystywany, jak również do osób decydujących o celach wykorzystania monitoringu, a tym samym decyzji o wtórnym jego wykorzystaniu. Odnoszę bowiem wrażenie, iż przeświadczenie o pełnej swobodzie działania, w zakresie przetwarzania danych z monitoringu wizyjnego, jest przeświadczeniem na tyle ugruntowanym, iż nie jest dostrzegane to, iż monitoring wprowadzony w określonym celu, na podstawie obowiązujących przepisów, coraz częściej jednak wykorzystywany jest do innych celów. Należy także dostrzec zmieniające się otoczenie techniczno-biznesowe, które z czasem może stawiać oczekiwania dostarczania mu, informacji pochodzących z monitoringu wizyjnego realizowanego w podmiocie leczniczym, w celach chociażby trenowania oprogramowań sztucznointeligentnych.
Materiały źródłowe
Komunikat UODO „Przepisy o monitoringu wizyjnym w placówkach medycznych trzeba doprecyzować.” [Dostęp: 21.02.2025r., godz.: 10:00]
Wystąpienie UODO DOL.413.13.2024 [Dostęp: 21.02.2025r., godz.: 10:00]
Kara PUODO monitoring w podmiocie medycznym. [Dostęp: 21.02.2025r., godz.: 10:00]
Praktyczny poradnik pytania i gotowe odpowiedzi.
Art. 23a ust. 1 Ustawa o działalności leczniczej
Kierownik podmiotu wykonującego działalność leczniczą może określić w regulaminie organizacyjnym sposób obserwacji pomieszczeń:
- ogólnodostępnych, jeżeli jest to niezbędne do zapewnienia bezpieczeństwa pacjentów lub pracowników,
- w których są udzielane świadczenia zdrowotne oraz pobytu pacjentów, w szczególności pokoi łóżkowych, pomieszczeń higieniczno-sanitarnych, przebieralni, szatni, jeżeli wynika to z przepisów odrębnych,
- w których są udzielane świadczenia zdrowotne, jeżeli jest to konieczne w procesie leczenia pacjentów lub do zapewnienia im bezpieczeństwa -w przypadku szpitali, zakładów opiekuńczo-leczniczych, zakładów pielęgnacyjno-opiekuńczych, zakładów rehabilitacji leczniczej i hospicjów
– za pomocą urządzeń umożliwiających rejestrację obrazu (monitoring), uwzględniając konieczność poszanowania intymności i godności pacjenta, w tym przekazywanie obrazu z monitoringu w sposób uniemożliwiający ukazywanie intymnych czynności fizjologicznych, potrzebę zastosowania monitoringu w danym pomieszczeniu oraz konieczność ochrony danych osobowych.