Fyzioterapeut zpracovává zdravotní údaje, tedy zvláštní kategorii osobních údajů, na kterou GDPR (obecné nařízení EU o ochraně osobních údajů) klade vyšší nároky. Tento článek je praktický přehled toho, co má ordinace mít v pořádku a jak vám s tím může pomoct software.

Zdravotní dokumentace a GDPR: dvě sady pravidel

Zdravotní dokumentaci musíte vést podle zdravotnických předpisů (viz zdravotnická dokumentace podle vyhlášky 98/2012). Zároveň na ni dopadá GDPR. Pro praxi je důležité jedno pravidlo: zákonná povinnost dokumentaci vést a uchovat má přednost před přáním pacienta ji smazat. Ostatní údaje, které zákon nevyžaduje, už smazat musíte, pokud to pacient oprávněně požaduje.

Co má ordinace v pořádku

  1. Jste správce osobních údajů. Rozhodujete, proč a jak se údaje pacientů zpracovávají, a odpovídáte za to.
  2. Informace o zpracování. Pacient se musí dozvědět, kdo jeho údaje zpracovává, proč, jak dlouho a jaká má práva. Informace předejte srozumitelně a doložitelně.
  3. Právní základ. Péče a vedení dokumentace stojí na zákoně, ne na souhlasu. Souhlas potřebujete u věcí nad rámec povinností, například u marketingových zpráv.
  4. Zpracovatelské smlouvy. Každý dodavatel, který pro vás zpracovává osobní údaje (software, e-mail, účetní), potřebuje zpracovatelskou smlouvu.
  5. Zabezpečení. Přístup jen pro ty, kdo ho potřebují, evidence přístupů, šifrování citlivých údajů, zálohy.
  6. Práva pacienta. Informace o zpracování, přístup k údajům, oprava, omezení zpracování, přenositelnost, námitka. Na žádost je potřeba umět odpovědět v době, kterou stanoví nařízení.
  7. Incidenty. Ztracený notebook nebo omylem odeslaný e-mail s kartou pacienta je bezpečnostní incident. Mějte předem určeno, kdo ho posoudí a jak se řeší.
  8. Záznamy o zpracování. Přehled, jaká data zpracováváte, k čemu, kde jsou uložená a komu je předáváte.

Souhlas, nebo informace?

Častá chyba: nechat pacienta podepsat „souhlas se zpracováním osobních údajů“ jako podmínku léčby. Péči zpravidla neopíráte o souhlas, ale o zákonnou povinnost a smlouvu. Pacient tedy dostane především informaci o zpracování. Souhlas je namístě u dobrovolných věcí, například zasílání novinek nebo použití fotografie. Přesné nastavení konzultujte s právníkem; souhlas s terapií (informovaný souhlas) je jiná věc a řídí se zdravotnickými předpisy.

Rezervace a komunikace s pacienty

Online rezervace sbírá jméno, kontakt a často i důvod návštěvy. Zkontrolujte, že rezervační formulář pacienta informuje o zpracování, nesbírá víc údajů, než potřebujete, a běží na dodavateli se zpracovatelskou smlouvou. Do e-mailů a SMS nepište zdravotní údaje; stačí termín, místo a odkaz. Víc k rezervačním systémům najdete v článku jak vytvořit rezervační systém.

Jak to řeší FyzioPlan

  • Informace o zpracování se vygeneruje z údajů vaší ordinace (správce, kontakt, doba uchování) a každá změna vytvoří novou verzi.
  • Souhlasy se evidují s verzí a časem, chybějící souhlas karta pacienta viditelně označí a odvolaný souhlas se nemaže, jen se ukončí jeho platnost.
  • Karta pacienta ukazuje, kdo a kdy ji nebo zápis otevřel; přehled přístupů lze vyexportovat pro pacienta, který o něj požádá.
  • Data jsou uložená v Evropské unii a citlivé údaje jsou šifrované. Zpracovatelská smlouva je součástí služby.
  • Rodné číslo ani číslo pojištěnce se neposílají do záznamů o chybách ani do logů.
  • Export dat vám umožní odpovědět na žádost pacienta i změnit systém, aniž byste přišli o dokumentaci.

Postup nastavení najdete v nápovědě GDPR a souhlasy, kartotéka a export dat.

Otázky pro právníka nebo pověřence

Tyto body závisí na konkrétní situaci vaší praxe a neodpovídáme na ně obecně:

  • Potřebuje vaše ordinace pověřence pro ochranu osobních údajů? Závisí na rozsahu a charakteru zpracování.
  • Jak správně formulovat informaci o zpracování pro vaše služby a případné marketingové zprávy.
  • Jak dlouho uchovávat jednotlivé druhy údajů mimo zdravotní dokumentaci.
  • Jak postupovat při žádosti o výmaz, když část údajů zákon uchovat nařizuje.

Časté otázky

Musí pacient podepsat souhlas se zpracováním osobních údajů?

Zpravidla ne jako podmínku péče. Péče a vedení dokumentace stojí na zákoně. Pacient dostane informaci o zpracování; souhlas se hodí u dobrovolných věcí, například marketingových zpráv. Přesné nastavení si nechte potvrdit právníkem.

Smí pacient požádat o smazání své dokumentace?

Právo na výmaz se nemůže dotknout zákonné povinnosti dokumentaci uchovat. Dokumentace se skartuje po uplynutí lhůty podle vyhlášky; údaje nad rámec povinnosti mažete na žádost.

Potřebuji se zpracovatelským softwarem zpracovatelskou smlouvu?

Ano. Dodavatel, který pro vás zpracovává osobní údaje pacientů, je zpracovatel a vztah má upravovat smlouva. Ve FyzioPlanu je zpracovatelská smlouva součástí služby.

Jak doložím, kdo se díval do karty pacienta?

Potřebujete evidenci přístupů. FyzioPlan zapisuje každé otevření karty nebo zápisu a přehled umí vyexportovat pro pacienta.