Pytanie uzupełniające z dnia 27.08.2018 r
W nawiązaniu do pytania zadanego w dniu 23.08.2018 r proszę o wskazanie, czy usługi związane z medycyną pracy (zawarto już umowę z wykonawcą) i obowiązek przekazania danych osobowych wykonawcy wymaga zawarcia umowy powierzenia przetwarzania danych osobowych? Wykonawca, z którym zawarto umowę jest jednostką medycyny pracy.
Odpowiedź.
Na początku zdefiniujmy wykonawcę i jego obowiązki. Zgodnie z art. 2 ust 1 ustawy z dnia 27 czerwca 1997 roku o służbie medycyny pracy (Dz.U.2018.1155 t.j. z dnia 2018.06.15), jednostkami organizacyjnymi służby medycyny pracy są:
(...)
- 2. Jednostkami organizacyjnymi służby medycyny pracy są:
1) podmioty wykonujące działalność leczniczą w celu sprawowania profilaktycznej opieki zdrowotnej nad pracującymi, z wyłączeniem pielęgniarek i położnych wykonujących zawód w formach określonych odrębnymi przepisami, zwane dalej "podstawowymi jednostkami służby medycyny pracy";
2) wojewódzkie ośrodki medycyny pracy.
(...)
Prawdopodobnie przedmiotem tego zamówienia są usługi i umowa wynikająca z art. 12 ww. ustawy.
(...)
Art. 12.
- 1. Badania wstępne, okresowe i kontrolne pracowników oraz inne świadczenia zdrowotne są wykonywane na podstawie pisemnej umowy zawartej przez podmiot obowiązany do ich zapewnienia, o którym mowa w art. 5 ust. 2, zwany dalej "zleceniodawcą", z podstawową jednostką służby medycyny pracy, zwaną dalej "zleceniobiorcą".
- 2. Umowa powinna określać w szczególności:
1) strony umowy oraz osoby objęte świadczeniami z tytułu umowy;
2) zakres opieki zdrowotnej, który w odniesieniu do pracowników powinien obejmować co najmniej te rodzaje świadczeń, do których zapewnienia zleceniodawca jest obowiązany na podstawie Kodeksu pracy, niniejszej ustawy i przepisów wydanych na ich podstawie;
3) warunki i sposób udzielania świadczeń zdrowotnych, a w szczególności: sposób rejestracji osób objętych umową, organizację udzielania świadczeń, tryb przekazywania zaświadczeń lekarskich o zdolności do pracy bądź nauki oraz sposób podania tych informacji do wiadomości zainteresowanych;
4) sposób kontrolowania przez zleceniodawcę wykonywania postanowień umowy;
5) obowiązki zleceniodawcy wobec zleceniobiorcy dotyczące:
- a) przekazywania informacji o występowaniu czynników szkodliwych dla zdrowia lub warunków uciążliwych wraz z aktualnymi wynikami badań i pomiarów tych czynników,
- b) zapewnienia udziału w komisji bezpieczeństwa i higieny pracy działającej na terenie zakładu pracy,
- c) zapewnienia możliwości przeglądu stanowisk pracy w celu dokonania oceny warunków pracy,
- d) udostępniania dokumentacji wyników kontroli warunków pracy, w części odnoszącej się do ochrony zdrowia;
6) wysokość należności, sposób jej ustalania, terminy płatności oraz tryb rozliczeń finansowych;
7) dopuszczalność zlecania osobom trzecim przez zleceniobiorcę niektórych obowiązków wynikających z umowy, zgodnie z art. 14;
8) okres, na który została zawarta umowa, z tym że okres ten nie może być krótszy niż rok;
9) sposób rozwiązywania umowy za wypowiedzeniem i przypadki stanowiące podstawę rozwiązywania umowy ze skutkiem natychmiastowym;
10) tryb rozstrzygania sporów związanych z realizacją i rozliczeniem finansowym umowy, zwłaszcza w przypadku uchybień stwierdzonych w trybie określonym w art. 18 ust. 2 pkt 2.
- 3. Realizacja zadań służby medycyny pracy, określonych w trybie art. 9 ust. 4, przez osoby, o których mowa w art. 2 ust. 3, następuje na podstawie umowy zawartej ze zleceniodawcą. Przepis ust. 2 stosuje się odpowiednio.
- 4. Zleceniobiorca informuje właściwą inspekcję o niewywiązywaniu się przez zleceniodawcę z zobowiązań, o których mowa w ust. 2 pkt 5.
Art. 13.
Zleceniodawca, działając w porozumieniu z przedstawicielami pracowników, ma prawo wyboru podstawowej jednostki służby medycyny pracy.
(...)
Zgodnie z art. 6 ww. ustawy wykonawca jest umocowany do realizacji zadań o których mowa powyżej, a zgodnie z art. 11 dane zawarte w dokumentacji badań i orzeczeń są objęte tajemnicą zawodową i służbową. Dane te mogą być udostępnione wyłącznie osobom lub podmiotom wyznaczonym i zdefiniowanym w przepisach prawa.
Dodajmy jeszcze występujący tutaj element tajemnicy zawodowej, którym objęte są wszelkie informacje i dane o pacjencie, które zostały pozyskane przez osobę fizyczną wykonującą zawód medyczny przy udzielaniu mu świadczenia zdrowotnego. Należy tutaj przytoczyć art. 14 ustawy z dnia 6 listopada 2008 roku o prawach pacjentów i Rzeczniku Praw Pacjenta (Dz.U.2017.1318 t.j. z dnia 2017.07.04), gdzie w celu realizacji prawa pacjenta do tajemnicy informacji z nim zawiązanych osoby wykonujące zawód medyczny są obowiązane zachować w tajemnicy informacje związane z pacjentem, w szczególności ze stanem zdrowia pacjenta, dane osobowe, jego status społeczny, rodzinny.
W badaniach o których mowa powyżej występuje także dokumentacja medyczna kształtowana treścią ROZPORZĄDZENIA MINISTRA ZDROWIA z dnia 29 lipca 2010 r. w sprawie rodzajów dokumentacji medycznej służby medycyny pracy, sposobu jej prowadzenia i przechowywania oraz wzorów stosowanych dokumentów (Dz.U.2010.149.1002 z dnia 2010.08.16) w której wskazano między innymi, że dokumentacja medyczna jest własnością podmiotów obowiązanych do jej prowadzenia, jest przechowywana przez jednostkę która ją prowadzi, a okres przechowywania wynosi 20 lat.
W oparciu o ww. regulacje prawne wg mojej oceny ten wykonawca nie może być traktowany jako podmiot przetwarzający (procesor), któremu narzuca się w umowie dodatkowe obowiązki i zakazy związane z przetwarzaniem danych osobowych. W takim przypadku umowa przetwarzania naruszałaby regulacje prawne, które ten podmiot ma obowiązek stosować. Do tego administrator danych (pracodawca) musiałby mieć wyłączne prawo do dysponowania tymi danymi, a jednostki medycyny pracy nie mogłyby w pełni realizować zadań zdefiniowane przez ww. regulacje prawne.
Podstawą przetwarzania danych osobowych przez jednostki medycyny pracy nie będzie więc pisemna umowa zawarta z pracodawcą na podstawie art. 12 u.s.m. (art. 6 ust. 1 lit. b RODO), a obowiązki prawne wynikające z ww. przepisów (art. 9 ust. 2 lit. b i h w zw. z art. 6 ust. 1 lit. c RODO) oraz ochrona żywotnych interesów osoby, której dane dotyczą (art. 9 ust. 2 lit. c w zw. z art. 6 ust. 1 lit. d RODO).
W opisanym przypadku zawarcie umowy powierzenia nie jest wymagane, a jednostka medycyny pracy nie będzie podmiotem przetwarzającym (procesorem). Wykonawca będzie „klasycznym” administratorem danych osobowych, gdzie w pełnym zakresie ma obowiązek wypełnić wymagania obowiązujących przepisów, także RODO.
Opracował: Piotr Sperczyński
Dnia: 27.08.2018 r