Asmens duomenų apsauga gydymo įstaigoje: kada privalomas duomenų apsaugos pareigūnas

Gydymo įstaiga kasdien tvarko sveikatos duomenis. Bendrasis duomenų apsaugos reglamentas (toliau – BDAR) juos priskiria specialiai kategorijai, kurią tvarkyti iš principo draudžiama (BDAR 9 str. 1 d.). Todėl asmens duomenų apsauga sveikatos priežiūros įstaigose turi griežtesnį rėmą nei kitur. Ligoninei duomenų apsaugos pareigūnas privalomas: pacientų duomenų tvarkymas yra jos pagrindinė veikla ir vyksta dideliu mastu (BDAR 37 str. 1 d. c p.). Valstybės ar savivaldybės gydymo įstaigai pareiga gali kilti ir dėl kito pagrindo, jei ji atitinka valdžios įstaigos sąvoką (BDAR 37 str. 1 d. a p.). Atskiro gydytojo pacientų duomenų tvarkymas, pagal BDAR konstatuojamąją dalį, neturėtų būti laikomas didelio masto tvarkymu (BDAR 91 konstatuojamoji dalis).

Tarp šių dviejų pavyzdžių yra plati pilkoji zona: privačios klinikos, odontologijos kabinetai, laboratorijos, reabilitacijos centrai. Čia aiškiname, ką sako įstatymai, kaip patikrinti, ar duomenų apsaugos pareigūnas gydymo įstaigai privalomas, ir kas gresia, jei atsakymas neteisingas.

Asmens duomenų apsauga sveikatos priežiūros įstaigose: kodėl taisyklės griežtesnės

Sveikatos duomenys – tai asmens duomenys, susiję su fizine ar psichine asmens sveikata, įskaitant duomenis apie sveikatos priežiūros paslaugų teikimą (BDAR 4 str. 15 p.).

Tokius duomenis tvarkyti draudžiama, nebent taikoma išimtis (BDAR 9 str. 1 d.). Gydymo įstaigai pagrindinė išimtis taikoma, kai duomenis tvarkyti būtina diagnozei nustatyti, gydyti ar sveikatos priežiūros paslaugoms teikti ir tai grindžiama įstatymu arba sutartimi su sveikatos priežiūros specialistu (BDAR 9 str. 2 d. h p.). Ši išimtis turi sąlygą: duomenis tvarko specialistas, kuriam taikoma pareiga saugoti profesinę paslaptį, arba jie tvarkomi jo atsakomybe (BDAR 9 str. 3 d.).

Nacionaliniai įstatymai prideda savo taisykles. Pacientų teisių ir žalos sveikatai atlyginimo įstatymas (toliau – PTŽSAĮ) leidžia rinkti informaciją apie paciento gyvenimo faktus tik tada, kai tai būtina ligai diagnozuoti, gydyti ar pacientui slaugyti (PTŽSAĮ 8 str. 1 d.). Visa informacija apie paciento buvimą įstaigoje, sveikatos būklę, diagnozę, gydymą, prognozes ir kita asmeninio pobūdžio informacija apie pacientą yra konfidenciali ir po paciento mirties (PTŽSAĮ 8 str. 3 d.). Kitiems asmenims ji teikiama tik turint rašytinį paciento sutikimą, kuriame nurodyti teikimo pagrindas ir naudojimo tikslai, išskyrus įstatyme nurodytus atvejus (PTŽSAĮ 8 str. 4 d.). Asmenys, kuriems įstatymai suteikia teisę gauti tokią informaciją, ją gauna tik rašytiniu prašymu, kuriame nurodyti teisinis pagrindas, tikslai ir apimtis (PTŽSAĮ 9 str. 1 d.).

Sveikatos sistemos įstatymas (toliau – SSĮ) reikalauja, kad informacijos apie sveikatą apsauga kompiuteriuose garantuotų jos konfidencialumą (SSĮ 52 str. 2 d.). Sveikatos priežiūros specialistams draudžiama, išskyrus įstatymuose numatytus atvejus, pažeisti asmens sveikatos paslapties, kurią jie sužinojo eidami profesines pareigas, konfidencialumą (SSĮ 52 str. 3 d.). Kaip sveikatos duomenis tvarko darbdavys, o ne gydymo įstaiga, rašome straipsnyje Sveikatos duomenys darbe: ką darbdavys gali žinoti.

Valstybės ir savivaldybės gydymo įstaigos: ar jos yra valdžios įstaigos

BDAR reikalauja paskirti pareigūną, kai duomenis tvarko valdžios institucija arba įstaiga (BDAR 37 str. 1 d. a p.). Pats BDAR šios sąvokos neapibrėžia. 29 straipsnio darbo grupės Gairės dėl duomenų apsaugos pareigūnų (toliau – WP243), kurias patvirtino Europos duomenų apsaugos valdyba, nurodo, kad ją reikia nustatyti pagal nacionalinę teisę (WP243, 2.1.1 skirsnis).

Lietuvoje ją apibrėžia Asmens duomenų teisinės apsaugos įstatymas (toliau – ADTAĮ). Valdžios institucijos ir įstaigos yra valstybės ir savivaldybių institucijos ir įstaigos, įmonės ir viešosios įstaigos, kurios atitinka dvi sąlygas (ADTAĮ 2 str. 2 d.):

• yra finansuojamos iš valstybės ar savivaldybių biudžetų bei valstybės pinigų fondų;
• yra Viešojo administravimo įstatymo nustatyta tvarka įgaliotos atlikti viešąjį administravimą arba teikia asmenims viešąsias ar administracines paslaugas, ar vykdo kitas viešąsias funkcijas.

Sveikatos priežiūros įstaigų įstatymas (toliau – SPĮĮ) nacionalinei sveikatos sistemai priskiria valstybės ir savivaldybių asmens sveikatos priežiūros viešąsias ir biudžetines įstaigas (SPĮĮ 3 str. 1 d. 1 p.). Tokia viešoji įstaiga yra įsteigta iš valstybės ar savivaldybės turto ir lėšų (SPĮĮ 26 str. 1 d.). Taigi savivaldybės poliklinika ar valstybės ligoninė patenka į ADTAĮ sąraše išvardytų subjektų ratą. Ar ji atitinka ir abi sąlygas, reikia patikrinti pagal konkrečios įstaigos įstatus ir finansavimo šaltinius. Privalomojo sveikatos draudimo fondo lėšos finansavimo sąlygą taip pat atitinka: SPĮĮ šį fondą įvardija tarp valstybės pinigų fondų, minėdamas įstaigas, išlaikomas „iš Privalomojo sveikatos draudimo fondo biudžeto ir kitų valstybės pinigų fondų“ (SPĮĮ 20 str. 2 d.). Įstatymas gydymo įstaigų atskirai nevardija, todėl išvadą verta užrašyti.

Ligoninei šis atsakymas pareigos nepakeičia: ji pareigūną privalo skirti pagal c punktą bet kuriuo atveju (WP243, 2.1.2 skirsnis). Tačiau jis lemia baudų ribas, nes valdžios įstaigoms ADTAĮ 33 str. nustato žemesnes ribas nei BDAR. Valstybinė duomenų apsaugos inspekcija 2026 m. vasario 13 d. sprendime Nr. 3R-252 rajono ligoninei, kuri yra viešoji įstaiga, baudą skaičiavo pagal valdžios įstaigoms taikomą ADTAĮ 33 str. 2 d. ribą, nors sprendimo motyvuose ligoninę pavadino biudžetine įstaiga. Kelios valdžios įstaigos gali turėti vieną bendrą pareigūną, atsižvelgiant į jų organizacinę struktūrą ir dydį (BDAR 37 str. 3 d.).

Privati klinika, sudariusi sutartį su Valstybine ligonių kasa, nacionalinei sveikatos sistemai priskiriama tik tos sutarties galiojimo laikotarpiu ir tik dėl tų paslaugų (SPĮĮ 3 str. 1 d. 4 p.). ADTAĮ sąrašas prasideda žodžiais „valstybės ir savivaldybių“, todėl, mūsų vertinimu, privati bendrovė valdžios įstaiga netampa vien dėl tokios sutarties. Įstatymas šio klausimo tiesiogiai nesprendžia. Jei klinika veikia kaip privačių steigėjų viešoji įstaiga, išvadą verta įvertinti atskirai ir užrašyti. WP243 rekomenduoja, kad viešąsias užduotis atliekančios privačios organizacijos pareigūną skirtų kaip gerąją praktiką, nors pareigos tam nėra (WP243, 2.1.1 skirsnis).

Duomenų apsaugos pareigūnas gydymo įstaigai: privačios klinikos

Privačiai įstaigai pareigūnas privalomas, kai jos pagrindinė veikla yra specialių kategorijų duomenų tvarkymas dideliu mastu (BDAR 37 str. 1 d. c p.). Ta pati pareiga taikoma ir duomenų tvarkytojui, kuris kitos įstaigos pavedimu tvarko pacientų duomenis, jei toks tvarkymas dideliu mastu yra jo paties pagrindinė veikla (BDAR 37 str. 1 d. c p.). Turi būti įvykdytos abi sąlygos.

Pagrindinė veikla. WP243 aiškina, kad ligoninės pagrindinė veikla yra sveikatos priežiūra, bet jos neįmanoma teikti saugiai ir veiksmingai netvarkant sveikatos duomenų. Todėl šių duomenų tvarkymas laikomas viena iš pagrindinių ligoninės veiklų (WP243, 2.1.2 skirsnis). Mūsų vertinimu, ta pati logika tinka bet kuriai įstaigai, kurios veikla yra gydymas ar tyrimai. Klausimą lemia antroji sąlyga.

Didelis mastas. BDAR jo neapibrėžia. Skaičiaus, kuris tiktų visoms situacijoms, nepateikia ir WP243 (WP243, 2.1.3 skirsnis). Vertinami keturi kriterijai: duomenų subjektų skaičius (konkretus arba kaip gyventojų dalis), duomenų kiekis ir įvairovė, tvarkymo trukmė ir geografinė aprėptis. Gairėse ligoninės įprastos veiklos metu tvarkomi pacientų duomenys nurodyti kaip didelio masto tvarkymo pavyzdys, o atskiro gydytojo pacientų duomenys – kaip pavyzdys, kuris didelio masto tvarkymu nelaikomas (WP243, 2.1.3 skirsnis; BDAR 91 konstatuojamoji dalis). Gairės pabrėžia, kad tarp kraštutinumų – atskiro gydytojo ir visos šalies ar Europos masto tvarkymo – yra plati pilkoji zona. Gairės taip pat įspėja, kad 91 konstatuojamoji dalis parašyta poveikio vertinimui, todėl pareigūno klausimui ji taikoma ne visiškai tiesiogiai.

Mūsų vertinimu, taikant šiuos kriterijus, vienas šeimos gydytojas ar odontologas savo kabinete yra arčiau 91 konstatuojamosios dalies pavyzdžio. Klinikų tinklas keliuose miestuose, daugiaprofilinis centras ar laboratorija, aptarnaujanti daug pacientų, yra arčiau ligoninės pavyzdžio. Kur tiksliai yra jūsų įstaiga, įstatymas neatsako; atsakymą duoda pagrįstas vertinimas. WP243 rekomenduoja tokį vertinimą užrašyti, kad prireikus būtų galima įrodyti, jog į reikšmingus veiksnius atsižvelgta (WP243, 2.1 skirsnis). Kada pareigūnas privalomas kitose srityse, rašome straipsnyje Ar mūsų organizacijai privalomas duomenų apsaugos pareigūnas.

Ką reikia padaryti paskyrus pareigūną

Pareigūnas skiriamas pagal profesines savybes, visų pirma duomenų apsaugos teisės ir praktikos ekspertines žinias (BDAR 37 str. 5 d.). Jis gali būti įstaigos darbuotojas arba dirbti pagal paslaugų sutartį (BDAR 37 str. 6 d.). Įstaiga privalo paskelbti jo kontaktinius duomenis ir pranešti juos Valstybinei duomenų apsaugos inspekcijai (BDAR 37 str. 7 d.).

Pareigūnas atsakomybės už duomenis neperima. WP243 aiškiai nurodo, kad už atitiktį BDAR atsako duomenų valdytojas, o ne pareigūnas asmeniškai (WP243, 4.1 skirsnis). Pacientų duomenų tvarkymui dideliu mastu taip pat privalomas poveikio duomenų apsaugai vertinimas (BDAR 35 str. 3 d. b p.), o jį atliekant konsultuojamasi su pareigūnu (BDAR 35 str. 2 d.). Ką toks vertinimas apima, rašome straipsnyje Poveikio duomenų apsaugai vertinimas: ką jis sudaro ir kiek trunka.

Kas gali nutikti

Nepaskirtas privalomas pareigūnas. BDAR 37 str. pažeidimui taikoma BDAR 83 str. 4 d. a p. baudų grupė. Privačiai klinikai tai bauda iki dešimties milijonų eurų arba iki 2 % visos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 4 d.). Valdžios įstaigai už tokius pažeidimus ADTAĮ 33 str. 1 d. nustato žemesnę ribą: iki pusės procento įstaigos einamųjų metų biudžeto ir kitų praėjusiais metais gautų pajamų, bet ne daugiau kaip trisdešimt tūkstančių eurų. Tačiau valdžios įstaigai, kuri vykdo ūkinę komercinę veiklą, taikomi bendrieji BDAR dydžiai (ADTAĮ 33 str. 3 d.). Ar pacientams teikiamos mokamos paslaugos laikomos ūkine komercine veikla, ADTAĮ neapibrėžia, todėl, mūsų vertinimu, gydymo įstaigai šį klausimą verta įvertinti iš anksto. Daugiau apie tai rašome straipsnyje Kokios baudos gresia įstaigai už BDAR pažeidimą.

Pacientų duomenų nutekėjimas. Neteisėtai atskleista diagnozė pažeidžia ne tik BDAR, bet ir PTŽSAĮ konfidencialumo reikalavimus (PTŽSAĮ 8 str. 3 ir 4 d.). Už neteisėtą konfidencialios informacijos apie pacientą rinkimą ir naudojimą atsakoma teisės aktų nustatyta tvarka (PTŽSAĮ 9 str. 2 d.). Pacientas, patyręs materialinę ar nematerialinę žalą, turi teisę gauti kompensaciją (BDAR 82 str. 1 d.).

Pareigūnas tik įsakyme. Žmogus be duomenų apsaugos teisės ir praktikos ekspertinių žinių BDAR 37 str. 5 d. reikalavimo neatitinka. WP243 nurodo, kad asmuo, neatitinkantis BDAR kriterijų, pavyzdžiui, dėl išteklių ar nepriklausomumo garantijų, negali būti laikomas pareigūnu (WP243, 2.1 skirsnis, 11 išnaša). Tada, mūsų vertinimu, įstaiga pareigūną turi tik formaliai, o BDAR 37 str. 1 d. pareiga lieka neįvykdyta.

Kada kreiptis į teisininką

• kai nežinote, ar jūsų įstaiga yra valdžios įstaiga pagal ADTAĮ;
• kai privati klinika plečiasi: atidaro naują filialą, laboratoriją ar nuotolines konsultacijas;
• kai diegiate naują pacientų registravimo ar ligos istorijų sistemą;
• kai institucija, draudikas ar darbdavys prašo informacijos apie pacientą;
• kai pacientų duomenys pateko ne tiems žmonėms;
• kai gavote Valstybinės duomenų apsaugos inspekcijos paklausimą dėl pareigūno.