Úřad pro ochranu osobních údajů zatím neudělil pokutu kvůli GDPR zdravotnické organizaci

Úřad pro ochranu osobních údajů (ÚOOÚ) zatím neudělil žádné zdravotnické organizaci sankci ani nezahájil správní řízení v souvislosti s evropským nařízením o ochraně osobních údajů (GDPR). ČTK to řekl mluvčí úřadu Tomáš Paták. V jiných oblastech už úřad za chyby několik pokut udělil. Úřad zatím napomáhá k zavedení celého systému ve všech oblastech a odpovídá na dotazy organizací. Uspořádal také stovku přednášek. Náměstek ministra zdravotnictví Radek Policar řekl, že zdravotnickým organizacím vadí především vznikající náklady třeba na obnovu informačních systémů nebo na zřízení pozice pověřence.

Evropské nařízení začalo platit loni v květnu. Veřejným organizacím, jako jsou nemocnice, školy nebo úřady, které pracují s daty obyvatel, tak vznikly různé povinnosti. Například je to zřízení pozice pověřence, který mapuje situaci v nemocnici a navrhuje potřebná opatření ke zlepšení ochrany údajů. Podle Policara k tomu někdo využil své zaměstnance, někdo nabral nové, jiní využili externích služeb. „Obecně si organizace stěžují na věci, které jim generují náklady. Nemocnice mají například staré informační systémy. Potřebovali by nové, ale většinou je to otázka desítek milionů korun, které nemocnice jen tak nenajdou,“ uvedl Policar.

Podle něj však organizace využívají dotací z Evropské unie, díky kterým se jim daří systémy modernizovat. Dalšími náklady jsou pověřenci, podle Policara ale není jeden úvazek ve velkých zařízeních takovým problémem.

Vedoucí analytického oddělení ÚOOÚ Soňa Matochová uvedla, že podle databáze úřadu je v ČR kolem 17 tisíc pověřenců. Jeden může pracovat pro více organizací, reálně ale musí zvládat práci. „Zatím jsme v oblasti zdravotnictví nevedli žádné správní řízení. Máme možnost postihu za pochybení, ale dosud jsme nic takového neuplatnili,“ řekla Matochová.

Podle Patáka už ale úřad udělil několik pokut ve výši několika desítek tisíc korun v jiných oblastech než zdravotnictví. Provinila se například marketingová firma, podnikatelský subjekt, otevřený webový registr, půjčovna aut nebo jazyková škola. „Pokuty byly například za nezabezpečení smluv s osobními údaji klientů, zveřejňování seznamu s osobními údaji na internetu nebo nevyřízení žádosti o přístup k osobním údajům,“ uvedl.

Úřad zatím napomáhal k zavedení celého systému. „Odpovídali jsme na dotazy, měli jsme spoustu konzultací, udělali jsme stovky přednášek. Zaznamenali jsme desítky podnětů. Chceme napravit nedostatky a najít vyvážené pojetí mezi volným pohybem informací a ochranou soukromí,“ řekla Matochová. Dodala, že vše je dlouhodobý proces a k jeho nastavení musí pomoct vzdělávání a osvěta.

V ČR podle Policara platí zákon o ochraně osobních údajů už od roku 2000. „Evropské nařízení platné od loňska něco zjednodušilo, něco zpřísnilo. Nařízení říká, ať si organizace udělají analýzu rizik, kde hrozí zásah do práva občanů. A potom ať se dělají potřebná opatření,“ uvedl Policar. Opatření podle něj mohou spočívat nejen v moderních informačních systémech, ale také například v zamykání karet s osobními údaji pacientů do zásuvky, ochraně archivu zdravotní dokumentace mřížemi a podobně.

Opatrnost je podle pověřence motolské nemocnice Radka Knolla třeba i v situaci, kdy lékaři z různých zařízení konzultují nějaký složitý případ a vyměňují si informace o pacientovi. „Lékaři jsou vázaní lékařským tajemstvím a mají lékařskou etiku, které se nezpronevěřují, ale na druhou stranu nařízení vyvíjí větší tlak,“ uvedla pověřenkyně svatoanenské nemocnice v Brně Zuzana Ondrůjová.

-čtk-