Funkcjonowanie gabinetów stomatologicznych w świetle reformy przepisów o ochronie danych osobowych

Zarówno stomatolog prowadzący działalność jako osoba fizyczna, jak i spółki prowadzące podobnego rodzaju działalność w większej skali są administratorami danych osobowych – przede wszystkim swoich pacjentów, ale także osób przez siebie zatrudnionych czy osób, które w inny sposób świadczą na ich rzecz usługi – a w konsekwencji zobowiązane są do realizacji obowiązków określonych w przepisach dotyczących ochrony danych osobowych.
Rozporządzenie wprowadza szereg zmian oraz poszerza zakres obowiązków administratorów i podmiotów przetwarzających dane. Celem nowych przepisów jest także wyposażenie osób fizycznych oraz organów nadzorujących ich działalność w skuteczne narzędzia reagowania na naruszenia rozporządzenia. Bardzo istotną, a zarazem niezwykle dotkliwą dla przedsiębiorców kwestią, są możliwe sankcje za naruszenia.

Pojęcie „danych osobowych”

Polskie ustawodawstwo już bardzo wcześnie dostrzegło problem wrażliwości danych osobowych i w 1997 r. powstała pierwsza ustawa o ich ochronie. Obecnie jest ona najważniejszym aktem prawnym określającym obowiązki administratorów danych osobowych (a więc także i podmiotów prowadzących gabinety stomatologiczne). Jednak już od 25 maja 2018 r. weszły w życie przepisy tzw. RODO, czyli rozporządzenia Unii Europejskiej o ochronie danych osobowych. Będzie ono bezpośrednio stosowane we wszystkich państwach członkowskich Unii Europejskiej – tak jakby było ustawą. W związku z tym z dniem 25 maja 2018 r. przepisy ustawy o ochronie danych osobowych z 1997 r. przestają obowiązywać. 
Ustawa z 1997 r. bardzo wyraźnie sprecyzowała ochronę danych, określając jednocześnie, co należy rozumieć pod pojęciem „danych osobowych”. Mianowicie, takimi danymi są wszystkie informacje, które gromadzi się o osobie, o pacjencie, pozwalające na możliwie łatwe zidentyfikowanie tej osoby. W praktyce, w ramach rozwoju technologii, zidentyfikowanie osoby poprzez różnego rodzaju programy szperające w sieci (na podstawie nawet szczątkowych danych) jest coraz łatwiejsze, stąd bardzo duży nacisk na to, by dane odpowiednio przechowywać, odpowiednio zabezpieczać, jak również systematycznie realizować obowiązek szkoleniowy w tej materii. Jest to konieczne ze względu na to, że cały czas systematycznie powstają kolejne, całkiem nowe zagrożenia. 
W związku z wdrożeniem nowego prawa obowiązują pewne wymogi, które dotyczą również praktyk stomatologicznych prowadzących dokumentację elektroniczną w formie zarówno tej zwykłej, tradycyjnej, jak i elektronicznej. Wymogi dotyczą przede wszystkim opracowania bardzo jasnej, spójnej i klarownej polityki bezpieczeństwa, w której zawarte zostaną informacje o tym, w jaki sposób system jest zabezpieczony. Nowy reżim bezpieczeństwa przewiduje szereg obowiązków, które zostaną omówione bardziej szczegółowo poniżej, m.in.: powołanie administratora danych osobowych oraz administratora bezpieczeństwa informacji. W małych praktykach zazwyczaj funkcję tę będzie pełnić jedna osoba. Podmioty te mają za zadanie czuwać nad tym, aby dane pacjentów były odpowiednio zabezpieczone, muszą stworzyć cały system zabezpieczeń oraz przygotować pełną dokumentację. Obejmująca konkretne procedury polityka bezpieczeństwa określa, kto i za co jest odpowiedzialny, a także nadaje (w formie załączników) upoważnienia do korzystania z systemu osobom, które są pracownikami lub osobami współpracującymi z praktyką stomatologiczną. 
Drugim niezwykle istotnym dokumentem dotyczącym bezpieczeństwa danych jest instrukcja zarządzania systemem informatycznym, w...