RPO: rejestr zawodów medycznych ujawnia dane wrażliwe

26 marca zaczęła obowiązywać ustawa regulująca 15 nowych zawodów medycznych, która wprowadziła m.in. obowiązek wpisu do Centralnego Rejestru Osób Uprawnionych do Wykonywania Zawodu Medycznego.

Udostępnienie informacji w rejestrze ma służyć weryfikacji osób wykonujących zawody medyczne przez pracodawców i pacjentów. Brak wpisu do rejestru uniemożliwi wykonywanie zawodu medycznego (na złożenie wniosku o wpis do rejestru jest pół roku). A za nieuprawnione posługiwanie się tytułem zawodowym przewidziana jest odpowiedzialność karna.

Rejestr działa od 26 marca pod adresem https://rizm.ezdrowie.gov.pl.

PRZECZYTAJ TAKŻE: Nowe zawody medyczne – 26 marca zaczęła obowiązywać ustawa [NAJWAŻNIEJSZE INFORMACJE

Już na etapie prac legislacyjnych zgłaszano uwagi co do niekonstytucyjności niektórych przepisów ustawy. Poprawki Senatu zostały jednak odrzucone przez Sejm. Prezydent Andrzej Duda podpisał ustawę, ale złożył - w trybie kontroli następczej - wniosek do Trybunału Konstytucyjnego w sprawie zbadania zgodności z Konstytucją jej niektórych regulacji (sygn. K 16/23). Rzecznik Praw Obywatelskich przystąpił do tego postępowania.

Ustawa o zawodach medycznych - wątpliwości dotyczą przetwarzania danych osobowych

Wątpliwości Rzecznika dotyczyły ujawniania w centralnym rejestrze informacji o przyczynie utraty przez osobę wykonującą zawód medyczny uprawnienia do wykonywania tego zawodu. Z analizy ustawy i wniosku Prezydenta RP wynika jednak, że istnieją poważne wątpliwości co do konstytucyjności nie tylko zakwestionowanych już przepisów, ale także innych regulacji co do przetwarzania danych osobowych w rejestrze. Chodzi zarówno o zakres danych podlegających ujawnieniu w jawnym rejestrze, jak i kwestię przechowywania i usuwania z niego danych.

Jak stanowi zakwestionowany przed TK art. 4 ust. 1 pkt 12 ustawy, rejestr obejmuje datę utraty uprawnienia do wykonywania zawodu medycznego wraz z podaniem przyczyny. RPO zgodził się z Prezydentem RP, że ujawnienie w rejestrze informacji, które odnoszą się do danych dotyczących zdrowia, orzeczeń karnych czy dyscyplinarnych nieograniczonej liczbie osób, stanowi nieproporcjonalne ograniczenie prawa do prywatności i ochrony danych osobowych. Zakwestionowane regulacje stoją także w sprzeczności z przepisami rozporządzenia RODO.

Sama informacja o utracie prawa wykonywania zawodu ujawnia pośrednio jej przyczyny

RPO zwraca uwagę, że już sama informacja o utracie uprawnienia do wykonywania zawodu medycznego (a nie tylko o przyczynie jego utraty, jak wskazuje wniosek Prezydenta do TK) powoduje pośrednio ujawnienie informacji o przyczynach utraty prawa do wykonywania zawodu medycznego. Przyczyny utraty uprawnień są bowiem ograniczone do czterech enumeratywnie wymienionych sytuacji - z których każda należy do tej sfery życia prywatnego podlegającej szczególnej ochronie. Informacje te nie podlegają usunięciu z rejestru (będą archiwizowane) – co pogłębia ingerencję w sferę życia prywatnego osób z rejestru - zauważa Rzecznik.

Luka prawna - RPO wskazuje na brak możliwości usunięcia danych osobowych z rejestru

W ocenie RPO to, że ustawa przewiduje możliwość wykreślenia z rejestru jedynie w przypadku zaistnienia negatywnych okoliczności, bez możliwości złożenia wniosku o wykreślenie z rejestru czy zrzeczenia się prawa do wykonywania zawodu medycznego, oznacza nieuzasadnione zaniechanie ustawodawcze.

Zdaniem Rzecznika taki sposób ukształtowania przepisów, na zasadzie arbitralności, bez możliwości usunięcia danych osobowych z rejestru, w przypadku niewykonywania zawodu medycznego z własnej woli, przy szerokim zakresie udostępnianych danych, budzi wątpliwości z punktu widzenia Konstytucji RP, a także RODO.

“Biorąc więc pod uwagę, że ustawa przewiduje, iż jedynie osoby wpisane do rejestru mogą wykonywać zawód medyczny, a osoba pozbawiona prawa wykonywania zawodu medycznego zostaje z niego usunięta, informacja o wpisie do rejestru wydaje się przesłanką wystarczającą do potwierdzenia tożsamości osoby wykonującej zawód medyczny. Ujawnienie dodatkowych informacji odnoszących się do przyczyn utraty tego prawa, które należą do szczególnie chronionej sfery życia tych osób, wykracza więc poza zakres niezbędnych informacji, które mogą być udostępniane przez władze publiczne” - wskazuje RPO.

Brak gwarancji ochrony danych gromadzonych w rejestrze

Rzecznik podkreśla też, że ustawodawca nie przewidział żadnych gwarancji ochrony danych, takich jak ograniczony dostęp do danych czy ograniczony czas ich przetwarzania. Udostępnienie informacji przy użyciu Internetu powoduje zaś dodatkowo, że informacje te podlegają udostępnieniu nieograniczonej liczbie osób, co wiąże się jednocześnie z ryzykiem posłużenia się tymi danymi w innych celach niż związanych z interesem ogólnym. Rejestr ujawnia bowiem zarówno dane identyfikujące daną osobę, miejsce wykonywania zawodu medycznego, jak i przyczyny utraty tego prawa.

W ocenie Rzecznika udostępnienie tak szerokiego zakresu danych, w tym danych identyfikujących wraz z danymi dotyczącymi zdrowia (np. zdrowia psychicznego, nałogów) oraz wyroków karnych i dyscyplinarnych w jednym miejscu rodzi ryzyko stygmatyzacji, a także naraża te osoby na utrudnienia rozwoju ich ścieżki zawodowej.

W związku z tym Rzecznik poprosił minister zdrowia o ustosunkowanie się do tych uwag oraz o rozważenie przeprowadzenia niezbędnych zmian legislacyjnych, tak aby opisany stan prawny dostosować do standardów wynikających z Konstytucji RP.