„MojeIKP Junior” wymaga kompleksowej regulacji ustawowej

Prezes Urzędu Ochrony Danych Osobowych Mirosław Wróblewski przekazał Minister Zdrowia Jolancie Sobierańskiej-Grendzie uwagi dotyczące usługi „mojeIKP Junior”. Docelowo usługa ma być przeznaczona dla młodzieży w wieku od 13 do 17 lat. To odpowiedź na potrzeby zdrowotne i systemowe spotykane w tej grupie wiekowej.

Konieczne jest zapewnienie szczególnie wysokiego poziomu ochrony danych osobowych.  Z usługi będą bowiem korzystać osoby małoletnie. Będzie ona obejmowała również dane dotyczące zdrowia. Natomiast komunikacja z osobami małoletnimi musi zostać dostosowana do ich wieku, stopnia dojrzałości oraz poziomu ich świadomości.

Dlatego rozwiązania techniczne i organizacyjne gwarantujące ochronę danych osobowych powinny zostać uwzględnione już na etapie projektowania i tworzenia nowej usługi oraz jej funkcjonowania. Gwarancje zapewniające ochronę danych osobowych nie mogą zostać wdrożone dopiero po uruchomieniu planowanej usługi. Jednocześnie, z uwagi na wysokie ryzyko związane z przetwarzaniem danych dotyczących zdrowia osób małoletnich - przed uruchomieniem usługi - niezbędne jest przeprowadzenie oceny skutków dla ochrony danych.

Potrzeba kompleksowej regulacji ustawowej dla „mojegoIKP Junior”

Prezes UODO wskazuje, że planowane przedsięwzięcie będzie wymagało systemowych zmian legislacyjnych. Tymczasem w przedstawionych założeniach do projektu tej kwestii nie uwzględniono. Niezbędne jest ustanowienie jednoznacznej podstawy prawnej oraz uregulowanie zasad funkcjonowania usługi „mojeIKP Junior”. Projektowane rozwiązanie będzie wiązało się z przetwarzaniem szczególnych kategorii danych i dlatego przepisy prawa muszą wskazać dla niego podstawę prawną, określić cel, zakres i kategorie danych, krąg podmiotów uprawnionych do przetwarzania danych, okres ich przechowywania. Przepisy wymagają wskazania, jak będą chronione prawa i wolności osób, zwłaszcza ze względu na zwiększone ryzyko naruszenia prywatności.

Uwzględnienie praw małoletnich i ich ustawowych przedstawicieli

Projektowane rozwiązanie wymaga również kompleksowej analizy przepisów regulujących status małoletniego pacjenta oraz uprawnień jego przedstawicieli ustawowych. Prawo bowiem odmiennie reguluje zakres autonomii w sferze ochrony zdrowia odnośnie do wieku pacjenta. W polskim prawie przyjęto model współdecydowania z przedstawicielem ustawowym w przypadku osób, które ukończyły 16. rok życia. Zakres tej autonomii rozszerza się wraz z wiekiem. W przypadku osób poniżej 16. roku życia przewidziano prawo do informacji. Konieczne jest zatem rozstrzygnięcie, czy korzystanie przez małoletniego z usługi „mojeIKP Junior” będzie ograniczało się do czynności technicznych lub organizacyjnych, czy będzie również wiązało się ze składaniem zgód, wniosków lub oświadczeń. Jeśli przewidywane jest podejmowanie za pomocą projektowanej usługi czynności wywołujących skutki prawne – to niezbędne staje się określenie zasad udziału przedstawicieli ustawowych małoletniego i jednoznaczne uregulowanie zakresu ich dostępu do danych dotyczących np. zdrowia dziecka. Uregulowanie tych kwestii pomoże uniknąć kolizji między przepisami dotyczącymi ochrony danych osobowych, praw pacjenta, prawa cywilnego i wykonywania władzy rodzicielskiej.

Rozporządzenie UE w sprawie europejskiej przestrzeni danych dotyczących zdrowia

Projekt powinien również zostać oceniony z perspektywy zgodności z rozporządzeniem EHDS, które weszło w życie 26 marca 2025 r. Udostępnianie i dalsze wykorzystywanie danych osobowych oraz danych nieosobowych dotyczących zdrowia, przetwarzanych w rejestrach publicznych, ma bowiem istotne znaczenie zarówno dla interesów państwa, jak i interesów indywidualnych oraz zbiorowych. Należy również uwzględnić wynikający z EHDS obowiązek umożliwienia wtórnego wykorzystania elektronicznych danych dotyczących zdrowia.

Trzeba rozstrzygnąć kwestie odpowiedzialności za przetwarzanie danych

Projektodawca nie wskazał podmiotów odpowiedzialnych za przetwarzanie danych, ani zasad i sposobu pozyskiwania danych z innych systemów oraz baz danych. Szczególnej uwagi wymaga planowana integracja usługi z rejestrami publicznymi. Mechanizm, który ją umożliwi powinien wynikać ze stosownej podstawy prawnej oraz uwzględniać zasady ochrony danych już w fazie projektowania oraz domyślnej ochrony danych, o której mowa w art. 25 RODO. Należy także wdrożyć odpowiednie zabezpieczenia techniczne i organizacyjne. Natomiast jeśli zakres i sposób wykorzystania danych pozyskiwanych z rejestrów publicznych będzie wiązał się z wysokim ryzykiem naruszenia praw lub wolności osób fizycznych, konieczne może okazać się przeprowadzenie oceny skutków dla ochrony danych zgodnie z art. 35 RODO.

Obowiązek oceny ryzyka przez projektodawcę

Wnioskodawca powinien zidentyfikować ryzyka związane z przetwarzaniem danych osobowych oraz określić ich poziom wraz z uwzględnieniem charakteru, zakresu, kontekstu i celów planowanych operacji przetwarzania. Szczególnej analizy wymagają również zagrożenia związane z przetwarzaniem danych szczególnych kategorii, które zgodnie z art. 9 RODO podlegają szczególnej ochronie.

Prezes UODO wyraża nadzieję, że uwzględnienie jego uwag przyczyni się do zapewnienia właściwego poziomu ochrony danych osobowych w projektowanym przedsięwzięciu.

DPNT.060.83.2026