Je třeba s pacienty sepisovat speciální souhlas kvůli ochraně osobních údajů při využívání Emmy?

Krátká odpověď: Ne. Pro běžné používání aplikace Emmy v ordinaci není potřeba od pacientů získávat zvláštní „souhlas se zpracováním osobních údajů". Zpracování dat pacientů totiž stojí na jiných právních základech než na souhlasu.

Na jakém právním základě ordinace data zpracovává

Lékař (ordinace) vystupuje jako správce osobních údajů. Zpracování údajů pacientů v Emmy, včetně údajů o zdravotním stavu, které patří do zvláštní kategorie podle čl. 9 GDPR, se neopírá o souhlas, ale o právní tituly spojené s poskytováním zdravotní péče.

Emmy slouží k organizačnímu zajištění péče: k vedení adresáře pacientů, objednávání, provozu kalendáře a komunikaci s pacienty. Toto zpracování pokrývá čl. 9 odst. 2 písm. h) GDPR, který nedopadá jen na samotné léčení, ale výslovně i na „řízení systémů a služeb zdravotní péče". Doplňkovým právním základem podle čl. 6 odst. 1 GDPR je plnění smlouvy mezi ordinací a pacientem, případně oprávněný zájem ordinace na řádné organizaci péče.

Souhlas pacienta by zde byl dokonce nevhodným právním titulem. Pacient by jej mohl kdykoli odvolat, takže by na něm nešlo spolehlivě postavit provoz, který je součástí organizace zdravotní péče.

(Pozn.: vlastní zdravotnickou dokumentaci nevede Emmy, ale ordinace ve svém zdravotnickém informačním systému. Ta stojí na samostatném právním základu, plnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR ve spojení se zákonem č. 372/2011 Sb. To je také dobrá ukázka toho, proč u zákonem vyžadovaného zpracování souhlas nedává smysl.)

Emmy jako zpracovatel a zpracovatelská smlouva

Emmy pro ordinaci zpracovává osobní údaje pacientů jako zpracovatel (poskytovatel IT systému). Klíčovým dokumentem, který tento vztah z pohledu GDPR legalizuje, není souhlas pacienta, ale ujednání o zpracování osobních údajů (zpracovatelská smlouva) podle čl. 28 GDPR mezi ordinací (správcem) a Emmy (zpracovatelem).
Dobrá zpráva je, že tuto smlouvu nemusíte uzavírat zvlášť. Ujednání o zpracování osobních údajů tvoří přílohu č. 1 všeobecných obchodních podmínek Emmy a stává se tak nedílnou součástí smlouvy, kterou s Emmy uzavíráte. Uzavřením smlouvy o užívání aplikace tedy zpracovatelskou smlouvu automaticky máte. Vymezuje mimo jiné účel a rozsah zpracování, povinnosti zpracovatele a zabezpečení dat.

Výjimkou je situace, kdy využíváte rozšíření Emmy AI. Pro ně se uzavírá samostatná smlouva o zpracování osobních údajů (DPA), která standardní ujednání nahrazuje.

Informační povinnost vůči pacientům

Ordinace musí vůči pacientům splnit svou informační povinnost podle čl. 13 a 14 GDPR. To se zpravidla zajišťuje prostřednictvím zásad ochrany osobních údajů, zveřejněných například na webových stránkách ordinace nebo dostupných v čekárně.

Informování pacientů o tom, že ordinace využívá Emmy, není jen doporučením. Ve všeobecných obchodních podmínkách se k němu jako zákazník zavazujete: máte povinnost informovat pacienty, že užíváte služby Emmy, včetně případného využití služby Emmy AI. Doporučujeme proto zkontrolovat stávající zásady ochrany osobních údajů a doplnit do nich informaci, že příjemcem (zpracovatelem) údajů pacientů je společnost provozující systém Emmy (a pokud ji používáte, i to, že je součástí zpracování služba Emmy AI). Mezi účely zpracování patří zejména:

• vedení adresáře pacientů,
• provoz objednávacího systému a kalendáře,
• vedení elektronické komunikace s pacienty.

Jak Emmy plnění povinností usnadňuje

Emmy plnění těchto povinností usnadňuje tím, že ve svých zásadách ochrany soukromí pro poskytovatele zdravotních služeb (článek 3, „PZS jako správce a Emmy jako zpracovatel") obecně popisuje zpracování údajů ze strany poskytovatelů zdravotní péče. Ordinace mohou tuto informaci převzít nebo na ni odkázat.