Nowelizacja z 28 lipca 2023 r., znana jako ustawa Kamilka, rozciągnęła od 15 lutego 2024 r. obowiązki weryfikacji personelu i wdrożenia standardów ochrony małoletnich na podmioty lecznicze. Większość placówek odrobiła część widoczną – sprawdzenie kandydatów w rejestrach i przyjęcie dokumentu standardów. Przeoczona pozostaje część, która dopiero przy kontroli zaczyna generować odpowiedzialność: w jakim zakresie i jak długo wolno przechowywać dane o niekaralności. Ustawa tego nie rozstrzyga, a lukę tę potwierdził sam Prezes UODO, który wystąpił w tej sprawie do Ministra Sprawiedliwości. Wypełnienie jej spójną, spisaną polityką retencji jest tym, co odróżnia placówkę przygotowaną do kontroli od tej, która dysponuje jedynie kompletem dokumentów.
Które podmioty lecznicze obejmuje ustawa
Zakres nie pokrywa się z intuicją, że regulacja dotyczy wyłącznie pediatrii. Obowiązek wdrożenia standardów ochrony małoletnich odnosi się do każdego podmiotu, do którego małoletni uczęszczają albo w którym przebywają lub mogą przebywać – a więc także do przychodni podstawowej opieki zdrowotnej, gabinetu stomatologicznego czy poradni specjalistycznej, gdzie dziecko bywa pacjentem lub towarzyszy opiekunowi. Obowiązek weryfikacji personelu jest węższy i uruchamia się wtedy, gdy zakres czynności konkretnej osoby wiąże się z leczeniem małoletnich lub opieką nad nimi. Rozdzielenie tych dwóch progów bywa źródłem błędu: placówka wdraża standardy, a pomija weryfikację nowego lekarza przyjmującego dzieci, albo odwrotnie – weryfikuje personel, lecz nie ma wymaganego dokumentu standardów.
Weryfikacja przed dopuszczeniem do pracy
Ustawa nakazuje uzyskać komplet informacji przed nawiązaniem stosunku pracy lub umowy cywilnoprawnej, a także przed dopuszczeniem do czynności wolontariusza lub stażysty. Na komplet składają się trzy elementy.
- Sprawdzenie osoby w Rejestrze Sprawców Przestępstw na Tle Seksualnym, w części z dostępem ograniczonym, z wydrukiem wyniku dołączanym do dokumentacji.
- Zaświadczenie z Krajowego Rejestru Karnego obejmujące przestępstwa z rozdziału XIX i XXV Kodeksu karnego, z art. 189a i art. 207 Kodeksu karnego oraz z ustawy o przeciwdziałaniu narkomanii.
- Oświadczenie o państwach zamieszkania w ciągu ostatnich 20 lat innych niż Polska, wraz z informacją z rejestrów karnych tych państw; gdy dane państwo nie prowadzi rejestru, przepis dopuszcza oświadczenie składane pod rygorem odpowiedzialności karnej.
Dopuszczenie do pracy z pominięciem tej procedury jest naruszeniem samodzielnym – odpowiada za nie kierownik podmiotu niezależnie od tego, czy osoba figuruje w którymkolwiek z rejestrów.
Standardy ochrony małoletnich
Dokument standardów należało wdrożyć do 15 sierpnia 2024 r. Powinien on określać zasady bezpiecznych relacji między personelem a małoletnim, procedurę reagowania na podejrzenie krzywdzenia oraz tryb zawiadomienia właściwych organów, a jego treść podlega przeglądowi nie rzadziej niż raz na dwa lata. Standardy nie są jednorazową formalnością – ich brak jest sankcjonowany odrębnie od braku weryfikacji, a przy kontroli oceniana jest realna adekwatność procedur, nie sam fakt posiadania pliku.
Retencja i podstawa przetwarzania – luka, którą trzeba wypełnić samemu
Tu leży ryzyko, którego większość placówek nie zaadresowała. Ustawa nie określa okresu przechowywania danych pozyskanych w toku weryfikacji, co Prezes UODO wskazał jako lukę legislacyjną. Milczenie ustawodawcy nie zwalnia jednak administratora z rozliczalności – przeciwnie, przerzuca na niego obowiązek samodzielnego ustalenia i uzasadnienia okresu retencji.
Podstawą przetwarzania jest tu art. 10 RODO, dotyczący danych o wyrokach skazujących i czynach zabronionych. Dane te wolno przetwarzać wyłącznie pod nadzorem władzy publicznej albo na podstawie upoważnienia w prawie krajowym – nigdy na podstawie zgody. Klauzula zgody pracownika, spotykana w praktyce w tym miejscu, jest zatem podstawą wadliwą i sama w sobie stanowi uchybienie.
Zasada minimalizacji nakazuje ograniczyć zasób do niezbędnego minimum. Sporne pozostaje, czy dopuszczalne jest przechowywanie pełnego wydruku, czy wyłącznie potwierdzenia dokonanej weryfikacji. Bezpieczniejszym rozwiązaniem jest utrwalanie samego faktu sprawdzenia – potwierdzenia niefigurowania w rejestrze, daty czynności i osoby jej dokonującej – bez mnożenia kopii dokumentów źródłowych ponad rzeczywistą potrzebę.
Okres, wobec milczenia ustawy, wyprowadza się z celu przetwarzania i z reżimu dokumentacji pracowniczej, do której weryfikacja trafia. Dla osób zatrudnionych od 1 stycznia 2019 r. akta osobowe przechowuje się 10 lat, licząc od końca roku kalendarzowego ustania stosunku pracy; dla zatrudnionych wcześniej okres wynosi 50 lat. Do tego dolicza się okres przedawnienia ewentualnych roszczeń. Tak zbudowana, spisana polityka retencji jest dającym się obronić wypełnieniem luki – w odróżnieniu od przechowywania bezterminowego, które narusza zasadę ograniczenia przechowywania. Czynność tę należy ująć w rejestrze czynności przetwarzania i objąć ograniczonym dostępem.
Sankcje
Za dopuszczenie do pracy bez wymaganej weryfikacji grozi kara aresztu, ograniczenia wolności albo grzywny. Za brak wdrożonych standardów ochrony małoletnich przewidziano grzywnę – łagodniejszą przy pierwszym stwierdzeniu, surowszą przy kolejnym. Do sankcji administracyjnej dochodzą jednak konsekwencje dotkliwsze w skutkach: odpowiedzialność cywilna przy zdarzeniu z udziałem małoletniego, ryzyko przy kontroli UODO oraz szkoda wizerunkowa, której w ochronie zdrowia nie da się wycenić samą wysokością grzywny.
Rekomendowany porządek działań
Uporządkowanie tego obszaru sprowadza się do czterech kroków: przeglądu istniejących akt pod kątem kompletności weryfikacji każdej osoby objętej obowiązkiem, spisania polityki retencji z wyraźnie wskazanym okresem i podstawą z art. 10 RODO, aktualizacji rejestru czynności przetwarzania o czynność weryfikacji niekaralności oraz wpięcia całej procedury w stały proces zatrudniania, tak aby żaden nowy członek personelu nie został dopuszczony do pracy z pominięciem sprawdzenia.
Najczęstsze pytania
Obowiązek wdrożenia standardów obejmuje każdy podmiot, w którym małoletni mogą przebywać, a więc również placówkę o profilu dla dorosłych, do której dziecko trafia jako pacjent lub towarzysząc opiekunowi. Obowiązek weryfikacji uruchamia się natomiast wtedy, gdy zakres czynności danej osoby wiąże się z leczeniem małoletnich.
Ustawa nie wskazuje okresu. Wobec tej luki okres wyprowadza się z celu przetwarzania i z reżimu akt osobowych – 10 lat od końca roku ustania zatrudnienia dla osób przyjętych od 1 stycznia 2019 r. lub 50 lat dla wcześniejszych – powiększonego o okres przedawnienia roszczeń, i ujmuje w pisemnej polityce retencji.
Nie. Podstawą jest art. 10 RODO w związku z upoważnieniem ustawowym, a nie zgoda. Oparcie tego przetwarzania na zgodzie jest podstawą wadliwą.
Ustawa wiąże obowiązek z momentem dopuszczenia do pracy. Rekomendowanym uzupełnieniem jest jednak procedura obejmująca cały okres współpracy i reagująca na powzięcie informacji o postępowaniu wobec danej osoby.
Za dopuszczenie do pracy bez weryfikacji grozi kara aresztu, ograniczenia wolności albo grzywny; za brak standardów – grzywna, rosnąca przy ponownym stwierdzeniu uchybienia. Do tego dochodzi odpowiedzialność cywilna i ryzyko kontroli UODO.
O autorze:
adw. dr Wojciech Rożdżeński – adwokat, doktor nauk prawnych, partner w MBSK Korab Barczyk Adwokaci sp. p.
Specjalizuje się w prawie medycznym i farmaceutycznym, doradzając podmiotom leczniczym w zakresie zgodności regulacyjnej, RODO oraz relacji z NFZ.
Leave a Reply