RODO obejmuje każdą działalność zawodową, również prowadzoną w wąskim kręgu rodzinnym. Jednakże wymogi związane z ochroną danych są proporcjonalne do zakresu, kontekstu i charakteru prowadzonej działalności.

Określając swój zakres stosowania, RODO dokonuje pewnych wyłączeń. Stwierdza zatem, iż jego przepisy nie mają zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze. Chodzi tu o czynności wykonywane w czasie wolnym od pracy, takie jak gromadzenie informacji o dostawcach określonych usług bądź danych kontaktowych do znajomych. Są to działania podejmowane w celach konsumpcyjnych, rekreacyjnych lub towarzyskich, które należy odróżnić od działań zarobkowych lub zawodowych. Użycie przysłówka „czysto” sprawia, że czynności o charakterze mieszanym, np. osobistozawodowym, nie podlegają wyłączeniu. Taki właśnie charakter ma wystawianie recept pro auctore lub pro familiae. Dlatego też należy uznać, że uproszczona dokumentacja medyczna tworzona na potrzeby tych recept podlega ochronie przewidzianej przez RODO, a lekarz ją prowadzący pełni funkcję administratora danych.

Na każdym administratorze ciąży obowiązek wdrożenia odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych odbywało się zgodnie z RODO i aby mógł to wykazać (zasada rozliczalności). Jednakże to, jakie konkretnie środki powinny zostać wdrożone, zależy od charakteru, zakresu, kontekstu i celów przetwarzania oraz ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie i wadze zagrożenia. Biorąc pod uwagę uproszczony rodzaj dokumentacji oraz prywatny charakter działań związanych z leczeniem samego siebie i osób najbliższych, jak również wąski zakres i rodzinny kontekst, nie trzeba wdrażać środków tak daleko idących, jak w przypadku praktyki zawodowej. RODO wyraźnie zaznacza, że wdrożenie odpowiednich polityk ochrony danych jest wymagane tylko wtedy, gdy jest to proporcjonalne do czynności przetwarzania. W wyborze konkretnych środków może pomóc branżowy kodeks postępowania z danymi pacjentów. Podporządkowanie się wymogom określonym przez kodeks może być wykorzystane jako element dla stwierdzenia przestrzegania obowiązków nałożonych przez RODO.

PODSTAWA PRAWNA

1. art. 2 ust. 1 i 2 lit. c, art. 4 pkt 1 i 8, art. 12, 15, 24, 28, 40 i 57 ust. 1 lit. d rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L.2016.119.1 z 4 maja 2016 r.);
2. art. 27 i 166 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 24 maja 2018 r., poz. 1000);
3. art. 26-28 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. z 2017 r., poz. 1318);
4. art. 18, 20 i 208 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz.U. z 2018 r., poz. 160);
5. § 55 ust. 2 rozporządzenia ministra zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania (Dz.U. poz. 2069);
6. pkt 4.6. projektu z dnia 13 marca 2018 r. kodeksu postępowania dla podmiotów wykonujących działalność leczniczą (http://www.rodowzdrowiu.pl/).