Wiem, ochrona danych osobowych znowu. Ale tak zupełnie serio, czy zastanawialiście się kiedyś komu mówicie o swoim stanie zdrowia, z kim dzielicie się wynikami swoich badań. Komu mówicie o prognozach Waszego stanu zdrowia?? I czy na pewno wiecie kto ma do Waszej dokumentacji medycznej dostęp? Kto oprócz was wie co kryje się za kodem kreskowym próbki badania, jaka jest zasada jego tworzenia?. 

Co się dzieje jeśli wiadomość z danymi dotyczącymi stanu zdrowia przychodzi na taki adres jak niżej??

Rejestracja adresy mailowe: 
recepty.nzozsob@gmail.com
medycynapracy@gmail.com

Kwestia pierwsza.

Jakiego rodzaju gmail jest używany przez przychodnię? Jeśli płatna wersja to wg informacji od operatora tej poczty  istnieje możliwość aby wybrać serwery na terenie UE/EOG w kontekście przetwarzania danych osobowych, z jakich podmiot medyczny korzysta.

Jeśli nie jest to płatna wersja to wtedy takiej opcji nie ma i może okazać się, że dane osobowe „wywędrowały” na serwery w USA. A to znaczy problem – bo tarcza prywatności USA/UE już nie obowiązuje ( wyrok tzw. Schrems II). A dokumentacja dotycząca zgodności oferowanej usługi z RODO i stosowne umowy powierzenia przetwarzania danych osobowych są wzorami opracowanymi i stosowanymi przez operatora poczty, gdzie przystępuje się do umowy prze kliknięcie, a negocjacji zasadniczo nie ma.

Wybór wersji poczty ma wpływ na treść klauzuli informacyjnej opracowywanej przez podmiot medyczny. Nie wnikając w szczegóły należy zauważyć, iż powinna tam się znaleźć informacja o przetwarzaniu danych przez operatora poczty Gmail na serwerach w EOG/UE lub poza ich obszarem.

Sprawa druga.

Regulaminy i spece od bezpieczeństwa. O Gmail mówi się, że jest bezpieczny. Ale niekoniecznie muszą Wam odpowiadać ich zasady prywatności.

Aby oferować wszystkim użytkownikom lepsze usługi, zbieramy różnorodne informacje – od podstawowych, takich jak określenie, jakim językiem się posługujesz, aż po te bardziej złożone, np. ustalenie najbardziej przydatnych reklam, najbliższych internetowych znajomych lub jakie filmy w YouTube mogłyby Ci się spodobać. Informacje, jakie zbieramy, oraz sposób, w jaki je wykorzystujemy, zależą od tego, jak korzystasz z naszych usług i jak masz skonfigurowane ustawienia prywatności.

Jeśli nie zalogujesz się na konto Google, zbierane informacje przechowujemy przy użyciu unikalnych identyfikatorów powiązanych z używaną przez Ciebie przeglądarką, aplikacją lub urządzeniem. Pomaga to nam na przykład stosować Twoje preferencje językowe podczas różnych sesji przeglądania.

Jeśli się zalogujesz, zbieramy też informacje, które zapisujemy na Twoim koncie Google i które traktujemy jak dane osobowe.

Podczas tworzenia konta Google przekazujesz nam swoje dane osobowe, które obejmują Twoje imię, nazwisko i hasło. Możesz też dodać do konta numer telefonu ( odradzamy podawanie numeru telefonu i synchronizowanie go z pocztą Google – to naraża na zhakowanie poczty)  lub dane karty. Swoje dane możesz nam przekazywać nawet bez logowania się na konto Google – na przykład gdy podajesz adres e-mail, by otrzymywać informacje o naszych usługach.

Gromadzimy także treści, które tworzysz, przesyłasz, a nawet otrzymujesz od innych osób podczas korzystania z naszych usług. Obejmują one takie elementy, jak pisane i odbierane e-maile, zapisywane zdjęcia i filmy, tworzone dokumenty i arkusze kalkulacyjne oraz komentarze do filmów w YouTube.

Jak widać, nie trzeba mieć konta na Google by treści były przez Google zbierane i odczytywane – bo każdy zna kogoś kto ma konto na tej poczcie. Innymi słowy wyniki badań, terminy i specjalizacje lekarzy do których się umawiamy, stałe leki jakie przyjmujemy mogą być sczytywane. Pytanie czy Wam się to podoba?? I czy to jest zgodne z Waszymi potrzebami dotyczącymi poczucia prywatności. 

Gmail/Google to nie jest firma dobroczynna i zarabia na reklamach, na profilowaniu. Więc to gdzie i jakie maile są wysyłane, o czym mówi ich treść i załączniki jest brane pod uwagę przy przygotowaniu pakietu spersonalizowanych reklam dla poszczególnych użytkowników poczty elektronicznej. Podobno niektórzy to lubią;))

Jak się to ma do danych ogólnie nazwijmy je medycznych? Po pierwsze czy lubicie kiedy ktoś czyta Waszą korespondencję z lekarzem? Po drugie czy na pewno podmiot medyczny winien korzystać z poczty gmail? I czy na pewno z poczty bezpłatnej? Dane medyczne w rozumieniu RODO to dane szczególne, na których przetwarzanie trzeba mieć zgodę. Administrator musi zadbać o to by dane te były szczególnie zabezpieczone.

W Polityce prywatności Gmail ( forma bezpłatna) znalazłam tylko dwa odniesienie do informacji  wrażliwych, wyrażne odniesienia do informacji  o stanie zdrowia jedno – oba zamieszczam poniżej.

W zależności od Twoich ustawień możemy też pokazywać spersonalizowane reklamydobrane na podstawie Twoich zainteresowań. Jeśli na przykład wyszukasz „rowery górskie”, na stronie zawierającej reklamy wyświetlane przez Google możesz zobaczyć reklamę sprzętu sportowego. Informacje, na podstawie których wybieramy dla Ciebie reklamy, możesz kontrolować w ustawieniach reklam.

• Nie pokazujemy reklam spersonalizowanych na podstawie kategorii o charakterze wrażliwym, takich jak rasa, religia, orientacja seksualna czy stan zdrowia.
• Nie udostępniamy reklamodawcom informacji umożliwiających identyfikację konkretnej osoby, takich jak imię i nazwisko czy adres e-mail, chyba że nas o to poprosisz. Jeśli na przykład klikniesz przycisk „Dotknij, by zadzwonić” w reklamie pobliskiej kwiaciarni, nawiążemy połączenie i możemy przekazać tej firmie Twój numer telefonu.

Użytkownik wyraził zgodę

• Twoje dane osobowe będziemy udostępniać osobom spoza Google tylko za Twoją zgodą. Jeśli na przykład użyjesz Google Home, by zarezerwować stolik w usłudze rezerwacji, zanim udostępnimy restauracji Twoje nazwisko lub numer telefonu, uzyskamy Twoją zgodę. Będziemy prosić o Twoje wyraźne zezwolenie na udostępnienie jakichkolwiek wrażliwych danych osobowych.

Nie znam przypadku, kiedy wysyłając do kogoś kto posiada pocztę na Gmail ( ja nie mam) byłam pytana o zgodę na udostępnienie danych wrażliwych w jakikolwiek sposób – czy to adresatowi mojego emaila, czy chociażby jakiemuś usługodawcy jak wskazana powyżej restauracja. Ale może to tylko dotyczy tych co mają tu konta, a nie tych co na te konta wysyłają dane.

Reasumując – podmiotom medycznym nie polecam korzystania z poczty Gmail – a na pewno bezpłatnej. Płatne też pod dużym znakiem zapytania , mimo dobrych notowań bezpieczeństwa, bo prywatność raczej nie jest tu najmocniejszą stroną. W mojej ocenie korzystanie przez podmiot medyczny  z poczty gmail oznacza dodatkowe badania w kontekście ryzyk dla przetwarzania danych osobowych, odpowiednie konstruowanie klauzul i zgód dotyczących przetwarzania danych osobowych i wiąże się z większym ryzykiem ewentualnych roszczeń pacjentów o niezgodne z prawem przetwarzanie danych osobowych.

Autor: radca prawny Barbara Pietrzak-Każarnowicz