Czy można wysyłać dane medyczne i dane pacjentów mailem?
Dlaczego to trudne pytanie
Dane medyczne mówią coś o czyimś zdrowiu, a to dokładnie ten rodzaj informacji, który pod żadnym pozorem nie może wyciec. Dlatego RODO zalicza dane o zdrowiu do szczególnych kategorii danych osobowych, objętych dodatkową ochroną. Zwykły e-mail, który wędruje przez internet bez zabezpieczeń, sam z siebie takiej dodatkowej ochrony nie zapewnia.
Nie znaczy to, że e-mail jest zakazany. Znaczy to, że musisz podjąć środki dopasowane do wrażliwości informacji. Pytanie nie brzmi więc „czy wolno?”, tylko „jak zrobić to odpowiedzialnie?”.
Warto wiedzieć: o błąd nietrudno. Źle wpisany adres, załącznik, który trafia do niewłaściwej osoby, albo niezabezpieczone połączenie mogą już oznaczać naruszenie ochrony danych osobowych. Właśnie dlatego opłaca się z góry wprowadzić kilka stałych nawyków i odpowiednie podstawy techniczne, żeby nie musieć za każdym razem od nowa zastanawiać się, czy wszystko jest w porządku.
Czego wymagają RODO i zasady zawodowe
Główna zasada: stosuj odpowiednie środki techniczne i organizacyjne, dopasowane do ryzyka. Przy danych o zdrowiu poprzeczka wisi wysoko. W praktyce zwykle sprowadza się to do tych punktów.
- Wysyłaj w sposób zabezpieczony. Zadbaj o to, żeby wiadomość była w drodze chroniona szyfrowanymi połączeniami, i rozważ dodatkowe zabezpieczenia dla najbardziej wrażliwych treści. Jak to działa, przeczytasz w artykule wymuszony TLS i szyfrowane połączenia.
- Właściwy odbiorca. Starannie sprawdź adres e-mail. Literówka, przez którą dane trafiają do niewłaściwej osoby, to naruszenie ochrony danych osobowych.
- Podstawa prawna lub zgoda. Upewnij się, że masz ważny powód, żeby udostępnić dane, i poinformuj pacjenta tam, gdzie jest to wymagane.
- Jak najmniej. Wysyłaj tylko to, co naprawdę potrzebne, nic więcej.
To, jak dokładnie stosuje się te zasady, różni się w zależności od zawodu. W Belgii punktem odniesienia jest kodeks deontologii twojej izby (Orde) i belgijski organ ochrony danych (GBA/APD). Kierunek jest dla wszystkich ten sam, szczegóły nie.
Ten artykuł ma charakter informacyjny i nie jest poradą prawną. Jeśli masz wątpliwości w konkretnej sytuacji, skonsultuj się ze specjalistą lub swoim samorządem zawodowym. O szerszym pytaniu, poza ochroną zdrowia, przeczytasz w artykule czy można wysyłać dane osobowe mailem zgodnie z RODO?.
Jak odpowiedzialnie wysyłać dane medyczne mailem?
W praktyce ten plan krok po kroku pomaga ograniczyć ryzyko:
- Ogranicz treść. Nie umieszczaj w wiadomości ani w załączniku więcej, niż odbiorca naprawdę potrzebuje.
- Sprawdź odbiorcę. Zweryfikuj adres, a w razie wątpliwości potwierdź go innym kanałem, zwłaszcza przy nowych kontaktach.
- Korzystaj z zabezpieczonego połączenia. Zadbaj o to, żeby twoja poczta była wysyłana i odbierana przez szyfrowane połączenia (TLS).
- Zabezpiecz dostęp. Włącz weryfikację dwuetapową w swojej skrzynce, żeby skradzione hasło nie wystarczyło do zalogowania się.
- Korzystaj z kanałów swojego zawodu. Do faktycznej wymiany dokumentacji często obowiązują konkretne, przepisane systemy. Używaj ich tam, gdzie są obowiązkowe.
Co to oznacza dla wyboru poczty
RODO nie wymaga konkretnej marki, ale wymaga niezawodnych, dobrze zabezpieczonych podstaw. W praktyce potrzebujesz poczty hostowanej w Europie i zgodnej z RODO, z szyfrowanymi połączeniami, silnym zabezpieczeniem dostępu i filtrowaniem, które zatrzymuje fałszywe wiadomości.
Mailflux daje dokładnie takie podstawy: profesjonalne skrzynki we własnej domenie, hostowane w Europie i zgodne z RODO. Połączenia są szyfrowane przez TLS, dla każdej skrzynki możesz opcjonalnie włączyć 2FA, a każdy plan obejmuje ochronę antywirusową, antyspamową i przed złośliwym oprogramowaniem oraz automatyczne kopie zapasowe. Filtrowanie oparte na uczeniu maszynowym (machine learning) pomaga przeciw phishingowi, który podszywa się pod znanego nadawcę, czyli dokładnie przeciw takim mailom, które prowadzą do nieostrożnego kliknięcia i naruszenia ochrony danych.
Uczciwie mówiąc: Mailflux nie jest osobno certyfikowanym systemem do komunikacji medycznej i nie oferuje szyfrowania end-to-end. To hostowana w UE, zgodna z RODO profesjonalna poczta, która tworzy solidny, bezpieczny fundament. Do wymiany dokumentacji medycznej korzystasz ponadto z kanałów, które wskazuje twój samorząd zawodowy. Więcej o kontekście branżowym przeczytasz w artykule poczta dla ochrony zdrowia, a jakie jeszcze zawody tego dotyczy, zobaczysz na stronie dla kogo jest Mailflux.
W skrócie
Wysyłanie danych medycznych mailem jest dozwolone, pod warunkiem że robisz to w sposób zabezpieczony, sprawdzasz właściwego odbiorcę i masz ważną podstawę prawną. Niezabezpieczony e-mail do tego nie wystarcza; rozsądną podstawą jest hostowana w UE, zgodna z RODO skrzynka z szyfrowanymi połączeniami i 2FA. Dokładne zasady w twojej sytuacji: skonsultuj się ze swoim samorządem zawodowym lub specjalistą.
Chcesz od razu dobrze przygotować te podstawy? Zamów skrzynkę bez zobowiązań, chętnie pomożemy ci zacząć.