Na podstawie art. 39 ust. 13 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. Nr 113, poz. 657 i Nr 174, poz. 1039) zarządza się, co następuje:

§ 1.[Kontrola] Kontrola podmiotów prowadzących bazy danych w zakresie ochrony zdrowia, zwanych dalej „podmiotami kontrolowanymi”, może być:

1) planowa;

2) doraźna;

3) następcza.

§ 2.[Czynności kontrolne] 1. W stosunku do podmiotów kontrolowanych czynności kontrolne przeprowadza się w miejscu prowadzenia przez nie baz danych.

2. W przypadku podmiotów leczniczych, o których mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz. U. Nr 112, poz. 654, z późn. zm.²⁾), czynności kontrolne przeprowadza się w siedzibie podmiotu kontrolowanego lub w miejscu wykonywania działalności gospodarczej przez podmiot kontrolowany.

§ 3.[Kontrola planowa] 1. Kontrola planowa jest wykonywana zgodnie z rocznym planem kontroli.

2. Roczny plan kontroli określa:

1) zakresy przedmiotowe kontroli;

2) nazwy podmiotów kontrolowanych;

3) przewidywane terminy wszczęcia i zakończenia kontroli.

3. Plan kontroli, o którym mowa w ust. 2, zatwierdza minister właściwy do spraw zdrowia, zwany dalej „ministrem”.

4. Plan kontroli, o którym mowa w ust. 2, wobec podmiotów kontrolowanych, dla których podmiotem tworzącym jest Szef Agencji Bezpieczeństwa Wewnętrznego, zatwierdza minister właściwy do spraw zdrowia, po zasięgnięciu opinii Szefa Agencji Bezpieczeństwa Wewnętrznego.

§ 4.[Kontrola doraźna] Kontrolę doraźną przeprowadza się, gdy:

1) dane przekazywane przez podmiot kontrolowany są niepełne lub nierzetelne;

2) zachodzi wątpliwość co do celowości prowadzenia przez podmiot kontrolowany baz danych w zakresie ochrony zdrowia;

3) podmiot kontrolowany, pomimo ciążącego na nim obowiązku, nie przekazuje danych do systemu informacji w ochronie zdrowia;

4) minister uzyska informację o wystąpieniu nieprawidłowości pod względem legalności prowadzenia baz danych w zakresie ochrony zdrowia.

§ 5.[Kontrola następcza] Kontrolę następczą przeprowadza się w przypadku, gdy po przeprowadzeniu kontroli planowej albo kontroli doraźnej, wydano zalecenia pokontrolne nakazujące usunięcie stwierdzonych w toku kontroli nieprawidłowości.

§ 6.[Program kontroli] 1. Kontroler, o którym mowa w art. 39 ust. 4 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, zwanej dalej „ustawą”, przed przeprowadzeniem kontroli planowej opracowuje program kontroli, który zatwierdza minister.

2. Program kontroli podmiotów kontrolowanych, dla których podmiotem tworzącym jest Szef Agencji Bezpieczeństwa Wewnętrznego, zatwierdza minister właściwy do spraw zdrowia, po zasięgnięciu opinii Szefa Agencji Bezpieczeństwa Wewnętrznego.

3. Program kontroli zawiera w szczególności:

1) oznaczenie kontroli, w tym temat i rodzaj kontroli;

2) oznaczenie podmiotu kontrolowanego, w tym nazwę lub firmę oraz adres;

3) zakres przedmiotowy kontroli, w tym wskazanie okresu działalności podmiotu kontrolowanego objętego kontrolą;

4) termin rozpoczęcia kontroli i przewidywany okres jej trwania;

5) wskazówki metodyczne, z uwzględnieniem określenia sposobu i technik przeprowadzania kontroli, oraz wskazanie problemów, na które należy zwrócić uwagę w badaniach kontrolnych;

6) wykaz przepisów prawnych dotyczących zakresu kontroli;

7) organizację i harmonogram przeprowadzania kontroli.

§ 7.[Wyłączenie kontrolera] 1. Kontroler podlega wyłączeniu z udziału w kontroli z urzędu, jeżeli kontrola mogłaby dotyczyć praw lub obowiązków jego lub osoby mu bliskiej, oraz z udziału w kontroli, której przedmiot stanowią zadania należące wcześniej do jego obowiązków jako pracownika, przez rok od zakończenia ich wykonywania.

2. Za osobę bliską kontrolera uważa się małżonka lub osobę pozostającą z nim faktycznie we wspólnym pożyciu, krewnego i powinowatego do drugiego stopnia albo osobę związaną z nim z tytułu przysposobienia, opieki lub kurateli. Wyłączenie trwa mimo ustania jego przyczyny.

3. Kontroler podlega wyłączeniu z udziału w kontroli na wniosek, jeżeli w toku kontroli zaistnieją uzasadnione wątpliwości co do jego bezstronności.

4. Przed rozpoczęciem czynności kontrolnych kontroler składa ministrowi oświadczenie o braku lub istnieniu okoliczności uzasadniających wyłączenie go z udziału w kontroli.

5. O wyłączeniu kontrolera rozstrzyga minister lub upoważnione przez ministra osoby.

6. W przypadku gdy wiadomość o okolicznościach uzasadniających wyłączenie z udziału w kontroli zostanie powzięta po wszczęciu czynności kontrolnych przez kontrolera, kontroler niezwłocznie pisemnie informuje o tym fakcie ministra.

7. Do czasu podjęcia rozstrzygnięcia w sprawie wyłączenia kontroler podejmuje jedynie czynności niecierpiące zwłoki.

§ 8.[Czynności przed przystąpieniem do kontroli] 1. Kontrolę planową oraz następczą przeprowadza się po upływie 7 dni od dnia doręczenia podmiotowi kontrolowanemu zawiadomienia sporządzonego w postaci elektronicznej lub papierowej, zawierającego informacje o przedmiocie, zakresie i terminie rozpoczęcia oraz przewidywanym okresie trwania kontroli.

2. O zamiarze przeprowadzenia kontroli doraźnej kontroler powiadamia podmiot kontrolowany bezpośrednio przed podjęciem czynności kontrolnych.

3. Kontroli doraźnej nie przeprowadza się w przypadku podmiotów leczniczych, o których mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej, z wyłączeniem kontroli doraźnej, o której mowa w § 4 pkt 4.

4. Przed przystąpieniem do kontroli kontroler jest obowiązany okazać kierownikowi podmiotu kontrolowanego lub upoważnionej przez niego osobie upoważnienie, o którym mowa w art. 39 ust. 4 ustawy.

§ 9.[Ustalanie stanu faktycznego] 1. Kontroler dokonuje ustalenia stanu faktycznego na podstawie zebranych w toku prowadzonej kontroli dowodów.

2. Dowodami są w szczególności dokumenty, wyniki oględzin i testów systemów teleinformatycznych, zeznania świadków, opinie biegłych oraz ustne lub pisemne wyjaśnienia pracowników podmiotu kontrolowanego.

§ 10.[Oględziny] 1. W przypadku potrzeby ustalenia stanu zabezpieczenia pomieszczeń lub innych składników majątkowych albo przebiegu określonych czynności związanych z prowadzeniem baz danych w zakresie ochrony zdrowia oraz przekazywaniem danych w nich zawartych do systemu informacji w ochronie zdrowia, kontroler może przeprowadzić oględziny.

2. Oględziny przeprowadza się w obecności kierownika podmiotu kontrolowanego lub upoważnionej przez niego osoby.

3. Z przebiegu i wyniku oględzin kontroler sporządza niezwłocznie protokół.

4. Odmowa podpisania protokołu oględzin przez kierownika podmiotu kontrolowanego lub upoważnioną przez niego osobę wymaga sporządzenia przez kierownika podmiotu kontrolowanego lub upoważnioną przez niego osobę pisemnego uzasadnienia. W razie odmowy podpisania protokołu oględzin, kontroler czyni o tym wzmiankę w protokole.

§ 11.[Ustne wyjaśnienia] 1. Z ustnych wyjaśnień udzielanych w toku kontroli kontroler sporządza protokół.

2. Osoba udzielająca wyjaśnień może odmówić podpisania protokołu, jeżeli nie zgadza się z jego treścią w całości lub części, albo podpisać protokół z jednoczesnym zgłoszeniem zastrzeżeń i określeniem, w jakiej części kwestionuje jego treść.

§ 12.[Protokoły] 1. Protokoły, o których mowa w § 10 ust. 3 oraz w § 11 ust. 1, obejmują:

1) oznaczenie czynności, czasu i miejsca jej przeprowadzenia;

2) imię, nazwisko i stanowisko służbowe kontrolera oraz osoby uczestniczącej w czynnościach;

3) opis przebiegu czynności lub treść wyjaśnień lub oświadczeń;

4) podpisy kontrolera i osoby uczestniczącej w czynnościach.

2. Z czynności kontrolnych niewymienionych w ust. 1, które mają istotne znaczenie dla ustaleń kontroli, sporządza się notatkę służbową podpisaną przez kontrolera.

3. W razie ujawnienia w toku kontroli okoliczności wskazujących na popełnienie przestępstwa lub naruszenie przepisów, związanych w szczególności z ochroną danych osobowych, kontroler niezwłocznie pisemnie informuje o tym ministra.

§ 13.[Akta kontroli] 1. Kontroler dokumentuje przebieg i wyniki czynności kontrolnych w aktach kontroli.

2. Akta kontroli obejmują dowody i inne dokumenty mające znaczenie dla ustaleń prowadzonej kontroli, w szczególności:

1) upoważnienie, o którym mowa w art. 39 ust. 4 ustawy;

2) program kontroli;

3) protokoły, o których mowa w § 10 ust. 3 oraz w § 11 ust. 1;

4) protokół kontroli.

3. Do akt kontroli dołącza się zastrzeżenia podmiotu kontrolowanego zgłoszone do protokołu kontroli oraz zalecenia pokontrolne.

4. Akta kontroli prowadzi się zgodnie z tokiem dokonywanych czynności w postaci elektronicznej lub papierowej numerując kolejno strony akt.

5. Akta kontroli wraz ze sporządzonym w układzie chronologicznym ich spisem stanowią załącznik do protokołu kontroli przeznaczonego dla ministra.

6. W przypadku gdy podmiotem kontrolowanym jest podmiot leczniczy, o którym mowa w art. 4 ust. 1 pkt 1 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej, kontroler dokonuje wpisów do książki kontroli, o której mowa w art. 81 ust. 1 ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. z 2010 r. Nr 220, poz. 1447, z późn. zm.³⁾).

§ 14.[Protokół kontroli] 1. Wyniki przeprowadzonej kontroli kontroler przedstawia w protokole kontroli w sposób uporządkowany, zwięzły i przejrzysty.

2. Protokół kontroli zawiera:

1) oznaczenie podmiotu kontrolowanego, w tym nazwę lub firmę oraz adres;

2) imię i nazwisko kierownika podmiotu kontrolowanego;

3) datę rozpoczęcia i zakończenia kontroli, z uwzględnieniem przerw w kontroli;

4) imię i nazwisko kontrolera oraz numer i datę upoważnienia, o którym mowa w art. 39 ust. 4 ustawy;

5) określenie rodzaju, przedmiotu i zakresu kontroli;

6) opis stanu faktycznego działalności podmiotu kontrolowanego stwierdzonego podczas kontroli, w tym informacje o ustalonych nieprawidłowościach, ich zakresie i skutkach, wraz ze wskazaniem podstaw dla kwalifikacji dokonanych ustaleń, albo informację o braku nieprawidłowości;

7) pouczenie o prawie, sposobie i terminie zgłoszenia zastrzeżeń do ustaleń zawartych w protokole kontroli oraz wyjaśnień co do przyczyn powstania opisanych w protokole kontroli nieprawidłowości;

8) pouczenie o prawie do zgłoszenia zastrzeżeń do protokołu oraz o prawie do odmowy podpisania protokołu;

9) podpisy kontrolera i kierownika podmiotu kontrolowanego albo podpis kontrolera i adnotację o odmowie podpisania protokołu;

10) miejsce i datę podpisania protokołu.

3. Protokół kontroli jest sporządzany nie później niż w terminie 30 dni od dnia zakończenia kontroli.

4. Protokół kontroli jest sporządzany w formie dokumentu elektronicznego opatrzonego bezpiecznym podpisem elektronicznym, weryfikowanym za pomocą ważnego kwalifikowanego certyfikatu, albo w postaci papierowej w dwóch jednobrzmiących egzemplarzach, z których jeden jest przekazywany podmiotowi kontrolowanemu. Kontroler oraz kierownik podmiotu kontrolowanego lub upoważniona przez niego osoba parafują każdą stronę protokołu sporządzonego w postaci papierowej.

5. W przypadku odmowy podpisania protokołu przepis § 10 ust. 4 stosuje się odpowiednio.

§ 15.[Rozpatrywanie zastrzeżeń] Po rozpatrzeniu, w trybie określonym w art. 39 ust. 11 ustawy, wniesionych do protokołu zastrzeżeń, protokół kontroli z informacją o ich uwzględnieniu lub odrzuceniu wraz z uzasadnieniem jest przesyłany do podmiotu kontrolowanego.

§ 16.[Zalecenie pokontrolne] Zalecenie pokontrolne zawiera:

1) rodzaj kontroli;

2) oznaczenie podmiotu kontrolowanego, w tym nazwę lub firmę oraz adres;

3) imię i nazwisko kierownika podmiotu kontrolowanego;

4) imię i nazwisko kontrolera oraz numer i datę upoważnienia, o którym mowa w art. 39 ust. 4 ustawy;

5) zwięzły opis ustalonego stanu faktycznego i ocenę kontrolowanej działalności, w tym ustalone, na podstawie materiałów dowodowych znajdujących się w aktach kontroli, nieprawidłowości i ich przyczyny, zakres i skutki oraz osoby za nie odpowiedzialne;

6) zalecenia lub wnioski dotyczące usunięcia nieprawidłowości lub usprawnienia funkcjonowania podmiotu kontrolowanego w przedmiocie przeprowadzonej kontroli;

7) termin usunięcia nieprawidłowości lub wykonania zaleceń usprawnienia funkcjonowania podmiotu kontrolowanego w przedmiocie przeprowadzonej kontroli, uwzględniający charakter zaleceń lub wniosków;

8) termin złożenia informacji o wykonaniu zaleceń lub wykorzystaniu wniosków, a także o podjętych działaniach lub przyczynach ich niepodjęcia.

§ 17.[Obowiązki kontrolera] Kontroler w trakcie kontroli jest obowiązany do zachowania należytej staranności w zakresie zabezpieczenia uzyskanych informacji przed nieuprawnionym dostępem i ujawnieniem.

§ 18.[Wejście w życie] Rozporządzenie wchodzi w życie po upływie 14 dni od dnia ogłoszenia.