CSIOZ naruszyło przepisy ustawy o ochronie danych osobowych?

Podziel się

Taka ciekawostka.. 23 listopada 2017 r. Prezes Naczelnej Rady Lekarskiej  skierował do Generalnego Inspektora Ochrony Danych Osobowych  pismo dotyczące ochrony danych osobowych lekarzy i lekarzy dentystów gromadzonych w systemie SMK:

“Niniejszym informuję o naruszeniu przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), do którego doszło 16 listopada 2017 r. poprzez wysłanie przez pracownika Centrum Systemów Informacyjnych Ochrony Zdrowia, dalej „CSIOZ”, do wszystkich okręgowych izb lekarskich oraz do wszystkich urzędów wojewódzkich danych osobowych lekarzy i lekarzy dentystów wygenerowanych z Systemu Monitorowania Kształcenia Pracowników Medycznych, zwanego dalej „SMK”.

W załączeniu przekazuję wydruki wysyłanej przez CSIOZ korespondencji i wskazuję, że rozesłana baza danych obejmowała następujące dane lekarzy i lekarzy dentystów: nr PESEL, imię i nazwisko, nr Prawa Wykonywania Zawodu, nr dokumentu Prawa Wykonywania Zawodu, nr rejestracyjny w izbie lekarskiej. Z treści załączonej wiadomości mailowej wynika, że dane lekarzy zostały przesłane celem weryfikacji ich poprawności. W tym zakresie należy wskazać, że okręgowa izba lekarska ma dostęp tylko do danych osobowych lekarzy i lekarzy dentystów będących jej członkami. Z powyższych względów przesłanie do takiej izby lekarskiej danych osobowych członków innej izby, celem weryfikacji poprawności tych danych, jest nie tylko bezprawne ale również nieracjonalne.
Zgodnie z treścią art. 4a ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (Dz. U. z 2017 r. poz. 125 z późn. zm.), dane zamieszczane w SMK, na podstawie niniejszej ustawy, mogą zostać udostępnione okręgowym izbom lekarskim w zakresie zadań określonych niniejszą ustawą oraz ustawą z dnia 2 grudnia 2009 r. o izbach lekarskich (Dz. U. z 2016 r. poz. 522 z późn. zm.), a wojewodom w zakresie zadań określonych niniejszą ustawą, w szczególności w zakresie procesu szkolenia specjalizacyjnego lekarzy. Powyższe oznacza, że dane z SMK mogą być udostępniane jedynie w zakresie zadań realizowanych przez ww. podmioty.
W świetle powyższego udostępnienie danych osobowych lekarzy i lekarzy dentystów będących członkami jednej okręgowej izby lekarskiej innym izbom lekarskim nie znajduje oparcia w treści art. 4a ustawy. Podobnie nie znajduje podstawy prawnej udostępnienie danych osobowych lekarzy i lekarzy dentystów wszystkim wojewodom. Zgodnie bowiem z treścią art. 16 ust. 1 pkt 1 ustawy lekarz składa, za pomocą SMK, wniosek o odbywanie szkolenia specjalizacyjnego w wybranej dziedzinie medycyny odpowiednio do wojewody właściwego ze względu na obszar województwa, na terenie którego zamierza odbywać szkolenie specjalizacyjne. Nie ma podstaw prawnych aby dane lekarza lub lekarza dentysty zainteresowanego odbywaniem szkolenia specjalizacyjnego na obszarze konkretnego województwa trafiały do wszystkich wojewodów.
Powyższe ponad wszelką wątpliwość wskazuje, że doszło do naruszenia przepisu art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych w zw. z art. 4a ustawy o zawodach lekarza i lekarza dentysty, polegającego na przetworzeniu danych osobowych niezgodnie z prawem poprzez udostępnienie danych osobowych podmiotom nieuprawnionym.
Wnoszę o podjęcie stosownych działań w zakresie posiadanych kompetencji, które zapewnią bezpieczeństwo przetwarzanych w SMK danych osobowych lekarzy i lekarzy dentystów. Jednocześnie proszę o informację o podjętych działaniach i poczynionych ustaleniach”.

Źródło: http://www.nil.org.pl/aktualnosci/promobox/bezpieczenstwo-danych-osobowych-lekarzy-i-lekarzy-dentystow-w-systemie-smk?utm_content=buffer1d64d&utm_medium=social&utm_source=facebook.com&utm_campaign=buffer

0 Shares:
Dodaj komentarz

Twój adres email nie zostanie opublikowany. Wymagane pola są oznaczone *

You May Also Like

Najciekawsze wydarzenia – marzec 2018

Podziel się

Na początku mały wstęp o aktualnej sytuacji. Dużo się dzieje. Dużo ostatnio mówię i myślę o chmurze, o czym świadczą chociażby spotkania – m.in z Piotrem Marczukiem z Microsoft w ramach Młodych Menadżerów Medycyny, konferencja Centrum Promocji Informatyki i tam prelekcja o chmurze, do tego artykuły na temat wykorzystania chmury w IT Professional oraz dla Menadżera Zdrowia. Obydwa ukażą się w marcu, jeden z nich mam już wydrukowany u siebie!

Myślę, że te wszystkie działania i wydarzenia potwierdzają, że chmura jest dobrym kierunkiem rozwoju placówek związanych z ochroną zdrowia. Tym bardziej w kontekście RODO ale o tym więcej będzie już niebawem – w ramach kodeksu RODO dla branży medycznej. Właśnie a propos i miękko przechodząc do tematu wpisu –

14 marca, Uczelnia Łazarskiego, ul. Świeradowska 43, Warszawa – konferencja RODO w Zdrowiu

na której zaprezentowana zostanie cześć kodeksu oraz stan prac nad nim. Zapisy na http://www.rodowzdrowiu.pl/

Oprócz tego mamy między innymi:

27 marca 2017 r. Auditorium Maximum Uniwersytetu Jagiellońskiego, Kraków – Międzynarodowe Forum Medycyny Personalizowanej

zapisy na: http://www.medycynapersonalizowana.pl/

8-10.03.2018, Katowice, II edycja Kongresu Wyzwań Zdrowotnych – Health Challenges Congress (HCC)

zapisy na: http://www.hccongress.pl/pl/

 

zapisy: https://www.termedia.pl/Konferencje?intro&e=724&p=4623

 

23.03.2018, Warszawa ,Kongres Innova Med Management

 

Jeszcze z tematów chmurowych jakby ktoś był zainteresowany. 15 marca Public Cloud User Group robi Meetup w Warszawie. Jest jeszcze kilka miejsc: https://www.meetup.com/pl-PL/publiccloudpl/events/247707928/ . Jednym z prelegentów będzie kolega z branży – Vladimir Alekseichenko – Architect w GE Healthcare. Ja będę 🙂

 

W agendach troszkę o telemedycynie pod katem prawnym i technologicznym i dużo o bezpieczeństwie i RODO. Warto zerknąć bo pojawić wszędzie to się z pewnością nie da 🙂

“RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”

Podziel się

Z przyjemnością informuję, że 20.02.2018 roku będę miał przyjemność opowiedzieć o chmurze na konferencji organizowanej przez Centrum Promocji Informatyki. Wydarzenie odbywa się pod hasłem “RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”. Wiadomo, teraz do maja wszędzie RODO 😉

Szczegółowy harmonogram konferencji dostępny jest pod adresem: http://konferencja.com.pl/imprezy/2018/medi/index.php. W razie potrzeby posiadam jeszcze jedną miejscówkę na wydarzenie – proszę o kontakt mailowy.

Jeżeli chodzi o mnie to powiem o chmurze i o tym dlaczego nie powinniśmy się jej bać a nawet wręcz przeciwnie. Chmura i jej zastosowanie w placówkach ochrony zdrowia to w ogóle temat związany z moimi dość intensywnymi działaniami w najbliższych miesiącach ale o tym jeszcze będzie czas, żeby napisać.

Jak ktoś doczytał do tego miejsca to wrzucam jeszcze ramowy plan wystąpienia:

Ochrona danych medycznych w systemach chmurowych:

  • przykłady chmur publicznych,
  • chmura a potrzeby podmiotów medycznych,
  • zabezpieczenia danych medycznych w poszczególnych typach chmur,
  • jak to się robi w USA?
  • czy jest czego się bać?

Zapraszam!

Zabezpieczenia danych medycznych w chmurze

Podziel się

I idąc za ciosem kolejny artykuł (żeby nie było, że nic nie publikuje ;)) Tym razem o sposobach zabezpieczeń danych medycznych na przykładzie konkretnych mechanizmów w Azure.

Przyglądamy się rozwiązaniom chmurowym pod kątem zabezpieczenia danych w sektorze medycznym w podziale na ogólnie przyjęte rodzaje platform chmurowych oraz mechanizmy, dzięki którym to bezpieczeństwo można zwiększyć, a także wykazać się zasadą rozliczalności, o której tak wiele mówi się w kontekście nowego unijnego rozporządzenia o ochronie danych osobowych.

Bardzo ważnym aspektem pojawiającym się u każdego managera IT, którego organizacja przetwarza dane o szczególnym priorytecie, jest kwestia zapewnienia bezpieczeństwa tych danych. Nie inaczej jest i w przypadku danych medycznych – ich bezpieczeństwo powinno być priorytetem. „No jak to, przecież się nie da”, „przecież muszę mieć możliwość fizycznego audytu danych, za które odpowiadam”, „trzymanie danych medycznych gdzieś za granicą jest niemożliwe i niebezpieczne” – często na konferencjach w oficjalnych pytaniach czy kuluarowych rozmowach słychać takie wątpliwości. Przyjrzyjmy się zatem w pierwszej kolejności temu, co mówią nam nowe regulacje odnośnie do wymagań, jakie trzeba spełnić z perspektywy podmiotu przetwarzającego dane osobowe w chmurze.

Zarówno przepisy uodo, jak i rodo regulują i dopuszczają powierzenie danych osobowych. Trzeba pamiętać o tym, że Komisja Europejska w motywie 81 preambuły rodo wskazuje na konieczność korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby, odpowiadających wymaganiom bezpieczeństwa przetwarzania, w tym wymaganiom określonym przez rodo. Najlepszą wskazówką w szukaniu odpowiedniego usługodawcy usług chmurowych (także zgodnie z dokumentem „Rekomendacje Centrum Systemów Informacyjnych Ochrony Zdrowia w zakresie bezpieczeństwa oraz rozwiązań technologicznych stosowanych podczas przetwarzania dokumentacji medycznej w postaci elektronicznej”) mogą być międzynarodowe standardy postępowania z danymi osobowymi, a zatem normy takie jak: ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 22301 oraz normy branżowe, np. ISO 13606-1, ISO 13606-4. Warto zwrócić też uwagę na normę ISO/IEC 27018.

Oczywiście trzeba zdawać sobie sprawę z możliwych incydentów bezpieczeństwa, które są nieco odmienne dla rozwiązań chmurowych w porównaniu z rozwiązaniami on premise. Rozważaniami na ten temat na poziomie europejskim zajęła się Grupa Robocza art. 29, która w opinii 5/2012 w sprawie przetwarzania danych w chmurze obliczeniowej przyjętej w dniu 1 lipca 2012 r. przeanalizowała kwestie istotne dla dostawców usług przetwarzania danych w chmurze działających w Europejskim Obszarze Gospodarczym (EOG) oraz ich klientów, określając wszystkie mające zastosowanie zasady z dyrektywy o ochronie danych UE (95/46/WE) oraz dyrektywy o prywatności i łączności elektronicznej 2002/58/WE (zrewidowanej dyrektywą 2009/136/WE). Wtedy nie było jeszcze mowy o rodo, ale specjaliści wskazują, że w tym zakresie nie zachodzą żadne zmiany w opinii.

Główne opisane zagrożenia obejmują brak kontroli oraz brak przejrzystości (różne aspekty, m.in.: brak dostępności, brak integralności, brak odizolowania). W ramach grupy roboczej opracowano także wytyczne dla klientów i dostawców usług przetwarzania danych w chmurze. To ważny aspekt związany z bezpieczeństwem przetwarzania danych osobowych i wrażliwych (a zatem także medycznych), ponieważ właśnie te wytyczne powinny być dla działów IT podstawą do opracowywania procedur ochrony danych przetwarzanych w środowiskach, za które odpowiadają. Są one także podstawą do zrozumienia, na jakich zasadach przetwarzać w chmurze dane swojej organizacji, aby zapewnić im bezpieczeństwo oraz sobie kontrolę nad nimi. Zgodnie ze wspominanym wcześniej dokumentem opracowanym przez CSIOZ najważniejsze z nich to:

  • Odpowiedzialność klienta usługi w chmurze jako administratora – klient powinien wybrać dostawcę usługi w chmurze, który gwarantuje zgodność z przepisami w zakresie ochrony danych, co odzwierciedlają odpowiednie zabezpieczenia umowne;
  • Zabezpieczenia w przypadku powierzenia – przepisy dla podmiotów, którym powierzono realizację usług, powinny być przewidziane w każdej umowie pomiędzy dostawcą usługi w chmurze i jego klientami;
  • Przestrzeganie podstawowych zasad ochrony danych – klientowi należy zapewnić zrozumiałe informacje na temat środków technicznych i organizacyjnych wdrożonych przez dostawcę; klient w ramach dobrych praktyk powinien przekazać osobom, których dane dotyczą, informacje na temat dostawcy usługi w chmurze, jak również dane na temat lokalizacji, w których dane mogą być przechowywane lub przetwarzane;
  • Określenie i ograniczenie celu – klient powinien zapewnić zgodność z zasadami określenia i ograniczenia celu przetwarzania danych oraz zadbać o to, aby żadne dane nie były przetwarzane do innych celów przez dostawcę;
  • Zatrzymywanie danych – klient jest odpowiedzialny za zapewnienie, aby dane osobowe zostały usunięte ze wszystkich miejsc, w których są przechowywane, w przypadku gdy ich przetwarzanie nie odbywa się lub realizowane jest prawo (do zapomnienia) osoby, której dane dotyczą;
  • Zabezpieczenia umowne – umowa z dostawcą powinna zapewniać wystarczające gwarancje pod względem technicznych środków bezpieczeństwa i środków organizacyjnych;
  • Dostęp do danych – tylko upoważnione osoby powinny mieć dostęp do danych. W umowie powinna być zawarta klauzula poufności w odniesieniu do dostawcy i jego pracowników;
  • Zobowiązania do współpracy – klient powinien zapewnić, aby dostawca był zobowiązany do współpracy w związku z prawem klienta do monitorowania operacji przetwarzania, do ułatwiania realizacji praw osób, których dane dotyczą, do dostępu do/poprawiania/usuwania ich danych oraz do powiadamiania klienta usługi w chmurze o wszelkich naruszeniach ochrony danych mających wpływ na dane klienta;

źródło:  Artykuł pochodzi z czasopisma „IT Professional” nr 04/2018.

(http://www.it-professional.pl/archiwum/art,7951,zabezpieczenia-danych-medycznych-w-chmurze.html)

Identyfikacja zbiorów danych osobowych i medycznych w placówce

Podziel się

Od czegoś trzeba zacząć.. zgodnie z wpisem http://itwmedycynie.pl/2017/08/28/elektroniczna-dokumentacja-medyczna-podstawowe-zasady-przetwarzania-obowiazujace-wszystkich/ zakładam, że mamy już wyznaczonego Inspektora Ochrony Danych w postaci jednego z pracowników lub zewnętrznego podmiotu, który będzie proces przetwarzania danych w naszej placówce nadzorował. Pora teraz na identyfikację wszystkich zbiorów danych, które powinny podlegać ochronie oraz przypisanie do tych zbiorów osób/podmiotów zewnętrznych, które te dane przetwarzają. Przy okazji taka operacja może się przydać nie tylko przez wzgląd na spełnienie wymagań przetwarzania danych, może także wpłynąć na zagadnienia takie jak:

  • chęć lepszego zrozumienia wszystkich działań i powiązań między nimi
  • chęć usprawniania komunikacji między pracownikami – wiadomo do kogo się zgłaszać w określonej sprawie
  • możliwość szybszego wykrywania obszarów nieefektywnych, np. tzw. „wąskich gardeł”
  • sprawniejsze wdrożenie nowych pracowników
  • poprawa efektywności funkcjonowania placówki i procesu obsługi pacjenta

Jak się za to zabrać?

  1. Określenie struktury organizacyjnej placówki

Najłatwiej będzie wyjść od struktury organizacyjnej naszej placówki. To powinno być łatwe – trzeba po prostu wyartykułować wszystkie “jednostki organizacyjne” – nawet w przypadku, gdy jedna osoba zajmuje się kilkoma rzeczami. Możemy także do tych jednostek przypisać od razu osoby/firmy zewnętrzne, które mają dane kompetencje – to będzie nam potrzebne do określenia osób przetwarzających konkretny zbiór danych. Trzeba też zwrócić uwagę na to, że pewne rzeczy zlecamy na zewnątrz – to również jest jakiś rodzaj komórki należącej do struktury organizacyjnej naszej jednostki – chociaż w tym przypadku zajmuje się tym firma zewnętrzna (chociażby firma księgowa). Szybki przykład takiego podziału to:

  • rejestracja
  • sekretariat
  • księgowość
  • kadry/płace
  • laboratorium
  • podstawowa opieka zdrowotna (lekarze)
  • rehabilitacja
  • usg
  • kardiologia.

2. Określenie procesów dla każdej z jednostek

Następnie dla powyższych “jednostek” trzeba zrobić audyt wszystkich procesów w placówce, żeby później wybrać te, które używają danych osobowych i wrażliwych. Zgodnie z zasadami modelowania procesów biznesowych najlepiej zrobić sobie na początku podział na:

  • procesy główne, które dotyczą kluczowych obszarów funkcjonowania (w naszym przypadku będzie to chociażby zapisanie pacjenta na wizytę, obsługa pacjenta podczas wizyty, wystawienie skierowania itp)
  • procesy wspierające, które zapewniają wsparcie do realizacji procesów głównych (np. marketing, finanse i księgowość).

Ten podział został odzwierciedlony w kolorach naszych jednostek organizacyjnych – główne zaznaczyłem na zielono, wspierające na niebiesko.

Czeka nas zatem przemyślenie co tak właściwie się robi w danym obszarze. Nie tylko informatycznie, ogólnie. Dane osobowe w wielu przypadkach są przecież (chciałoby się rzec – jeszcze) przetwarzane papierowo. To możemy uzyskać na podstawie swojej wiedzy i zweryfikować to z pracownikami, którzy wykonują dane czynności. W przypadku gdy np. sprawami księgowości , ZUSem itp. zajmuje się inna firma możemy ich po prostu o to zapytać – z pewnością chętnie udzielą tego typu informacji chwaląc się przy okazji jak dużo rzeczy robią i jak bardzo są nam potrzebni. Weźmy pierwszą z brzegu rejestrację. W mojej wymyślonej przychodni w rejestracji wykonuje się  następujące czynności:

  • umawianie telefoniczne wizyt pacjentów
  • weryfikacja i potwierdzanie wizyt pacjentów z e-rejestracji
  • rejestracja pacjentów którzy przyszli osobiście
  • zmiana terminów wizyt / odwoływanie wizyt
  • wprowadzanie harmonogramu pracy lekarzy
  • wystawianie zwolnień lekarskich (sprawa dyskusyjna czy rejestracja powinna takie rzeczy robić ale moje doświadczenie pokazuje, że czasem się to zdarza…)
  • wprowadzanie nowego pacjenta

3. Określenie zbiorów danych dla procesów

Teraz pora w końcu na zastanowienie się jakie dane są wykorzystywane w danym procesie. Najlepiej wypisać sobie wszystkie rodzaje danych, osobowe i medyczne łatwo wśród nich znajdziemy. I tak:

  • umawianie telefoniczne wizyt pacjentów
    • dane pacjenta rejestracja(imię, nazwisko, PESEL, numer telefonu, adres zamieszkania)
    • terminarz wizyt (dzień, miesiąc, rok, godzina wizyty, imię i nazwisko lekarza przyjmującego, imię i nazwisko, PESEL pacjenta)
    • harmonogram pracy lekarzy (imię, nazwisko, tygodniowy harmonogram pracy – dzień, miesiąc, rok, godziny)
  • weryfikacja i potwierdzanie wizyt pacjentów z e-rejestracji
    • dane pacjenta rejestracja (imię, nazwisko, PESEL, numer telefonu, adres zamieszkania, e-mail)
    • terminarz wizyt (dzień, miesiąc, rok, godzina wizyty, imię i nazwisko lekarza przyjmującego, imię i nazwisko, PESEL pacjenta)
    • harmonogram pracy lekarzy (imię, nazwisko, tygodniowy harmonogram pracy – dzień, miesiąc, rok, godziny)
  • rejestracja pacjentów którzy przyszli osobiście:
    • dane pacjenta rejestracja (imię, nazwisko, PESEL, numer telefonu, adres zamieszkania)
    • terminarz wizyt (dzień, miesiąc, rok, godzina wizyty, imię i nazwisko lekarza przyjmującego, imię i nazwisko, PESEL pacjenta)
    • harmonogram pracy lekarzy (imię, nazwisko, tygodniowy harmonogram pracy – dzień, miesiąc, rok, godziny)
  • zmiana terminów wizyt / odwoływanie wizyt
    • dane pacjenta (imię, nazwisko, PESEL, numer telefonu, adres zamieszkania)
    • terminarz wizyt (dzień, miesiąc, rok, godzina wizyty, imię i nazwisko lekarza przyjmującego, imię i nazwisko, PESEL pacjenta)
    • harmonogram pracy lekarzy (imię, nazwisko, tygodniowy harmonogram pracy – dzień, miesiąc, rok, godziny)
  • wprowadzanie harmonogramu pracy lekarzy
    • harmonogram pracy lekarzy (imię, nazwisko, numer telefonu, e-mail, adres, tygodniowy harmonogram pracy – dzień, miesiąc, rok, godziny)
  • wystawianie zwolnień lekarskich (sprawa dyskusyjna czy rejestracja powinna takie rzeczy robić ale moje doświadczenie pokazuje, że czasem się to zdarza…)
    • dane pacjenta zwolnienie (imię, nazwisko, PESEL, adres zamieszkania, rozpoznanie)
    • dane zakładu pracy pacjenta (NIP, nazwa, adres)
    • data obowiązywania dokumentu (data od-do)
  • wprowadzanie nowego pacjenta
    • kartoteka pacjenta (imię, nazwisko, PESEL, numer telefonu, adres zamieszkania, dane o oddziale NFZ, dane miejsca pracy)
    • wyniki badań laboratoryjnych
    • wypisy ze szpitala
    • wyniki testów alergicznych (itp…)
  • wprowadzanie nowego lekarza
    • dane lekarza (imię, nazwisko, PESEL, numer telefonu, adres zamieszkania, informacje o uczelni, historia zatrudnienia)

4. Ostatnim krokiem jest wyłuskanie z powyższego wszystkich zbiorów danych osobowych i medycznych (bo jak słusznie zauważyliście powtarzają się one w procesach – co jest naturalne) oraz przypisanie ich do nich danych, które już mamy (dział/jednostka organizacyjna, osoby przetwarzające) oraz dodanie miejsca w którym fizycznie dany zbiór się znajduje (np. serwerownia – host “BazaPOZ” czy “archiwum w recepcji”) oraz miejsc przetwarzania danych. Taki komplet zbieramy w tabelce i mamy temat ogarnięty. Tabelka natomiast posłuży nam jako wkład do Polityki Bezpieczeństwa. Zbiory do umieszczenia w tabelce zaznaczyłem powyżej kolorem czerwonym.

W jaki sposób zweryfikować czy dany zbiór to dane osobowe? Pojęcie danych osobowych zostało określone w art. 6 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z jego treścią przez dane osobowe rozumie się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników, określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne.

Trzeba zwrócić uwagę jeszcze na jedną rzecz. Zbiory teoretycznie tych samych lub podobnych danych nie są zawsze danymi osobowymi. Weźmy na przykład harmonogram pracy lekarzy. Załóżmy, że w danym systemie widoczne jest tylko imię i nazwisko lekarza przy tej funkcjonalności – osoba, która zarządza tymi danymi nie ma z tego poziomu możliwości podejrzenia/przetwarzania innych danych lekarza. Zatem jeżeli inna osoba/jednostka zajmuje się dodawaniem nowego lekarza do systemu (np. kadry) a inna harmonogramami pracy lekarzy (np. rejestracja) to dane osobowe przetwarzają tylko kadry – zgodnie z definicją danych osobowych. W miarę praktyki stanie się to jeszcze prostsze.

Finalnie efekt naszej pracy wygląda tak (wypełniłem ją tylko dla 4 pierwszych zbiorów danych, dalej postępujemy analogicznie):

Lp Zbiór Danych Dział/ jednostka organizacyjna Osoby Lokalizacja bazy danych Miejsce przetwarzania danych
1. dane pacjenta rejestracja rejestracja Urszula Malinowska, Joanna Jaworska serwer “BazaPOZ” pomieszczenie recepcji
2. terminarz wizyt rejestracja Urszula Malinowska, Joanna Jaworska serwer “BazaPOZ”, serwer “OSOZ” pomieszczenie recepcji
3. dane pacjenta zwolnienie lekarze, rejestracja Urszula Malinowska, Joanna Jaworska, Piotr Skowroński, Albert Poniatowski, Michał Sumiński, Małgorzata Kwiatkowska serwer “BazaPOZ”, archiwum w recepcji (wersja papierowa) pomieszczenie recepcji, gabinety lekarzy
4 kartoteka pacjenta rejestracja Urszula Malinowska, Joanna Jaworska serwer “BazaPOZ”, archiwum w recepcji (wersja papierowa) pomieszczenie recepcji

 

Prawda, że proste? Wiem, że czasochłonne ale postępując zgodnie z powyższymi wskazówkami z pewnością do ogarnięcia. Wystarczą dobre chęci, trochę czasu i cierpliwości 🙂

 

Konsultacje społeczne projektu przepisów wdrażających ogólne rozporządzenie o ochronie danych (RODO)

Podziel się

Oczywiście musimy trzymać się wytycznych ogólnych na poziomie europejskim jeżeli chodzi o nowe zasady przetwarzania danych osobowych ale różne uwarunkowania wewnętrzne wymuszają na nas dostosowanie przepisów szczególnych pod nasze – specyficzne i wyjątkowe warunki i potrzeby. To akurat dobrze, bo jak dobrze wiemy niektórych przepisów w ogóle nie mamy 🙂 W związku z tym Ministerstwo Cyfryzacji ogłosiło kolejny już etap konsultacji społecznych dotyczących projektu ustawy  “Przepisy wprowadzające ustawę o ochronie danych osobowych oraz projektu ustawy o ochronie danych osobowych”.

Bardzo ważnymi obszarami w projektowanym dokumencie są rzeczy, których na naszym poziomie brak lub takie, które nie są jasno sprecyzowane. Często i wielu branżach – także w służbie zdrowia. Powoduje to ograniczenia możliwości w cyfryzacji systemów. Mam tutaj na myśli między innymi wymóg pisemności, który ma zostać zastąpiony tzw. wymogiem zgody wyraźnej. Dodatkowo projektowane przepisy po raz pierwszy określały będą również zasady przetwarzania danych biometrycznych czyli np. linii papilarnych, wizerunek twarzy, ton głosu czy tęczówka oka.

Konsultacje są otwarte zatem warto zabrać głos – ja z pewnością tak zrobię. Myślę, że jest to też dobra okazja na wyjaśnienie wątpliwości na około nowych przepisów. W razie potrzeby można pisać na adres konsultacyjny Konsultacje.odo@mc.gov.pl . Możliwe jest to do 13 października 2017. Gdyby ktoś miał jakieś pytania ja służę pomocą. Adres e-mail dostępny jest w zakładce O mnie.

Oficjalne info dostępne jest tutaj: https://mc.gov.pl/konsultacje/konsultacje-spoleczne-projektu-przepisow-wdrazajacych-ogolne-rozporzadzenie-o-ochronie

Chmura a potrzeby podmiotów medycznych

Podziel się

Poniżej zamieszczam treść do zajawki artykułu zamieszczonego na łamach IT Professional. Aktualnie z tego cyklu ukazały się 3 artykuły, czwarty jest w trakcie drukowania.

Informatyzacja placówek szeroko pojętej ochrony zdrowia trwa w najlepsze. Mnogość różnego rodzaju projektów, regulacji prawnych, a także zbliżające się wielkimi krokami nowe rozporządzenie o zasadach przetwarzania danych osobowych (rodo) wywołuje duże poruszenie w branży. Czy chmura odpowiada potrzebom podmiotów medycznych? Czy warto przyjrzeć się tego typu rozwiązaniom? Jak wygląda sytuacja u samych zainteresowanych?

Z  doniesień medialnych wszyscy wiemy, że nasz system ochrony zdrowia od lat zmaga się z wieloma problemami organizacyjno-finansowymi. Podobna sytuacja występuje w przypadku informatyzacji sektora. Informatyzacji rozumianej jako spójny zestaw usług na poziomie ogólnopolskim, bo nie ma co ukrywać, że prywatne podmioty oferujące usługi medyczne (zwłaszcza te duże) mają dużą świadomość informatyczną i radzą sobie znakomicie. I to radzą sobie zarówno z wykorzystaniem najnowocześniejszych technologii w celu ułatwienia życia pacjentom, jak i sprawnością systemów IT w zakresie obsługi procesów wewnątrz organizacji. Dzięki środkom unijnym także duża liczba szpitali podległych resortom czy też władzom na różnego rodzaju szczeblach samorządowych wdrożyła, bądź wdraża, nowoczesne rozwiązania. Na szczeblu ogólnopolskim sprawa jednak nie jest taka prosta. Od lat trwają prace nad Elektroniczną Platformą Gromadzenia, Analizy i Udostępniania zasobów cyfrowych o Zdarzeniach Medycznych (tzw. system P1).

Na projekt ten wydano już ogromnie dużo pieniędzy, a z powodu wielu problemów został dla niego opracowany plan naprawczy. Przyjęto nowe założenia, które mówią o tym, co i kiedy ma zostać wdrożone i uruchomione.

Zgodnie z opublikowanym 9 maja 2017 r. komunikatem dotyczącym regulacji prawnych w zakresie Elektronicznej Dokumentacji Medycznej (tinyurl.com/mz-komunikat) „trwają prace legislacyjne dotyczące nowelizacji ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, których celem jest m.in. doprecyzowanie definicji elektronicznej dokumentacji medycznej (EDM) oraz obowiązku stosowania Polskiej Implementacji Krajowej (PIK) HL7 CDA (Clinical Document Architecture) oraz formatów EDM, które będą publikowane w Biuletynie Informacji Publicznej Ministerstwa Zdrowia, a także zmiana terminów dotyczących obowiązku stosowania EDM”. Ustalono też następujące terminy obowiązywania poszczególnych usług:

  • e-recepta – obowiązek wystawiania recepty w postaci elektronicznej – od 1 stycznia 2020 r.;
  • e-skierowanie – obowiązek wystawiania skierowania w postaci elektronicznej – od 1 stycznia 2021 r.;
  • pozostała część EDM (tj. dokumenty wskazane w rozporządzeniu wydanym na podstawie art. 13 ustawy):

– obowiązek prowadzenia w postaci elektronicznej – od 1 stycznia 2019 r.;
– obowiązek wymiany za pośrednictwem Platformy P1 – od 1 stycznia 2021 r.
Na „pierwszy ogień” idą zatem głównie szpitale. Nie możemy jednak zapominać o tym, że od lipca 2018 r. Zakład Ubezpieczeń Społecznych uruchamia obowiązek wystawiania elektronicznych zwolnień lekarskich dla wszystkich lekarzy. Dodatkowo pojawiają się legislacyjne ułatwienia dla rozwiązań telemedycznych. Zgodnie z wizją opracowaną na potrzeby nowo powstającej Strategii Rozwoju e-Zdrowia dla Polski na lata 2018–2022 „(…) dzięki spójnemu rozwojowi e-zdrowia do 2022 roku system opieki zdrowotnej w Polsce stanie się bardziej skuteczny, efektywny ekonomicznie i dostępny dla obywatela (…)”.

Nie bez wpływu na potrzeby placówek ochrony zdrowia jest także mające zastosowanie dla każdej branży wchodzące w życie od maja 2018 roku unijne ogólne rozporządzenie o ochronie danych osobowych (rodo), które reguluje zasady przetwarzania tego typu danych. Biorąc pod uwagę, że w środowiskach informatycznych ochrony zdrowia mamy dodatkowo dane medyczne, które są opatrzone klauzulą szczególnej wrażliwości, nie można przejść obojętnie obok potrzeb technicznych i możliwości, jakie dają nam rozwiązania informatyczne w tym kontekście.

Jak widać, wyzwań informatycznych jest bardzo dużo. Aby mieć pełny obraz sytuacji, należy jeszcze przyjrzeć się aktualnemu stanowi informatyzacji podmiotów ochrony zdrowia.

źródło: Artykuł pochodzi z czasopisma „IT Professional” nr 03/2018.

http://www.it-professional.pl/archiwum/art,7919,chmura-a-potrzeby-podmiotow-medycznych.html