Dokumentację można znaleźć pod adresem https://www.csioz.gov.pl/interoperacyjnosc/interfejsy/ . Obejmuje ona:
Dokumentacja integracyjna obejmuje:
Obiecano także, że pod koniec czerwca pojawi się środowisko testowe dla tej funkcjonalności.
I idąc za ciosem kolejny artykuł (żeby nie było, że nic nie publikuje ;)) Tym razem o sposobach zabezpieczeń danych medycznych na przykładzie konkretnych mechanizmów w Azure.
Bardzo ważnym aspektem pojawiającym się u każdego managera IT, którego organizacja przetwarza dane o szczególnym priorytecie, jest kwestia zapewnienia bezpieczeństwa tych danych. Nie inaczej jest i w przypadku danych medycznych – ich bezpieczeństwo powinno być priorytetem. „No jak to, przecież się nie da”, „przecież muszę mieć możliwość fizycznego audytu danych, za które odpowiadam”, „trzymanie danych medycznych gdzieś za granicą jest niemożliwe i niebezpieczne” – często na konferencjach w oficjalnych pytaniach czy kuluarowych rozmowach słychać takie wątpliwości. Przyjrzyjmy się zatem w pierwszej kolejności temu, co mówią nam nowe regulacje odnośnie do wymagań, jakie trzeba spełnić z perspektywy podmiotu przetwarzającego dane osobowe w chmurze.
Zarówno przepisy uodo, jak i rodo regulują i dopuszczają powierzenie danych osobowych. Trzeba pamiętać o tym, że Komisja Europejska w motywie 81 preambuły rodo wskazuje na konieczność korzystania wyłącznie z usług takich podmiotów przetwarzających, które zapewniają wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych, w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby, odpowiadających wymaganiom bezpieczeństwa przetwarzania, w tym wymaganiom określonym przez rodo. Najlepszą wskazówką w szukaniu odpowiedniego usługodawcy usług chmurowych (także zgodnie z dokumentem „Rekomendacje Centrum Systemów Informacyjnych Ochrony Zdrowia w zakresie bezpieczeństwa oraz rozwiązań technologicznych stosowanych podczas przetwarzania dokumentacji medycznej w postaci elektronicznej”) mogą być międzynarodowe standardy postępowania z danymi osobowymi, a zatem normy takie jak: ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 22301 oraz normy branżowe, np. ISO 13606-1, ISO 13606-4. Warto zwrócić też uwagę na normę ISO/IEC 27018.
Oczywiście trzeba zdawać sobie sprawę z możliwych incydentów bezpieczeństwa, które są nieco odmienne dla rozwiązań chmurowych w porównaniu z rozwiązaniami on premise. Rozważaniami na ten temat na poziomie europejskim zajęła się Grupa Robocza art. 29, która w opinii 5/2012 w sprawie przetwarzania danych w chmurze obliczeniowej przyjętej w dniu 1 lipca 2012 r. przeanalizowała kwestie istotne dla dostawców usług przetwarzania danych w chmurze działających w Europejskim Obszarze Gospodarczym (EOG) oraz ich klientów, określając wszystkie mające zastosowanie zasady z dyrektywy o ochronie danych UE (95/46/WE) oraz dyrektywy o prywatności i łączności elektronicznej 2002/58/WE (zrewidowanej dyrektywą 2009/136/WE). Wtedy nie było jeszcze mowy o rodo, ale specjaliści wskazują, że w tym zakresie nie zachodzą żadne zmiany w opinii.
Główne opisane zagrożenia obejmują brak kontroli oraz brak przejrzystości (różne aspekty, m.in.: brak dostępności, brak integralności, brak odizolowania). W ramach grupy roboczej opracowano także wytyczne dla klientów i dostawców usług przetwarzania danych w chmurze. To ważny aspekt związany z bezpieczeństwem przetwarzania danych osobowych i wrażliwych (a zatem także medycznych), ponieważ właśnie te wytyczne powinny być dla działów IT podstawą do opracowywania procedur ochrony danych przetwarzanych w środowiskach, za które odpowiadają. Są one także podstawą do zrozumienia, na jakich zasadach przetwarzać w chmurze dane swojej organizacji, aby zapewnić im bezpieczeństwo oraz sobie kontrolę nad nimi. Zgodnie ze wspominanym wcześniej dokumentem opracowanym przez CSIOZ najważniejsze z nich to:
źródło: Artykuł pochodzi z czasopisma „IT Professional” nr 04/2018.
(http://www.it-professional.pl/archiwum/art,7951,zabezpieczenia-danych-medycznych-w-chmurze.html)
Pomijając zupełnie warunki finansowe podmiotów, które będą mogły ubiegać się o udział w pilotażu (małe placówki z małych miast, miasteczek lub wsi) pierwszą rzeczą, która rzuca się w oczy to wymagania techniczne jakie są przed nimi stawiane i punktowane przy wniosku o dofinansowanie. To szereg mało precyzyjnych wymagań dotyczących systemów informatycznych do przetwarzania dokumentacji medycznej oraz dotyczących bezpieczeństwa przetwarzania danych osobowych i medycznych, które można w obecnym kształcie dość mocno interpretować. Bez jasno określonych wytycznych można spodziewać się nieścisłości w procesie oceny wniosków – na ten moment punkty przyznawane podczas „audytu ex-ante” będą mogły być przyznawane na podstawie „widzi mi się” członków komisji. Warto także zaznaczyć, że przynajmniej jeden z punktów jest niekoniecznie możliwy do spełnienia. Chodzi o to „Czy świadczeniodawca prowadzi elektroniczną dokumentację medyczną (EDM w rozumieniu przepisów ustawy o systemie w ochronie zdrowia, zgodnie z art. 11 ust. 1 tej ustawy)”. Istnieją bowiem poważne wątpliwości co do tego, czy którykolwiek z istniejących na rynku systemów spełnia to wymaganie biorąc pod uwagę brak centralnego Systemu Informacji Medycznej.
Kolejną sprawą jest to, że dużo i nośnie mówi się o opiece koordynowanej w kontekście projektu POZ Plus w tematach związanych z ułatwieniami komunikacji na styku lekarz-pacjent chociażby poprzez wykorzystanie nowoczesnych narzędzi telemedycznych czy telediagnostycznych. Można było wręcz odnieść wrażenie, że projekt to umożliwi i pozwoli właśnie tym mniejszym podmiotom korzystać z dobrodziejstw telekonsultacji czy telediagnostyki a pacjenci dostaną szansę na korzystanie z różnego rodzaju narzędzi edukujących i wspierających w związku z chorobami przewlekłymi z którymi się borykają. Rzeczywistość jednak wygląda inaczej. Tzw. „grant technologiczny” przyznawany w maksymalnej wersji w kwocie 50 000 zł w trzech na cztery obszary w których można go dostać dotyczy sprawozdawczości związanej z projektem POZ Plus. W czwartym punkcie można będzie otrzymać dofinansowanie na integrację „…z systemami: Zintegrowany Informator Pacjenta (ZIP) i System Informatyczny Monitorowania Profilaktyki (SIMP) w celu pobierania informacji o świadczeniach udzielonych pacjentom objętym opieką koordynowaną”. Tutaj problemy są dwa – po pierwsze nie wiadomo w jakim konkretnie zakresie a po drugie brak jest w tych systemach mechanizmów (tzw. API programistyczne), które umożliwiałyby jakąkolwiek integracje.
Biorąc pod uwagę powyższe oraz inne problemy o których mówi się po pojawieniu się dokumentacji należałoby się zastanowić czy obecny kształt projektu jest właściwym kierunkiem. Na szczęście to tylko pilotaż z którego będzie można wyciągnąć wnioski. I oby finał był szczęśliwy zarówno dla placówek jak i dla pacjentów bo chyba o to w ochronie zdrowia chodzi.
Mamy harmonogram, wiemy co w zakresie podstawowym jest do zrobienia. Żeby zebrać wszystko “do kupy” należałoby jeszcze krótko powiedzieć o tym jak wygląda sytuacja w placówkach w danym momencie. Najaktualniejsze dane mamy sprzed roku – to “BADANIE STOPNIA PRZYGOTOWANIA PODMIOTÓW WYKONUJĄCYCH DZIAŁALNOŚĆ LECZNICZĄ DO OBOWIĄZKÓW WYNIKAJĄCYCH Z USTAWY Z DNIA 28 KWIETNIA 2011 R. O SYSTEMIE INFORMACJI W OCHRONIE ZDROWIA” przeprowadzone od kwietnia do sierpnia 2017 roku przez CSIOZ.
Nie będę omawiał wszystkich (opisanych dość szczegółowo) elementów raportu. Postaram się z niego wyłuskać co najważniejsze, żeby nie zanudzać. Zainteresowanych szczegółami odsyłam do dokumentu. Jeżeli przeoczyłem coś istotnego można marudzić. 🙂
Raport został opracowany na podstawie otrzymanych 4101 ankiet – wypełnionych i pozytywnie zweryfikowanych. Ankiety były przekazywane w lipcu i sierpniu 2016. W badaniu wzięło udział ponad 18% wszystkich podmiotów, które jako główny rodzaj działalności wskazały Ambulatoryjne Świadczenia Zdrowotne, ponad 57% wszystkich szpitali (656 placówek) oraz ponad 51% całodobowych świadczeń zdrowotnych innych niż szpitale. W przypadku dwóch ostatnich zatem można mówić o tym, że wyniki zostały opublikowane na podstawie grupy reprezentatywnej. Jeżeli chodzi o AŚZ to grupa reprezentatywna jest dla zakładów (96% wszystkich AŚZ biorących udział w ankiecie). Tej grupy nie osiągnęły ani POZ-y ani praktyki lekarskie i pielęgniarskie.
Otóż okazuje się, że prawie 60% badanych podmiotów nie posiada w ogóle żadnej strategii informatyzacji placówki w ciągu najbliższych lat. To w kontekście wpisu: http://itwmedycynie.pl/2017/08/23/jak-jest/ jest co najmniej ciekawe. Można się domyśleć, że spośród tych, którzy posiadają, większość to szpitale chociaż wcale nie jest ich tak dużo jak przynajmniej ja się spodziewałem. Tylko 48% ankietowanych szpitali.
Co chyba niestety nie dziwi – tylko 29% ankietowanych posiada własną, wyodrębnioną w strukturze jednostkę IT. Większość to oczywiście szpitale, najgorzej w tym zestawieniu wypadają AŚZ-y.
Jeżeli ktoś nie ma IT to powinien mieć jakąś zaprzyjaźnioną firmę lub wykupione usługi, które dawały by możliwość poprawnego działania. Dla mnie suma tych podmiotów, które mają IT i tych które korzystają z jakiejś formy outsourcingu powinna wynosić przynajmniej 100%. Jest jednak inaczej. Tylko 24% szpitali, ponad 18% stacjonarnych i całodobowych świadczeń innych niż szpitalne i nieco ponad 16% AŚZ-tów korzysta z tego typu usług.
Nieco większą świadomość w temacie outsourcingu usług IT wykazały te placówki, które mają wyodrębnioną komórkę IT. Ale i tak jest ich bardzo mało. Dokładając do tego jeszcze to, że ponad 60% AŚZ-ów, prawie 10% szpitali i ponad 40% stacjonarnych i całodobowych świadczeń zdrowotnych innych niż szpitalne nie posiada własnej serwerowni łatwo można dojść do wniosku, że w wielu placówkach dane medyczne są przetwarzane “na kolanie” lub na komputerze Pani Basi w recepcji. Pozwólcie, że nie będę brnął dalej jeżeli chodzi o stan istniejących serwerowni… A nadmienić jeszcze należy, że większość ankietowanych nie przeprowadziła nawet analizy finansowej związanej z koniecznością dostosowania się do norm, większość także nie ma zaplanowanych na ten cel żadnych środków finansowych. Czyżby chcieli zacząć planować gdy skończą się środki unijne? 🙂
W temacie wdrożonej polityki bezpieczeństwa teleinformatycznego CSIOZ twierdzi, że jest “nie najgorzej”. Ja twierdzę, że nie jest najlepiej 🙂 Pomimo tego, że trzeba ją mieć (http://itwmedycynie.pl/2017/08/28/elektroniczna-dokumentacja-medyczna-podstawowe-zasady-przetwarzania-obowiazujace-wszystkich/) ma ją tylko 82% szpitali, ponad 56% AŚZ-tów i 63% innych. Aż się boję jaka sytuacja jest w POZ-tach, nie myślę już o praktykach lekarskich. Z mojego doświadczenia wynika, że wszyscy twierdzą, że jakoś to będzie i nawet się tym nie przejmują i ani myślą generować sobie koszty. Błąd – bo poprawnie zaprojektowana nawet najmniejsza struktura tego typu nie jest zbędnym kosztem tylko zapewnia bezpieczeństwo i ułatwia pracę.
Jakby ktoś nie wiedział od jakiegoś czasu obowiązuje nas posiadanie e-rejestracji dla pacjenta. Stosowny dokument i wymogi (troszkę przesadzone ale jednak obowiązujące) można znaleźć tutaj. Na załączonym poniżej diagramie z raportu widać, że w tym zakresie też nie jest kolorowo:
Strasznie mi szkoda CSIOZ. Mają oni dobry dokument zawierający właściwie pigułkę tego co każdy podmiot powinien zrobić w zakresie dostosowania się do norm. Podane tam są różne ścieżki i możliwości do wyboru (będę to omawiał w kolejnych wpisach). Można z tego dokumentu wyciągnąć naprawdę wiele (pomijając fakt, że to już z trzecia jego wersja, ale jeżeli lepsza to ok). Okazuje się natomiast, że prawie 77% ankietowanych do tego dokumentu nawet nie zajrzało. A powinno ponieważ 84% ankietowanych, którzy czytali ten dokument uznało, że był on dla nich pomocny. (13,28% odpowiedziało w tym pytaniu “nie dotyczy”. Do tej pory nie wiem co to oznacza ale znaczące jest, że “nie” odpowiedziało tylko trochę ponad 1%)
Jeżeli chodzi o zastosowanie telemedycyny w zakresie swojej działalności to pomimo prężnego jej rozwoju i dużych pieniędzy wydawanych na PR 91% podmiotów nie wykorzystuje jej dobrodziejstw. Ciekawostką jest też to, że od poprzedniej ankiety (wykonywanej w 2014 roku) nic się nie zmieniło w tym zakresie.
Jaki z tego wszystkiego nasuwa się wniosek? Przecież tyle się o “e-zdrowiu” w środowisku mówi, są organizowane konferencje, prelekcje, debaty, jest tyle firm, które oferują rozwiązania.. ba! są nawet pieniądze unijne w ramach Regionalnych Programów Operacyjnych na wdrożenia. A jednak chyba cały czas największym problemem jest świadomość powagi problemu a właściwie jej brak.. ciężko jest przyjąć, że jak coś do tej pory funkcjonowało to było to źle i trzeba ponieść jakieś koszty, żeby było dobrze.. Nie pomaga też niestety to co się dzieje na szczeblu państwowym z projektami mającymi się przyczynić do poprawy stanu rzeczy. Co i rusz słychać jest o zmianach harmonogramu, zmianach treści rozporządzeń, ustaw, nieprzystosowaniu przepisów już istniejących. Słyszy się też ile wydano już na P1 pieniędzy i widać jakie są tego efekty. Mało tego, wszyscy wiemy jak ogromne są potrzeby służby zdrowia w innych obszarach i jak niektóre rzeczy są źle zorganizowane i nie funkcjonują jak należy.. Nie ma się zatem co dziwić, że ludzie nie podchodzą do sprawy poważnie skoro można odnieść wrażenie, że odgórnie następuje próba wymuszenia czegoś, czego u źródła nikt nie ogarnia. Sytuację pewnie ratuje trochę próba edukacji środowiska, szereg inicjatyw mających na celu popularyzację wiedzy w temacie bezpieczeństwa przetwarzania tak wrażliwych danych jak dane medyczne oraz PR często wielkich korporacji zajmujących się sprzedażą rozwiązań informatycznych zarówno sprzętu jak i oprogramowania. Oni jednak wiadomo – są nastawieni na zysk. Myślę, że jak w całym świecie IT można odnieść wrażenie, że dobro samego klienta na pierwszym miejscu nie jest.
Nie można jednak powiedzieć, że nie dzieje się nic – coraz więcej placówek decyduje się na pochylenie się nad wyzwaniem zwanym Elektroniczna Dokumentacja Medyczna. I dla nich z tego miejsca gratulacje! Do pozostałych trzeba po prostu dotrzeć, i tempo tego docierania trzeba jednak znacznie przyspieszyć bo w przeciwnym razie myślę, że zejdzie się nam jeszcze ze 30 lat.
ZUS nie próżnuje. Miesiąc temu udostępnił swój kanał autoryzacji do portalu umożliwiającego wystawianie lekarzom elektronicznych zwolnień lekarskich. Warto przypomnieć, że od 1 lipca 2018 roku lekarze mają wystawiać zwolnienia tylko w formie elektronicznej. Biorąc pod uwagę to, że wielu lekarzy (chociażby w praktykach lekarskich) nie ma komputera, nie mówiąc już o systemie do elektronicznej dokumentacji jest to pewnie jakieś ułatwienie. Jedyne co trzeba zrobić to założyć sobie konto. Oficjalna instrukcja dostępna jest na YouTube . Sprawa jest prosta, podobnie jak w przypadku ePUAPu trzeba się pofatygować do urzędu. Po utworzeniu i weryfikacji konta generujemy sobie ważny 5 lat certyfikat, który zabezpieczamy hasłem i możemy go wykorzystywać do podpisywania zwolnień generowanych na portalu ZUS lub w aplikacji, której używamy w placówce (szczegóły tutaj).
Jakby ktoś nie wiedział (jest to niewykluczone biorąc pod uwagę, że w roku 2017 tylko około 3% zwolnień było wystawionych w formie elektronicznej) w skrócie obieg dokumentu wygląda tak, że lekarz przekazuje zaświadczenie lekarskie e-ZLA (po jego podpisaniu z wykorzystaniem certyfikatu z ZUS, kwalifikowanego certyfikatu lub profilu zaufanego ePUAP) elektronicznie do ZUS. ZUS udostępnia e-ZLA płatnikowi składek (np. pracodawcy) na jego profilu na PUE ZUS nie później niż w dniu następującym po dniu otrzymania e-ZLA (bez podawania numeru statystycznego choroby). Informacja ta jest przekazywana także ubezpieczonemu (m.in. pracownikowi) posiadającemu profil ubezpieczonego/świadczeniobiorcy na PUE ZUS. W przypadku gdy pracodawca nie posiada konta PUE ZUS niezbędne jest wydrukowanie zwolnienia dla pacjenta.
Dostawcy oprogramowania oczywiście udostępniają możliwość wystawiania zwolnień z poziomu swojego oprogramowywania (przynajmniej mają taką możliwość – szczegóły znajdują się tutaj).
Platforma daje także możliwość “elektronizacji” zwolnienia (nie lubię tego określenia) czyli wygenerowania sobie do druku formularzy zwolnień in blanco, żeby móc je wypisać np. w terenie gdzie nie ma Internetu. Dokumenty te można później uzupełnić na platformie ZUS.
Wszystkie filmy instruktażowe dotyczące “obsługi” elektronicznych zwolnień można znaleźć tutaj:
Generalnie kierunek myślenia jest dobry. Małymi kroczkami (zwolnienia, recepty) trzeba iść do przodu. Nie wiem czy akurat mnogość opcji autoryzacji jest dobrym pomysłem, chyba nie. W każdym razie trzeba zwrócić uwagę na jeden, najważniejszy w tym momencie fakt. Wszystkie te czynności, oczywiście potrzebne i wymagane, dostarczą dużo dodatkowej pracy lekarzom. Dla wprawnego “komputerowca” będzie to chwila ale rzesza środowiska nie jest aż tak “za pan brat” z technikaliami. To trochę błędne koło, bo teoretycznie systemy EDM mają te rzeczy automatyzować swoimi mechanizmami ale z drugiej strony jak ktoś ich (jeszcze?) nie używa to pewnie pójdzie ścieżką korzystania chociażby z portalu ZUS. Trochę się boję, że to wszystko będzie odbywało się kosztem czasu poświęcanego pacjentom. Jaki jest na to ratunek? Jeden – równoczesne prace nad automatyzacją pracy tych systemów. Tak aby lekarze poświęcali jak najmniej czasu ale jednocześnie robili także w tej materii to, co jest niezbędne. Niemożliwe? Oczywiście, że możliwe. Wzorców w innych krajach jest mnóstwo. Nic, tylko korzystać!
Widzę w tym wszystkim także jeszcze jeden problem. Mianowicie wszystkie te systemy cały czas nie są nastawione na bycie pro-pacjenckimi. Po co te zwolnienia? W dużej mierze po to, żeby była po prostu kontrola nad ich zasadnością itp. Pewnie to także jest potrzebne ale widzę trochę zatracenie w tym. Bo te wszystkie mechanizmy powinny służyć też pacjentom. A tutaj pacjent będzie miał z tego tyle, że nie będzie brał odpowiedzialności za niedostarczenie zwolnienia, którego dostarczanie przez niego jest przecież ogromnym absurdem..
Poniedziałek, jesienna aura. Godzina po 9 a praktycznie ciemno. Cały świat wydaje się senny, zamroczony po weekendzie. W niemalże każdego rodzaju placówce medycznej to jednak szczyt, epicentrum zamieszania – kolejka w rejestracji bo przecież w weekend wszyscy się pochorowali, telefony się urywają i nie ma nawet czasu ich odbierać. Pacjenci niezadowoleni, rejestracja zatkana. I tak przynajmniej do południa. Hmm.. a gdyby tak zautomatyzować pewne procesy związane z telefoniczną obsługą pacjenta? Gdyby tak odciążyć rejestrację oraz zwiększyć obieralność telefonów tak, żeby pacjent się aż tak bardzo nie złościł? Tyle się mówi przecież o usprawnieniach w placówkach medycznych o e-receptach i w ogóle wszystkim “e-“. Dlaczego zatem nie zrobić tego także w obsłudze głosowej? To prostsze i bardziej oczywiste niż się wydaje.
W artykule opisałem podstawy funkcjonalności systemów Unified Communication w placówkach medycznych oraz przykładową konfigurację głosowej realizacji e-recepty za pomocą narzędzia Call Flow Designer, którego bardzo często używamy przy wdrożeniach. Zapraszam!
“W artykule prezentujemy możliwości wykorzystania systemów unified communication do usprawnienia pracy personelu medycznego oraz procesu obsługi pacjenta. Przedstawiamy również, jak integrację tego typu systemów z rozwiązaniami chmurowymi zrealizować w praktyce.
Systemy unified communications na dobre zagościły wśród standardowych rozwiązań IT w wielu branżach. Są one pomocne nie tylko w procesie usprawniania komunikacji pomiędzy pracownikami i klientami, ale także pozwalają na automatyzację wielu zadań. Nie inaczej jest w branży medycznej, w różnego rodzaju placówkach ochrony zdrowia. W przypadku tego typu działalności mamy do czynienia z ciągłym kontaktem z pacjentem – nie tylko bezpośrednim, ale także telefonicznym, a ostatnio coraz częściej także zdalnym poprzez mechanizmy pozwalające na zdalne konsultacje.
W jakim zakresie systemy unified communication mogą usprawnić pracę personelu medycznego i procesy obsługi pacjenta, ułatwiając zarządzanie całym systemem IT w tego typu podmiotach? W jaki sposób zintegrować je z rozwiązaniami chmurowymi? Odpowiedzi na te pytanie przedstawimy na przykładzie systemu 3cx, który oferuje możliwość integracji z wieloma dostawcami usług typu cloud computing, m.in. z Microsoft Azure. Argumentem przemawiającym za wykorzystaniem tego właśnie oprogramowania jest to, że każdy z czytelników może samodzielnie sprawdzić jego funkcjonalność zupełnie za darmo, korzystając z bezpłatnego, 30-dniowego okresu próbnego na usługi Azure (z limitem kwotowym niemal 200 dolarów), oraz darmowej wersji systemu 3CX (w pierwszym roku użytkowania, w wersji Standard, do 16 jednoczesnych połączeń). Warto wiedzieć, że 3cx jest rozwiązaniem bardzo często wybieranym przez placówki medyczne, głównie ze względu na łatwość konfiguracji i wspomniane możliwości integracji.
> Definicja i sposoby wykorzystania
Jednolitą komunikację (unified communications) określa się jako proces, w którym wszystkie środki komunikacji, urządzenia i media są zintegrowane, pozwalając użytkownikom pozostawać ze sobą w kontakcie w czasie rzeczywistym bez względu na miejsce pobytu.
W środowisku takim jak szpital lub nawet mała przychodnia tego typu możliwości są bardzo przydatne zarówno z punktu widzenia pacjentów, jak i personelu. Oto lista funkcji, z których możemy skorzystać:
> Tworzymy system UC
Aby poprawnie wdrożyć środowisko zintegrowane, musimy posiadać aktywną subskrypcję Azure. Pominiemy tu opis czynności koniecznych do jej założenia, gdyż proces ten jest prosty, szybki i nie wymaga komentarza. Do dalszych działań będziemy potrzebować identyfikatora aktywnej subskrypcji Azure. Aby go pobrać, przechodzimy do menu Cost Management + Billing (rys. 2.), gdzie do naszej dyspozycji dostępna jest lista subskrypcji, z której możemy skopiować interesujący nas identyfikator.
Następnie udajemy się na stronę 3cx.com, wybieramy opcję Try i wypełniamy formularz rejestracyjny.
Po poprawnym wykonaniu operacji zostaniemy przekierowani na stronę, na której znajdziemy pliki z oprogramowaniem dla różnych systemów operacyjnych, wersje klientów oraz dokumentację. Pocztą elektroniczną zostanie do nas wysłany odsyłacz weryfikujący, po kliknięciu którego otrzymujemy informację o poprawności wykonania procesu oraz o możliwych do zainicjowania akcjach. […]”
źródło: Artykuł pochodzi z czasopisma „IT Professional” nr 06/2018.
No właśnie.. RODO, GIODO, ABI, IOD, wytyczne CSIOZ odnośnie przetwarzania danych medycznych, dziesiątki przepisów, ustaw, rozporządzeń dotyczących definicji danych osobowych, danych medycznych i kwestii ich prawidłowego przetwarzania, różne interpretacje – jednym słowem nie wiadomo czym się kierować w przypadku chęci prawidłowego podejścia do tematu. Spróbujmy wyłuskać z powyższego absolutne must have dla wszystkich przetwarzających dane medyczne.
A co to tak właściwie są te dane medyczne? Niestety w Polskim prawodawstwie, jak to często bywa jest kilka nieścisłości w kwestii prawidłowego uszeregowania danych medycznych w kontekście danych osobowych itp. Na szczęście nie jest to blog prawniczy, bo te kwestie wydają się nierozstrzygalne i są często kwestią interpretacji. Szczegółowe informacje na ten temat można znaleźć chociażby tutaj . Na nasze potrzeby – nazwijmy je organizacyjno-informatycznymi, przyjmijmy, że dane medyczne są danymi osobowymi o charakterze wrażliwym. I z takim przeświadczeniem powinniśmy je przetwarzać.
I tutaj trzeba zacząć od RODO – tak, trzymajmy się tej wersji bo na nią trzeba być przygotowanym – od 25 maja 2018 będzie obowiązywało wszystkich. Co to jest RODO? RODO czyli GDPR, zwane także „Ogólnym Rozporządzeniem o Ochronie Danych” to Rozporządzenie Parlamentu Europejskiego i Rady (UE)2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Nie możemy zapomnieć także o UODO ponieważ dokument ten nakłada na podmioty przetwarzające tego typu dane liczne zobowiązania, które należy uwzględnić podczas projektowania systemów informatycznych mających przetwarzać dane osobowe w tym dane wrażliwe.
Idąc od najwyższego poziomu abstrakcji Art. 5 ust. RODO wskazuje na sześć podstawowych zasad przetwarzania danych osobowych:
1. Zasada zgodności z prawem, rzetelności i przejrzystości przetwarzania – w skrócie oznacza ona, że podmiot przetwarzający zawsze i na każdym etapie
przetwarzania danych jest zobowiązany dbać o interesy osoby, której dane dotyczą
2. Zasada ograniczoności celu – dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach
3. Zasada minimalizacji danych – przetwarzane dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Nie wolno zbierać i przetwarzać danych, które nie są niezbędne do osiągnięciu celu przetwarzania i są w stosunku do niego nadmiarowe. Czyli w przypadku danych medycznych numer buta nie jest nam potrzebny 🙂
4. Zasada prawidłowości – przetwarzane dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane – wydaje się oczywiste ale niech rzuci kamieniem ten, który jest bez winy. Dbanie o aktualność danych jest zawsze zmorą w organizacjach.
5. Zasada ograniczoności przechowywania – dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. To jest bardzo ciekawe zagadnienie, które mam nadzieje będzie jeszcze okazja poruszyć. Ciekawa ponieważ jednocześnie mając na uwadze zapisy art. 25 ust. 1 oraz art. 32 ust. 1 RODO w zakresie uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych i
bezpieczeństwa przetwarzania, placówka medyczna prowadząca dokumentację w postaci elektronicznej powinna zorganizować sposób gromadzenia informacji w taki sposób, aby nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji pod warunkiem, że informacje te są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi
ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Trochę się to wyklucza ale to zagadnienie (dotyczące pseudonimizacji) to temat na oddzielny wpis.
Procedura ta składa się z przepisów zawartych w UODO oraz w Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych
(Dz.U. 2004 r. Nr 100 poz. 1024). Trochę tego jest, dlatego tutaj sczegóły odpuszczam – w razie potrzeby proszę pytać.
Należy pamiętać, że trzeba prowadzić sprawozdania z wykonywania tych czynności.
4. Opracowanie polityki bezpieczeństwa ochrony danych osobowych
Musi ona zawierać:
4. Opracowanie instrukcji zarządzania systemami informatycznymi zawierająca w szczególności:
5. Bezpieczeństwo fizyczne w obszarach przetwarzania danych osobowych i wrażliwych
Na podstawie przeprowadzonej analizy ryzyka i planu postępowania z ryzykiem, których obowiązek przeprowadzenia wynika z art. 36 ust. 1 UODO każdy podmiot ma obowiązek wdrożenia odpowiednich środków bezpieczeństwa. W związku z tym w zakresie ochrony fizycznej należy rozważyć wyznaczenie obszarów bezpiecznych oraz podział na strefy w zależności od ich dostępności zarówno dla personelu, jak i pacjentów oraz przedstawicieli podmiotów współpracujących.
Podział na strefy umożliwia dobór stosowanych zabezpieczeń fizycznych (np. identyfikatory osobowe, system kontroli dostępu, zarządzanie kluczami tradycyjnymi oraz elektronicznymi w postaci kart dostępu, system monitorowania wizyjnego, systemy przeciwwłamaniowe,, zabezpieczenie okien i drzwi, służba ochrony całodobowa lub po godzinach pracy, systemy przeciwpożarowe lub gaśnice, klimatyzacja, czujniki temperatury i wilgotności.
6. Wdrożenie Systemu Zarządzania Bezpieczeństwem informacji
System ten w telegraficznym skrócie zbiera wszystko co powyżej, identyfikuje zagrożenia związane z przetwarzaniem danych oraz tworzy plan postępowania z ryzykiem i politykę zarządzania incydentami bezpieczeństwa.
Mniej więcej tyle trzeba mieć na początek. A właściwie inaczej – teraz można przejść do wybierania odpowiedniego dla nas modelu przetwarzania danych informatycznych bo wszystkie formalności i organizację pracy mamy załatwione. Szczerze mówiąc sam zebrałem to do kupy w jednym miejscu po raz pierwszy i widzę, że jest tego sporo i sporo rzeczy wymaga uszczegółowienia i głębszej analizy. Będziemy nad tym pracować 😉
Źródła:
4 comments