Znów dane medyczne udostępnione publicznie czyli kolejny “wyciek”

Podziel się

“Setki zrzutów ekranu i dokumentów z danymi osobowymi i medycznymi pacjentów oraz dane finansowe dziesiątek szpitali, w tym dane dostępowe do różnych systemów informatycznych oraz dane osobowe pracowników szpitali — takie informacje znajdowały się w publicznie dostępnym katalogu systemu stosowanego do obsługi placówek opieki zdrowotnej, obsługiwanego przez firmę Konsultant IT. Pobrać je mógł każdy. Ilość ujawnionych danych jest znaczna i może dotyczyć wielu szpitali z całej Polski, w tym szpitali psychiatrycznych.” – poinformował wczoraj serwis Niebezpiecznik.pl .

Pełną treść informacji można znaleźć tutaj: https://niebezpiecznik.pl/post/dane-pacjentow-i-szpitali-wyciekly-z-helpdesku-eskulapa-szpitale-powinny-zmienic-hasla/

Generalnie, podobnie jak w przypadku “wycieku” danych ze szpitala w Kole sprawa jest trywialna pod kątem bezpieczeństwa. Na koncie FTP na którym znajduje się system helpdeskowy firmy Konsultant IT udostępniony był przynajmniej do odczytu folder w którym znajdowały się wszystkie pliki załączników ze zgłoszeń systemu helpdeskowego firmy. Wśród tych załączników były m.in. zrzuty ekranu systemu Eskulap. Zrzuty zawierające między innymi dane osobowe pacjentów, rozpoznania chorób itp. Oprócz tego można tam było znaleźć dane finansowe w plikach Excel. Wśród tych plików były także dane osobowe pacjentów. Dodatkowo udostępniono dane dostępowe VPN do szpitali, pliki SQL.

Firma Konsultant IT wydała w tej sprawie oświadczenie, w którym poinformowano, że:

“System helpdesk zainstalowany jest na zewnętrznym serwerze, stworzyła go dla nas i realizuje nadzór autorski Firma DIMIMO. Do udostępnienia danych doszło na skutek błędu podczas migracji przez DIMIMO helpdesku, na nowy serwer. Katalog, który był zabezpieczony w oparciu o plik .htaccess został przeniesiony na serwer, na którym konfiguracja serwera www nie dopuszczała zmian w oparciu o ten plik. W ten sposób zabezpieczenie zostało zniwelowane. Po migracji zweryfikowano wiele zabezpieczeń, niestety prawdopodobnie z powodu rutyny popełniono błąd.”

Idąc za ciosem postanowiłem napisać maila do firmy Konsultant IT z pytaniami, które mnie nurtują:

Szanowni Państwo,
Zaniepokojony informacjami o umieszczeniu do publicznej wiadomości danych medycznych i osobowych w używanym przez Państwa systemie helpdeskowym, biorąc pod uwagę, że oprócz tego, że zawodowo zajmuję się ochroną danych osobowych i medycznych w systemach IT jestem także pacjentem kilku ośrodków w Polsce proszę o odpowiedzi na poniższe pytania ponieważ istnieje prawdopodobieństwo, że niepowołane osoby otrzymały dostęp m.in. do danych moich lub mojej rodziny na co kategorycznie nie wyrażałem zgody.

  1. Czy dla potrzeb świadczenia usług wsparcia użytkowników, biorąc pod uwagę, że jak mniemam mają Państwo dostęp do systemów zawierających dane osobowe i medyczne przetwarzane przez klienta, podpisywali Państwo ze współpracującymi szpitalami umowy powierzenia danych osobowych?
  2. Czy posiadają Państwo politykę bezpieczeństwa i instrukcję zarządzania systemami informatycznymi?
  3. Czy podpisują Państwo ze swoimi pracownikami jakiekolwiek klauzule poufności odnośnie danych przetwarzanych przez nich podczas świadczenia usług?
  4. Poproszę listę Państwa klientów korzystających z systemu helpdeskowego w woj. łodzkim i mazowieckim ponieważ tam korzystam usług ośrodków. Chcę wiedzieć czy szpitale, które przetwarzają moje dane stosują praktyki robienia zrzutów ekranu z danymi wrażliwymi do tego typu systemów jak Państwa helpdesk.
  5. Czy biorąc pod uwagę, że system helpdeskowy tworzyła dla Państwa firma zewnętrzna i jak się domyślam świadczyła usługi wsparcia mieli Państwo z nimi podpisaną przynajmniej umowę o powierzenie danych osobowych? Czy Państwa klienci wiedzieli o tym, że dane udostępniane są jeszcze komuś?

Proszę o pilne odniesienie się do zadanych pytań i potraktowanie sprawy poważnie. Przykro mi, że padło akurat na Państa ale w obliczu RODO temat ochrony tego typu danych jest szczególnie ważny i tego typu sytuacje pokazują jak wiele jeszcze jest w tym zakresie do zrobienia. Także w świadomości użytkowników i usługodawców..

Czekam na odpowiedź.

Zbierając to wszystko nasuwa mi się tylko jedno. Po raz kolejny przerażające jest jak wielka jest niewiedza i nieświadomość wszystkich osób zaangażowanych w tą sytuację.

Po pierwsze użytkowników systemów, co bardziej bolesne podejrzewam, że często także działów IT szpitali. Jak można załączać do systemu helpdeskowego takie dane? Zrozumiałe jest, że w pracy pewne rzeczy robi się na szybko, że problemy muszą być skutecznie rozwiązywane ale kompletnie nie jest to usprawiedliwieniem tego typu działań. Robienie zrzutów z hasłami dostępowymi do VPN itp. pozostawię bez komentarza.

Niestety w tej całej sytuacji nieprofesjonalna jest też postawa firmy udzielającej wsparcia a tłumaczenie się, że system ten robiła firma zewnętrzna jest śmieszne. Poza wszystkim już to właśnie oni powinni zwrócić uwagę swoim klientom na to, że takich rzeczy się robić nie powinno..

Dopóki nie zbudujemy we wszystkich na około świadomości i potrzeby bezpiecznego przetwarzania tego typu danych wszystkie konferencje odnośnie RODO, prawnicze wykłady na ten temat lub nawet próby egzekwowania nie dadzą żadnego efektu. Trzeba zacząć od zupełnych podstaw.

0 Shares:
Dodaj komentarz

Twój adres email nie zostanie opublikowany. Wymagane pola są oznaczone *

You May Also Like

Rusza dofinansowanie opieki koordynowanej w projekcie POZ Plus – czy jest to szansa na rozwój IT w placówkach?

Podziel się

Pomijając zupełnie warunki finansowe podmiotów, które będą mogły ubiegać się o udział w pilotażu (małe placówki z małych miast, miasteczek lub wsi) pierwszą rzeczą, która rzuca się w oczy to wymagania techniczne jakie są przed nimi stawiane i punktowane przy wniosku o dofinansowanie. To szereg mało precyzyjnych wymagań dotyczących systemów informatycznych do przetwarzania dokumentacji medycznej oraz dotyczących bezpieczeństwa przetwarzania danych osobowych i medycznych, które można w obecnym kształcie dość mocno interpretować. Bez jasno określonych wytycznych można spodziewać się nieścisłości w procesie oceny wniosków – na ten moment punkty przyznawane podczas „audytu ex-ante”  będą mogły być przyznawane na podstawie „widzi mi się” członków komisji. Warto także zaznaczyć, że przynajmniej jeden z punktów jest niekoniecznie możliwy do spełnienia. Chodzi o to „Czy świadczeniodawca prowadzi elektroniczną dokumentację medyczną (EDM w rozumieniu przepisów ustawy o systemie w ochronie zdrowia, zgodnie z art. 11 ust. 1 tej ustawy)”. Istnieją bowiem poważne wątpliwości co do tego, czy którykolwiek z istniejących na rynku systemów spełnia to wymaganie biorąc pod uwagę brak centralnego Systemu Informacji Medycznej.

Kolejną sprawą jest to, że dużo i nośnie mówi się o opiece koordynowanej w kontekście projektu POZ Plus w tematach związanych z ułatwieniami komunikacji na styku lekarz-pacjent chociażby poprzez wykorzystanie nowoczesnych narzędzi telemedycznych czy telediagnostycznych. Można było wręcz odnieść wrażenie, że projekt to umożliwi i pozwoli właśnie tym mniejszym podmiotom korzystać z dobrodziejstw telekonsultacji czy telediagnostyki a pacjenci dostaną szansę na korzystanie z różnego rodzaju narzędzi edukujących i wspierających w związku z chorobami przewlekłymi z którymi się borykają. Rzeczywistość jednak wygląda inaczej. Tzw. „grant technologiczny” przyznawany w maksymalnej wersji w kwocie 50 000 zł w trzech na cztery obszary w których można go dostać dotyczy sprawozdawczości związanej z projektem POZ Plus. W czwartym punkcie można będzie otrzymać dofinansowanie na integrację „…z systemami: Zintegrowany Informator Pacjenta (ZIP) i System Informatyczny Monitorowania Profilaktyki (SIMP) w celu pobierania informacji o świadczeniach udzielonych pacjentom objętym opieką koordynowaną”. Tutaj problemy są dwa – po pierwsze nie wiadomo w jakim konkretnie zakresie a po drugie brak jest w tych systemach mechanizmów (tzw. API programistyczne), które umożliwiałyby jakąkolwiek integracje.

Biorąc pod uwagę powyższe oraz inne problemy o których mówi się po pojawieniu się dokumentacji należałoby się zastanowić czy obecny kształt projektu jest właściwym kierunkiem. Na szczęście to tylko pilotaż z którego będzie można wyciągnąć wnioski. I oby finał był szczęśliwy zarówno dla placówek jak i dla pacjentów bo chyba o to w ochronie zdrowia chodzi.

Czy wdrożenie RODO to zadanie IT?

Podziel się

Klienci podczas rozmów bardzo często poruszają tę kwestię, mało tego, często w mniejszych placówkach słyszę, że informatyk się zajmuje RODO. Sprawa nie jest jednak taka prosta i oczywista. Aspekty IT to dość otwarta kwestia w RODO, ponieważ akt nie nakazuje niczego szczególnego. System i dane powinny być odpowiednio zabezpieczone. Należy sobie jednak zdawać sprawę z tego, że warstwa systemów informatycznych to tylko część procesu wdrożenia RODO w organizacji a samo wdrożenie to proces interdyscyplinarny wymagający zaangażowania trzech głównych warstw kompetencyjnych – regulacyjnej, organizacyjno-procesowej i dopiero warstwy systemów i infrastruktury IT.  Warstwa informatyczna jest to istotny, jednakże nie jedyny czynnik, który trzeba przystosować do nowych regulacji. Istotna w tym wymiarze jest także współpraca specjalistów z tych dziedzin tak aby wszystko przebiegło pomyślnie i z korzyścią dla szpitala, przychodni czy innego podmiotu.

Poniżej krótko opisałem ramowe czynności, które są do zrobienia przy wdrażaniu RODO w organizacji z podziałem na wspominane wcześniej obszary.

1. Warstwa regulacyjna:

– analiza konieczności powołania inspektora ochrony danych osobowych

– analiza konieczności prowadzenia rejestru czynności przetwarzania danych osobowych

– ocena legalności przetwarzania danych (podstawy prawnej, celu, zakresu przetwarzania)

– weryfikacja umów powierzenia

– weryfikacja dotychczasowych dokumentów dotyczących ochrony danych osobowych

2. Warstwa organizacyjno-procesowa

– identyfikacja zbiorów danych osobowych w organizacji

– identyfikacja procesów biznesowych przetwarzających dane osobowe

– weryfikacja osób i podmiotów zewnętrznych przetwarzających dane osobowe

– wskazanie kluczowych obszarów ryzyka, niezgodności oraz luk podczas przetwarzania danych w odniesieniu zarówno do procesów jak również dokumentacji biznesowej (polityk, procedur, umów) oraz klienckiej (np. klauzule zgód)

3. Warstwa systemów informatycznych

– obszar zarządzania danymi i procesami:

  • inwentaryzacja danych osobowych i ich jakości w zakresie całego środowiska informatycznego
  • identyfikacja narzędzi i przeprowadzenie działań inwentaryzacyjnych w procesach użytkowników końcowych

– obszar architektury systemów:

  • analiza funkcjonalności systemów informatycznych z uwzględnieniem wymogu anonimizacji i pseudonimizacji danych
  • „privacy by design”
  • analiza realizacji praw podmiotów danych – m.in. do usunięcia, przeniesienia, ograniczenia przetwarzania oraz aktualizacji w systemach informatycznych

– obszar bezpieczeństwa systemów:

  • środki zabezpieczające dane osobowe a istniejące standardy bezpieczeństwa
  • przeprowadzenie oceny wpływu planowanych operacji przetwarzania na prywatność
  • przygotowanie do zgłaszania naruszeń danych osobowych i przygotowanie rejestru czynności przetwarzania

Miłego wdrażania! 🙂

CSIOZ naruszyło przepisy ustawy o ochronie danych osobowych?

Podziel się

Taka ciekawostka.. 23 listopada 2017 r. Prezes Naczelnej Rady Lekarskiej  skierował do Generalnego Inspektora Ochrony Danych Osobowych  pismo dotyczące ochrony danych osobowych lekarzy i lekarzy dentystów gromadzonych w systemie SMK:

“Niniejszym informuję o naruszeniu przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922), do którego doszło 16 listopada 2017 r. poprzez wysłanie przez pracownika Centrum Systemów Informacyjnych Ochrony Zdrowia, dalej „CSIOZ”, do wszystkich okręgowych izb lekarskich oraz do wszystkich urzędów wojewódzkich danych osobowych lekarzy i lekarzy dentystów wygenerowanych z Systemu Monitorowania Kształcenia Pracowników Medycznych, zwanego dalej „SMK”.

W załączeniu przekazuję wydruki wysyłanej przez CSIOZ korespondencji i wskazuję, że rozesłana baza danych obejmowała następujące dane lekarzy i lekarzy dentystów: nr PESEL, imię i nazwisko, nr Prawa Wykonywania Zawodu, nr dokumentu Prawa Wykonywania Zawodu, nr rejestracyjny w izbie lekarskiej. Z treści załączonej wiadomości mailowej wynika, że dane lekarzy zostały przesłane celem weryfikacji ich poprawności. W tym zakresie należy wskazać, że okręgowa izba lekarska ma dostęp tylko do danych osobowych lekarzy i lekarzy dentystów będących jej członkami. Z powyższych względów przesłanie do takiej izby lekarskiej danych osobowych członków innej izby, celem weryfikacji poprawności tych danych, jest nie tylko bezprawne ale również nieracjonalne.
Zgodnie z treścią art. 4a ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (Dz. U. z 2017 r. poz. 125 z późn. zm.), dane zamieszczane w SMK, na podstawie niniejszej ustawy, mogą zostać udostępnione okręgowym izbom lekarskim w zakresie zadań określonych niniejszą ustawą oraz ustawą z dnia 2 grudnia 2009 r. o izbach lekarskich (Dz. U. z 2016 r. poz. 522 z późn. zm.), a wojewodom w zakresie zadań określonych niniejszą ustawą, w szczególności w zakresie procesu szkolenia specjalizacyjnego lekarzy. Powyższe oznacza, że dane z SMK mogą być udostępniane jedynie w zakresie zadań realizowanych przez ww. podmioty.
W świetle powyższego udostępnienie danych osobowych lekarzy i lekarzy dentystów będących członkami jednej okręgowej izby lekarskiej innym izbom lekarskim nie znajduje oparcia w treści art. 4a ustawy. Podobnie nie znajduje podstawy prawnej udostępnienie danych osobowych lekarzy i lekarzy dentystów wszystkim wojewodom. Zgodnie bowiem z treścią art. 16 ust. 1 pkt 1 ustawy lekarz składa, za pomocą SMK, wniosek o odbywanie szkolenia specjalizacyjnego w wybranej dziedzinie medycyny odpowiednio do wojewody właściwego ze względu na obszar województwa, na terenie którego zamierza odbywać szkolenie specjalizacyjne. Nie ma podstaw prawnych aby dane lekarza lub lekarza dentysty zainteresowanego odbywaniem szkolenia specjalizacyjnego na obszarze konkretnego województwa trafiały do wszystkich wojewodów.
Powyższe ponad wszelką wątpliwość wskazuje, że doszło do naruszenia przepisu art. 26 ust. 1 pkt 1 ustawy o ochronie danych osobowych w zw. z art. 4a ustawy o zawodach lekarza i lekarza dentysty, polegającego na przetworzeniu danych osobowych niezgodnie z prawem poprzez udostępnienie danych osobowych podmiotom nieuprawnionym.
Wnoszę o podjęcie stosownych działań w zakresie posiadanych kompetencji, które zapewnią bezpieczeństwo przetwarzanych w SMK danych osobowych lekarzy i lekarzy dentystów. Jednocześnie proszę o informację o podjętych działaniach i poczynionych ustaleniach”.

Źródło: http://www.nil.org.pl/aktualnosci/promobox/bezpieczenstwo-danych-osobowych-lekarzy-i-lekarzy-dentystow-w-systemie-smk?utm_content=buffer1d64d&utm_medium=social&utm_source=facebook.com&utm_campaign=buffer

“RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”

Podziel się

Z przyjemnością informuję, że 20.02.2018 roku będę miał przyjemność opowiedzieć o chmurze na konferencji organizowanej przez Centrum Promocji Informatyki. Wydarzenie odbywa się pod hasłem “RODO W SEKTORZE ŚWIADCZENIA USŁUG ZDROWOTNYCH – PRZETWARZANIE DANYCH WRAŻLIWYCH A NOWE REGULACJE”. Wiadomo, teraz do maja wszędzie RODO 😉

Szczegółowy harmonogram konferencji dostępny jest pod adresem: http://konferencja.com.pl/imprezy/2018/medi/index.php. W razie potrzeby posiadam jeszcze jedną miejscówkę na wydarzenie – proszę o kontakt mailowy.

Jeżeli chodzi o mnie to powiem o chmurze i o tym dlaczego nie powinniśmy się jej bać a nawet wręcz przeciwnie. Chmura i jej zastosowanie w placówkach ochrony zdrowia to w ogóle temat związany z moimi dość intensywnymi działaniami w najbliższych miesiącach ale o tym jeszcze będzie czas, żeby napisać.

Jak ktoś doczytał do tego miejsca to wrzucam jeszcze ramowy plan wystąpienia:

Ochrona danych medycznych w systemach chmurowych:

  • przykłady chmur publicznych,
  • chmura a potrzeby podmiotów medycznych,
  • zabezpieczenia danych medycznych w poszczególnych typach chmur,
  • jak to się robi w USA?
  • czy jest czego się bać?

Zapraszam!

Polityka bezpieczeństwa – wykaz budynków, pomieszczeń

Podziel się

Dzisiaj krótka i łatwa kontynuacja budowania naszej polityki bezpieczeństwa. Mamy zidentyfikowane zbiory danych, przypisane osoby oraz pomieszczenia w których te osoby się znajdują. Teraz, żeby wszystko było w porządku spróbujmy wyłuskać pomieszczenia z poprzedniego przykładu. Czyli np.:

recepcja, gabinet 1, gabinet 2, gabinet 3, sekretariat, sala rehabilitacji 1 .

Zastanówmy się czy to z pewnością wszystkie miejsca? Ułatwi to poniższa tabelka do której dla porządku dopiszmy sobie jeszcze oprogramowanie w których są przetwarzane dane osobowe.

1. Wykaz pomieszczeń, w których przetwarzane są dane osobowe (wskazanie konkretnych nr pomieszczeń) recepcja, gabinet 1, gabinet 2, gabinet 3, sekretariat, sala rehabilitacji 1
2. Wykaz pomieszczeń, w których znajdują się komputery stanowiące element systemu informatycznego recepcja, gabinet 1, gabinet 2, gabinet 3, sekretariat, sala rehabilitacji 1, pomieszczenie informatyka
3. Wykaz pomieszczeń, gdzie przechowuje się wszelkie nośniki informacji zawierające dane osobowe recepcja, gabinet 1, gabinet 2, gabinet 3, sekretariat, sala rehabilitacji 1, serwerownia, archiwum, pomieszczenie informatyka
4. Wykaz pomieszczeń, w których składowane są uszkodzone komputerowe nośniki danych (taśmy, dyski, płyty CD, dyski przenośne, uszkodzone komputery) recepcja, gabinet 1, gabinet 2, gabinet 3, sekretariat, sala rehabilitacji 1, serwerownia, archiwum, pomieszczenie informatyka
5. Wykaz pomieszczeń archiwum pokój nr 6
6. Wykaz programów, w których przetwarzane są dane osobowe Symfonia, Płatnik, PSS

 

7. Wykaz podmiotów zewnętrznych, które mają dostęp do danych osobowych lub je przetwarzają na podstawie podpisanych umów (np. informatyk) – nazwa firmy, imię, nazwisko, adres, funkcja. Firma “Usługi IT” Michał Zieliński

ul. Długa 80, Warszawa

osoby: Michał Zieliński, Łukasz Madejski – informatycy


Usługi księgowe Bożena Słomiana

ul. Niska 100, Skierniewice

osoby: Bożena Słomiana

 

 

 

 

 

To bardziej szczegółowe zestawienie. Tutaj nie do końca interesują nas przetwarzane zbiory danych. Może być tak, że na przykład w danym pomieszczeniu nie są dane zbiory przetwarzane ale mimo wszystko jest tam dostęp (czy to fizyczny czy poprzez system IT) do danych osobowych i medycznych. Na komentarz zasługuje z pewnością punkt 3 w tabeli. Chodzi tutaj o np. szafy z dokumentacją papierową, szafy zawierające komputerowe nośniki informacji z kopiami zapasowymi danych, stacje komputerowe, serwery i inne urządzenia komputerowe. W pkt. 6 nie mamy pomieszczeń tylko oprogramowanie. To także ważne, żeby wiedzieć i mieć świadomość w jakich aplikacjach wrażliwe dane są przetwarzane – chociażby w kontekście zabezpieczeń tych systemów. Uzupełnieniem tego spojrzenia jest wykaz podmiotów zewnętrznych, które czy to w naszej placówce (np. informatyk) czy na zewnątrz (np. biuro księgowe) przetwarzają dane naszych pracowników czy pacjentów.

Ostatnio na jednej z konferencji spotkałem się z prawniczą opinią, że zgodnie z nowymi przepisami RODO posiadanie polityki bezpieczeństwa nie jest konieczne (a do tej pory trzeba było ją mieć jakby ktoś nie wiedział :)) Moim zdaniem nie zmienia to faktu, że jest to dokument niezbędny do uporządkowania miejsc i zasad przetwarzania danych a także ujednolicenia na poziomie firmy poziomów zabezpieczeń i odpowiednich procedur (np. szkolenia pracowników). Powiem inaczej – 100% rzeczy, które powinny znajdować się w Polityce Bezpieczeństwa RODO wymaga. Dlatego przedstawiona opinia mnie poruszyła bo jest to niepotrzebne “zamydlanie oczu” i kolejna komplikacja dla osób odpowiedzialnych za porządek w placówce.

Biorąc pod uwagę powyższe z uporem maniaka będę przedstawiał kolejne aspekty, które taki dokument powinien zawierać.

Read More

Systemy Unified Communication (w chmurze) dla placówek medycznych na przykładzie 3cx w środowisku Azure

Podziel się

Poniedziałek, jesienna aura. Godzina po 9 a praktycznie ciemno. Cały świat wydaje się senny, zamroczony po weekendzie. W niemalże każdego rodzaju placówce medycznej to jednak szczyt, epicentrum zamieszania – kolejka w rejestracji bo przecież w weekend wszyscy się pochorowali, telefony się urywają i nie ma nawet czasu ich odbierać. Pacjenci niezadowoleni, rejestracja zatkana. I tak przynajmniej do południa. Hmm.. a gdyby tak zautomatyzować pewne procesy związane z telefoniczną obsługą pacjenta? Gdyby tak odciążyć rejestrację oraz zwiększyć obieralność telefonów tak, żeby pacjent się aż tak bardzo nie złościł? Tyle się mówi przecież o usprawnieniach w placówkach medycznych o e-receptach i w ogóle wszystkim “e-“. Dlaczego zatem nie zrobić tego także w obsłudze głosowej? To prostsze i bardziej oczywiste niż się wydaje.

W artykule opisałem podstawy funkcjonalności systemów Unified Communication w placówkach medycznych oraz przykładową konfigurację głosowej realizacji e-recepty za pomocą narzędzia Call Flow Designer, którego bardzo często używamy przy wdrożeniach. Zapraszam!

 

“W artykule prezentujemy możliwości wykorzystania systemów unified communication do usprawnienia pracy personelu medycznego oraz procesu obsługi pacjenta. Przedstawiamy również, jak integrację tego typu systemów z rozwiązaniami chmurowymi zrealizować w praktyce.

Systemy unified communications na dobre zagościły wśród standardowych rozwiązań IT w wielu branżach. Są one pomocne nie tylko w procesie usprawniania komunikacji pomiędzy pracownikami i klientami, ale także pozwalają na automatyzację wielu zadań. Nie inaczej jest w branży medycznej, w różnego rodzaju placówkach ochrony zdrowia. W przypadku tego typu działalności mamy do czynienia z ciągłym kontaktem z pacjentem – nie tylko bezpośrednim, ale także telefonicznym, a ostatnio coraz częściej także zdalnym poprzez mechanizmy pozwalające na zdalne konsultacje.

W jakim zakresie systemy unified communication mogą usprawnić pracę personelu medycznego i procesy obsługi pacjenta, ułatwiając zarządzanie całym systemem IT w tego typu podmiotach? W jaki sposób zintegrować je z rozwiązaniami chmurowymi? Odpowiedzi na te pytanie przedstawimy na przykładzie systemu 3cx, który oferuje możliwość integracji z wieloma dostawcami usług typu cloud computing, m.in. z Microsoft Azure. Argumentem przemawiającym za wykorzystaniem tego właśnie oprogramowania jest to, że każdy z czytelników może samodzielnie sprawdzić jego funkcjonalność zupełnie za darmo, korzystając z bezpłatnego, 30-dniowego okresu próbnego na usługi Azure (z limitem kwotowym niemal 200 dolarów), oraz darmowej wersji systemu 3CX (w pierwszym roku użytkowania, w wersji Standard, do 16 jednoczesnych połączeń). Warto wiedzieć, że 3cx jest rozwiązaniem bardzo często wybieranym przez placówki medyczne, głównie ze względu na łatwość konfiguracji i wspomniane możliwości integracji.

> Definicja i sposoby wykorzystania

Jednolitą komunikację (unified communications) określa się jako proces, w którym wszystkie środki komunikacji, urządzenia i media są zintegrowane, pozwalając użytkownikom pozostawać ze sobą w kontakcie w czasie rzeczywistym bez względu na miejsce pobytu.

W środowisku takim jak szpital lub nawet mała przychodnia tego typu możliwości są bardzo przydatne zarówno z punktu widzenia pacjentów, jak i personelu. Oto lista funkcji, z których możemy skorzystać:

  • chat pomiędzy personelem – pracownicy mogą komunikować się ze sobą, korzystając z klientów na telefony komórkowe lub komputery stacjonarne, dzięki czemu komunikacja staje się szybsza i efektywniejsza;
  • komunikaty głosowe – pozwalają na znaczną oszczędność czasu personelu. Często zdarzają się sytuacje, w których pacjenci dzwonią w sprawach oczywistych, np. próbując sprawdzić godziny otwarcia placówki. Tego typu informacje można zawrzeć w komunikatach głosowych, pojawiających się np. na początku połączenia. Dodatkową zaletą tego typu rozwiązania jest brak sygnału zajętości tuż po wybraniu numeru placówki, który działa deprymującego na pacjentów;
  • kolejki dzwoniących – funkcja pozwalająca uporządkować połączenia przychodzące do placówki i przekierować je do konkretnych osób, które zajmują się zapisami do danych specjalistów czy też udzielają określonych porad;
  • IVR (Interactive voice response) – funkcja, którą można określić jako „interaktywna obsługa pacjenta”. Dzięki IVR możliwe jest „sterowanie” rozmową przez pacjenta w celu otrzymania konkretnych informacji, wywoływania konkretnych akcji lub np. uzyskania połączenia w konkretnej sprawie – do rejestracji czy do laboratorium, gdzie pacjent może sprawdzić status wyników swoich badań. Funkcja ta zyskuje na znaczeniu szczególnie w świetle projektu e-zwolnień lekarskich, które od wakacji będą jedynym sposobem przekazywania informacji o zwolnieniach, zastępując druk L-4, a także w kontekście trwającego pilotażu wdrożenia recept elektronicznych (e-recept);
  • nagrywanie i archiwizacja rozmów – dzięki tej funkcji możemy tworzyć archiwum, pozwalające na odtworzenie nagrań w przypadku wątpliwości dotyczących udzielanych informacji;
  • eliminacja nieobsłużonych połączeń – (w omawianym systemie 3CX zrealizowana np. za pomocą funkcji CallBack) – jeśli pacjent z powodu zbyt długiego oczekiwania zainicjował prośbę o oddzwonienie, otrzyma telefon zwrotny zaraz po zakończeniu rozmowy przez pierwszego wolnego konsultanta;
  • wideokonferencje – używane pomiędzy oddziałami placówek albo lekarzami różnych specjalności do omówienia danego przypadku lub też do komunikacji pomiędzy lekarzem a pacjentem. Dodając do tego możliwość załączenia dokumentów czy prezentowania treści, uzyskamy jednolitą platformę wymiany informacji;
  • raporty – dla osób zarządzających placówką to nie tylko możliwość zliczania połączeń przychodzących od pacjentów, ale również szczegółowe statystyki czasu trwania poszczególnych rozmów, nawet zapis powodów nawiązania połączenia (np. umówienie wizyty, uzyskanie informacji o dostępności danego specjalisty itp.), a także narzędzie do oceny wydajności pracy placówki medycznej.

> Tworzymy system UC

Aby poprawnie wdrożyć środowisko zintegrowane, musimy posiadać aktywną subskrypcję Azure. Pominiemy tu opis czynności koniecznych do jej założenia, gdyż proces ten jest prosty, szybki i nie wymaga komentarza. Do dalszych działań będziemy potrzebować identyfikatora aktywnej subskrypcji Azure. Aby go pobrać, przechodzimy do menu Cost Management + Billing (rys. 2.), gdzie do naszej dyspozycji dostępna jest lista subskrypcji, z której możemy skopiować interesujący nas identyfikator.

Następnie udajemy się na stronę 3cx.com, wybieramy opcję Try i wypełniamy formularz rejestracyjny.

Po poprawnym wykonaniu operacji zostaniemy przekierowani na stronę, na której znajdziemy pliki z oprogramowaniem dla różnych systemów operacyjnych, wersje klientów oraz dokumentację. Pocztą elektroniczną zostanie do nas wysłany odsyłacz weryfikujący, po kliknięciu którego otrzymujemy informację o poprawności wykonania procesu oraz o możliwych do zainicjowania akcjach. […]”

 

źródło:  Artykuł pochodzi z czasopisma „IT Professional” nr 06/2018.

(http://www.it-professional.pl/archiwum/art,8023,zunifikowana-komunikacja-w-placowkach-medycznych.html)