Dofinansowanie NFZ na informatyzację POZ – szczegóły

Podziel się

Zgodnie z zamieszczonym 6 listopada Zarządzaniem Prezesa NFZ “w sprawie warunków rozliczania środków pochodzących z dotacji celowej z budżetu państwa na dofinansowanie zakupu urządzeń informatycznychi oprogramowania oraz kosztów niezbędnego szkolenia świadczeniodawców” możliwe stało się ubieganie o zwrot kosztów na informatyzację. Proces obwarowany jest kilkoma wymogami a maksymalna kwota zwrotu o jaką można się ubiegać to 3500 zł na “stanowisko lekarza”, maksymalnie na 4 stanowiska w placówce. Po Polsku – maksymalnie 14000 zł.

Pierwotnie pieniądze  były “konkretnie” na:

  • wydatki poniesione przez świadczeniodawców na zakup urządzeń informatycznych i oprogramowania oraz niezbędnego szkolenia świadczeniodawcy w 2018 r., pod warunkiem, że zostały sfinansowane ze środków własnych świadczeniodawcy, przed złożeniem wniosku o udzielenie dofinansowania
  • wydatki poniesione przez świadczeniodawców na szkolenia z zakresu kompetencji cyfrowych osób wystawiających zaświadczenia lekarskie i osób upoważnionych do wystawiania takich zaświadczeń

W związku z wieloma zapytaniami i niezgodnościami co do możliwości zwrotu poniesionych kosztów NFZ opublikował wczoraj komunikat dla świadczeniodawców POZ ubiegających się o dofinansowanie informatyzacji ze środków pochodzących z dotacji celowej z budżetu państwa gdzie precyzyjniej wskazano co autor w pierwotnym zarządzaniu miał na myśli. Cytując źródło:

“W związku z licznymi pytaniami kierowanymi do Narodowego Funduszu Zdrowia w zakresie prawidłowej kwalifikacji urządzeń informatycznych i oprogramowania do dofinansowania ze środków z dotacji celowej z budżetu państwa Narodowy Fundusz Zdrowia uprzejmie informuje:

Urządzenia informatyczne to:

  • maszyny przenośne do automatycznego przetwarzania danych o masie do 10 kg, tj.: laptopy, notebooki,
  • komputery kieszonkowe (np. notesy komputerowe) i podobne,
  • maszyny do automatycznego przetwarzania danych w formie systemów,
  • pozostałe maszyny do automatycznego przetwarzania danych, zawierające lub nie w tej samej obudowie jedno lub dwa urządzenia następującego typu: urządzenia pamięci, urządzenia wejścia i wyjścia,
  • urządzenia peryferyjne wyjścia (klawiatura, mysz itp.),
  • skanery (z wyłączeniem urządzeń wielofunkcyjnych zawierających drukarkę, skaner, kopiarkę i/lub faks),
  • drukarki atramentowe używane z urządzeniami do przetwarzania danych,
  • drukarki laserowe używane z urządzeniami do przetwarzania danych,
  • pozostałe drukarki używane z urządzeniami do przetwarzania danych,
  • jednostki wykonujące co najmniej dwie z następujących funkcji: drukowanie, skanowanie, kopiowanie, faksowanie,
  • pozostałe peryferyjne urządzenia wejścia lub wyjścia,
  • urządzenia pamięci do nieruchomych nośników informacji,
  • urządzenia pamięci do ruchomych nośników informacji,
  • pozostałe jednostki do maszyn do automatycznego przetwarzania danych,
  • części i akcesoria do maszyn liczących,
  • półprzewodnikowe urządzenia pamięci trwałej.

Oprogramowanie to:

  • systemy operacyjne
  • programy użytkowe (aplikacje) wykorzystywane do obsługi poradni,
  • oprogramowanie zabezpieczające właściwe oprogramowanie wykorzystywane do obsługi poradni (antywirus, firewall, itp.)”

Sprawa zatem powinna się bardziej rozjaśnić (podejrzewam, że dla obu stron). I nie czepiajmy się nomenklatury: “maszyny przenośne do automatycznego przetwarzania danych o masie do 10 kg, tj.: laptopy, notebooki” 🙂

Odpowiadając na pytania Klientów – tak – wdrożenie naszego rozwiązania usprawniającego pracę recepcji i koordynację kontaktu z pacjentem (3cx) zgodnie z zamieszczonym uszczegółowieniem “łapie się” do tego dofinansowania.

Miłego weekendu!

0 Shares:
47 comments
  1. Pingback: viagra online
  2. Pingback: levitra coupon
  3. Pingback: viagra 100mg
  4. Pingback: cialis
  5. Pingback: tadalafil 20 mg
  6. Pingback: viagra
  7. Pingback: essay helpers
  8. Pingback: essayhelpbgs.com
  9. Pingback: buy thesis online
  10. Pingback: order cialis
  11. Pingback: generic cialis
  12. Pingback: viagra ingredients
  13. Pingback: pfizer viagra
  14. Pingback: viagra
  15. Pingback: cialis on sale
  16. Pingback: cialis tinnitus
  17. Pingback: Danazol
Dodaj komentarz

Twój adres email nie zostanie opublikowany. Wymagane pola są oznaczone *

You May Also Like

Elektroniczna Dokumentacja Medyczna – podstawowe zasady przetwarzania obowiązujące wszystkich – czy się chce czy nie

Podziel się

 

No właśnie.. RODO, GIODO, ABI, IOD, wytyczne CSIOZ odnośnie przetwarzania danych medycznych, dziesiątki przepisów, ustaw, rozporządzeń dotyczących definicji danych osobowych, danych medycznych i kwestii ich prawidłowego przetwarzania, różne interpretacje – jednym słowem nie wiadomo czym się kierować w przypadku chęci prawidłowego podejścia do tematu. Spróbujmy wyłuskać z powyższego absolutne must have dla wszystkich przetwarzających dane medyczne.

A co to tak właściwie są te dane medyczne? Niestety w Polskim prawodawstwie, jak to często bywa jest kilka nieścisłości w kwestii prawidłowego uszeregowania danych medycznych w kontekście danych osobowych itp. Na szczęście nie jest to blog prawniczy, bo te kwestie wydają się nierozstrzygalne i są często kwestią interpretacji. Szczegółowe informacje na ten temat można znaleźć chociażby tutaj . Na nasze potrzeby – nazwijmy je organizacyjno-informatycznymi, przyjmijmy, że dane medyczne są danymi osobowymi o charakterze wrażliwym. I z takim przeświadczeniem powinniśmy je przetwarzać.

I tutaj trzeba zacząć od RODO – tak, trzymajmy się tej wersji bo na nią trzeba być przygotowanym – od 25 maja 2018 będzie obowiązywało wszystkich. Co to jest RODO? RODO czyli GDPR, zwane także „Ogólnym Rozporządzeniem o Ochronie Danych” to Rozporządzenie Parlamentu Europejskiego i Rady (UE)2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Nie możemy zapomnieć także o UODO ponieważ dokument ten nakłada na podmioty przetwarzające tego typu dane liczne zobowiązania, które należy uwzględnić podczas projektowania systemów informatycznych mających przetwarzać dane osobowe w tym dane wrażliwe.

Idąc od najwyższego poziomu abstrakcji Art. 5 ust. RODO wskazuje na sześć podstawowych zasad przetwarzania danych osobowych:

1. Zasada zgodności z prawem, rzetelności i przejrzystości przetwarzania – w skrócie oznacza ona, że podmiot przetwarzający zawsze i na każdym etapie
przetwarzania danych jest zobowiązany dbać o interesy osoby, której dane dotyczą

2. Zasada ograniczoności celu – dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach

3. Zasada minimalizacji danych – przetwarzane dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Nie wolno zbierać i przetwarzać danych, które nie są niezbędne do osiągnięciu celu przetwarzania i są w stosunku do niego nadmiarowe. Czyli w przypadku danych medycznych numer buta nie jest nam potrzebny 🙂

4. Zasada prawidłowości – przetwarzane dane osobowe muszą być prawidłowe i w razie potrzeby uaktualniane – wydaje się oczywiste ale niech rzuci kamieniem ten, który jest bez winy. Dbanie o aktualność danych jest zawsze zmorą w organizacjach.

5. Zasada ograniczoności przechowywania – dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. To jest bardzo ciekawe zagadnienie, które mam nadzieje będzie jeszcze okazja poruszyć. Ciekawa ponieważ jednocześnie mając na uwadze zapisy art. 25 ust. 1 oraz art. 32 ust. 1 RODO w zakresie uwzględniania ochrony danych w fazie projektowania oraz domyślnej ochrony danych i
bezpieczeństwa przetwarzania, placówka medyczna prowadząca dokumentację w postaci elektronicznej powinna zorganizować sposób gromadzenia informacji w taki sposób, aby nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji pod warunkiem, że informacje te są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi
ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Trochę się to wyklucza ale to zagadnienie (dotyczące pseudonimizacji) to temat na oddzielny wpis.

Co trzeba zrobić, żeby to spełniać? Oczywiście niezależnie od tego czy przetwarzamy dane w praktyce lekarskiej, małej przychodni, większej placówce chociażby specjalistycznej czy szpitalu. Obowiązek ten wymusza sam fakt przetwarzania danych.

 

1. Powołanie IOD (Inspektora Ochrony Danych) w starej nomenklaturze (jeszcze obowiązującej ) to mniej więcej ABI (Administrator Bezpieczeństwa Informacji).

 

Administrator danych może nie powoływać takiego kogoś – wtedy sam przejmuje jego obowiązki. Jeżeli jest to osoba zatrudniona w danej placówce powinna ona mieć to wpisane w zakres obowiązków, w przypadku gdy zdecydujemy się powierzyć tę rolę osobie/firmie zewnętrznej potrzebujemy umowy powierzenia.

 

2. Identyfikacja wszystkich osób, które przetwarzają dane osobowe

 

Osoby te powinny otrzymać upoważnienia do przetwarzania danych osobowych zgodnie z art. 37 UODO, jednocześnie powinny zostać zapoznane z przepisami o ochronie danych osobowych. Zapoznanie z przepisami powinno zostać potwierdzone przez pracownika upoważnianego stosownym oświadczeniem a oświadczenie to powinno zostać dołączone do akt osobowych pracownika zgodnie z art. 36a ust. 2 pkt 1 lit. c UODO a od 2018 r zgodnie z art. 39 ust. 1 pkt a i b  RODO. Wszystkie osoby, które zostały upoważnione i dopuszczone do przetwarzania danych osobowych, powinny zostać zobowiązane do zachowania danych oraz sposobu ich zabezpieczenia w tajemnicy jednocześnie zapewniając spisanie potwierdzenia takiego zobowiązania oraz dołączenia go do akt pracowniczych (art. 39 ust. 2 UODO).

 

3. Ustalenie procedur mających na celu cykliczne sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych

 

Sprawdzenia takiego dokonuje nasz Inspektor Ochrony Danych. Najpierw musi on jednak ustalić plan sprawdzeń obejmujących minimalnie kwartał a maksymalnie rok – w tym okresie musi odbyć się co najmniej jedna taka analiza.

 

Powinna ona obejmować 4 elementy:

 

  • inwentaryzację zbiorów
  • sprawdzenie, czy są realizowane obowiązki z ustawy o ochronie danych osobowych UODO,
  • sprawdzenie, czy zbiory i systemy przetwarzające dane osobowe są odpowiednio
    zabezpieczone,
  • weryfikacja i aktualizacja dokumentacji z zakresu ochrony danych osobowych oraz weryfikacja przestrzegania zasad i procedur w niej zawartych.

Procedura ta składa się z przepisów zawartych w UODO oraz w Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych
(Dz.U. 2004 r. Nr 100 poz. 1024). Trochę tego jest, dlatego tutaj sczegóły odpuszczam – w razie potrzeby proszę pytać.

Należy pamiętać, że trzeba prowadzić sprawozdania z wykonywania tych czynności.

4. Opracowanie polityki bezpieczeństwa ochrony danych osobowych

Musi ona zawierać:

  • wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe
  • wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych
  • opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi
  • sposób przepływu danych pomiędzy poszczególnymi systemami
  • określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

4. Opracowanie instrukcji zarządzania systemami informatycznymi zawierająca w szczególności:

  •  procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności
  • stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem
  • procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu
  • procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania
  • sposób, miejsce i okres przechowywania: elektronicznych nośników informacji zawierających dane osobowe, kopii zapasowych
  • sposób zabezpieczenia systemu informatycznego przed działalnością oprogramowania, którego celem jest uzyskanie nieuprawnionego dostępu do systemu informatycznego
  • sposób realizacji wymogów w zakresie odnotowywania przez system informacji o odbiorcach,w rozumieniu art. 7 pkt 6 UODO, którym dane osobowe zostały udostępnione, dacie i 50 zakresie tego udostępnienia, chyba że system informatyczny używany jest do przetwarzania danych zawartych w zbiorach jawnych
  • sposób realizacji wymogów w zakresie odnotowywania przez system informacji o odbiorcach, w rozumieniu art. 7 pkt 6 UODO, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia
  • procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.

5. Bezpieczeństwo fizyczne w obszarach przetwarzania danych osobowych i wrażliwych

Na podstawie przeprowadzonej analizy ryzyka i planu postępowania z ryzykiem, których obowiązek przeprowadzenia wynika z art. 36 ust. 1 UODO każdy podmiot ma obowiązek wdrożenia odpowiednich środków bezpieczeństwa. W związku z tym w zakresie ochrony fizycznej należy rozważyć wyznaczenie obszarów bezpiecznych oraz podział na strefy w zależności od ich dostępności zarówno dla personelu, jak i pacjentów oraz przedstawicieli podmiotów współpracujących.

Podział na strefy umożliwia dobór stosowanych zabezpieczeń fizycznych (np. identyfikatory osobowe, system kontroli dostępu, zarządzanie kluczami tradycyjnymi oraz elektronicznymi w postaci kart dostępu, system monitorowania wizyjnego, systemy przeciwwłamaniowe,, zabezpieczenie okien i drzwi, służba ochrony całodobowa lub po godzinach pracy, systemy przeciwpożarowe lub gaśnice, klimatyzacja, czujniki temperatury i wilgotności.

6. Wdrożenie Systemu Zarządzania Bezpieczeństwem informacji

System ten w telegraficznym skrócie zbiera wszystko co powyżej, identyfikuje zagrożenia związane z przetwarzaniem danych oraz tworzy plan postępowania z ryzykiem i politykę zarządzania incydentami bezpieczeństwa.

Mniej więcej tyle trzeba mieć na początek. A właściwie inaczej – teraz można przejść do wybierania odpowiedniego dla nas modelu przetwarzania danych informatycznych bo wszystkie formalności i organizację pracy mamy załatwione. Szczerze mówiąc sam zebrałem to do kupy w jednym miejscu po raz pierwszy i widzę, że jest tego sporo i sporo rzeczy wymaga uszczegółowienia i głębszej analizy. Będziemy nad tym pracować 😉

Źródła:

  1. Ustawa o Ochronie danych osobowych 
  2. Rekomendacje Centrum Systemów Informacyjnych Ochrony Zdrowia w zakresie bezpieczeństwa oraz rozwiązań technologicznych stosowanych podczas przetwarzania dokumentacji medycznej w postaci elektronicznej
  3. Sylwia Czub – blog
  4. Ochrona danych medycznych – bartakalinski.pl
  5. Ustawa z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz.U. z 2016r. poz. 1535)
  6. Rozporządzenie Rady Ministrów z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji w postaci elektronicznej oraz minimalnych wymagań dla systemów teleinformatycznych (Dz.U. 2016 r. poz. 113)
  7. Rozporządzenie Ministra Cyfryzacji z dnia 5 października 2016 r. w sprawie zakresu i warunków korzystania z elektronicznej platformy usług administracji publicznej (Dz.U.2016 poz. 1626)
  8. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 25 lutego 2016 r. w sprawie rodzajów, zakresu i wzorów oraz sposobu przetwarzania dokumentacji medycznej w podmiotach leczniczych utworzonych przez ministra właściwego do spraw wewnętrznych (Dz.U. 2016 poz. 249)
  9. Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/680 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych i wykonywania kar, w sprawie swobodnego przepływu takich danych oraz uchylająca decyzję ramową Rady 2008/977/WSiSW
  10. Norma PN-EN 13609-1:2007 Informatyka w ochronie zdrowia
Read More

Systemy Unified Communication (w chmurze) dla placówek medycznych na przykładzie 3cx w środowisku Azure

Podziel się

Poniedziałek, jesienna aura. Godzina po 9 a praktycznie ciemno. Cały świat wydaje się senny, zamroczony po weekendzie. W niemalże każdego rodzaju placówce medycznej to jednak szczyt, epicentrum zamieszania – kolejka w rejestracji bo przecież w weekend wszyscy się pochorowali, telefony się urywają i nie ma nawet czasu ich odbierać. Pacjenci niezadowoleni, rejestracja zatkana. I tak przynajmniej do południa. Hmm.. a gdyby tak zautomatyzować pewne procesy związane z telefoniczną obsługą pacjenta? Gdyby tak odciążyć rejestrację oraz zwiększyć obieralność telefonów tak, żeby pacjent się aż tak bardzo nie złościł? Tyle się mówi przecież o usprawnieniach w placówkach medycznych o e-receptach i w ogóle wszystkim “e-“. Dlaczego zatem nie zrobić tego także w obsłudze głosowej? To prostsze i bardziej oczywiste niż się wydaje.

W artykule opisałem podstawy funkcjonalności systemów Unified Communication w placówkach medycznych oraz przykładową konfigurację głosowej realizacji e-recepty za pomocą narzędzia Call Flow Designer, którego bardzo często używamy przy wdrożeniach. Zapraszam!

 

“W artykule prezentujemy możliwości wykorzystania systemów unified communication do usprawnienia pracy personelu medycznego oraz procesu obsługi pacjenta. Przedstawiamy również, jak integrację tego typu systemów z rozwiązaniami chmurowymi zrealizować w praktyce.

Systemy unified communications na dobre zagościły wśród standardowych rozwiązań IT w wielu branżach. Są one pomocne nie tylko w procesie usprawniania komunikacji pomiędzy pracownikami i klientami, ale także pozwalają na automatyzację wielu zadań. Nie inaczej jest w branży medycznej, w różnego rodzaju placówkach ochrony zdrowia. W przypadku tego typu działalności mamy do czynienia z ciągłym kontaktem z pacjentem – nie tylko bezpośrednim, ale także telefonicznym, a ostatnio coraz częściej także zdalnym poprzez mechanizmy pozwalające na zdalne konsultacje.

W jakim zakresie systemy unified communication mogą usprawnić pracę personelu medycznego i procesy obsługi pacjenta, ułatwiając zarządzanie całym systemem IT w tego typu podmiotach? W jaki sposób zintegrować je z rozwiązaniami chmurowymi? Odpowiedzi na te pytanie przedstawimy na przykładzie systemu 3cx, który oferuje możliwość integracji z wieloma dostawcami usług typu cloud computing, m.in. z Microsoft Azure. Argumentem przemawiającym za wykorzystaniem tego właśnie oprogramowania jest to, że każdy z czytelników może samodzielnie sprawdzić jego funkcjonalność zupełnie za darmo, korzystając z bezpłatnego, 30-dniowego okresu próbnego na usługi Azure (z limitem kwotowym niemal 200 dolarów), oraz darmowej wersji systemu 3CX (w pierwszym roku użytkowania, w wersji Standard, do 16 jednoczesnych połączeń). Warto wiedzieć, że 3cx jest rozwiązaniem bardzo często wybieranym przez placówki medyczne, głównie ze względu na łatwość konfiguracji i wspomniane możliwości integracji.

> Definicja i sposoby wykorzystania

Jednolitą komunikację (unified communications) określa się jako proces, w którym wszystkie środki komunikacji, urządzenia i media są zintegrowane, pozwalając użytkownikom pozostawać ze sobą w kontakcie w czasie rzeczywistym bez względu na miejsce pobytu.

W środowisku takim jak szpital lub nawet mała przychodnia tego typu możliwości są bardzo przydatne zarówno z punktu widzenia pacjentów, jak i personelu. Oto lista funkcji, z których możemy skorzystać:

  • chat pomiędzy personelem – pracownicy mogą komunikować się ze sobą, korzystając z klientów na telefony komórkowe lub komputery stacjonarne, dzięki czemu komunikacja staje się szybsza i efektywniejsza;
  • komunikaty głosowe – pozwalają na znaczną oszczędność czasu personelu. Często zdarzają się sytuacje, w których pacjenci dzwonią w sprawach oczywistych, np. próbując sprawdzić godziny otwarcia placówki. Tego typu informacje można zawrzeć w komunikatach głosowych, pojawiających się np. na początku połączenia. Dodatkową zaletą tego typu rozwiązania jest brak sygnału zajętości tuż po wybraniu numeru placówki, który działa deprymującego na pacjentów;
  • kolejki dzwoniących – funkcja pozwalająca uporządkować połączenia przychodzące do placówki i przekierować je do konkretnych osób, które zajmują się zapisami do danych specjalistów czy też udzielają określonych porad;
  • IVR (Interactive voice response) – funkcja, którą można określić jako „interaktywna obsługa pacjenta”. Dzięki IVR możliwe jest „sterowanie” rozmową przez pacjenta w celu otrzymania konkretnych informacji, wywoływania konkretnych akcji lub np. uzyskania połączenia w konkretnej sprawie – do rejestracji czy do laboratorium, gdzie pacjent może sprawdzić status wyników swoich badań. Funkcja ta zyskuje na znaczeniu szczególnie w świetle projektu e-zwolnień lekarskich, które od wakacji będą jedynym sposobem przekazywania informacji o zwolnieniach, zastępując druk L-4, a także w kontekście trwającego pilotażu wdrożenia recept elektronicznych (e-recept);
  • nagrywanie i archiwizacja rozmów – dzięki tej funkcji możemy tworzyć archiwum, pozwalające na odtworzenie nagrań w przypadku wątpliwości dotyczących udzielanych informacji;
  • eliminacja nieobsłużonych połączeń – (w omawianym systemie 3CX zrealizowana np. za pomocą funkcji CallBack) – jeśli pacjent z powodu zbyt długiego oczekiwania zainicjował prośbę o oddzwonienie, otrzyma telefon zwrotny zaraz po zakończeniu rozmowy przez pierwszego wolnego konsultanta;
  • wideokonferencje – używane pomiędzy oddziałami placówek albo lekarzami różnych specjalności do omówienia danego przypadku lub też do komunikacji pomiędzy lekarzem a pacjentem. Dodając do tego możliwość załączenia dokumentów czy prezentowania treści, uzyskamy jednolitą platformę wymiany informacji;
  • raporty – dla osób zarządzających placówką to nie tylko możliwość zliczania połączeń przychodzących od pacjentów, ale również szczegółowe statystyki czasu trwania poszczególnych rozmów, nawet zapis powodów nawiązania połączenia (np. umówienie wizyty, uzyskanie informacji o dostępności danego specjalisty itp.), a także narzędzie do oceny wydajności pracy placówki medycznej.

> Tworzymy system UC

Aby poprawnie wdrożyć środowisko zintegrowane, musimy posiadać aktywną subskrypcję Azure. Pominiemy tu opis czynności koniecznych do jej założenia, gdyż proces ten jest prosty, szybki i nie wymaga komentarza. Do dalszych działań będziemy potrzebować identyfikatora aktywnej subskrypcji Azure. Aby go pobrać, przechodzimy do menu Cost Management + Billing (rys. 2.), gdzie do naszej dyspozycji dostępna jest lista subskrypcji, z której możemy skopiować interesujący nas identyfikator.

Następnie udajemy się na stronę 3cx.com, wybieramy opcję Try i wypełniamy formularz rejestracyjny.

Po poprawnym wykonaniu operacji zostaniemy przekierowani na stronę, na której znajdziemy pliki z oprogramowaniem dla różnych systemów operacyjnych, wersje klientów oraz dokumentację. Pocztą elektroniczną zostanie do nas wysłany odsyłacz weryfikujący, po kliknięciu którego otrzymujemy informację o poprawności wykonania procesu oraz o możliwych do zainicjowania akcjach. […]”

 

źródło:  Artykuł pochodzi z czasopisma „IT Professional” nr 06/2018.

(http://www.it-professional.pl/archiwum/art,8023,zunifikowana-komunikacja-w-placowkach-medycznych.html)

Nowe wytyczne CSIOZ

Podziel się

Na stronie CSIOZ pojawił się nowy dokument: “Rekomendacje CSIOZ w zakresie bezpieczeństwa oraz rozwiązań technologicznych stosowanych podczas przetwarzania dokumentacji medycznej w postaci elektronicznej”. Otrzymałem tym samym informacje, że “Wytyczne, zasady i rekomendacje dla usługodawców w zakresie budowy i stosowania systemu bezpiecznego przetwarzania elektronicznej dokumentacji medycznej”  (ostatnia aktualizacja marzec 2017) są nieaktualne. O tyle dobrze się składa, że miałem brać się za analizę i pod tym kątem ustawiać wpisy na blogu. Teraz będzie to miało miejsce dla najnowszego dokumentu, który jest już zrobiony z myślą o RODO, także można przewidywać, że będzie aktualny dłużej niż jego poprzednicy.

 

Dokument i załączniki znajdziecie na stronie: https://www.csioz.gov.pl/edm/

 

W jaki sposób uruchomić darmowy system wideokonferencyjny w placówce medycznej? część 1

Podziel się

Ścieżek pewnie jest wiele, przedstawię jedną z nich. Na przykładzie bardzo ostatnio popularnego wśród placówek medycznych systemu typu Unified Communications3cx . A co to w ogóle jest i w jakim celu nam to jest potrzebne?

To bardzo dobre pytanie. Systemy tego typu to połączenie systemów VOiP (w dużym skrócie – telekomunikacyjnych) oraz wszystkich innych funkcjonalności związanych z poprawą komunikacji w organizacji. Jednolitą komunikację definiuje się jako proces, w którym wszystkie środki komunikacji, urządzenia i media są zintegrowane, pozwalając użytkownikom pozostawać ze sobą w kontakcie w czasie rzeczywistym bez względu na miejsce pobytu. Celem jednolitej komunikacji jest optymalizacja procedur biznesowych i ułatwienie komunikacji międzyludzkiej dzięki upraszczaniu procesów. A

le po co nam to w placówce medycznej ktoś zapyta? Jak to po co? 🙂 To idealne narzędzie zapewniające optymalizację wielu problemów z komunikacją na linii placówka-lekarz, rejestracja-pacjent, pacjent-lekarz . W dobie legislacji dążącej do ułatwień związanych z telekonsultacjami oraz tematami związanymi z opieką koordynowaną tego typu rozwiązania to idealne narzędzia do komunikacji. Tym bardziej, że umożliwiają także bezpieczną wymianę dokumentów, czy przeprowadzanie prezentacji.

Nie będę jednak w tym wpisie zajmował się roztrząsaniem wszystkich funkcjonalności tego typu systemów i możliwości wykorzystania w naszych placówkach, zostawię to na później. Dziś skupię się na pokazaniu w jaki sposób postawić sobie w pełni działający system.

Licencjonowanie i wymagania sprzętowe

Licencjonowanie produktu jest możliwe na dwa sposoby. Z jednej strony można wykupić licencję roczną, z drugiej licencje wieczystą. W tym drugim przypadku jednak darmowe wsparcie mamy na rok. Później trzeba je komercyjnie przedłużyć. W obu wspomnianych przypadkach cena  licencji jest zależna od dwóch rzeczy:

– liczby jednoczesnych połączeń – zarówno wewnętrznych jak i zewnętrzne

– wersji oprogramowania. Mamy do wyboru trzy. Standard, Professional oraz Enterprise. Do wideokonferencji wystarczy Standard i na ten moment na tym poprzestańmy. Jakby ktoś chciał więcej info o różnicach pomiędzy wersjami to może sobie poczytać tutaj: https://www.3cx.com/phone-system/edition-comparison/ .

Producent oprogramowania 3cx oferuje darmową licencje w wersji Standard do 16 jednoczesnych połączeń na 1 rok. Po roku licencja ta zostaje darmowa (w przypadku gdy nie opłacimy jej przedłużenia), zmienia się tylko ilość jednoczesnych połączeń – jest zmniejszana do 4. Co dla nas (biorąc pod uwagę temat wpisu) najważniejsze – w tym rodzaju licencji mamy funkcjonalność wideokonferencji do 25 jednoczesnych uczestników. Wykorzystajmy to zatem!

Aha.. jeszcze wymagania sprzętowe.. Tutaj mamy dwie drogi. Jedna z nich to instalacja naszego serwera 3cx na którejś z maszyn w naszej placówce. Dostępna jest wersja dla Windowsa i Linuxa. Wymagania nie są bardzo wyżyłowane. Zgodnie z dokumentację w wersji do 16 jednoczesnych połączeń to:

CPU Intel® Core™ i3-3210 Processor (3M Cache, 3.20 GHz)
Memory 2 GB
HDD SATA 30GB
Can be Virtualized Yes
NETWORK 100/1000 Mbit/s

Więcej szczegółów odnośnie wymagań sprzętowych i konkretnych wersji systemów operacyjnych, które są wpierane znajdziecie na https://www.3cx.com/docs/recommended-hardware-specifications-for-3cx/ oraz https://www.3cx.com/docs/supported-operating-systems/ .

System możemy zainstalować lokalnie lub wykorzystać swoje konto w chmurze publicznej. 3cx jest kompatybilny z następującymi dostawcami:

– Google Cloud

– OVH

– AWS

– 1&1

lub z każdym innym wspierającym protokół OpenStack API w wersji 2.0. Przez kompatybilność rozumiem, że cała potrzebna do utworzenia instancji serwera infrastruktura tworzy się automatycznie. Nasza rola ogranicza się do podania dostawcy chmury u którego mamy konto oraz do wybrania po jego stronie parametrów maszyn wirtualnych, które chcemy wykorzystać do instalacji.

Instalacja systemu

Instalację zaczynami od wejścia na stronę www.3cx.com do zakładki Try. Wypełniamy  tam swoje dane i klikamy Submit & Download . Number of extensions jest to orientacyjna liczba numerów wewnętrznych/użytkowników, których będziemy chcieli skonfigurować w systemie.

Po wypełnieniu formularza otrzymamy dostęp do strony z instalkami oraz dokumentacją systemu. Jeżeli chcemy instalować oprogramowanie na własnej maszynie to jest dobry moment aby pobrać pliki instalacyjne. Otrzymamy też na maila link potwierdzający aplikację o nową licencję. Po jego kliknięciu będziemy mieć dostępny nasz klucz licencyjny oraz możliwość wyboru rodzaju instalacji. My idziemy do chmury, wybieramy zatem Deploy in Your Cloud.

Otworzy nam się dokładnie to samo co dzieje się podczas instalacji systemu on-premise na własnym serwerze. Na początek konfigurujemy strefę czasową, numeracyjną oraz język.

W kolejnym kroku wybieramy swoją nazwę dla serwera oraz domenę. Podczas instalacji zostanie wygenerowany automatycznie darmowy na okres 1 roku certyfikat ssl.

oraz ilość znaków numeru wewnętrznego, których potrzebujemy. Uwaga – proponuje to dobrze przemyśleć, to co tutaj zaznaczymy zostaje już na zawsze 😉

Nadszedł czas na wybór dostawcy chmury.  Ja wybieram Azure. Wpisuję id swojej subskrypcji i w kolejnym kroku jestem proszony o podanie poświadczeń do swojego konta Azure i o akceptację dostępu do niego przez aplikację 3cxapp, która zrobi za nas całą robotę.

Później idąc tropem minimalnych wymagań przedstawionych wyżej wybieramy rodzaj maszyny na której chcemy postawić nasza instalację oraz wybieramy region. I to generalnie tyle.

UWAGA! Raz czy dwa po kroku wyboru  maszyny wirtualnej zdarzyło mi się, że system wrócił do kroku w którym należy podać strefę czasową, numeracyjną itp. Instalacja jednak się utworzyła. Temat zgłosiłem. Nie dzieje się tak dla Google Cloud. Podejrzewam, że może to być spowodowane tym, że 3cx spiął się z Azure w tamtym tygodniu jakoś i jeszcze nie wszystko jest w 100% dopracowane.

Czekamy cierpliwie aż nasza infrastruktura wirtualna zostanie utworzona. Zostaniemy o tym poinformowani komunikatem:

W przypadku Azure stworzona infrastruktura wygląda w ten sposób:

Po poprawnym zakończeniu instalacji otrzymujemy wiadomości mailowe. Jedną z danymi związanymi z dostępem do konsoli zarządzania oraz innymi rzeczami związanymi z administrowaniem systemem:

oraz drugi – z danymi potrzebnymi zwykłemu użytkownikowi systemu. Takiego maila otrzyma każdy, któremu utworzymy w systemie konto.

W ten dość prosty i szybki sposób mamy do pracy gotowy system.

W przypadku gdy instalację robiliśmy  na własnym serwerze pierwszą rzecz jaką polecam do zrobienia po zalogowaniu do konsoli to sprawdzenie FirewallCheckera. Biorąc pod uwagę, że system 3cx korzysta z zewnętrznych (z perspektywy naszej instalacji) serwerów do wideokonferencji musimy mieć do i z maszyny otwarty port 443:

W przypadku instalacji cloudowej wszystkie porty potrzebne do usług 3cx otwierają się automatycznie I nie musimy się tym przejmować (testowałem dla Azure, OVH oraz dla Google Cloud). Na wszelki wypadek jednak dobrze to zweryfikować.

Odsapnijmy teraz i w oczekiwaniu na część drugą w której omówimy funkcjonalności związane z tworzeniem, obsługą i możliwościami wideokonferencji cieszmy się piękną wiosną 🙂

Read More

Znów dane medyczne udostępnione publicznie czyli kolejny “wyciek”

Podziel się

“Setki zrzutów ekranu i dokumentów z danymi osobowymi i medycznymi pacjentów oraz dane finansowe dziesiątek szpitali, w tym dane dostępowe do różnych systemów informatycznych oraz dane osobowe pracowników szpitali — takie informacje znajdowały się w publicznie dostępnym katalogu systemu stosowanego do obsługi placówek opieki zdrowotnej, obsługiwanego przez firmę Konsultant IT. Pobrać je mógł każdy. Ilość ujawnionych danych jest znaczna i może dotyczyć wielu szpitali z całej Polski, w tym szpitali psychiatrycznych.” – poinformował wczoraj serwis Niebezpiecznik.pl .

Pełną treść informacji można znaleźć tutaj: https://niebezpiecznik.pl/post/dane-pacjentow-i-szpitali-wyciekly-z-helpdesku-eskulapa-szpitale-powinny-zmienic-hasla/

Generalnie, podobnie jak w przypadku “wycieku” danych ze szpitala w Kole sprawa jest trywialna pod kątem bezpieczeństwa. Na koncie FTP na którym znajduje się system helpdeskowy firmy Konsultant IT udostępniony był przynajmniej do odczytu folder w którym znajdowały się wszystkie pliki załączników ze zgłoszeń systemu helpdeskowego firmy. Wśród tych załączników były m.in. zrzuty ekranu systemu Eskulap. Zrzuty zawierające między innymi dane osobowe pacjentów, rozpoznania chorób itp. Oprócz tego można tam było znaleźć dane finansowe w plikach Excel. Wśród tych plików były także dane osobowe pacjentów. Dodatkowo udostępniono dane dostępowe VPN do szpitali, pliki SQL.

Firma Konsultant IT wydała w tej sprawie oświadczenie, w którym poinformowano, że:

“System helpdesk zainstalowany jest na zewnętrznym serwerze, stworzyła go dla nas i realizuje nadzór autorski Firma DIMIMO. Do udostępnienia danych doszło na skutek błędu podczas migracji przez DIMIMO helpdesku, na nowy serwer. Katalog, który był zabezpieczony w oparciu o plik .htaccess został przeniesiony na serwer, na którym konfiguracja serwera www nie dopuszczała zmian w oparciu o ten plik. W ten sposób zabezpieczenie zostało zniwelowane. Po migracji zweryfikowano wiele zabezpieczeń, niestety prawdopodobnie z powodu rutyny popełniono błąd.”

Idąc za ciosem postanowiłem napisać maila do firmy Konsultant IT z pytaniami, które mnie nurtują:

Szanowni Państwo,
Zaniepokojony informacjami o umieszczeniu do publicznej wiadomości danych medycznych i osobowych w używanym przez Państwa systemie helpdeskowym, biorąc pod uwagę, że oprócz tego, że zawodowo zajmuję się ochroną danych osobowych i medycznych w systemach IT jestem także pacjentem kilku ośrodków w Polsce proszę o odpowiedzi na poniższe pytania ponieważ istnieje prawdopodobieństwo, że niepowołane osoby otrzymały dostęp m.in. do danych moich lub mojej rodziny na co kategorycznie nie wyrażałem zgody.

  1. Czy dla potrzeb świadczenia usług wsparcia użytkowników, biorąc pod uwagę, że jak mniemam mają Państwo dostęp do systemów zawierających dane osobowe i medyczne przetwarzane przez klienta, podpisywali Państwo ze współpracującymi szpitalami umowy powierzenia danych osobowych?
  2. Czy posiadają Państwo politykę bezpieczeństwa i instrukcję zarządzania systemami informatycznymi?
  3. Czy podpisują Państwo ze swoimi pracownikami jakiekolwiek klauzule poufności odnośnie danych przetwarzanych przez nich podczas świadczenia usług?
  4. Poproszę listę Państwa klientów korzystających z systemu helpdeskowego w woj. łodzkim i mazowieckim ponieważ tam korzystam usług ośrodków. Chcę wiedzieć czy szpitale, które przetwarzają moje dane stosują praktyki robienia zrzutów ekranu z danymi wrażliwymi do tego typu systemów jak Państwa helpdesk.
  5. Czy biorąc pod uwagę, że system helpdeskowy tworzyła dla Państwa firma zewnętrzna i jak się domyślam świadczyła usługi wsparcia mieli Państwo z nimi podpisaną przynajmniej umowę o powierzenie danych osobowych? Czy Państwa klienci wiedzieli o tym, że dane udostępniane są jeszcze komuś?

Proszę o pilne odniesienie się do zadanych pytań i potraktowanie sprawy poważnie. Przykro mi, że padło akurat na Państa ale w obliczu RODO temat ochrony tego typu danych jest szczególnie ważny i tego typu sytuacje pokazują jak wiele jeszcze jest w tym zakresie do zrobienia. Także w świadomości użytkowników i usługodawców..

Czekam na odpowiedź.

Zbierając to wszystko nasuwa mi się tylko jedno. Po raz kolejny przerażające jest jak wielka jest niewiedza i nieświadomość wszystkich osób zaangażowanych w tą sytuację.

Po pierwsze użytkowników systemów, co bardziej bolesne podejrzewam, że często także działów IT szpitali. Jak można załączać do systemu helpdeskowego takie dane? Zrozumiałe jest, że w pracy pewne rzeczy robi się na szybko, że problemy muszą być skutecznie rozwiązywane ale kompletnie nie jest to usprawiedliwieniem tego typu działań. Robienie zrzutów z hasłami dostępowymi do VPN itp. pozostawię bez komentarza.

Niestety w tej całej sytuacji nieprofesjonalna jest też postawa firmy udzielającej wsparcia a tłumaczenie się, że system ten robiła firma zewnętrzna jest śmieszne. Poza wszystkim już to właśnie oni powinni zwrócić uwagę swoim klientom na to, że takich rzeczy się robić nie powinno..

Dopóki nie zbudujemy we wszystkich na około świadomości i potrzeby bezpiecznego przetwarzania tego typu danych wszystkie konferencje odnośnie RODO, prawnicze wykłady na ten temat lub nawet próby egzekwowania nie dadzą żadnego efektu. Trzeba zacząć od zupełnych podstaw.

Zintegrowany Informator (Pacjenta?)

Podziel się

Witam,

dzisiejszy wpis miał dotyczyć czegoś innego, jednak o zaistniałej sytuacji warto wspomnieć.

Dawno już, bo zaraz na początku wdrożenia w 2013 roku, nosiłem się z zamiarem założenia konta w Zintegrowanym Informatorze Pacjenta dostępnym na stronie https://zip.nfz.gov.pl . Nazwa nasuwa dość dużo i brzmi zachęcająco. Wtedy jednak sobie to darowałem z braku czasu – w celu założenia konta wymagana była wizyta w oddziale NFZ (do najbliższego miałem wtedy 60 km).

Nasunęła mi się gdzieś kilka dni temu informacja o tym, że uruchomiono integrację z ePUAPem. Widać to popularne teraz (patrz chociażby poprzedni wpis o e-ZLA). To akurat dobrze.

Od uruchomienia systemu upłynęło około 5 lat można przypuszczać, że teraz to dopiero warto tam zajrzeć! Tak właśnie pomyślałem a biorąc pod uwagę, ze ePUAP mam postanowiłem to wykorzystać z premedytacją. Założyłem sobie konto na ZIP. Następnie cierpliwie czekałem około 24 godzin na synchronizację danych i w końcu  jest! I to  nawet z historią od 2008 roku.

Kilka tych usług typu “świadczenie medyczne” miałem od tego czasu jak się okazuje 🙂 Suma kosztów pokaźna jednak nie jest. Podejrzewam, że to dlatego, że tak naprawdę nie znam dokładnych kosztów większości tych usług. Co ma pacjentowi mówić koszt świadczenia “ryczałt/kapitalizacja” ?

Zakładka Deklaracje POZ potwierdziła mi, że jestem zapisany do danego lekarza (12,40 zł to koszt miesięczny). I nawet mam jakąś Panią pielęgniarkę za którą płacę 13,13 zł miesięcznie.

Jedyna jeszcze zakładka z której mógłbym skorzystać to Leki refundowane. Biorąc pod uwagę, że leczę się przewlekle cyklicznie biorę leki refundowane. Historia realizacji tych recept jest. Tyle, że kończy się na maju 2011 roku, zatem 7 lat temu. Ładnych parę razy później korzystałem z nawet tych samych leków na tych samych zasadach refundacji. Nie widzę tego jednak na swoim koncie, zatem suma refundacji także nie odpowiada wartości faktycznej. Z innych zakładek nie korzystałem bo brak tam moich danych. Co jest zgodne ze stanem faktycznym. Są to Uzdrowiska, Kolejki oczekujących, Zaopatrzenie ortopedyczne, Endoprotezo-plastyka.

W systemie możemy też odnaleźć ostatnie zarejestrowane składki w ZUS (zdrowotne jak rozumiem). Tutaj sytuacja się zgadza jednakże integracja odbywa się chyba rzadko – ostatnia zarejestrowana składka jest z listopada 2017.

W temacie integracji jeszcze – 9.01.2018 byłem na wizycie u lekarza POZ. Informacji o tym w systemie nie ma do tej pory..

Reasumując z perspektywy pacjenta. Informator to delikatnie mówiąc średni, zintegrowany też nie za dobrze. Co i rusz słyszy się, że ludzie mają wizyty czy leki, których nie mieli. Nie wnikałem (ale postaram się to zrobić) jak ma sprawa wyglądać w kontekście jego integracji z P1, chociażby w zakresie recept. Może po uruchomieniu P1 recepty znowu zaczną mi wskakiwać? 🙂 A tak poważnie to trochę się boję tego, że NFZ chce zmieniać swój system do rozliczeń. Zaczynam też uważać, że chyba pacjenci powinni się bardziej zainteresować swoim losem i informacjami o swoim leczeniu w kontekście dostępu do informacji oraz samego procesu przetwarzania ich danych w tym zakresie. Bo w tym momencie do jakiegokolwiek zintegrowanego systemu informacji dla pacjenta jest nam jeszcze bardzo daleko.