Redakcja

Publikacja „Ochrona danych medycznych i osobowych pacjentów” została opracowana na podstawie przepisów, które obowiązują w 2016 r. Zawiera zbiór najbardziej aktualnych odpowiedzi na problemy pojawiające się przy przetwarzaniu danych osobowych pacjentów w szpitalach i innych placówkach medycznych. Stopniowe przechodzenie placówek medycznych na elektroniczną dokumentację medyczną wymusza konieczność przygotowania się na nieznane dotychczas zagrożenia związane z atakami hakerów. Książka zawiera też porady oraz odpowiedzi na pytania dotyczące przetwarzania danych medycznych w formie papierowej.

Publikacja zawiera 18 obszernych porad prawnych, 46 odpowiedzi na najczęściej zadawane pytania oraz 12 wzorów dokumentów związanych z ochroną danych medycznych.

Kierownik Grupy Wydawniczej

Agnieszka Konopacka-Kuramochi

Wydawca

Alina Sulgostowska

Redaktor prowadzący

Mariusz Jendra

Korekta

Zespół

Koordynator produkcji

Magdalena Huta

Skład i łamanie

Dariusz Ziach

Projekt okładki Piotr Fedorczyk

Druk

Miller

Źródła foto:

okładka – www.fotolia.pl

ISBN 978-83-269-4373-7

Copyright by Wydawnictwo Wiedza i Praktyka sp. z o.o.

Warszawa 2015

Wydawnictwo Wiedza i Praktyka sp. z o.o.

ul. Łotewska 9a, 03-918 Warszawa

tel. 22 518 29 29, faks 22 617 60 10, e-mail: cok@wip.pl

NIP: 5261992256, KRS: 0000098264 – Sąd Rejonowy dla m.st. Warszawy w Warszawie,

XIII Wydział Gospodarczy Krajowego Rejestru Sądowego,

Wysokość kapitału zakładowego 200.000 zł

I. WSTĘP

Przeszło pół miliona pracowników medycznych przetwarza wrażliwe dane osobowe ponad 38 mln Polaków. Wprawdzie placówki medyczne nie muszą rejestrować zbiorów danych pacjentów do GIODO, ale ciążą na nich inne obowiązki związane z ochroną danych.

Przetwarzanie danych osobowych w przypadku usług medycznych odbywa się na podstawie ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta oraz rozporządzenia ministra zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania.

Placówki medyczne mają obowiązek chronić dane swoich pacjentów w sposób szczególny. Wynika to z tego, że dokumentacja medyczna obejmuje poza tak zwanymi danymi zwykłymi również dane wrażliwe dotyczące opisu stanu zdrowia pacjenta lub udzielonych mu świadczeń zdrowotnych. W zależności od podmiotu świadczącego usługi medyczne administratorem danych będzie szpital bądź lekarz wykonujący działalność leczniczą w ramach praktyki zawodowej.

Lekarze i podmioty lecznicze są zwolnieni z obowiązku zgłaszania zbiorów danych pacjentów do GIODO, niemniej ciążą na nich inne obowiązki. Jednym z nich jest prowadzenie i wdrożenie dokumentacji opisującej sposób przetwarzania danych oraz środków technicznych i organizacyjnych podjętych w celu wyeliminowania zagrożeń bezpieczeństwa danych.

Chodzi m.in. o udostępnienie informacji o pacjentach osobom nieupoważnionym, zabranie ich przez osobę nieuprawnioną, przetwarzanie z naruszeniem ustawy oraz zmianę, utratę, uszkodzenie lub zniszczenie.

Na dokumentację składa się polityka bezpieczeństwa oraz instrukcja zarządzania systemem informatycznym do przetwarzania danych osobowych. W wielu jednostkach nadal prowadzone są zbiory w postaci tradycyjnej (papierowej), tam wystarczająca będzie polityka bezpieczeństwa.

Zakres treści obu dokumentów został opisany w rozporządzeniu ministra spraw wewnętrznych i administracji w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz.U. z 2004 r. nr 100, poz. 1024).

Administrator danych musi też stworzyć takie warunki organizacji pracy, aby dane osobowe pacjentów były odpowiednio chronione. Inną kwestią jest sygnalizowany przez GIODO dostęp pracowników medycznych do danych pacjentów zwłaszcza w dużych jednostkach. Kierownicy placówek powinni zadbać, aby ich personel miał dostęp jedynie do tych danych, do których przetwarzania został upoważniony.

Z punktu widzenia ustawy o ochronie danych osobowych nie ma znaczenia, czy dane są przetwarzane na papierze, czy w systemie informatycznym. Odpowiedzialność za jej nieprzestrzeganie w obu przypadkach jest taka sama.

II. POWIERZENIE PRZETWARZANIA DOKUMENTACJI MEDYCZNEJ – WEDŁUG NAJNOWSZYCH PRZEPISÓW

Nowelizacja ustawy o zmianie ustawy o systemie informacji w ochronie zdrowia oraz niektórych innych ustaw przyjęta przez Sejm 9 października 2015 r. doprecyzowała zasady przetwarzania elektronicznej dokumentacji medycznej poza placówką opieki zdrowotnej. Zgodnie z nowymi przepisami powierzenie danych zewnętrznemu podmiotowi ma następować na podstawie umowy zawartej na piśmie i określającej zakres i cel przetwarzania danych. Administratorem danych pozostanie podmiot udzielający świadczeń zdrowotnych.

Instytucja powierzenia przechowywania dokumentacji medycznej jest efektem postępującego procesu informatyzacji podmiotów udzielających świadczeń zdrowotnych. Umożliwia ona podmiotom udzielającym świadczeń zdrowotnych skorzystanie z wiedzy, infrastruktury, technologii, jakimi dysponują specjalistyczne podmioty zewnętrzne (np. informatyczne).

Podmiot udzielający świadczeń zdrowotnych może powierzyć innemu podmiotowi – wyspecjalizowanej firmie np. informatycznej – przetwarzanie danych medycznych. Firma ta może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. Przed rozpoczęciem przetwarzania danych medycznych firma jest zobowiązana do podjęcia środków zabezpieczających zbiór danych. Należą do nich (art. 36–39 ustawy o ochronie danych osobowych):

zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną,

zabezpieczenie danych przed udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem ustawy oraz zmianą, utratą, uszkodzeniem lub zniszczeniem,

dopuszczenie do przetwarzania danych osób posiadających upoważnienie,

utworzenie ewidencji osób upoważnionych do ich przetwarzania.

W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych.

Umowa między placówką medyczną a firmą przetwarzającą dane może być zawarta pod warunkiem zapewnienia ochrony danych osobowych oraz prawa do kontroli przez podmiot udzielający świadczeń zdrowotnych zgodności przetwarzania danych osobowych z tą umową przez podmiot przyjmujący te dane. Realizacja umowy nie może powodować zakłócenia udzielania świadczeń zdrowotnych, w szczególności w zakresie zapewnienia, bez zbędnej zwłoki, dostępu do danych zawartych w dokumentacji medycznej.

Firma, której powierzono przetwarzanie danych, jest obowiązana do zachowania w tajemnicy informacji związanych z pacjentem uzyskanych w związku z realizacją umowy. Tajemnicą tą jest związana także po śmierci pacjenta.

W przypadku zaprzestania przetwarzania danych osobowych zawartych w dokumentacji medycznej przez podmiot, któremu powierzono takie przetwarzanie np. z powodu likwidacji, jest on zobowiązany do przekazania danych osobowych zawartych w dokumentacji medycznej podmiotowi, który powierzył przetwarzanie danych osobowych.

III. KONTROLA BEZPIECZEŃSTWA DANYCH MEDYCZNYCH

1. Jak wygląda kontrola Generalnego Inspektora Ochrony Danych Osobowych

Placówki medyczne mogą być – ze względu na ilość i wrażliwy charakter przetwarzanych danych – podmiotami podlegającymi kontroli Generalnego Inspektora Ochrony Danych Osobowych (GIODO). Kontrola zwykle zapowiadana jest 7 dni wcześniej, trwa od 2 do 4 dni i przeprowadzana jest przez trzech inspektorów.

Przepisy prawa, których przestrzeganie podlega kontroli GIODO, są zawarte w ustawie z 29 sierpnia 1997 r. o ochronie danych osobowych (u.o.d.o.) oraz w wydanym na podstawie art. 39a tej ustawy rozporządzeniu ministra spraw wewnętrznych i administracji z 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

Pamiętaj!

Podczas kontroli bardzo często badana jest zasadność przetwarzania danych osobowych, następnie dokumentacja (posiadanie Polityki bezpieczeństwa oraz Instrukcji zarządzania systemem informatycznym), aż po fizyczne zabezpieczenie miejsc przetwarzania danych osobowych.

Od strony podmiotowej zakres kontroli GIODO jest bardzo szeroki – weryfikacji poddawane są podmioty należące zarówno do sfery publicznej, jak i prywatnej. Kontrola przetwarzania danych osobowych obejmuje zarówno administratorów danych podlegających obowiązkowi zgłoszenia zbioru do rejestracji, jak i administratorów danych, którzy z mocy ustawy są z obowiązku rejestracji zwolnieni – jakimi są placówki medyczne.

W samej ustawie o ochronie danych osobowych regulacja dotycząca zasad i trybu kontroli jest bardzo lakoniczna. Stąd została ona uzupełniona o przepisy ustawy z 2 lipca 2004 r. o swobodzie działalności gospodarczej (rozdział 5 tego aktu) – regulujące m.in. kwestie zawiadomienia, czasu trwania czy częstotliwości kontroli.

Kontrola z inicjatywy GIODO i na wniosek

Kontrola GIODO może być prowadzona z własnej inicjatywy organu, ale także w nawiązaniu do zgłoszonego wniosku, uwag czy zastrzeżeń. W praktyce właśnie niepokojące sygnały i zgłoszenia czy to od poszczególnych osób czy też doniesienia medialne, np. o wycieku danych czy innym incydencie bezpieczeństwa, mogą wywołać zainteresowanie inspektorów GIODO – w efekcie kontrolę.

Podobnie jak w przypadku innych organów (np. Państwowej Inspekcji Pracy), kontrole GIODO są zapowiedziane (poza wyjątkami, kiedy brak takiego zawiadomienia dopuszczają przepisy – np. przeprowadzenie kontroli jest niezbędne dla przeciwdziałania popełnieniu przestępstwa lub wykroczenia).

Pamiętaj!

Brak wcześniejszego zawiadomienia nie jest wystarczającą przyczyną odmowy wstępu inspektorom GIODO do siedziby kontrolowanej placówki.

Samo zawiadomienie dokonywane jest najczęściej za pośrednictwem poczty bądź faksu. Kontrolę wszczyna się nie wcześniej niż po upływie 7 dni i nie później niż przed upływem 30 dni od dnia doręczenia zawiadomienia o zamiarze wszczęcia kontroli. Jeżeli kontrola nie zostanie wszczęta w terminie 30 dni od dnia doręczenia zawiadomienia, wszczęcie kontroli wymaga ponownego zawiadomienia.

Więcej znajdziesz w wersji pełnej publikacji

Tematy publikacji w pełnej wersji

I. WSTĘP

II. POWIERZENIE PRZETWARZANIA DOKUMENTACJI MEDYCZNEJ – WEDŁUG NAJNOWSZYCH PRZEPISÓW

III. KONTROLA BEZPIECZEŃSTWA DANYCH MEDYCZNYCH

1. Jak wygląda kontrola Generalnego Inspektora Ochrony Danych Osobowych

2. 13 obszarów ochrony danych podlegających kontroli inspektorów GIODO

3. Jak przygotować się do kontroli inspektorów ochrony danych osobowych

4. Procedura na wypadek naruszenia bezpieczeństwa danych

IV. ochronA danych osobowych pacjentów w ujęciu prawnym

1. Jak zabezpieczyć placówkę przed wyciekiem danych medycznych

2. Ochrona serwerów placówki przed atakiem hakerów

3. Czy można gromadzić dane osobowe bez zgody pacjenta

4. Jak nie naruszać intymności pacjenta

5. Czy upoważniony może usunąć swoje dane z dokumentacji medycznej

6. Czy upoważnienie może dotyczyć tylko części dokumentacji medycznej

7. Czy placówki mogą zbierać dane „na zapas”

8. Jakość wpisów w dokumentacji medycznej – „niemy świadek” procesu leczenia

9. Kary za zgubienie dokumentacji medycznej

10. Ubezpieczyciel może domagać się dokumentacji zmarłego pacjenta

11. Zawartość umowy o powierzenie danych podmiotowi trzeciemu (firmie przechowującej dane)

12. Ochrona dóbr osobistych personelu placówki

13. Znaczenie ABI w placówce medycznej

V. PRAKTYKA OCHRONY DANYCH – ODPOWIEDZI NA NAJCZĘŚCIEJ ZADAWANE PYTANIA

1. Upoważnienie do przetwarzania danych

2. Potwierdzenie tożsamości

3. Ochrona danych lekarzy

4. Przenoszenie i wydawanie dokumentacji

5. Zgoda pacjenta

6. Prawo do informowania

7. Rejestracja zbiorów danych osobowych

8. Powierzenie przetwarzania danych

9. Polityka haseł

10. Naruszenie ochrony danych

11. Udostępnienie informacji

12. Rola Administratora Bezpieczeństwa Informacji

13. Ochrona wizerunku (monitoring)

14. Przechowywanie i zabezpieczenie dokumentacji

15. Przetwarzanie danych

VI. WZORY FORMULARZY

VII. PODSTAWA PRAWNA

Przygotowanie do wersji elektronicznej: RASTER studio, 603 59 59 71