Jak uwrażliwić personel placówki medycznej na kwestię danych osobowych? Jaka jest różnica między analizą ryzyka a oceną skutków naruszenia? W jaki sposób placówki medyczne mogą korzystać z branżowych kodeksów postępowania?
Odpowiedzi na te i inne pytania poszukujemy z naszym dzisiejszym gościem, którym ponownie jest Piotr Kawczyński, Prezes Zarządu Forsafe sp . z o.o., inspektor ochrony danych, członek Grupy Roboczej ds. ochrony danych w Ministerstwie Cyfryzacji oraz doświadczony audytor wiodący i audytor wewnętrzny w obszarze bezpieczeństwa informacji.
Największe ryzyka w placówce medycznej rzadko leżą w systemach informatycznych – leżą w codziennych nawykach: niezablokowanych stacjach roboczych, dokumentach zostawionych na biurku i dostępie osób trzecich do pomieszczeń. Drugim źródłem problemów jest bezrefleksyjne kopiowanie gotowców: zgód zbieranych tam, gdzie podstawą przetwarzania są przepisy, i umów powierzenia podpisywanych z każdym. Klucz do poprawy to uwrażliwienie personelu szkoleniami dopasowanymi do konkretnych stanowisk, a nie kolejna opasła polityka ochrony danych – bo zasada rozliczalności nie polega na opisaniu wszystkiego, tylko na możliwości wykazania, jak faktycznie działamy.
Najważniejsze wnioski
- Ryzyka RODO dzielą się na trzy obszary: naruszenie praw i wolności osób fizycznych, oddziaływanie na samą organizację administratora oraz ryzyko następcze, związane z oceną naruszenia, od której zależą obowiązki wobec organu nadzorczego i pacjenta. To nie są ryzyka tożsame, choć się zazębiają.
- Analiza ryzyka i ocena skutków to dwie różne rzeczy. Analiza ryzyka mierzy możliwość materializacji naruszenia i służy doborowi adekwatnych środków technicznych i organizacyjnych. Ocena skutków idzie krok dalej: bada, jaki konkretny skutek dla człowieka wywoła dane naruszenie. Nie istnieje „analiza 2.0” ani „analiza kwalifikowana”.
- Szkolenia szablonowe nie działają. Fizjoterapeucie nie jest potrzebny wykład o przepisach, tylko wiedza, które pola w aplikacji ma uzupełniać, a których nie i jak weryfikować tożsamość pacjenta przez telefon.
- Zasada rozliczalności nie oznacza obowiązku opisania każdej okoliczności. Jeżeli da się wykazać, jak proces działa w rzeczywistości, dokument nie jest konieczny – a nadmiernie szczegółowa procedura utrudnia potem każdą zmianę.
- „IOD z przypadku to nie jest IOD”. Informatyk pełniący jednocześnie funkcję inspektora ochrony danych to klasyczny konflikt interesów, a funkcja traktowana jako dodatek do jednej dziesiątej etatu generuje więcej ryzyka niż nierobienie niczego.
- Na moment nagrania w Polsce nie było ani jednego zatwierdzonego kodeksu postępowania – projekty były jedynie zaopiniowane pozytywnie i formalnie nie mogły być wykorzystywane w praktyce, choć zdaniem gościa nadal warto traktować je jako mapę drogową.
Gdzie w placówce medycznej naprawdę leżą ryzyka?
Najczęściej nie w systemie informatycznym, tylko w codziennej organizacji pracy. Trudno tu o jedną odpowiedź dla wszystkich, bo sieci i grupy kapitałowe mają działanie ustandaryzowane i oparte o konkretne procedury identyfikacji i obsługi pacjenta, a w mikropodmiotach bieżąca praca zwyczajnie spycha te kwestie na dalszy plan.
Pierwszy obszar to postępowanie z dokumentacją pacjenta – od momentu zbierania danych aż do zakończenia cyklu ich życia w organizacji albo przekazania do innego podmiotu. Problem zaostrza się tam, gdzie placówka jest infrastrukturalnie rozłożysta i mają do niej dostęp podmioty trzecie: personel sprzątający, serwis urządzeń klimatyzacyjnych, przy jednoczesnym braku kontroli dostępu do poszczególnych obszarów.
Wnioski z cyklu audytów prowadzonych po godzinie 20 były pod tym względem jednoznacznie negatywne. Stacje robocze bywały niezablokowane i niewyłączone, zalogowane na danego użytkownika – w jednym przypadku z otwartym systemem medycznym, a więc z dostępem do kartoteki pacjentów. Dokumenty papierowe leżały porozkładane. Żadnej higieny.
Drugi obszar to brak przejrzystości i niewłaściwe realizowanie obowiązków informacyjnych, w tym opieranie przetwarzania o zgodę tam, gdzie podstawą są konkretne przepisy. Stąd biorą się kuriozalne praktyki, o których do dziś czyta się w mediach społecznościowych: zgoda odbierana przed wejściem na salę porodową albo podpisywanie obowiązku informacyjnego. Ktoś kiedyś tak powiedział i tak zostało.
Źródłem tych praktyk jest sięganie po gotowce – dokument, który ktoś komuś przesłał albo który dostało się na szkoleniu wraz z zapewnieniem, że tak może być. Warto, żeby zapaliła się tu żółta lampka szczególnie przy tym, co jest wystawione frontem do pacjenta: strona internetowa, formularz kontaktowy, elektroniczna rejestracja.
Trzecia regularnie spotykana przypadłość to nadinterpretacja umów powierzenia, czyli podpisywanie ich z każdym i zawsze. W praktyce często okazuje się, że umowa w ogóle nie ma związku z przetwarzaniem danych albo że daną rzecz da się zrobić bez powierzenia. Tylko nikt się nad tym nie zastanawiał, bo najprościej jest podpisać.
Czym różnią się trzy rodzaje ryzyka w RODO?
To rozróżnienie warto mieć w głowie, bo w praktyce te ryzyka bywają mylone.
- Ryzyko naruszenia praw i wolności – z perspektywy RODO najważniejsze, bo o nim rozporządzenie mówi w wielu miejscach. Dotyczy osoby, której dane dotyczą.
- Ryzyko oddziaływania na organizację administratora – to zupełnie inne ryzyko, choć oba mogą się zazębiać i w pewnych sytuacjach przebiegać równolegle.
- Ryzyko następcze, związane z oceną naruszenia – jeżeli już do naruszenia dojdzie, to jego oszacowanie decyduje o tym, czy powstają obowiązki wobec organu nadzorczego i wobec samego pacjenta.
Przykład pokazujący, że pierwsze i drugie to nie to samo: przypadkowe albo celowe usunięcie kartoteki pacjenta w systemie może nie mieć istotnego wpływu na prawa i wolności konkretnej osoby. Dane trzeba będzie zebrać ponownie albo odtworzyć z papieru, a dla pacjenta oznacza to niedogodność i wydłużony czas obsługi – operując skalą, nie mówimy tu nawet o ryzyku średnim.
Osobno warto odnotować kierunek, w którym idzie organ nadzorczy. W przywołanej przez gościa sprawie bankowej, zakończonej karą rzędu pół miliona złotych i dotyczącej dostępu byłego pracownika do Platformy Usług Elektronicznych ZUS (PUE ZUS), istotne okazało się nie to, czy do naruszenia faktycznie doszło, lecz to, że mogło dojść – między innymi dlatego, że w grę wchodził numer PESEL. Zgłoszenie zostało zresztą dokonane asekuracyjnie.
Jak uwrażliwić personel placówki medycznej na kwestie danych osobowych?
Przez szkolenia i instruktaże dopasowane do konkretnych grup i stanowisk, a nie przez wykład o przepisach. Uwrażliwienie to stan, w którym osoba z recepcji, zanim coś zrobi, wykona telefon do inspektora ochrony danych (IOD) albo do osoby odpowiedzialnej za ten obszar – i dotyczy to całego personelu, nie tylko medycznego.
Najprostszy test świadomości wygląda tak, jak pytanie zadane kiedyś przez Maćka na szkoleniu: wychodzi pani z pracy, czy przychodzi osoba sprzątająca? Przychodzi. Jak zostawia pani biurko, czy są na nim dokumenty z danymi osobowymi? Chwila ciszy – są. I przychodzi osoba sprzątająca, która rozumie, że do tego biurka ma dostęp. Zwykle w tym momencie zapada dłuższa cisza.
Na marginesie: na pewnym etapie całkiem poważnie padały pytania, czy osoby sprzątające nie powinny mieć upoważnień do przetwarzania danych osobowych.
Problem ze szkoleniami polega na ich szablonowości. Mówi się na nich o RODO, o przepisach i o niuansach prawnych, a to nie przekłada się na to, co dana osoba powinna wiedzieć. Fizjoterapeuta zapyta wprost, do czego mu ta wiedza. Potrzebuje natomiast informacji praktycznych: jakie druki wypełnić przy przyjęciu pacjenta, jak z nimi postępować, które miejsca w aplikacji uzupełniać, a których nie, bo choć producent je udostępnił, nie ma do tego podstawy. Osoba na rejestracji telefonicznej musi z kolei wiedzieć, jak weryfikować tożsamość i co wolno przekazać przez telefon.
To wymaga podziału na grupy – część administracyjną, w tym kadry, informatyków i organizację, część szarą i część białą. Trzeba przy tym pamiętać, że także w części szarej są osoby przetwarzające dane medyczne, choćby przy rozliczaniu kontraktów z Narodowym Funduszem Zdrowia (NFZ).
Konsekwencją jest kilka szkoleń zamiast jednego, a więc czas IOD. Mały podmiot ograniczony zasobami będzie próbował sięgnąć po gotowca, żeby odfajkować zgodność – co nie przynosi organizacji żadnego pożytku poza zabezpieczeniem własnego interesu. Rozsądniejsze jest jednorazowe zaprojektowanie takiego szkolenia, choćby z pomocą z zewnątrz, i posługiwanie się nim przez dłuższy czas. W organizacji poukładanej procesowo nie zmienia się aż tak wiele z tygodnia na tydzień.
Dlaczego platformy e-learningowe nie rozwiązują problemu?
Bo technologia nie zastąpi chęci nauczenia się. W większych podmiotach budżet i możliwości są większe, a gotowe rozwiązania chmurowe pozwalają uruchomić platformę e-learningową względnie tanio.
Praktyka bywa jednak brutalna. W jednym ze szpitali udostępniono szkolenie lekarzom, bo zebranie ich na jeden termin jest niewykonalne – przy 250 lekarzach szkolenie indywidualne po jednym dziennie zajęłoby przy dobrych wiatrach dziewięć miesięcy, a po skończeniu trzeba by zaczynać od nowa. Loginy trafiły do wszystkich. Po miesiącu okazało się, że około 70% osób w ogóle się nie zalogowało, a konta zdążyły się wyterminować i zostać zablokowane z powodu nieaktywności.
Największe zainteresowanie tematem widać zwykle wśród pracowników rejestracji, bo mają świadomość, że to oni są pierwszym kontaktem z pacjentem. Z lekarzami jest najtrudniej, ale problem jest szerszy i systemowy: znowu papiery, znowu kolejne obowiązki, a kiedy mamy leczyć pacjentów? Trudno odmówić temu słuszności, biorąc pod uwagę skalę obowiązków nakładanych na lekarzy. Efekt uboczny jest jednak dotkliwy – informacje o potencjalnych naruszeniach docierają do IOD zdecydowanie za późno, czasem po tygodniu.
Paradoksalnie mniejsza organizacja ma tu przewagę: nie jest obudowana procedurami i warstwową decyzyjnością, więc potrafi zareagować dynamicznie. W dużej, zanim sprawa przejdzie przez kilka szczebli, problem albo przestanie istnieć, albo zostanie po cichu zaakceptowany.
Prosta rekomendacja na koniec tego wątku: ustawić sobie kanały RSS albo aplikacje zbierające alerty z rzetelnie prowadzonych stron i przeglądać kilkanaście pierwszych komunikatów przy porannej kawie. Tyle zwykle wystarczy, żeby wyłapać wiadomość dotyczącą własnej działalności.
Ile dokumentacji ochrony danych naprawdę potrzeba?
Tyle, ile odzwierciedla rzeczywistość – i napisanej dla organizacji, a nie dla kontrolera. Poza dokumentami obligatoryjnymi, jak rejestr czynności przetwarzania, wartość ma dokumentacja zrozumiała, przejrzysta, zwięzła i warstwowa.
Kilka konkretnych wskazówek z rozmowy:
- Nie wkładaj wszystkiego do jednego dokumentu. Umieszczanie zasad zarządzania systemami informatycznymi w ogólnej polityce ochrony danych dystrybuowanej wszystkim pracownikom nie ma sensu ani komunikacyjnie, ani z punktu widzenia poufności informacji, które nie muszą być dostępne dla wszystkich.
- Trudno wyobrazić sobie gabinet fizjoterapeutyczny z polityką na 150 stron. Pytanie brzmi, dla kogo taki dokument powstaje – dla organizacji czy dla kontrolera, żeby miał co czytać przez pięć dni.
- Ewolucja jest naturalna. Dwa dokumenty wymagane pod poprzednimi przepisami przekształciły się po 2018 r. w jeden, zawierający te same elementy. To rozwiązanie dobre, pod warunkiem że dokumenty faktycznie odzwierciedlają stan faktyczny.
- Uwaga na nadmierną szczegółowość. Jeśli w procedurze zapisano, że pacjent wybiera na infolinii przycisk 8, to zmiana na 7 wymusza zmianę procedury – a jeżeli została ona przyjęta uchwałą zarządu, ścieżka wydłuża się dramatycznie przy banalnej zmianie.
- Wyciąg z polityki to często pozór rozwiązania. Wychodzi to samo, tylko krócej, a i tak nie wykażemy, że pracownik się z tym zapoznał. Lepiej robić celowane „pigułki wiedzy” dla konkretnych grup – na przykład kilkanaście slajdów o zagrożeniach cybernetycznych – albo handbook zbierający najważniejsze informacje dla nowego pracownika w jego specyfice działania.
Organizacja musi po prostu wyznaczyć sobie punkt, od którego odcina szczegółowość i bazuje na zapisach ogólnych.
Co naprawdę oznacza zasada rozliczalności?
Że musisz umieć wykazać, jak działasz – a nie że musisz wszystko opisać. To rozróżnienie bywa mylone, bo wykształciło się przeświadczenie, że na każdą okoliczność potrzebny jest dokument.
Weźmy infolinię. Nie zbiera się od dzwoniących pacjentów potwierdzeń realizacji obowiązku informacyjnego. Przyjmuje się wewnętrznie prostą zasadę, że pacjent dzwoniący na infolinię jest informowany o nagrywaniu rozmowy i o tym, kto jest administratorem jego danych. Podejście warstwowe polega na tym, że w komunikacie podaje się administratora, a po więcej informacji odsyła do nagranej formułki pod wybranym przyciskiem albo na stronę internetową.
Podczas kontroli wystarczy zademonstrować, że tak to faktycznie działa: tu jest komunikat, tu odesłanie na stronę, tu nagrana informacja pod przyciskiem. To jest rozliczalne. Mogę mieć to opisane na dziesięciu stronach, ale nie muszę.
Czym różni się analiza ryzyka od oceny skutków?
Analiza ryzyka mierzy możliwość naruszenia, ocena skutków bada, co to naruszenie realnie zrobi człowiekowi. Na wstępie warto uporządkować nazewnictwo: nie ma czegoś takiego jak „analiza 2.0”, „analiza kwalifikowana” ani „analiza pogłębiona”. To określenia nietrafne – „pogłębiona” sugerowałaby przecież, że wcześniejszą zrobiono pobieżnie.
Analiza ryzyka jest ukierunkowana na określenie możliwości materializacji naruszenia praw i wolności, przy czym trzeba pamiętać, że tych praw i wolności jest co najmniej kilkadziesiąt – wynikają nie tylko z RODO, ale też z konstytucji i Europejskiej Karty Praw Podstawowych. Na podstawie jej wyników administrator dobiera adekwatne środki techniczne i organizacyjne – adekwatnie do celów, kontekstu, zakresu i charakteru przetwarzania. Analiza ryzyka obejmuje przy tym zarówno oddziaływanie na prawa i wolności osób fizycznych, jak i oddziaływanie na administratora.
Ocena skutków to krok dalej, wyłącznie w kierunku praw i wolności: jeżeli do naruszenia dojdzie, jaki będzie jego konkretny skutek dla człowieka. W tej analizie buduje się różne scenariusze i mierzy ryzyko w ramach materializacji każdego z nich.
Przykład z praktyki gościa dotyczył oceny nowego rozwiązania technologicznego, w którym pacjent dzwoni do centralnego punktu, tam trafia na wstępną analizę i dzięki temu jego ścieżka obsługi zostaje skrócona. Przy ocenie skutków typowano hipotetyczne sytuacje i pytano nie tylko o to, czy wystąpią, ale jaki będzie ich skutek dla pacjenta: wydłużony czas obsługi, a w skrajnym wariancie nieudzielenie świadczenia zdrowotnego i zagrożenie życia.
Tu widać też, dlaczego kategoria danych ma znaczenie. Wyciek adresu e-mail co do zasady nie oddziałuje mocno na prawa i wolności – posługujemy się nim publicznie. Wyciek numeru PESEL wraz z innymi danymi uwierzytelniającymi otwiera już drogę do przejęcia tożsamości i zaciągnięcia zobowiązania, choćby chwilówki. Stąd zresztą uwaga na marginesie: podawanie numeru PESEL przy okienku w aptece, gdy za pacjentem stoi kolejka, to permanentne naruszenie i klasyczny przykład zepsucia zasady privacy by design przez polskiego ustawodawcę.
Dla branży medycznej ocena skutków ma znaczenie szczególne, ze względu na dużą skalę przetwarzania danych medycznych – teoretycznie powinna więc występować w dużej części podmiotów.
Bywają wreszcie sytuacje, w których analizy przeprowadzać nie ma potrzeby, bo z góry wiadomo, że ryzyko jest wysokie i trzeba po prostu działać. Tak było z zestawem rekomendacji wydanym przez CERT Polska w pierwszych dniach inwazji na Ukrainę: nie ma czasu na liczenie ryzyka, trzeba przejść listę, przekazać ją informatykom i zweryfikować dostawców.
Inspektor ochrony danych – wewnętrzny czy zewnętrzny?
Nie ma jednej dobrej odpowiedzi, ale jest jedna zła: IOD z przypadku. Wyznaczanie do tej funkcji pierwszej lepszej osoby, a w skrajnych przypadkach wybieranie jej w drodze losowania, to nieporozumienie i niezrozumienie roli tego stanowiska. Sytuacja, w której funkcję IOD pełni przy okazji informatyk, to z kolei klasyczny konflikt interesów – i jedynym wyjściem jest tu świadomość po stronie administratora.
W praktyce wybór zależy od skali:
- Mały podmiot rzadko udźwignie etat poświęcony wyłącznie ochronie danych. Zostaje albo dzielony zakres obowiązków, albo outsourcing rozliczany godzinowo bądź ryczałtem.
- Duża organizacja zwykle ma kogoś na miejscu, ale sprawdza się też model łączony: zewnętrzny IOD pracujący w określonym wymiarze plus osoba lub zespół wewnątrz organizacji, na przykład menedżer bezpieczeństwa informacji, będący pierwszą komórką kontaktową i udrażniający wewnętrzne schematy działania.
Kluczem pozostaje specjalizacja. Ekspert obsługujący jednocześnie szkoły, telekomy i gminy w całej Polsce i wyłącznie zdalnie nie zrobi tego skutecznie i z dobrą jakością. Warto szukać kogoś, kto zna specyfikę sektora medycznego.
I uwaga najostrzejsza: jeżeli funkcja IOD ma być dodatkiem zajmującym jedną dziesiątą etatu, nigdy nie będzie robiona dobrze. Powierzchowne działanie generuje więcej ryzyka niż nierobienie niczego. Jeśli zaś organizacja decyduje się na własną osobę, to musi w nią zainwestować – nie tylko płacowo, ale też zapewniając warunki organizacyjne, realny wpływ, wsparcie, możliwość podnoszenia kompetencji i dostęp do literatury fachowej.
Pocieszające jest to, że od 2018 r. sytuacja się poprawia. W pierwszych latach na szkoleniach pojawiały się całe grupy „IOD z przypadku”, pytających, jak w ogóle do tego podejść. Z czasem organizacje zaczęły rozumieć, że ta funkcja nie może być przypadkowa – a każdy przecież kiedyś zaczynał.
Czy placówka medyczna może korzystać z kodeksów postępowania?
Formalnie nie można się na nie powoływać, ale można je traktować jako mapę drogową. Na dzień nagrania w sekcji kodeksów postępowania na stronie Urzędu Ochrony Danych Osobowych (UODO) widniała wyraźna informacja, że projekty nie zostały jeszcze zatwierdzone przez Prezesa UODO, co oznacza, że nie mogą być wykorzystywane w praktyce. Ostatnia data aktualizacji tej strony pochodziła z 15 lipca 2019 r. Wśród projektów znajdował się kodeks postępowania w placówkach medycznych i ochrony zdrowia, dotyczący podmiotów wykonujących działalność leczniczą.
Skalę opóźnienia dobrze oddaje arytmetyka: pierwsze zgłoszenia pochodziły z 2018 r., a rozmowa toczyła się w 2022 r. Cztery lata. Dla porównania, na poziomie europejskim zatwierdzone były wówczas cztery kodeksy – hiszpański, holenderski, niemiecki i austriacki. W Polsce dokładnie zero.
Trzeba przy tym pamiętać, że kodeks postępowania, nawet zatwierdzony, nie jest wiążącym źródłem prawa w rozumieniu legalnym. Jego wartość praktyczna jest jednak realna: kodeksy bywają wskazywane jako jeden z elementów przy transferze danych czy przy umowach powierzenia opartych na certyfikowanym, akredytowanym podmiocie – i w tym kontekście, bez zatwierdzenia, podstawy prawnej po prostu nie ma.
Zdaniem gościa nic jednak nie stoi na przeszkodzie, by sięgać po nie jako po drogowskaz. Skoro projekty zostały pozytywnie zaopiniowane, można domyślnie zakładać, że co do zasady zostaną przyjęte w takim kształcie. Podobną rolę mogą pełnić standardy ISO dedykowane podmiotom medycznym oraz obowiązujące akredytacja i standardy akredytacyjne.
Osobna sprawa to certyfikacja, która na moment rozmowy w ogóle nie została uruchomiona. Gdy ruszy, warto będzie korzystać z podmiotów certyfikowanych, bo będzie to mechanizm uwiarygadniający i odróżniający ekspertów w konkretnym wycinku od tych, którzy łapią usługę przy okazji. Analogia: na rynku funkcjonuje co najmniej kilku dostawców hostingu dedykowanego podmiotom medycznym, a więc przygotowanego na objętość i formaty obrazów z tomografu czy rezonansu – czego nie zapewni ani duży gracz chmurowy bez takiej specjalizacji, ani przysłowiowa macierz dyskowa za 50 zł miesięcznie.
Wątpliwość dotyczy opłacalności. ISO i akredytacja są punktami rankingującymi w kontraktach z NFZ, natomiast projektowane przepisy o jakości nie odnosiły się – przynajmniej w ówczesnym kształcie – do kwestii danych osobowych i medycznych. Bez takiego przełożenia trudno oczekiwać, że podmioty lecznicze masowo zainwestują w certyfikację czas i pieniądze.
FAQ
Od czego zacząć porządkowanie ochrony danych w małej placówce? Od sprawdzenia rzeczy najprostszych: czy stacje robocze są blokowane po wyjściu z gabinetu, czy dokumenty nie zostają na biurkach, kto ma dostęp do pomieszczeń po godzinach oraz co jest wystawione frontem do pacjenta na stronie internetowej i w formularzach.
Czy trzeba podpisywać umowę powierzenia z każdym kontrahentem? Nie. Nadinterpretacja umów powierzenia jest regularnie spotykaną przypadłością. Często okazuje się, że umowa nie ma związku z przetwarzaniem danych albo że daną czynność można wykonać bez powierzenia.
Czy zgoda pacjenta jest potrzebna do przetwarzania jego danych medycznych? W wielu sytuacjach opieranie przetwarzania na zgodzie jest błędem, bo istnieją przepisy stanowiące podstawę przetwarzania. Zbieranie zgód „na wszelki wypadek” jest praktyką powielaną z gotowców.
Czym różni się analiza ryzyka od oceny skutków dla ochrony danych? Analiza ryzyka określa możliwość materializacji naruszenia praw i wolności i służy doborowi adekwatnych środków, obejmując też oddziaływanie na administratora. Ocena skutków bada, jaki konkretny skutek dla człowieka wywoła naruszenie, budując i mierząc scenariusze.
Czy zasada rozliczalności wymaga opisania każdego procesu? Nie. Jeżeli jesteśmy w stanie wykazać namacalnie, jak proces faktycznie działa, dokument nie jest konieczny. Opis jest potrzebny tam, gdzie inaczej nie da się tego udowodnić.
Czy informatyk może być inspektorem ochrony danych? Formalnie takie przypadki się zdarzają, ale jest to klasyczny konflikt interesów. Podobnie funkcja traktowana jako niewielki dodatek do etatu nie będzie wykonywana dobrze.
Czy można stosować kodeks postępowania dla placówek medycznych? Na moment nagrania projekty były jedynie pozytywnie zaopiniowane i formalnie nie mogły być wykorzystywane w praktyce ani stanowić podstawy powołania się w kontroli. Nic nie stoi jednak na przeszkodzie, by korzystać z nich jako z mapy drogowej.
Jak szkolić personel, żeby to miało sens? Dzieląc go na grupy stanowiskowe i przekazując wiedzę operacyjną – jakie druki wypełniać, które pola w systemie uzupełniać, jak weryfikować tożsamość przez telefon – zamiast omawiać przepisy RODO.
Podsumowanie
Praktyka ochrony danych w podmiocie leczniczym rozstrzyga się nie w opasłych politykach, tylko w tym, czy ktoś zablokował komputer przed wyjściem i czy osoba na rejestracji wie, kiedy podnieść słuchawkę i zapytać. Reszta – dokumentacja, analiza ryzyka, ocena skutków, wybór modelu IOD – powinna z tego wynikać, a nie ten poziom zastępować.
Ryzyko jest przy tym zaszyte w każdym działaniu i nie da się go wyzerować. Jak podsumował to gość odcinka: rób swoje, ryzyko jest twoje. Nadrzędnym interesem pozostaje opieka nad pacjentem, ale bezpieczeństwo trzeba zapewnić nie tylko ze względu na przepisy – również po to, żeby pacjent czuł się bezpiecznie. Złotego środka dla każdego podmiotu nie ma; każdy musi zmierzyć to ryzyko na swoim poziomie i według swoich zasobów.
Całej rozmowy Maćka Łokaja z Piotrem Kafczyńskim, prezesem zarządu spółki ForSafe, inspektorem ochrony danych i audytorem w obszarze bezpieczeństwa informacji, posłuchasz w 18. odcinku podcastu „Recepta na przepis”.