Jaka jest zatem istota ochrony danych osobowych w podmiotach leczniczych? Jakie praktyczne problemy można najczęściej spotkać przetwarzając dane osobowe w podmiocie leczniczym i jak je rozwiązać? Jaka przyszłość czeka zagadnienie przetwarzania danych osobowych w jednostkach medycznych?
Na te i inne pytania odpowie nasz dzisiejszy gość Piotr Kawczyński, Prezes Zarządu Forsafe sp . z o.o., inspektor ochrony danych, członek Grupy Roboczej ds. ochrony danych w Ministerstwie Cyfryzacji oraz doświadczony audytor wiodący i audytor wewnętrzny w obszarze bezpieczeństwa informacji.
Od 1 stycznia zmieniają się dwa przepisy ustawy o działalności leczniczej istotne dla każdej placówki: znaki identyfikacyjne pacjenta mają obowiązkowo zawierać imię, nazwisko i datę urodzenia, a monitoring pomieszczeń, w których udzielane są świadczenia, będzie dopuszczalny, gdy jest konieczny w procesie leczenia lub dla zapewnienia pacjentowi bezpieczeństwa – zamiast dotychczasowego odesłania do przepisów odrębnych. Pierwsza zmiana odpowiada na realny problem: brak czytników kodów uniemożliwiał szybką identyfikację pacjenta, a ryzyko pomyłki przy podaniu leku waży więcej niż ryzyko związane z widocznym imieniem na opasce. Druga jest krokiem w dobrą stronę, ale przesłanka „bezpieczeństwa” jest na tyle szeroka, że bez przepisu wykonawczego otwiera drogę do montowania kamer wszędzie.
Najważniejsze wnioski
- Znaki identyfikacyjne przestają być kwestią uznania. Obecny przepis wymaga, by znak „pozwalał na ustalenie” tożsamości pacjenta; nowelizacja wynikająca z ustawy o jakości w ochronie zdrowia wprowadza obowiązek umieszczenia imienia, nazwiska i daty urodzenia.
- RODO chroni ludzi, a nie dane. Pełny tytuł rozporządzenia mówi o ochronie osób fizycznych w związku z przetwarzaniem ich danych – w konflikcie z ratowaniem życia zawsze wygrywa życie, a prawo ochrony danych jest wtórne.
- Kody QR nie rozwiązały problemu, bo zabrakło czytników. Zgodnie z raportem Najwyższej Izby Kontroli (NIK) na próbce 24 szpitali w ogromnej większości znaki identyfikacyjne zawierały dodatkowe, niezgodne z przepisami informacje – najczęściej imię i nazwisko, czasem numer PESEL.
- Nowa przesłanka monitoringu jest bardzo szeroka. „Konieczne w procesie leczenia lub dla zapewnienia bezpieczeństwa” da się rozciągnąć na pomieszczenia socjalne, toalety czy palarnie – i już się to dzieje.
- Nie każde zdarzenie jest naruszeniem. Pierwszej oceny dokonuje administrator, a nie organ; incydentów co do zasady się nie zgłasza.
- Najczęstsze kary dla placówek medycznych w Europie dotyczyły uprawnień w systemach IT – aktywnych kont byłych pracowników oraz dostępu lekarza do danych wszystkich pacjentów.
Co zmienia się w znakach identyfikacyjnych pacjentów od 1 stycznia?
Zmienia się charakter obowiązku. Ustawa o działalności leczniczej weszła w życie w 2011 roku, a więc jeszcze przed RODO, i w obecnym brzmieniu zakłada, że znaki identyfikacyjne mają pozwalać na ustalenie tożsamości pacjenta – jego imienia, nazwiska i daty urodzenia. Sformułowanie „pozwalać na ustalenie” jest tu kluczowe.
Nowelizacja wynikająca z ustawy o jakości w ochronie zdrowia, która w założeniu ma wejść w życie 1 stycznia, wprowadza w to miejsce obowiązek umieszczenia na znaku imienia, nazwiska i daty urodzenia. To zasadnicza różnica: dotychczas placówka mogła zrealizować wymóg pośrednio, np. kodem, teraz dane mają być widoczne wprost.
Czy obowiązkowe imię i nazwisko na opasce to krok wstecz w ochronie danych?
Nie – to raczej odpowiedź na postulaty środowiska medycznego niż uwstecznienie systemu ochrony danych osobowych. Warto pamiętać, w jakim kontekście ten problem narastał.
RODO wprowadziło w pewnym momencie złą interpretację i postrzeganie personelu w przychodniach oraz szpitalach stanęło na głowie. Stąd przywoływany „absurd RODO”: pacjent otrzymywał pseudonim i pod nim był wywoływany do gabinetu. Głośna była też sytuacja z województwa małopolskiego, gdzie rodzice dzieci uczestniczących w wypadku nie mogli uzyskać drogą telefoniczną informacji o swoich dzieciach. Wtedy wybrzmiało, że RODO zamiast służyć, zaczyna szkodzić.
Po drugiej stronie stoi pytanie, które warto zadać wprost: co tak naprawdę można zrobić z imieniem, nazwiskiem i datą urodzenia widocznymi na opasce? Prezes Urzędu Ochrony Danych Osobowych (UODO) konsekwentnie kwalifikuje obecność numeru PESEL jako wysokie ryzyko naruszenia praw i wolności. Przy samej dacie urodzenia realne możliwości nadużycia – dla osoby bez dostępu do systemów centralnych – są znikome. Znanych przypadków bezprawnego wykorzystania takich danych praktycznie nie ma; jeśli są, to w skali mikro w stosunku do tego, do czego te dane służą.
Argument przeciwników zmiany jest inny i też zasadny: mając imię, nazwisko i datę urodzenia pacjenta leżącego na konkretnym oddziale, mamy nie tylko dane podstawowe, ale i informację o stanie zdrowia. Rzecz w tym, że po drugiej stronie szali leży ryzyko pomyłki – w identyfikacji pacjenta, w podaniu leku – a na to placówka medyczna pozwolić sobie nie może.
Wynik tego ważenia jest przewidywalny. Rozporządzenie ogólne to akt o ochronie osób fizycznych w związku z przetwarzaniem ich danych – nie chronimy danych osobowych jako takich, tylko prawa i wolności osób, których te dane dotyczą. Jeżeli w grę wchodzi prawidłowa identyfikacja pacjenta, podanie właściwego leku i uratowanie życia, zawsze wygrywa życie ludzkie, a prawo ochrony danych jest wtórne.
Dlaczego kody QR nie rozwiązały problemu identyfikacji pacjenta?
Bo problemem nigdy nie było samo kodowanie ani odczyt, tylko sprzęt. Testy na systemach generujących opaski, kody kreskowe i kody QR pokazywały, że część kodów dawało się odczytać nawet ogólnodostępnymi aplikacjami mobilnymi, a część nie – w zależności od systemu.
Prawdziwa bariera była gdzie indziej: lekarze po prostu nie dysponowali odpowiednimi urządzeniami. Czytników było za mało i nie miały rozmiarów ani mobilności, jakiej można byłoby oczekiwać. Środowisko medyczne wskazywało, że w krajach lepiej rozwiniętych technologicznie można sobie na taki model pozwolić, a w polskich realiach – nie.
Efekt widać w raporcie Najwyższej Izby Kontroli (NIK): na próbce 24 szpitali w ogromnej większości znaki identyfikacyjne zawierały dodatkowe informacje niezgodne z przepisami – najczęściej imię i nazwisko, czasami numer PESEL. Praktyka wyprzedziła przepis.
Gdzie kończy się uzasadniona identyfikacja, a zaczyna nadmiarowość?
Granicą jest podstawa prawna i stopień ingerencji w prywatność. Rozszerzanie zakresu danych o pacjencie bywa kuszące dla administratorów, ale nie każdy cel administratora tę ingerencję uzasadnia.
Przykładem są dane biometryczne. W innych branżach zdarza się, że pracodawca buduje kontrolę dostępu opartą o biometrię, argumentując to podmienianiem kart przez pracowników i konsekwencjami kadrowo-płacowymi. W podmiocie medycznym uzasadnienie pobrania odcisku palca prawnie uzasadnionym interesem administratora – rozumianym jako jednoznaczna identyfikacja pacjenta – jest jeszcze łatwiejsze do skonstruowania. I właśnie dlatego warto zadać pytanie, czy administrator nie idzie o krok za daleko, próbując uargumentować własne cele przetwarzaniem danych pacjentów.
Warto też pamiętać, jak nisko leży próg danych szczególnej kategorii. Zgodnie ze stanowiskiem Prezesa UODO samo zmierzenie pracownikowi temperatury i pozyskanie informacji, że przekracza ona np. 37,5 stopnia, jest już informacją ujawniającą stan zdrowia w rozumieniu art. 9 RODO.
Kiedy podmiot leczniczy może monitorować pomieszczenia, w których udziela świadczeń?
Dziś – tylko wtedy, gdy wynika to z przepisów odrębnych, co w praktyce oznacza bardzo duże ograniczenie (dopuszczalne jest to np. na oddziałach intensywnej terapii, gdzie opieka nad pacjentem musi być wzmożona). Od 1 stycznia odesłanie do przepisów odrębnych zostaje wykreślone, a w jego miejsce pojawia się przesłanka: monitoring jest dopuszczalny, jeżeli jest konieczny w procesie leczenia pacjentów lub dla zapewnienia im bezpieczeństwa.
To krok w dobrą stronę i odpowiedź na sygnały od jednostek medycznych – pytań o monitorowanie stanu pacjentów, którzy nie są pod respiratorem, ale są w stanie ciężkim, przybyło zwłaszcza w czasie pandemii COVID-19.
Problem w tym, że przesłanka jest bardzo szeroko interpretowalna. Administratorzy będą jej używali do pokrycia monitoringu w każdym dostępnym miejscu, argumentując, że pacjent przemieszczany czy asystowany z punktu A do punktu B musi mieć zapewnione bezpieczeństwo. Wtedy kamery pojawiają się w pomieszczeniach socjalnych i toaletach, a placówka zaczyna przetwarzać dane nie tylko pacjentów, ale i osób odwiedzających. W tej ocenie taki monitoring nie jest adekwatny, a bez przepisu wykonawczego sama zmiana ustawy problemu nie rozwiąże. Historia zna zresztą projekt ustawy o monitoringu wizyjnym z 2014 roku, który utknął – a mógł rozwiązać większość problemów ze stosowaniem monitoringu.
Przy okazji dwa przypomnienia, o których łatwo zapomnieć: co do zasady nie można rejestrować dźwięku, a monitoring w zakładzie pracy – również w podmiocie medycznym – opiera się na prawnie uzasadnionym interesie administratora, uregulowanym w kodeksie pracy.
Jak przeprowadzić test proporcjonalności przed wdrożeniem monitoringu?
Za każdym razem, gdy administrator opiera się na prawnie uzasadnionym interesie, musi wykazać się tzw. testem proporcjonalności – czyli zważyć, po której stronie leży ciężar tego interesu i czy realizując swój cel nie ingeruje zbyt daleko w prawa i wolności pracownika czy pacjenta.
Najważniejsze pytanie tego testu brzmi prosto: czy istnieje alternatywna możliwość osiągnięcia tego samego celu bez monitoringu?
- Ochrona obiektu, miejsca załadunkowego, parku maszyn, kontrola dostępu do pomieszczeń – tu alternatywnej metody zwykle nie ma.
- Pomieszczenia socjalne, stołówki, toalety, wydzielona palarnia – tu do tego samego celu można dojść, modyfikując ustawienie kamer, ograniczając zakres monitoringu, sięgając po inne metody albo po prostu rezygnując z przetwarzania takich danych.
Trudno wyobrazić sobie argumentację podmiotu medycznego, który wdroży monitorowanie wszystkich toalet na terenie swojego zakładu.
Czy monitoring rozwiąże problem agresji wobec personelu?
Zwykle nie, bo kamera jest wyłącznie urządzeniem, które rejestruje sytuację – i nic więcej. Placówka medyczna to tygiel ludzi: pacjenci, osoby odwiedzające, przypadkowi przechodzący. Awantura na korytarzu z udziałem osoby odwiedzającej nie jest przypadkiem odosobnionym, a argument „pielęgniarki poczuły się zagrożone, więc potrzebne są dodatkowe kamery” pojawia się w praktyce regularnie.
Rzecz w tym, co takie nagranie realnie daje. W analizowanej niedawno sprawie u jednego z publicznych przewoźników nagranie bez dźwięku – a dźwięku nagrywać nie można – okazało się co najmniej dwuznaczne: widać zachowania, ale nie sposób ustalić, która strona była prowokatorem. Zostaje słowo przeciwko słowu.
W placówce medycznej sytuacja jest o tyle inna, że przy takim zdarzeniu są zwykle inni świadkowie. Zanim więc padnie decyzja o kolejnej kamerze, warto wrócić do pytania z testu proporcjonalności: czy możemy osiągnąć ten sam cel inaczej niż przez kamery?
Incydent czy naruszenie ochrony danych – jak je odróżnić i kiedy zgłaszać?
To rozróżnienie ma praktyczne konsekwencje. Zdarzenie bezpieczeństwa (incydent) nie musi być naruszeniem – naruszenie występuje wtedy, gdy zaczyna grać rolę prawdopodobieństwo naruszenia praw i wolności osób, których dane dotyczą. Co ważne, pierwszej oceny dokonuje nie organ, lecz sam administrator, w oparciu o prawidłowo prowadzoną politykę zarządzania incydentami i naruszeniami.
Incydentów co do zasady się nie zgłasza. Naruszenia – w zależności od przyjętej metodyki i poziomu oddziaływania – zgłasza się do UODO albo do innego właściwego organu krajowego na terenie Unii Europejskiej.
Reakcja urzędu bywa różna: może nie wysłać żadnej informacji i przejść nad zgłoszeniem do porządku dziennego, może zwrócić się o dodatkowe wyjaśnienia, nakazać uzupełnienie informacji albo wykonanie określonych czynności, np. poinformowanie osób, których dane dotyczą. Czasem administrator już na etapie własnej oceny wie, że musi jednocześnie zgłosić sprawę Prezesowi UODO i zawiadomić osoby. W niektórych przypadkach organ – najczęściej po przeprowadzeniu postępowania – nakłada administracyjną karę pieniężną, w wysokości do 4% albo do 20 milionów euro, w zależności od trybu.
Przykładem obowiązku informowania jest naruszenie w szpitalu w Bełchatowie, jedno z pierwszych w 2018 roku, kilka miesięcy po rozpoczęciu stosowania RODO – szpital wykonał obowiązek, publikując komunikat na swojej stronie internetowej.
Za co placówki medyczne dostawały kary RODO w Europie?
Najczęściej za sposób zarządzania uprawnieniami w systemach informatycznych, a nie za spektakularne wycieki.
Pierwszą znaną karą w kontekście medycznym była kara w Portugalii, nałożona na szpital. Do mediów przebiła się kwota 400 tysięcy euro, ale już gorzej przebiła się informacja, że kara była podzielona na kilka elementów: dwa razy po 150 tysięcy i 100 tysięcy euro. Chodziło m.in. o sytuację powszechną również w Polsce: w systemie informatycznym szpitala pozostawały aktywne konta byłych pracowników, z których – po uzyskaniu dostępu do infrastruktury fizycznie lub zdalnie – można było zalogować się do danych osobowych.
Mechanizm jest znajomy: gdy pracownik zaczyna istnieć w organizacji, presja czasu wymusza szybkie założenie konta. Gdy przestaje być pracownikiem, jego konto jakimś cudem zostaje w systemie sierotą. Wychodzi to zwykle przy audycie wewnętrznym – choćby przy porównaniu liczby kont w systemach z liczbą pracowników i wydanych upoważnień.
Drugą grupę stanowią kary z Holandii (460 tysięcy euro) i Czech, dotyczące tego samego problemu co w Portugalii: lekarz miał z poziomu swojego konta dostęp do danych wszystkich pacjentów danej placówki.
Dla porządku, z rynku polskiego: w podcaście przywołano m.in. karę 20 tysięcy złotych dla łódzkiej spółki za brak odpowiedzi i współpracy z Prezesem UODO, karę rzędu 20 kilku tysięcy złotych dla szkoły, a także to, że pierwsza spektakularna kara UODO miała kontynuację przed sądem administracyjnym, a kara nałożona na pewną spółkę technologiczną została w wyniku odwołania cofnięta.
Czy lekarz powinien mieć dostęp do danych wszystkich pacjentów?
To problem bardziej złożony, niż sugerują same rozstrzygnięcia organów. Co do zasady historia choroby i leczenia pacjenta idzie za pacjentem – lekarz powinien mieć dostęp do zgromadzonej historii, bo tego wymaga ciągłość leczenia. W praktyce dane z poszczególnych specjalizacji w naturalny sposób się krosują, więc rygorystyczne cięcie dostępów bywa sprzeczne z realiami pracy placówki.
Z drugiej strony podmioty medyczne pracują na danych szczególnej kategorii i – w zależności od wielkości – na dużą skalę. Duża skala plus szczególna kategoria danych oznacza duże ryzyka, a stąd już blisko do podejścia „zero trust”, szczególnie istotnego w kontekście cyberbezpieczeństwa. A cyberbezpieczeństwo dopiero zaczyna wyskakiwać z lodówki tak, jak RODO w 2018 roku: lekarze przynoszą własne tablety, telefony i laptopy, odbierają pocztę, korzystają z usług chmurowych.
Kluczowe jest rozróżnienie: czym innym jest upoważnienie i samo danie dostępu do systemu, a czym innym określenie, do czego użytkownik faktycznie powinien mieć dostęp. Większość systemów funkcjonujących w podmiotach medycznych ma poziomy uprawnień zgranulowane dość szczegółowo i oparte na rolach – rejestratorka może mieć dostęp do konkretnych pól w karcie i konkretnych czynności, lekarz do pełnego zakresu informacji.
Odpowiedź brzmi więc: trzeba rozpatrywać konkretny kontekst, konkretną sytuację i konkretny system. W małej praktyce – gabinecie dentystycznym, dermokosmetycznym, niewielkiej klinice – rozbudowany system zarządzania uprawnieniami może być po prostu nieadekwatny do skali i celu. W dużych systemach szpitalnych poziom uprawnień bywa zagnieżdżony bardzo głęboko. Bezpieczeństwo, informatyka, prawo i biznes zawsze mówią tu innym językiem i trzeba je pogodzić: bezpieczeństwo chce najbezpieczniej, prawo – nie więcej niż zgodnie z przepisem, biznes – przyjaźnie dla pacjenta i użytkownika.
Czy małe praktyki medyczne też muszą wdrażać ochronę danych?
Tak. Kwestia bezpieczeństwa danych osobowych i medycznych pacjentów dotyczy każdego podmiotu, bez względu na wielkość – w tym szeroko rozumianych praktyk medycznych. Małe praktyki bywają tym zaskoczone, prawdopodobnie z powodu niewystarczającej informacji.
Każdy administrator – od gabinetu dentystycznego, przez gabinet fizjoterapeuty i małą klinikę chirurgii plastycznej, po duże podmioty – jest w stanie zapewnić bezpieczeństwo danych. Albo przez właściwe określenie parametrów, jakie ma spełniać oprogramowanie, albo przez przeniesienie odpowiedzialności za bezpieczeństwo systemu na dostawcę w ramach licencji. Wiele systemów dla mikroprzedsiębiorców dostarczanych jest dziś w modelu chmurowym (SaaS): prowadzący gabinet potrzebuje komputera i przeglądarki, niczego nie instaluje, a za bezpieczeństwo danych odpowiada dostawca. Duże podmioty idą raczej w kierunku rozwiązań stacjonarnych lub kompromisowych.
Nie da się przy tym pominąć kosztów. Wdrożenie rozbudowanego systemu informatycznego kosztuje, a biznes powie wprost, że rozumie bezpieczeństwo, prawo i informatykę, ale to on za wszystko płaci. Mierzmy siły na zamiary – i to nie jest tu frazes, tylko element oceny adekwatności.
Tu ujawnia się też dwoistość samego RODO. Ponieważ akt ten nie zawiera konkretnych rozwiązań, a odpowiedzialność za wykazanie należytej staranności leży po stronie administratora, mamy elastyczność korzystną dla mikrodziałalności – i jednocześnie te same podmioty mówią, że nie zatrudnią sztabu prawników po to, żeby mieć papiery. Efekt jest taki, że gdzieś po drodze zgubiliśmy rozsądek: dziś produkujemy papiery, bo boimy się kontroli, zamiast myśleć o tym, jak ochrona danych ma działać w konkretnym stanie faktycznym.
Dotyczy to zwłaszcza upoważnień do przetwarzania danych osobowych. Polski organ w nich gustuje, choć obowiązek ich wydawania nie wynika wprost z RODO – a kontrola najczęściej zaczyna się właśnie od poproszenia o upoważnienia, politykę i instrukcję. Powód jest prozaiczny: to najprostsze do sprawdzenia, bo rozliczalne zero-jedynkowo, w przeciwieństwie do zaglądania w systemy informatyczne. Nikt raczej nie podjąłby się dziś nakłonienia administratora do rezygnacji z upoważnień – i praktyczna rekomendacja pozostaje ta sama: skoroszyt z napisem RODO, przekładki, wydrukowane i podpisane polityki, rejestry (umów powierzenia, upoważnień, naruszeń, wniosków osób).
Czy po trzech latach RODO widać światełko w tunelu?
Widać – i widać przede wszystkim wzrost świadomości oraz racjonalnego podejścia do tematu. W rozmowach z kierownictwem placówek medycznych coraz częściej motywacją nie jest widmo kary i kontroli, tylko jakość świadczonych usług, budowanie wizerunku marki i rozwój, w którym ochrona danych jest integralną częścią prowadzonej działalności. Oczywiście są i tacy administratorzy, dla których to piąte koło u wozu i którzy robią działania pozorne na wypadek kontroli.
Dobrym przykładem dojrzałego podejścia są usługi, które powstały na fali pandemii i których przed marcem 2020 roku nie było – jak analiza pacjenta pod kątem ryzyk związanych z pracą zdalną czy usługa kierująca pacjenta od razu do właściwego specjalisty na podstawie zdalnie zebranego wywiadu. Ich twórcy zamawiali ocenę skutków dla ochrony danych, bo przetwarzanie danych jest integralną częścią samej usługi. Alternatywą byłoby kupienie w internecie paczki gotowych dokumentów za 50 złotych – i tyle.
Statystyki są przy tym mniej optymistyczne: po 2019 roku widać wyraźny zjazd zainteresowania usługami audytowo-analitycznymi. Ale dane osobowe najprawdopodobniej wrócą do łask, bo na horyzoncie jest projekt rozporządzenia e-Privacy, nazywanego „RODO 2”, a obok czeka temat sygnalistów – na razie z projektem ustawy, ale bez ustawy. Historia lubi się powtarzać: polska ustawa o ochronie danych osobowych została uchwalona w czerwcu 2018 roku, już po rozpoczęciu stosowania RODO, a ustawa wdrażająca z 2019 roku zmieniła 170 aktów prawnych.
FAQ
Co musi zawierać znak identyfikacyjny pacjenta po zmianie przepisów? Imię, nazwisko i datę urodzenia – i to jako obowiązek. Dotychczasowy przepis wymagał jedynie, by znak pozwalał na ustalenie tych danych.
Skąd wzięła się zmiana w znakach identyfikacyjnych? Z realiów: brakowało czytników kodów QR i kodów kreskowych, przez co identyfikacja pacjenta bywała niemożliwa. Raport NIK z próby 24 szpitali pokazał, że w ogromnej większości placówki i tak umieszczały na znakach dodatkowe dane, najczęściej imię i nazwisko.
Czy podmiot leczniczy może monitorować salę, w której udziela świadczeń? Po zmianie – tak, jeżeli monitoring jest konieczny w procesie leczenia pacjentów lub dla zapewnienia im bezpieczeństwa. Wcześniej było to możliwe tylko wtedy, gdy wynikało z przepisów odrębnych.
Czy monitoring w placówce może rejestrować dźwięk? Co do zasady nie. To istotne ograniczenie, bo bez dźwięku nagranie spornej sytuacji bywa dwuznaczne i niewiele wnosi.
Kiedy zgłasza się naruszenie ochrony danych do UODO? Wtedy, gdy zdarzenie jest naruszeniem, czyli gdy w grę wchodzi prawdopodobieństwo naruszenia praw i wolności osób, których dane dotyczą. Oceny w pierwszej kolejności dokonuje administrator; incydentów co do zasady się nie zgłasza.
Ile wynosi maksymalna kara za naruszenie RODO? Do 4% albo do 20 milionów euro – w zależności od trybu, w jakim kara jest nakładana.
Za co ukarano szpital w Portugalii? Kara wyniosła 400 tysięcy euro i była podzielona na kilka elementów: dwa razy po 150 tysięcy i 100 tysięcy euro. Jednym z ustalonych naruszeń było pozostawienie aktywnych kont byłych pracowników w systemie informatycznym szpitala.
Czy mała praktyka medyczna musi mieć wdrożoną ochronę danych osobowych? Tak – obowiązki dotyczą każdego podmiotu bez względu na wielkość, choć zakres zabezpieczeń powinien być adekwatny do skali przetwarzania i możliwości placówki.
Podsumowanie
Obie zmiany w ustawie o działalności leczniczej idą w stronę praktyki: identyfikacja pacjenta ma wreszcie działać w realnych warunkach oddziału, a monitoring nie ma już zależeć od odesłania do przepisów odrębnych. Cena tej elastyczności to szeroka przesłanka „bezpieczeństwa pacjenta”, która bez przepisu wykonawczego zostawia dużo miejsca na własną interpretację – a więc i na kamery tam, gdzie ich być nie powinno.
Reszta pozostaje pracą u podstaw: rozróżnianie incydentu od naruszenia, porządek w uprawnieniach do systemów, konta byłych pracowników i uczciwie przeprowadzony test proporcjonalności zamiast produkowania papierów na wypadek kontroli. Całej rozmowy – najdłuższej jak dotąd w podcaście – posłuchasz w 11. odcinku „Recepty na przepis”.