Skradzione auto z dokumentacją medyczną

Skradzione auto z dokumentacją medyczną – jak wynika z Decyzji PUODO wydanej w sprawie DKN.5131.17.2022 na podmiot medyczny nałożona została kara administracyjna w wysokości 32.832,00 zł (słownie: trzydziestu dwóch tysięcy ośmiuset trzydziestu dwóch złotych). Prezes UODO stwierdził naruszenie Rozporządzenia RODO polegające na: nieprzeprowadzeniu analizy ryzyka dla operacji przetwarzania danych osobowych pacjentów związanych z udzielaniem świadczeń zdrowotnych w formie „wizyt domowych”, niewdrożeniu odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo przetwarzania danych osobowych pacjentów zawartych w dokumentacji medycznej podczas realizacji wizyt domowych. Jak wyraźnie wskazano w Komunikacie PUODO, kara administracyjna została nałożona na podmiot medyczny, nie za utratę danych, ale właśnie za ww. nieprawidłowości.

Niestety opis ustalonego w postępowaniu stanu faktycznego pokazuje dobitnie, iż podmioty medyczne wciąż borykają się z problemem analizowania ryzyka przetwarzania danych ww związku z zachodzącymi procesami ich przetwarzania. Pomimo tego, iż pewne zachowania, mające charakter zabezpieczający, pomimo tego, iż zdawać by się mogło są oczywiste, niestety w realiach codzienności, takimi nie są. Z tego względu istotną kwestią jest także poprawne przygotowanie personelu medycznego do realizacji zadań poza siedzibą jednostki, jak i wyraźne komunikowanie działań zarówno tych oczekiwanych, jak i zakazanych.

Skradzione auto z dokumentacją medyczną cyt.: "Samochód lekarza, który pojechał z wizytą domową do pacjenta, został skradziony. W samochodzie była niezabezpieczona dokumentacja w sumie ośmiorga pacjentów, w tym nazwiska, imiona, daty urodzenia, adresy zamieszkania, numery PESEL, oraz dane dotyczące zdrowia."

Wynoszenie dokumentacji / sprzętu poza Jednostkę

Faktem jest, iż świadczenia medyczne udzielane mogą być, i są, poza siedzibą Jednostki. Istotne jednak jest to, aby podmiot medyczny w sposób prawidłowo rozpoznał takie sytuacje, a następnie adekwatnie do stanu faktycznego przeprowadził analizy ryzyka dla ww. operacji przetwarzani. Przykładowo taka sytuacja będzie mieć miejsce, w sytuacji udzielania świadczeń zdrowotnych w miejscu zamieszkania pacjenta, którym to może być nie tylko jego dom, mieszkanie, ale może być nim także np. dom pomocy społecznej, taka sytuacja może dyktować konieczność stworzenia warunków do wykorzystywania dokumentacji medycznej w miejscu udzielania świadczenia medycznego. Pamiętać przy tym należy, iż dokumentacja taka może być prowadzona w postaci papierowej, albo w postaci elektronicznej. Pamiętać także należy, iż w trakcie udzielania świadczeń medycznych w miejscu zamieszkania pacjenta, może dojść do sytuacji, w której to zajdzie konieczność wystawienia recepty, względem której przepisy przepikowują konieczność zachowania postaci elektronicznej (art. 95b ust. 1a Ustawy z dnia 6 września 2001r., Prawo farmaceutyczne), w takiej sytuacji nie wystarczy, już stworzenie warunków zapewniających dostęp do dokumentacji prowadzonej w postaci papierowej, niezbędne jest stworzenie warunków do wystawienia tzw. e-recepty. Istotne zatem jest, aby podmiot medyczny w sposób prawidłowy rozpoznał sytuacje, w których to dochodzi do konieczności wynoszenia dokumentacji medycznej prowadzonej w postaci papierowej poza obszar Jednostki, oraz sytuacje w których to zachodzi konieczność stworzenia warunków techniczno organizacyjnych do dostępu do zasobów danych umożliwiających realizację świadczenia z wykorzystaniem systemu teleinformatycznego.

Wybrane fragmenty z Decyzji PUODO

Poniżej prezentuję najciekawsze, moim zdaniem wybrane fragmenty z Decyzji PUODO, zachęcam jednak do zapoznania się z pełną jej treścią:

cyt.: „Ze zgromadzonego materiału dowodowego nie wynika także, aby Administrator prywatne auta pracowników zidentyfikował jako obszar przetwarzania danych osobowych, do których odnoszą się postanowienia procedur dotyczących zabezpieczania danych osobowych.”

cyt.: „Mając na uwadze powyższe Prezes UODO ustalił, że obowiązujące u Administratora procedury nie odnosiły się do przewożenia dokumentacji zawierającej dane osobowe prywatnym autem pracownika, w tym nie określały sposobu postępowania z tą dokumentacją oraz sposobów jej zabezpieczenia. (…) do dnia 18 lutego 2022 r. (dzień zmiany procedur) rekomendacje zawarte w audytach przeprowadzonych w 2017 r. i 2018 r. nie przybrały formy procedur i nie zostały ogłoszone pracownikom Administratora.”

cyt.: „(…) analiza ryzyka przeprowadzana przez administratora danych powinna zostać udokumentowana oraz uzasadniona na podstawie przede wszystkim określenia stanu faktycznego istniejącego w momencie jej przeprowadzania. Należy wziąć pod uwagę w szczególności charakterystykę zachodzących procesów, aktywa, podatności, zagrożenia oraz istniejące zabezpieczenia, w ramach zachodzących procesów przetwarzania danych osobowych. Nie można również w trakcie tego procesu pominąć zakresu oraz charakteru danych osobowych przetwarzanych w toku czynności realizowanych przez administratora danych, albowiem w zależności właśnie od zakresu oraz charakteru ujawnionych danych zależeć będą potencjalne negatywne skutki dla osoby fizycznej w przypadku wystąpienia naruszenia ochrony jej danych osobowych. (…)”.

cyt.: „Aby analiza ryzyka została przeprowadzona w sposób właściwy, winny być zdefiniowane dla każdego z aktywów zagrożenia, mogące wystąpić w procesach przetwarzania danych. Określenie aktywa używane jest dla wskazania wszystkiego, co stanowi wartość dla administratora danych.”.

cyt.: „Podatność jest określana powszechnie jako słabość bądź luka w zabezpieczeniach, która wykorzystana przez dane zagrożenie może zakłócać funkcjonowanie, a także może prowadzić do naruszeń ochrony danych osobowych. Identyfikowanie zagrożeń polega na określaniu, jakie zagrożenia i z jakiego kierunku (powodu) mogą się pojawić.”.

cyt.: „Określenie istniejących lub stosowanych zabezpieczeń jest konieczne, między innymi w tym celu, aby ich nie powielać. Należy również bezwzględnie sprawdzić skuteczność funkcjonowania tych zabezpieczeń, ponieważ istnienie zabezpieczenia niesprawdzonego po pierwsze może wyeliminować jego wartość, po drugie zaś może dać fałszywe poczucie bezpieczeństwa oraz może skutkować pominięciem (niewykryciem) krytycznej podatności, która wykorzystana spowoduje bardzo negatywne skutki, w tym w szczególności może doprowadzić do naruszenia ochrony danych osobowych.”.

Jak powinien zachować się podmiot medyczny ... cyt.: "Administrator biorąc pod uwagę charakter przetwarzania danych osobowych związany z celem w postaci udzielania świadczeń zdrowotnych, jak również dużą liczbę pacjentów (...) w celu prawidłowego wywiązania się z obowiązków nałożonych ww. przepisami rozporządzenia 2016/679, był zobowiązany do podjęcia działań zapewniających właściwy poziom ochrony danych osobowych poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych. (...) w szczególności powinno się zinwentaryzować zasoby biorące udział w procesach przetwarzania, zidentyfikować podatności odnoszące się do wykorzystywanych zasobów, wynikające z nich zagrożenia oraz istniejące zabezpieczenia, a następnie określić adekwatne środki bezpieczeństwa (zarówno te o charakterze technicznym, jak i te o charakterze organizacyjnym)."

Procedura opisująca zasady pracy poza obszarem jednostki medycznej

Procedura wynoszenia dokumentaci / sprzętu IT Opracowaliśmy dokumentację zawierającą opis modelowej procedury postępowania, w przypadku konieczności wynoszenia poza obszar jednostki podmiotu medycznego dokumentacji medycznej oraz sprzętu IT. Dokumentacja pozwala na inwentaryzację procesu oraz ułatwia dobór adekwatnych środków technicznych i organizacyjnych do zastosowania w odniesieniu do zidentyfikowanych przypadków przetwarzania danych w opisywanych warunkach.