Proste to RODO ochrona danych w sektorze medycznym

Wdrożenie RODO w jednostkach medycznych. RODO w medycynie. Przygotowanie dokumentacji RODO. Szkolenia z ochrony danych osobowych.

Proste to RODO

Ochrona danych w sektorze medycznym

Udostępnienie dokumentacji niepełnoletniej matce dziecka

Udostępnianie dokumentacji medycznej

Udostępnienie dokumentacji niepełnoletniej matce dziecka.

Udostępnienie dokumentacji niepełnoletniej matce dziecka, może okazać się problemem w realiach jednostek medycznych. Decyzja musi uwzględniać przepisy Ustawy o Prawach Pacjenta i Rzeczniku Praw Pacjenta. Należy jednak dokonać również analizy stanu faktycznego na gruncie przepisów Kodeksu Rodzinnego i Opiekuńczego.

Stan faktyczny.

Ojciec dziecka ma 15 lat, matka dziecka ma lat 17. Oboje są niepełnoletni. Nie został zawarty pomiędzy nimi związek małżeński. Jednak wystąpili oni z wnioskiem (każdy z rodziców osobno) o udostępnienie dokumentacji medycznej dziecka, zaraz po porodzie. Z takim samym wnioskiem wystąpili także dziadkowie (rodzice ojca i rodzice matki dziecka). PWDL nie dysponuje żadnym postanowieniem sądowym dotyczącym ustanowienia opiekuna prawnego dla małoletniego pacjenta, czy też kuratora. Niepełnoletni rodzice we wniosku powołali się na art. 96 par. 2 Kodeksu rodzinnego i opiekuńczego.

Problematyczne kwestie.

Jak w opisanej sytuacji powinien postąpić PWDL? Czy powinien wydać niepełnoletnim rodzicom dokumentację medyczną w oparciu o art. 96 par. 3 Kodeksu rodzinnego i opiekuńczego? Czy PWDL powinien wydać dokumentację medyczną dziadkom, rodzicom małoletnich rodziców? Co w sytuacji, kiedy małoletni rodzice zawrą związek małżeński, czyli matka 17-latka będzie traktowana jako osoba pełnoletnia?

Podstawy prawne.

Konkluzja.

W mojej ocenie w sytuacji, w jakiej znalazła się placówka medyczna, powinna ona udostępnić dokumentację medyczną  opiekunowi prawnemu dziecka, który zarazem jest jego przedstawicielem ustawowym.

Uzasadnienie.

Władza rodzicielska przysługuje obojgu rodzicom, co jest zasadą wprowadzoną przepisami KRiO. Jednak w zależności od sytuacji stanu faktycznego, władza rodzicielska może kształtować się różnorako. Jeżeli jedno z rodziców nie żyje albo nie ma pełnej zdolności do czynności prawnych, władza rodzicielska przysługuje drugiemu z rodziców. To samo dotyczy wypadku, gdy jedno z rodziców zostało pozbawione władzy rodzicielskiej albo gdy jego władza rodzicielska uległa zawieszeniu. Jeżeli żadnemu z rodziców nie przysługuje władza rodzicielska albo jeżeli rodzice są nieznani, ustanawia się dla dziecka opiekę. W sytuacji zatem kiedy rodzice biologiczni nie posiadają pełnej zdolności do czynności prawnych, mieć będziemy do czynienia z sytuacją, w której nie przysługuje  żadnemu z nich władza rodzicielska. W takiej sytuacji, jeżeli żadnemu z rodziców nie przysługuje władza rodzicielska, albowiem nie posiadają pełnej zdolności do czynności prawnych , ustanawia się dla dziecka opiekę. Jednostka medyczna, zgodnie z przepisami będzie mogła udostępnić dokumentację medyczną ustanowionemu opiekunowi prawnemu, jako ustawowemu przedstawicielowi dziecka. Wnioskodawcy w postępowaniu o ustanowienie opieki nad dzieckiem niepełnoletnich rodziców, mogą złożyć stosowny wniosek o ustanowienie zabezpieczenia, do czasu rozstrzygnięcia postępowania. Odnosząc się do podstawy prawnej, przywołanej we wniosku rodziców dziecka, stwierdzić należy, iż nie stanowi ona podstawy dla takiego udostępnienia. Przepis art. 96 par. 2 KRIO traktuje o kwestii uczestnictwa w sprawowaniu bieżącej pieczy nad dzieckiem przez rodziców nieposiadających pełnej zdolności do czynności prawnych.

Autor stanowiska.

Autor: Dominik Spałek
Kontakt: 694 494 240
email: biuro@prostetorodo.pl

Ruszył nabór na szkolenia Proste to RODO. Nie czekaj zarezerwuj swoje miejsce już dziś, skorzystaj z preferencyjnej ceny. Wykup swój bilet i zadaj pytanie, na które odpowiemy na szkoleniu.

5/5

Sprawdź promocję

Procedura udostępniania dokumentacji medycznej. Kompletny zestaw wzorów dokumentów i ich opis.

5/5

99,00 pln

Lista pytań kontrolnych NIK. Przygotuj się na kontrolę, przeprowadź ją sam, na podstawie wyników raportu NIK.

5/5

69,00 pln

Jak prowadzić ewidencję udostępnionej dokumentacji medycznej. Gotowa procedura.

5/5

29,00 pln

Procedura realizacji praw osób, których dane dotyczą z art. 15-20 RODO to narzędzie, które ułatwi Państwu spełnienie obowiązków ADO. 

5/5

149,00 pln

Bezpieczeństwo dokumentacji medycznej wysyłanej email

Kontakt Proste to RODO

Bezpieczeństwo dokumentacji wysyłanej email - cz. 2

Bezpieczeństwo dokumentacji medycznej wysyłanej email. Problem wysyłania dokumentacji medycznej pocztą elektroniczną zasygnalizowany został przez nas części pierwszej niniejszego opracowania.Kontunuując omówimy zalecenia, jakie wydał jeszcze GIODO. Zalecenia dotyczące bezpieczeństwa poczty elektronicznej. Główny Inspektor Ochrony Danych Osobowych wydał bowiem “Opinia w sprawie bezpieczeństwa danych
przekazywanych przy użyciu poczty elektronicznej“.

Bezpieczna wymiana informacji drogą elektroniczną.

Jak zapewnić bezpieczeństwo informacji przekazywanej przy użyciu poczty elektronicznej, to kwestia, która wciąż budzi liczne wątpliwości, zwłaszcza wówczas, gdy przekazywane informacje podlegają ochronie prawnej lub z innych względów powinny być właściwie zabezpieczone, by zapewnić ich poufność, integralność i autentyczność. Mając na uwadze fakt, że wiele narzędzi programowych wykorzystywanych do wysyłania i odbierania poczty elektronicznej nie gwarantuje zapewnienia tych wskazanych wyżej podstawowych atrybutów bezpieczeństwa, nie ma wątpliwości, że ustalenie określonych zasad i środków wtym zakresie jest niezbędne.

Szyfrowanie w celu zachowania poufności informacji zawartych w email.

Jedną z podstawowych metod służących zachowaniu poufności treści przekazywanych drogą elektroniczną jest szyfrowanie. Niestety jednak, jak pokazują nasze doświadczenia, z metody tej korzysta niewielu uzytkowników poczty elektronicznej. Przyczyn takich zaniechań jest kilka. Począwszy od braku wiedzy na temat konieczności stosowania szyfrowania. Skończywszy na zwykłej niechęci użytkowników. Najczęściej bowiem niechęć wynika z konieczności zastosowania dodatkowej procedury. Przygotowania pliku, jego spakowania, nadania hasła, zapisania hasła i przesłania hasła do odbiorcy.

Także GIODO dostrzega przyczyny niechęci użytkowników do stosowania szyfrowania.

Szyfrowanie przekazywanych informacji jest jedną z najbardziej efektywnych metod zapewnienia poufności. Nie wymaga ona bowiem podejmowania żadnych dodatkowych działań związanych zzabezpieczaniem kanałów komunikacyjnych, serwerów pocztowych i innych serwerów pośredniczących wprzekazywaniu informacji. W metodzie tej informacja przed wysłaniem zostaje zaszyfrowana i w takiej postaci trafia do odbiorcy. Przechwycenie jej podczas teletransmisji, jak również odczyt z serwerów pocztowych nadawcy i odbiorcy nie stwarza zagrożenia jej ujawnienia, gdyż jest ona zaszyfrowana. Metoda ta wymaga jednak dodatkowych działań organizacyjnych nadawcy i odbiorcy związanych z przekazaniem klucza do jej odszyfrowania

Szyfrowanie z wykorzystaniem infrastruktury publicznego klucza (certyfikaty bezpieczeństwa).

Inną metodą może być posługiwanie się infrastrukturą klucza publicznego. Zaletą takiego rozwiązania jest to, że przesyłana informacja jest szyfrowana kluczem publicznym adresata i w związku z tym nie ma potrzeby przekazywania mu klucza użytego do zaszyfrowania, jak ma to miejsce w przypadku użycia popularnych programów szyfrujących. Do potwierdzania autentyczności klucza publicznego stosuje się ich certyfikaty –dokumenty elektroniczne, które „wiążą” dane identyfikacyjne właściciela danego klucza publicznego z wydaną mu przez centrum certyfikacji parą kluczy. Certyfikaty mogą być generowane wewnętrznie przez podmioty, tj. własne centra certyfikacji, lub przez komercyjne urzędy certyfikacji, tzw. zaufaną trzecią stronę.

Bezpiecześntwo dokumentacji

Jak wskazuje Grupa Robocza Art. 29 w opinii 03/2016 z 19 czerwca 2016 r. w sprawie oceny i przeglądu Dyrektywy oprywatności i łączności elektronicznej, wykorzystanie szyfrowania wzrosło po medialnych doniesieniach związanych z działaniami, prowadzonymi na szeroką skalę przez podmioty publiczne i prywatne w celu przechwytywania nie kierowanej do nich korespondencji.Do tej samej opinii odniósł się również Europejski Inspektor Ochrony Danych w swojej opinii 5/2016 z 22 czerwca 2016 r., który zachęca do rozwijania standardów technicznych dotyczących szyfrowania, także w celu wspierania wymogów bezpieczeństwa wynikających z nowego rozporządzenia o ochronie danych.

Zapewnienie bezpieczeństwa infrastruktury i kanałów telekomunikacyjnych.

Zaprojektowanie oraz budowa odpowiedniej infrastruktury systemu teleinformatycznego to konieczność. Już na etapie planowania należy w odpowiedni sposób przewidywać i planować adekwatne rozwiązania technologiczne. Nie tylko wybór sprzętu ale i dostawców usług jest tutaj elementem istotnym.

Bezpiecześtwo dokumentacji wysyłanej email zapewniać można stosując także inne metody. Dodatkową metodą zapewnienia poufności jest użycie serwerów pocztowych, które w komunikacji między komputerem nadawcy i odbiorcy oraz między sobą wykorzystują szyfrowane kanały komunikacyjne, co powoduje, że jeśli doszłoby do przechwycenia przesyłanej wiadomości, miałaby ona postać zaszyfrowaną. Rozwiązanie takie nie jest jednak łatwe do zastosowania, jeśli nadawca i odbiorca wiadomości korzystają z różnych serwerów pocztowych, co ma miejsce w większości przypadków komunikacji urzędu z obywatelem czy firmy z klientem.

Przy tym jednak rozwiązaniu pamiętać należy o tym, iż informacje przesyłane zaszyfrowanym kanałem komunikacji przechowywane są w niezaszyfrowanej formie na serwerach nadawcy i odbiorcy. Natomiast za ich składowanie odpowiadają administratorzy serwerów. Nie należy zapominac o tej  tematyce i w sposób odpowiedzialny podejmować decyzję. Decyzje czy korzystać będziemy z własnego serwera pocztowego i jesteśmy w stanie go zabezpieczyć. Czy skorzystamy z usługi podiotu zewnętrznego.

RODO Sender to bezpieczeństwo informacji przesyłanych przez email

e-ZLA błędny PESEL

e-ZLA błedny PESEL

e-ZLA błędny PESEL

e-ZLA błedny PESEL. Wiele można pisać na temat udogodnień wynikających z cyfryzacji służby zdrowia. Niewątpliwie jest to proces postępujący. Jest to także proces obarczony problemami, nie tylko natury technologicznej.  Odpowiedzialne podejście jednostek medycznych do wdrażania regulacji prawnych cyfryzujących służbę zdrowia to konieczność.

Inspiracją był stan faktyczny

Inspiracją do napisania niniejszego krótkiego tekstu był stan faktyczny, z jakim mieliśmy do czynienia w rzeczywistości. Sytuacja, jaka wystąpiła, obrazuje nam, iż z pozoru prosty błąd, może stanowić powód poważnego problemu, konkretnej osoby, będącej podmiotem danych.

Prezes Spółki vs Pracownik

Dzień dobry, Pani Aneto !

Dzień dobry, Panie Prezesie.

Dlaczego przyszła Pani dziś do pracy, nie powinno tu Pani być.

Panie Prezesie, czy stało się coś o czym nie wiem?

Pani Aneto proszę sobie ze mnie nie robić żartów, nie lubię tego.

Panie Prezesie, proszę o wyjaśnienie, czy możemy porozmawiać, nie rozumiem.

Pani Aneto, niech Pani zgłosi się do Działu Kadr on  to Pani wyjaśni.

e-ZLA błędny PESEL​

Nie chcemy budować emocji niniejszym tekstem, ale proszę przez chwilę wczuć się w sytuację, jaka miała miejsce w rzeczywistości. Dialog przedstawia rozmowę pracodawcy z pracownikiem. Dalej wypadki potoczyły się dynamicznie, ale dodam, iż z naszą pomocą udało się rozwiązać tę sytuację. Wyprzedzając pytania odpowiadamy, pracownik nadal jest pracownikiem w dotychczasowej firmie. Niestety jednak, stres, wywołany zajściem i rozmową z przełożonym był realny. Wszystkiemu winne było e-ZLA błedny PESEL.

01 grudnia 2018 r.

Od 1 stycznia 2016 roku lekarze mogą wystawiać elektroniczne zwolnienia lekarskie tzw. e-ZLA. Zwolnienia na papierowym formularzu (ZUS ZLA) mogły być wystawiane do końca listopada 2018 r. Natomiast od 1 grudnia 2018 r. lekarze wystawiają wyłącznie zwolnienia elektroniczne. Opisany przypadek wiąże się ściśle z tym właśnie dokumentem e-ZLA. Powodem zapytania Prezesa Spółki, było otrzymanie informacji z Działu Kadr dot. absencji pracownika w pracy. Nie byłoby w tym nic niezwykłego, gdyby nie fakt, iż absencja ta pokrywała się terminem, w jakim pracownik zamierzał skorzystać z krótkiego urlopu, na który pracodawca nie wyraził zgody.  [dop. nie tłumaczymy zachowania Prezesa, ale staramy się zrozumieć również i jego stanowisko]. Nasza bohaterka, niczego nieświadoma, pogodzona z faktem, iż nie udało się jej skorzystać i przedłużyć długiego weekendu stawiła się do pracy.  

Dział Kadr wyjaśnia i informuje.

Jak wyjaśnił Dział Kadr, pracodawca otrzymał drogą elektroniczną zaświadczenie e-ZLA dot. czasowej niezdolności do pracy pracownika. Z tego to względu pracodawca rozpytywał pracownika o powód przybycia do pracy. Mając w świadomości fakt, iż jest on przecież niezdolny do wykonywania pracy na zajmowanym przez siebie stanowisku. Dodać należy, iż zapewne pracodawca świadomy był także tego, iż odmówił przyznania urlopu wypoczynkowego ww. pracownikowi, z tego względu sceptycznie – zapewne – podchodził do faktu wystawienia i doręczenia e-ZLA.

Słowo pracownika kontra dokumentacja e-ZLA

Zdziwienie pracownika nie znało granic. Poprosił o okazanie dostarczonego pracodawcy dokumentu e-ZLA. Wyjaśnienia ustne zostały wysłuchane, jednak decyzja o dopuszczeniu do pracy pracownika nie została podjęta. Po okazaniu pracownikowi zaświadczenia okazało się, że:

  • druk e-ZLA zawiera prawidłowe dane pracownika (imię, nazwisko, numer PESEL,
  • druk e-ZLA zawiera prawidłowe dane  płatnika,
  • wystawiony został przez lekarza poza miejscem zamieszkania pracownika,
  • zaświadczenie zawiera nieprawidłowy tylko adres zamieszkania pracownika.
Pracownik złożył pisemne wyjaśnienia wskazujące na fakt, iż nie korzystał ze świadczeń medycznych wskazanej jednostki medycznej, a tym bardziej, przedmiotowe zaświadczenie nie dotyczy jego osoby – pomimo, iż zawiera jego prawidłowe dane osobowe.

Dział Kadr - zadziałał

Po złożeniu wyjaśnień Dział Kadr skontaktował się z jednostką medyczną, która wystawiła e-ZLA. Na szczęście w ciągu godziny udało się ustalić, iż zasadne i celowe jest unieważnienie zaświadczenia lekarskiego wystawionego na dane Pani Anety.

Wyjaśnienie ... Proste to RODO

Zgodnie z prośbą Pani Anety pomogliśmy jej wyjaśnić całe zajście. Złożony został stosowny wniosek w trybie art. 15 ust. 1 i 3 Rozporządzenia RODO. Jednocześnie Pani Aneta zweryfikowała w Oddziale ZUS poprawność swoich danych – okazały się poprawne. Dodatkowo poprosiła o sprawdzenie w praktyce, jakie dane podawane są przez “system” przy wystawianiu zaświadczenia e-ZLA po wpisaniu jej prawidłowego numeru PESEL. Okazało się, że dane w ten sposób pozyskane również są prawidłowe. Gdzie więc nastąpił błąd … ?!?

Wina po stronie lekarza wystawiającego e-ZLA

Pierwsza odpowiedź jednostki medycznej dość lakonicznie wskazywała, iż cyt. “jednostka nie przetwarza danych osobowych wnioskodawcy“. Zdziwiło nas to, dlatego uznaliśmy, iż telefoniczny kontakt z IOD będzie efektywniejszą formą kontaktu. Mieliśmy rację. IOD bardzo sprawnie i merytorycznie potraktował zagadnienie. Zweryfikowano tożsamość wnioskodawcy, podjęto działania wyjaśniające. W efekcie poinformowano nas, iż lekarz wystawiający e-ZLA podał błędny numer PESEL swojego pacjenta, któremu faktycznie udzielane były świadczenia medyczne. Niestety nie wzbudziło w nim zaciekawienia to, iż system wskazał nieprawidłowy adres zamieszkania tego pacjenta. Po prostu skorygował go wpisując właściwy. Dodajmy właściwy dla pacjenta nie dla Pani Anety. Dalej wypadki potoczyły się jak już Państwo czytaliście. Jednostka przeprosiła pisemnie Panią Anetę. Poinformowano ją także o tym, iż personel został ponownie przeszkolony z zakresu posługiwania się oprogramowaniem do wystawiania zaświadczeń lekarskich e-ZLA.

Reasumując.

Przedstawiony przez nas przykład z życia wzięty doskonale pokazuje to, jak daleko idące i różne mogą być konsekwencje prostego zaniechania personelu medycznego. Nie zweryfikowano poprawności danych pacjenta. Dokonano autoryzacji. Wystawiono e-ZLA. W naszej ocenie śmiało można pokusić się o wniosek, iż przebieg zdarzenia, mógł mieć zgoła inny wymiar, a skala problemów mogła być jeszcze większa. Bez wątpienia kontekst sytuacyjny, relacje w zakładzie pracy, wszystko to decyduje o tym, jakie mogą być skutki błędu personelu jednostki medycznej. Zachęciliśmy także Panią Anetę do założenia sobie Internetowego Konta Pacjenta.

Wysyłanie dokumentacji medycznej na email

Kontakt Proste to RODO

Wysyłanie dokumentacji medycznej na email.

Wysyłanie dokumentacji medycznej na email. Czy pacjent ma prawo, aby żądać wysłania mu dokumentacji medycznej drogą elektroniczną? Czy może domagać się tego, aby przychodnia, szpital udostępnili mu dokumentację przesyłając ją na email? Nie można przecież wykluczyć sytuacji, w których taka forma przekazania dokumentacji może odegrać istotną rolę w procesie leczenia. Szybkość tej formy komunikacji może okazać się decydująca.

Zacznijmy od tego, że wysyłanie dokumentacji medycznej na email może mieć istotne znaczenie dla wnioskodawcy. Faktycznie, taka forma udostępnienia dokumentacji może odegrać znaczącą rolę w procesie diagnozy, czy leczenia. Z tego względu jednostki powinny w sposób odpowiedzialny podejść do tematu zorganizowania procesu udostępniania dokumentacji medycznej na email.

Na marginesie dodam, iż sam znalazłem się w takiej sytuacji. Ze względów zdrowotnych koniecznością stało się przesłanie na mój adres email zdjęcia z prześwietlenia RTG. Było to niezbędne celem skonsultowania przedstawionej mi diagnozy wstępnej. Muszę przyznać, że przychodnia stanęła na wysokości zadania. W ciągu 2 minut miałem na swoim email “swoje” zdjęcie. Wszystko przebiegło sprawnie. Niestety jednak, patrząc od strony ochrony danych, w tym danych medycznych, opis i zdjęcie przesłane zostało tzw. “tekstem otwartym”.  Pacjent ma prawo do dostępu do dokumentacji medycznej dotyczącej jego stanu zdrowia. Ale ma także prawo do udzielania mu informacji na temat jego stanu zdrowia i udzielonych świadczeń zdrowotnych. Aby prawa te mogły być realizowane jednostki medyczne mają obowiązek prowadzić, przechowywać, udostępniać i chronić dokumentację medyczną swoich pacjentów. Pacjent ma prawo do żądania udostępnienia mu dokumentacji medycznej na email na zasadach określonych przepisami prawa.

W jakich więc sytuacjach może pacjent, czy osoba upoważniona, wnioskować o przesłanie na email dokumentacji medycznej? Czy są jakieś ograniczenia, o których powinniśmy bezwzględnie wiedzieć?

Zacznijmy od tego, że dokumentacja medyczna może być prowadzona w różnej formie. Może to być albo tradycyjna forma papierowa dokumentu, albo jego elektroniczna postać. Należy także pamiętać o szczególnej postaci formy elektronicznej jaką jest Elektroniczna Dokumentacja Medyczna tzw. EDM. W zależności od formy prowadzenia dokumentacji medycznej, różnie kształtować będą się uprawnienia do żądania jej udostępnienia na email.

Zgodnie z przepisami prawa.

Zgodnie z przepisami Ustawy o prawach Pacjenta i Rzeczniku Praw Pacjenta, dokumentacja medyczna udostępniana jest:
    • do wglądu,
    • przez sporządzenie jej wyciągu, odpisu, kopii lub wydruku,
    • przez wydanie oryginału,
    •  za pośrednictwem środków komunikacji elektronicznej,
    •  na informatycznym nośniku danych.

Udostępnianie dokumentacji prowadzonej w postaci papierowej.

Odnosząc się do udostępniania dokumentacji za pośrednictwem środków komunikacji elektronicznej, czy na informatycznym nośniku danych. Dokumentacja medyczna prowadzona w postaci papierowej może być udostępniona w te właśnie sposoby przez sporządzenie kopii w formie odwzorowania cyfrowego(skanu). Uwaga jednak, taką możliwość musi przewidywać regulamin organizacyjny podmiotu udzielającego świadczeń zdrowotnych. Nie będzie zatem możliwości udostępniania dokumentacji medycznej w postaci kopii w formie odwzorowania cyfrowego (skanu), jeśli regulamin organizacyjny podmiotu nie przewiduje sposobności udostępniania dokumentacji medycznej za pośrednictwem środków komunikacji elektronicznej lub na informatycznym nośniku danych. Takie udostępnianie ma fakultatywny charakter dla podmiotu, który może a nie musi wprowadzić takiej możliwości w swoim regulaminie organizacyjnym.

Udostępnianie dokumentacji prowadzonej w postaci elektronicznej.

Jeśli jednostka prowadzi dokumentację medyczną w postaci elektronicznej, dla jej udostępnienia w ww. sposób regulamin nie musi przewidywać takiej możliwości. Czyli, jeśli jednostka prowadzi dokumentację medyczną w postaci elektronicznej ma obowiązek udostępniać ją za pośrednictwem środków komunikacji elektronicznej oraz na informatycznych nośnikach danych.

Udostępnianie dokumentacji prowadzonej w postaci EDM.

Elektroniczna Dokumentacja Medyczna, zgodnie z wytycznymi, zapisywana powinna być w formacie HL7 CDA w systemach teleinformatycznych, natomiast udostępniana poza SIM w formacie XML, albo PDF. Funkcjonalność udostępniania dokumentacji medycznej za pośrednictwem SIM realizowana powinna być dopiero w terminie od 01 stycznia 2021 r.

Dobrze, ale co to będą te środki komunikacji elektronicznej?

Zgodnie z art. 2 pkt. 5  Ustawy o świadczeniu usług drogą elektroniczną [dalej UoŚUDE] cyt.: „(…) określenia użyte w ustawie oznaczają: (…) środki komunikacji elektronicznej – rozwiązania techniczne, w tym urządzenia teleinformatyczne i współpracujące z nimi narzędzia programowe, umożliwiające indywidualne porozumiewanie się na odległość przy wykorzystaniu transmisji danych między systemami teleinformatycznymi, a w szczególności pocztę elektroniczną (…)”. Oznacza to, iż pod pojęciem środków komunikacji elektronicznej kryją się nie tylko rozwiązania techniczne w postaci poczty elektronicznej (e-mail). Chociaż są to najbardziej popularne rozwiązania. Mogą to być także innego rodzaju komunikatory, czy rozwiązania programowe umożliwiające przy wykorzystaniu transmisji danych przekazywanie dokumentacji medycznej.

Jakie zadania stoją przed jednostką będącą ADO.

Zapewnienie bezpieczeństwa informacji.

Warto nadmienić, iż w sytuacji, w której podmiot zdecyduje się na udostępnianie dokumentacji medycznej za pośrednictwem środków komunikacji elektronicznej, z jednej strony zobligowany jest uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze zagrożenia, wdrożyć odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku.

Poszanowanie zbiorowych praw pacjentów.

Z drugiej strony zmuszony jest do takiego ukształtowania swojego działania, aby nie narazić się na odpowiedzialność z tytułu stosowania niedozwolonych praktyk naruszających zbiorowe prawa pacjentów. Za wątpliwe zatem uznać należałoby rozwiązanie zakładające udostępnianie dokumentacji medycznej za pośrednictwem środków komunikacji elektronicznej, z ograniczeniem do stosowania tylko i wyłącznie w zakresie wymiany informacji z wykorzystaniem profilu ePUAP, a tym samym z ograniczeniem stosowania korespondencji w postaci elektronicznej (e-mail) w innej formie. Z tego względu za zasadne i celowe uznać należy, takie ukształtowanie zasad aby z jednej strony nie stanowiło naruszenia praw zbiorowych pacjentów, a z drugiej gwarantowało bezpieczeństwo danych. Z tego względu każdy przypadek należy traktować indywidualnie i z należyta staranności i dokładnością, pamiętając o przesłankach koniecznych do spełnienia dla realizacji dyspozycji w zakresie udostępnienia dokumentacji medycznej. Wysyłanie dokumentacji medycznej na email będzie zatem wyrazem jej udostępnienia za pośrednictwem środków komunikacji elektronicznej.

W takim razie pozostaje nam ustalenie co to znaczy, że dokumentacja udostępniana powinna być na informatycznym nośniku danych?

Udostępniana dokumentacja medyczna, powinna zostać zapisana w formie cyfrowej na informatycznym nośniku danych, czyli takim nośniku,  który oprócz funkcjonalności zapisu charakteryzować musi się także funkcjonalnością polegającą na zdolności przechowywania zapisanych danych oraz możliwością ich odczytywania. Przykładowymi informatycznych nośników mogą być: pamięć komputera, pamięci dyskowe, urządzenia pamięciowe USB, płyty CD, DVD. Wraz z rozwojem technologii zmieniają się także rodzaje nośników danych, jedne zastępowana są innymi.

Czy przepisy prawa przewidują jakieś specjalne wymogi aby udostępniać dokumentacje medyczną za pośrednictwem środków komunikacji elektronicznej?

Kiedy dokumentacja medyczna prowadzona jest w postaci elektronicznej przepisy przewidują dodatkowe obowiązki przy jej udostępnianiu, które musza realizować jednostki medyczne. W sytuacji, kiedy udostępniamy taką dokumentację w postaci wydruków, powinna być ona potwierdzona za zgodność z oryginalną dokumentacją. Innym zagadnieniem są wymogi, jakie musi spełniać system teleinformatyczny, aby jednostka w ogóle mogła prowadzić dokumentację medyczną w postaci elektronicznej.

Wskazana upoważniona osoba podpisuje taki dokument wydrukowany także swoim imieniem i nazwiskiem. System teleinformatyczny musi posiadać funkcjonalność która pozwoli na przetworzenie dokumentacji udostępnianej przez samego pacjenta na postać elektroniczną. Po takim przetworzeniu w sposób zapewniający czytelność, spójność i dostępność dokument załączany jest do dokumentacji medycznej. Pamiętać także należy, iż udostępnianie dokumentacji tworzonej w postaci elektronicznej za pośrednictwem środków komunikacji elektronicznej, czy to na informatycznym nośniku danych, musi być dokonane z zachowaniem zasad bezpieczeństwa. Mowa tutaj o szyfrowaniu korespondencji przesyłanej do adresata, o przekazywaniu haseł dostępowych do plików odrębnym kanałem przekazu, stosowaniu takich formatów zapisu, które nie będą miały wpływu na treść, na spójność na czytelność dokumentu dostarczonego.

Zaczynamy dotykać tematu bezpieczeństwa w udostępnianiu dokumentacji medycznej. Na co powinny uważać tutaj jednostki udostępniając dokumentację medyczną?

Wymiana informacji za pośrednictwem środków komunikacji elektronicznej to już codzienność przedsiębiorców. Czas dostępu do informacji jest zagadnieniem priorytetowym. Szybka wymiana danych pozwala na uzyskanie przewagi nad konkurencją. Sprawnie zorganizowany system wymiany informacji to podstawa zarządzania. Bez względu na wielkość przedsiębiorcy.

Nie należy jednak zapominać o tym, iż bezpieczeństwo informacji jest tak samo ważne jak one same. Wysyłanie dokumentacji medycznej na email jest obszarem, który należy traktować w sposób szczególny. Pomijanie zagadnienia bezpieczeństwa informacji przesyłanych wewnątrz firmy, czy do jej klientów może prowadzić do dramatycznych skutków. Brak zapewnienia bezpieczeństwa dla danych, w tym danych osobowych, prowadzić może do pociągnięcia przedsiębiorcy od odpowiedzialności finansowej a nawet karnej. Utrata danych, ich podsłuchanie, czy przejęcie nad nimi kontroli, może stanowić źródło realnych problemu dla przedsiębiorców i ich klientów.

Nieprawidłowości i błędy przy posługiwaniu się pocztą elektroniczną.

Jako specjaliści zajmujący się bezpieczeństwem wymian wymiany informacji w naszej praktyce odnotowaliśmy szereg przypadków. Przypadków pokazujących jakie rozwiązania stosują w praktyce przedsiębiorcy. Konsekwencje negatywne mogące wyniknąć z ich stosowania są różnej rangi. Uświadomienie sobie jednak nieprawidłowych praktyk to pierwszy z kroków, jakie należy wykonać wdrażając czy modernizując system wymiany informacji w przedsiębiorstwie.

Brak określenia zasad korzystania z poczty elektronicznej.

Jest to podstawowy i najczęściej spotykany błąd w przedsiębiorstwach, skutkujący całkowita utratą kontroli nad tym, jakie dane są przesyłane w firmie, pomiędzy kim a kim. Nieświadomi pracownicy stanowić mogą realne zagrożenie dla interesów firmy i jej Klientów.

Posługiwanie się otwartym tekstem w komunikacji.

Jest to proceder często spotykany tam, gdzie pracownicy zniechęceni są do prowadzenia komunikacji elektronicznej. Pozornie ułatwiając sobie życie, tłumacząc to oszczędnością czasu przesyłają w treści email istotne dane do adresatów. Wysyłanie dokumentacji medycznej na email z otwartym tekstem jest kategorycznie nagannym działaniem

Błędy przy adresowaniu poczty email.

Z tych samych powodów co wyżej pracownicy przedsiębiorstw często wysyłają wiadomość do adresatów nie weryfikując poprawności wpisanych adresów. Ponadto przy korespondencji kierowanej do kilku odbiorców nie ukrywają innych adresów.

Przesyłanie haseł zabezpieczających tym samym kanałem.

Praktyką można powiedzieć było przesyłanie ważnych dokumentów w pliku zabezpieczonym przed otwarciem hasłem, ale łącznie z podaniem tego hasła w tej samej wiadomości. Czy w innej wiadomości przesyłanej na ten sam email.

Brak weryfikacji poprawności załączników.

Odnotować należy także sytuacje, w których nadawcy poczty email zapominają o sprawdzeniu poprawności przesyłanego załącznika. W konsekwencji inny niż powinien adresat otrzymuje dokumentu, które nie powinny trafić do niego.

Czy jest możliwe rozwiązanie tych wszystkich problemów łącznie? Innymi słowy czy przychodnie, szpitale, gabinety mogą wprowadzić takie rozwiązania, które będą minimalizowały ryzyko niezgodnego z prawem udostępnienia dokumentacji medycznej przesyłając ją na email?

Można problem bezpieczeństwa komunikacji w firmie rozwiązać na wiele sposobów. Ale należy mieć na uwadze to, iż użytkownicy systemu mogą być, a nawet pewnie będą, niechętni wprowadzeniu nowych skomplikowanych zasad. Nie będą chcieli posługiwać się instrukcjami kancelaryjnymi. Niechętnie podejdą do zakazu stosowania dotychczasowych złych praktyk. Można starać się zmieniać ich nawyki poprzez długie szkolenia. Można też zastosować nasze rozwiązanie, od zaraz od już.

Bezpieczeństwo dokumentacji medycznej wysyłanej na email. Część 2.

RODO Sender to bezpieczeństwo informacji przesyłanych przez email

Badanie ankietowe wśród pacjentów

Proste to RODO

Badanie ankietowe wśród pacjentów.

Czy Jednostka, jako podmiot wykonujący działalność leczniczą, jest uprawniona do tego, aby wyrazić zgodę na przeprowadzenie przez studenta uczelni wyższej badania ankietowego niezbędnego do przygotowania pracy licencjackiej, przy jednoczesnym braku określenia formy przeprowadzenia badania ankietowego, jak i treści pytań ankietowych, po tym jak złożył on osobiście taki wniosek?

Student uczelni składa w Jednostce podanie z wnioskiem o umożliwienie mu przeprowadzenia badania ankietowego wśród jej pacjentów. Niestety jednak nie określa on tematu badania. Nie wskazuje także formy, w jakiej przewiduje przeprowadzić badanie ankietowe wśród pacjentów.

Kwestie budzące wątpliwości.

  • Jaka i czy w ogóle jest podstawa prawna dla udostępnienia wnioskodawcy dokumentacji medycznej.
  • Wnioskodawca nie określił w sposób precyzyjny formy przeprowadzenia badania ankietowego.
  • Czy realizacja wniosku nie leży w sprzeczności z prawami pacjentów.

Rozróżnić należy dwa stany faktyczne, które mogą przybrać formę realizacji wniosku studenta, albowiem od tego zależeć będzie charakter odpowiedzi. Z uwagi na nieprecyzyjność wniosku, należy hipotetycznie założyć nw. warianty:

  • Wniosek dotyczy udostępnienia dokumentacji medycznej w celu udzielenia odpowiedzi na postawione badania ankietowe
  • Prośba dotyczy badania ankietowego, realizowanego zgodnie z formułą zadawania pytań i uzyskiwania odpowiedzi według określonych kryteriów.

Wniosek dotyczy udostępnienia dokumentacji medycznej.

Art. 26 ust. 3a Ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta [dalej UoPPiRP] stanowi, iż dokumentacja medyczna podmiotów leczniczych, o których mowa w art. 89 ust. 1 i 3 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej, instytutów badawczych, o których mowa w art. 3 ustawy z dnia 30 kwietnia 2010 r. o instytutach badawczych (Dz. U. z 2016 r. poz. 371, 1079, 1311 i 2260 oraz z 2017 r. poz. 202), i innych podmiotów udzielających świadczeń zdrowotnych uczestniczących w przygotowaniu osób do wykonywania zawodu medycznego i kształceniu osób wykonujących zawód medycznyjest udostępniana tym osobom wyłącznie w zakresie niezbędnym do realizacji celów dydaktycznych.

Art. 26 ust. 4 [UoPPiRP] stanowi, iż dokumentacja medyczna może być udostępniona także szkole wyższej lub instytutowi badawczemu do wykorzystania w celach naukowych, bez ujawniania nazwiska i innych danych umożliwiających identyfikację osoby, której dokumentacja dotyczy.

Wniosek dotyczy badania ankietowego wśród pacjentów, realizowanego zgodnie z formuła zadawania pytań i uzyskiwania odpowiedzi według określonych kryteriów.

Pojęcie „badania ankietowego” odnosi się zazwyczaj to formuły zadawania pytań i uzyskiwania odpowiedzi według określonych kryteriów. Jeśli pytania mają być zadawane osobom mającym dostęp do dokumentacji medycznej a odpowiedzi udzielane w oparciu o treść dokumentacji, dokumentacja ta nie jest udostępniana  wnioskodawcy. W takim wypadku korzystają z dokumentacji osoby, które mają sporządzić odpowiedzi na przedstawione w ankiecie pytania. Powstaje wówczas problem nie tyle dostępu do danych wrażliwych (tych wnioskodawca nie uzyskuje), lecz wynagrodzenia administratora danych za pracę wykonaną celem udzielenia odpowiedzi, lub ewentualnie podjęcia decyzji o wykonaniu tych czynności nieodpłatnie.

Gdyby natomiast to sam student zamierzał badać treść dokumentacji, byłby to z kolei rzeczywiście wniosek o jej udostępnienie, ale wówczas już nie wniosek o przeprowadzenie badania ankietowego. Istotnie – nie wchodziłby wówczas w grę przepis art. 26 ust. 3a ani 4 UoPPiRP – zatem wniosek o takie udostępnienie nie miałby podstawy prawnej.

Co do umożliwienia wnioskodawcy przeprowadzenia badania bezpośrednio wśród pacjentów, należy pamiętać, że art. 13 ustawy z 15.04.2011 r. o działalności leczniczej (Dz.U. z 2018 r. poz. 160 ze zm.) dopuszcza możliwość prowadzenia na terenie podmiotu leczniczego innej działalności niż działalność lecznicza, jednak działania te nie mogą być uciążliwe dla pacjenta lub przebiegu leczenia. Artykuł 20 ust. 1 UoPPiRP gwarantuje też pacjentom prawo do intymności. „Rozpytanie pacjentów” poprzez osobisty, aktywny kontakt ze strony studenta na terenie Jednostki mógłby dla pacjentów stanowić zarówno uciążliwość, jak i naruszenie prawa do intymności.

Podsumowując temat badanie ankietowe wśród pacjentów

Za zasadne i celowe uznać należy przekazanie niniejszego stanowiska bezpośrednio wnioskodawcy, przy założeniu, iż akceptowalną formą jest propozycja wyrażenia zgody przez Jednostkę na przeprowadzenie badania ankietowego zakładającego: dostarczenie do akceptacji przygotowanych formularzy, a po jej udzieleniu, wyłożenie ich w ustalonym miejscu celem wypełnienia wyłącznie przez zainteresowanych pacjentów na zasadzie pełnej dobrowolności i całkowitej anonimowości, bez gwarancji uzyskania zakładanych rezultatów ankietowych