Postępująca cyfryzacja spowodowała, że ochrona danych osobowych pacjentów jest dziś jednym z najważniejszych aspektów funkcjonowania placówek medycznych. Od szpitali po przychodnie i gabinety lekarskie – wszystkie podmioty działające w służbie zdrowia mają obowiązek przestrzegać przepisów dotyczących ochrony danych, w tym RODO. Jest to istotne nie tylko w związku z prowadzeniem dokumentacji medycznej w formie elektronicznej, ale również z wykorzystaniem coraz bardziej zaawansowanego sprzętu oraz przekazywaniem danych do innych placówek. W artykule przedstawimy ryzyka oraz dobre praktyki związane z ochroną danych medycznych oraz role instytucji, takich jak Rzecznik Praw Pacjenta i Inspektor Ochrony Danych.
Dlaczego ochrona danych osobowych w medycynie jest tak ważna?
Ochrona danych osobowych w służbie zdrowia obejmuje zbiór przepisów i procedur mających na celu zabezpieczenie informacji o pacjentach przed nieautoryzowanym dostępem, przetwarzaniem lub ujawnieniem, a przede wszystkim też zachowanie tajemnicy medycznej. Informacje te obejmują zarówno dane osobowe zwykłe, jak i dane dotyczące stanu zdrowia pacjenta, które są klasyfikowane jako dane wrażliwe. Dane pacjentów są przetwarzane głównie w celu świadczenia usług medycznych, diagnozy medycznej, leczenia czy zapewnienia wysokich standardów jakości, ciągłości i bezpieczeństwa opieki zdrowotnej.
W związku z obowiązkiem prowadzenia elektronicznej dokumentacji medycznej (EDM) oraz postępującą cyfryzacją dokumentacji archiwalnej coraz więcej danych jest przechowywanych w systemach elektronicznych, co zwiększa ryzyko ich kradzieży, utraty lub modyfikacji w wyniku awarii technicznych lub ataków hakerskich.
W razie utraty dostępu lub modyfikacji danych pacjenta może dojść do błędnej identyfikacji jednostki chorobowej, udzielenia niewłaściwego świadczenia lub nawet pomylenia tożsamości pacjenta, co może być źródłem poważnych konsekwencji dla jego zdrowia lub życia, a co za tym idzie odpowiedzialności podmiotu leczniczego za błąd medyczny.
Z kolei w przypadku wycieku informacji medycznych, pacjenci mogą stać się ofiarami oszustw, takich jak kradzież tożsamości czy nieuprawnione korzystanie z usług medycznych na ich nazwisko. Ponadto ujawnienie danych dotyczących stanu zdrowia może prowadzić do stygmatyzacji pacjentów, na przykład w przypadku chorób przewlekłych lub psychicznych. Pracodawcy, ubezpieczyciele czy nawet znajomi mogą oceniać osobę na podstawie jej historii medycznej, co może negatywnie wpłynąć na jej życie osobiste i zawodowe. W konsekwencji ujawnienie danych prowadzi do dyskryminacji, naruszenia prywatności, a nawet narażenia pacjenta na niebezpieczeństwo.
Jakie dane pacjentów podlegają szczególnej ochronie?
Ze względu na treść dokumentacji medycznej, która objęta jest tajemnicą lekarską, a także przepisy RODO, wszystkie podmioty wykonujące działalność leczniczą muszą szczególnie chronić:
- Zwykłe dane osobowe: imię, nazwisko, PESEL, adres zamieszkania, numer telefonu, w tym dane kontaktowe pacjenta oraz osoby upoważnionej do kontaktu (przedstawiciela ustawowego, opiekuna prawnego lub opiekuna faktycznego).
- Wrażliwe dane osobowe: informacje o stanie zdrowia fizycznego i psychicznego, historii medycznej, wynikach badań, leczeniu pacjenta, diagnozie medycznej a także informacje o pochodzeniu etnicznym, orientacji seksualnej czy genotypie pacjenta
- Dane dotyczące świadczeń zdrowotnych, które zostały udzielone pacjentowi.
Zwłaszcza dane wrażliwe wymagają szczególnej ochrony, ponieważ ze względu na ich naturę odnoszą się bezpośrednio do zdrowia i prywatności, czy wręcz intymności pacjenta. W przeciwieństwie do zwykłych danych osobowych, takich jak imię czy adres, informacje medyczne mogą mieć ogromne znaczenie dla funkcjonowania pacjenta w społeczeństwie oraz jego dostępu do opieki zdrowotnej.
Przetwarzanie takich informacji może odbywać się wyłącznie na podstawie odpowiednich podstaw prawnych, takich jak zgoda pacjenta, wymogi ustawowe (mowa tu w szczególności o ustawie o działalności leczniczej, ustawie o zawodzie lekarza lub lekarza dentysty, ustawie o prawach pacjenta i Rzeczniku Praw Pacjenta), żywotny interes pacjenta lub interes publiczny w zakresie ochrony zdrowia.
Co mówi RODO o przetwarzaniu danych medycznych?
Zgodnie z RODO (Rozporządzenie o Ochronie Danych Osobowych) przetwarzanie danych osobowych dotyczących zdrowia jest dozwolone tylko w określonych przypadkach, takich jak:
- uzyskanie konkretnej zgody pacjenta;
- udzielanie pacjentowi świadczeń zdrowotnych, postawienie diagnozy medycznej i prowadzenie dokumentacji medycznej;
- realizacja obowiązków prawnych;
- istnienie interesu publicznego w dziedzinie zdrowia publicznego;
- niezbędność przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych.
Przetwarzanie danych osobowych pacjentów – kiedy jest niezbędne?
Przetwarzanie danych pacjentów jest niezbędne np. w następujących przypadkach:
- udzielanie świadczeń zdrowotnych i prowadzenie dokumentacji medycznej;
- zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej;
- diagnostyka medyczna i leczenie pacjenta;
- ochrona żywotnych interesów osoby, której dane dotyczą;
- profilaktyka zdrowotna lub medycyna pracy;
- rozliczenia świadczeń z NFZ;
- dobór produktów leczniczych lub wyrobów medycznych, monitorowanie ich działania i zgłaszanie incydentów związanych z ich wykorzystaniem;
- ochrona interesu publicznego, np. ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi (epidemie i pandemie);
- dokumentowanie prowadzonych badań klinicznych lub eksperymentów medycznych.
Prawa pacjenta związane z danymi osobowymi
Pacjenci mają prawo do:
- dostępu do danych – mogą żądać kopii swojej dokumentacji medycznej;
- sprostowania danych – w przypadku błędnych informacji;
- usunięcia danych – jeżeli przetwarzanie danych nie jest już konieczne;
- ograniczenia przetwarzania danych – np. gdy pacjent kwestionuje ich poprawność;
- wniesienia sprzeciwu wobec przetwarzania danych osobowych.
Jakie obowiązki ma szpital i inne placówki medyczne w zakresie ochrony danych?
Każda placówka medyczna zobowiązana jest do wdrożenia odpowiednich procedur ochrony danych i zapewnienia adekwatnych ze względu na stopień ryzyka środków organizacyjnych i technicznych, w tym:
- ograniczenia dostępu do danych pacjentów wyłącznie dla upoważnionych pracowników służby zdrowia;
- zapewnienia odpowiedniego systemu przechowywania dokumentacji medycznej (w tym wykonanie audytu dostawcy oprogramowania przed i w trakcie korzystania z systemu EDM);
- zrzeprowadzania regularnych szkoleń dla personelu dotyczących ochrony danych osobowych;
- wdrożenie zasad weryfikacji tożsamości pacjenta lub osoby przez niego upoważnionej m.in. w celu udostępnienia dokumentacji medycznej,
- powierzanie danych osobowych zaufanym podwykonawcom, którzy również zapewniają odpowiedni stopień bezpieczeństwa danych;
- zabezpieczenie i stały monitoring infrastruktury IT;
- tworzenie kopii zapasowych;
- opracowanie procedur bezpieczeństwa dla poszczególnych etapów przetwarzania, od rejestracji pacjenta, przez współpracę z laboratoriami diagnostycznymi, po wydawanie, archiwizowanie i niszczenie dokumentacji medycznej;
- Powołania Inspektora Ochrony Danych (IOD) w przypadku przetwarzania dużej skali szczególnych kategorii danych osobowych.
Jakie zagrożenia wiążą się z przetwarzaniem danych w służbie zdrowia?
Placówki medyczne narażone są na:
- nieautoryzowany dostęp do dokumentacji medycznej przez osoby przebywające na terenie placówki;
- zagubienie danych w czasie transportu do innych podmiotów leczniczych;
- upublicznienie danych przez osobę trzecią;
- ataki phishingowe,
- ataki hakerskie, które mogą naruszyć bezpieczeństwo opieki zdrowotnej oraz produktów leczniczych poprzez modyfikację danych lub ich trwałe usunięcie.
W przypadku naruszenia ochrony danych, placówka musi uruchomić procedurę reakcji na incydent, a w razie stwierdzenia jego wystąpienia niezwłocznie zgłosić incydent do Urzędu Ochrony Danych Osobowych (UODO) oraz poinformować o nim pacjenta.
Jakie są konsekwencje prawne za naruszenie ochrony danych osobowych?
Nieprzestrzeganie przepisów RODO może skutkować:
- karą finansową nałożoną przez Prezesa Urzędu Ochrony Danych Osobowych;
- kontrolą Rzecznika Praw Pacjenta i stwierdzeniem praktyki naruszającej zbiorowe prawa pacjentów, a także nałożeniem kary pieniężnej;
- odpowiedzialnością cywilnoprawną placówki wobec pacjenta;
- odpowiedzialnością karną;
- odpowiedzialnością kierownika lub zarządu podmiotu leczniczego;
- Sankcjami dyscyplinarnymi lub umownymi dla personelu medycznego;
- utratą reputacji placówki i zaufania pacjentów;
- utratą dofinansowań i dotacji
Istotne jest to, aby instytucje medyczne wdrażały odpowiednie środki ochrony danych, w tym silne zabezpieczenia techniczne, procedury zarządzania danymi oraz edukację pracowników w zakresie ochrony prywatności pacjentów.
Rejestracja medyczna w placówce – miejsce częstych naruszeń
Rejestracja pacjenta to jeden z momentów, w którym dochodzi do przetwarzania danych pacjentów z każdej kategorii. Podczas identyfikacji pacjenta dochodzi do przetwarzania danych osobowych – m.in. imię i nazwisko, numer PESEL, dane kontaktowe. Następnie podczas wyszukiwania terminu wizyty, wystawiania skierowań czy przekazywania informacji o dostępnych świadczeniach zdrowotnych przetwarzane są dane wrażliwe takie jak informacje dotyczące wizyt i historii medycznej.
Właśnie dlatego pracownik rejestracji stanowi istotne ogniwo w zabezpieczeniu przetwarzania danych i ma obowiązek zapewnienia poufności przekazywanych danych oraz przestrzegania procedur ich przetwarzania. Naruszenie danych osobowych pacjenta w rejestracji medycznej może wystąpić w różnych sytuacjach. Oto kilka przykładów:
- Jeśli pracownik rejestracji posiada dostęp do systemu zarządzania danymi pacjentów, ale nie przestrzega zasad bezpieczeństwa, może przypadkowo ujawnić dane osobowe. Na przykład, pozostawienie otwartego komputera bez zabezpieczeń w czasie przerwy może prowadzić do tego, że nieupoważniona osoba mająca dostęp do ekranu, np. inny pacjent „przy okienku”, uzyska dostęp do informacji pacjentów.
- W przypadku, gdy dane pacjenta są przesyłane drogą elektroniczną, na przykład do innej placówki medycznej, mogą wystąpić błędy w wprowadzaniu adresu e-mail. Wysłanie danych innego pacjenta lub ich ujawnienie osobom trzecim może prowadzić do poważnego naruszenia prywatności.
- Wiele placówek medycznych nadal korzysta z dodatkowej papierowej dokumentacji. Jeśli dokumenty nie są odpowiednio zabezpieczone, na przykład pozostawione w ogólnodostępnej przestrzeni, mogą paść ofiarą kradzieży lub nieuprawnionego dostępu.
- Pracownik rejestracji może nieświadomie ujawnić dane pacjenta dzwoniącego do placówki z prośbą o informacje lub rezerwację wizyty, Potwierdzając tożsamość pacjenta na głos, tak że słyszą to inni, może prowadzić do naruszenia prywatności pacjenta.
- Wprowadzenie danych osobowych do systemu z błędnymi informacjami może prowadzić do sytuacji, w której dane pacjentów są mylone, co może skutkować nieprawidłowym leczeniem lub innymi konsekwencjami zdrowotnymi.
Każda z tych sytuacji podkreśla znaczenie odpowiednich procedur ochrony danych oraz szkolenia pracowników w zakresie zarządzania informacjami osobowymi pacjentów.
Dowiedz się więcej: Rekrutacja pracownika rejestracji medycznej, jakich kompetencji wymagać?
Jakie standardy i procedury wdrożyć, aby zabezpieczyć się przed naruszeniem danych?
W tym rozdziale przedstawiamy 4 rozwiązania, które warto wdrożyć, aby poprawić ochronę danych.
Powołaj Inspektora Ochrony Danych w placówce medycznej – jeżeli jeszcze go nie masz
Inspektor Ochrony Danych (IOD) zapewnia zgodność przetwarzania danych osobowych pacjentów z przepisami RODO. Jego obowiązki obejmują stałe monitorowanie procesów przetwarzania danych, doradzanie w kwestiach ochrony danych osobowych oraz przeprowadzanie audytów i szkoleń dla personelu medycznego. IOD jest odpowiedzialny za wdrażanie i egzekwowanie polityk bezpieczeństwa danych, a także za współpracę z Prezesem Urzędu Ochrony Danych Osobowych w przypadku incydentów związanych z naruszeniem ochrony danych.
W swojej pracy Inspektor Ochrony Danych może liczyć na wsparcie innych działów w organizacji. Dział Kontroli Jakości odgrywa istotną rolę w monitorowaniu przestrzegania procedur oraz identyfikowaniu obszarów wymagających ulepszeń. Dział Prawny zapewnia wsparcie w interpretacji regulacji oraz pomaga w przygotowywaniu dokumentacji związanej z ochroną danych. Współpraca tych działów pozwala na skuteczne zarządzanie ryzykiem oraz zapewnienie wysokiego poziomu zgodności z przepisami ochrony danych osobowych w placówkach medycznych.
Wdróż ISO 27001
Standard ISO 27001 to międzynarodowy standard, który określa wymagania dotyczące zarządzania bezpieczeństwem informacji. W placówkach medycznych, gdzie przechowywane są dane osobowe pacjentów, wyniki badań, historie chorób i inne informacje zdrowotne, standard ISO 27001 pomaga w identyfikacji, ocenie i zarządzaniu ryzykiem związanym z bezpieczeństwem tych informacji. Stosowanie ISO 27001 pozwala na:
- Przeprowadzanie analiz ryzyka, co pozwala na identyfikację potencjalnych zagrożeń oraz wprowadzenie odpowiednich środków zaradczych.
- W kontekście RODO zapewnienie zgodności z przepisami prawa, co jest kluczowe dla ochrony danych pacjentów.
- Zwiększenie zaufanie pacjentów do placówki medycznej, ponieważ świadczy o jej zaangażowaniu w ochronę danych osobowych oraz bezpieczeństwo informacji.
- Szkolenie personelu w zakresie bezpieczeństwa informacji. Dzięki temu wszyscy pracownicy są świadomi zagrożeń oraz zasad ochrony danych, co zmniejsza ryzyko przypadkowego ujawnienia informacji.
- Zarządzanie incydentami, dostarczając ramy do skutecznego radzenia sobie z tymi incydentami oraz minimalizowania ich wpływu na placówkę i pacjentów.
Dostosuj funkcjonowanie do kodeksów branżowych
W Polsce opublikowane zostały dwa kodeksy branżowe dla sektora ochrony zdrowia, które następnie zostały zatwierdzone przez Prezesa Urzędu Ochrony Danych Osobowych. Są to dokumenty adresowane do podmiotów publicznych i prywatnych z sektora medycznego, które określają środki pozwalające na zapewnienie adekwatnego poziomu ochrony danych osobowych pacjentów. Kodeks branżowy wyznacza minimalne wymogi związane z zapewnieniem przez te podmioty ochrony danych osobowych w zgodzie z aktualnym krajowym ustawodawstwem prawno-medycznym i stanowi narzędzie pozwalające na realizację zasad przetwarzania danych osobowych, w tym w szczególności tzw. zasady rozliczalności.
Z pełną treścią zatwierdzonych kodeksów branżowych zapoznać się mogą Państwo pod tymi linkami:
- Kodeks postępowania dla sektora ochrony zdrowia zatwierdzony dnia 11 grudnia 2023 r. https://uodo.gov.pl/pl/138/2929
- Kodeks postępowania dotyczący ochrony danych osobowych przetwarzanych w małych placówkach medycznych zatwierdzony dnia 14 grudnia 2022 r. https://uodo.gov.pl/pl/138/2569
Obsługuj płatności zgodnie z PCI DSS
Standard PCI DSS (Payment Card Industry Data Security Standard) to zestaw wymogów, które mają na celu zabezpieczenie danych kart płatniczych oraz transakcji. W kontekście placówki medycznej, przestrzeganie tych standardów jest bardzo ważne, ponieważ podczas realizacji świadczeń płatnych przetwarzają dane finansowe pacjentów, co wiąże się z koniecznością ochrony nie tylko informacji o płatnościach, ale także danych osobowych. W placówkach medycznych, standard PCI DSS podobnie jak ISO pozwala dbac o dane na kilku poziomach:
- Placówki powinny ograniczyć dostęp do tych danych tylko do uprawnionych pracowników oraz stosować odpowiednie szyfrowanie danych.
- Regularne audyty i oceny ryzyka pozwalają na identyfikację słabych punktów w systemach zabezpieczeń oraz na wdrażanie odpowiednich działań naprawczych.
- Systemy informatyczne, które obsługują płatności, muszą być zabezpieczone przed atakami. Wymaga to regularnych aktualizacji oprogramowania, stosowania zapór ogniowych oraz monitorowania systemów pod kątem potencjalnych zagrożeń.
- Wszyscy pracownicy placówki medycznej powinni być odpowiednio przeszkoleni w zakresie ochrony danych osobowych i finansowych. Ważne jest, aby byli świadomi zagrożeń związanych z bezpieczeństwem danych i wiedzieli, jak postępować w przypadku incydentów.
- W razie wystąpienia naruszenia danych, placówki medyczne muszą mieć opracowane procedury, które pozwolą na szybkie i efektywne reagowanie. Należy również poinformować odpowiednie organy oraz pacjentów o ewentualnym zagrożeniu.
W kontekście rosnącej cyfryzacji usług medycznych, ochrona danych staje się priorytetem, a przestrzeganie standardów PCI DSS jest jednym z elementów skutecznej strategii bezpieczeństwa.
CCIG Med jako zewnętrzna rejestracja medyczna z gwarancją bezpieczeństwa danych
Realizacja obowiązków ochrony danych na odpowiednio wysokim poziomie jest bardzo wymagająca, dlatego warto współpracować ze specjalistami, którzy podczas swojej pracy zapewniają zgodność z najwyższymi standardami ochrony danych. W CCIG Med posiadamy wyspecjalizowane zespoły zajmujące się kontrolą jakości oraz weryfikacją pracowników pod kątem zgodności z procedurami ochrony danych.
W ramach naszej struktury funkcjonują systemy spełniające wymagania ISO 27001 oraz PCI DSS, gwarantujące bezpieczne przetwarzanie i przechowywanie danych pacjentów.
Nasz Inspektor Ochrony Danych (IOD)nadzoruje przestrzeganie standardów bezpieczeństwa i regularnie monitoruje procesy związane z ochroną informacji na projektach które realizujemy dla placówek.
Posiadamy wewnętrzny Dział Kontroli Jakości, który na bieżąco monitoruje sposób przestrzegania procedur oraz identyfikuje obszary wymagających ulepszeń. Nasz Dział Prawny zapewnia wsparcie w interpretacji regulacji oraz pomaga w przygotowywaniu dokumentacji związanej z ochroną danych.
Dzięki takiemu wielowymiarowemu przygotowaniu współpracujące z nami jednostki ochrony zdrowia mogą skupić się na świadczeniu usług zdrowotnych, mając pewność, że dane ich pacjentów są chronione zgodnie z obowiązującymi regulacjami.
Najważniejsze kwestie do zapamiętania
✅ Digitalizacjia usług medycznych zwiększa ryzyko kradzieży danych oraz ich przypadkowego udostępnienia.
✅ Ochrona danych pacjentów to obowiązek placówek medycznych, gdzie przetwarzane są różne kategorie danych – dane osobowe i wrażliwe.
✅ Pacjent ma prawa, które bezpośrednio dotyczą jego danych i to w jaki sposób placówka nimi zarządza. Między innymi jest to prawo dostępu, czyli dostęp do swojej dokumentacji medycznej.
✅ RODO nakłada ścisłe zasady przetwarzania takich danych, które muszą być przestrzegane a ich naruszenie jest dotkliwie karane – zarówno finansowo jak i utratą reputacji.
✅ Placówki muszą zgłaszać wszelkie naruszenia do Urzędu Ochrony Danych Osobowych, a także informować o nich samych pacjentów
✅ Powołanie IOD to obowiązek prawny. Ale warto pójść dalej i wdrożyć certyfikację ISO, która będzie fundamentem zaufania.
✅ CCIG Med to certyfikowana zewnętrzna firma świadcząca kompleksową obsługę pacjentów dla szpitali i sieci przychodni, która ochronę danych osobowych pacjentów traktuje bardzo poważnie.
Sprawdź w jakich obszarach wspieramy placówki medyczne:
- Rejestracja i infolinia dla pacjentów omnichannel
- Obsługa administracyjna / back office
- Badanie satysfakcji pacjentów
- Szkolenia personelu z obsługi trudnego pacjenta
