SZ nr 9–16/2016z 11 lutego 2016 r.
Dane pod kluczem
Tomasz Kobosz
Ostatnio coraz częściej mówi się o ochronie danych osobowych pacjentów, w szczególności o ich niewystarczającym zabezpieczeniu przez placówki medyczne, a także o uciążliwych – w wielu przypadkach – dla szpitali obowiązkach z tym związanych. O tym, dlaczego ochrona danych pacjentów powinna być dla szpitali jednym z priorytetów z mec. Darią Wierzbińską, wspólnikiem Kancelarii Prawnej „Świeca i Wspólnicy” Sp. k. rozmawia Tomasz Kobosz.
Tomasz Kobosz: Coraz częściej słyszymy, że w szpitalach wprowadza się dodatkowe zabezpieczenia mające na celu ochronę danych – wycofywane są karty pacjentów ze szpitalnych łóżek, stosuje się opaski z numerami. Czemu służą takie działania?
Daria Wierzbińska: Ochrona danych osobowych nabiera szczególnego znaczenia w dobie informatyzacji oraz niemal powszechnego dostępu do Internetu. Coraz więcej placówek „przechodzi” na dokumentację medyczną w formie elektronicznej, a to stwarza dodatkowe zagrożenia. Placówki medyczne są celem ataków hakerskich, niebezpieczne mogą być również wirusy komputerowe czy nawet przypadkowe wycieki danych, spowodowane przez zwykły ludzki błąd. Nie dalej jak pół roku temu media informowały o wycieku danych pacjentów brytyjskiej kliniki, którzy są nosicielami wirusa HIV – imiona, nazwiska i adresy e-mailowe tych osób zostały omyłkowo ujawnione wszystkim subskrybentom ogólnego newslettera. Takie sytuacje, niestety, się zdarzają, a ich konsekwencje mogą być bardzo poważne. Musimy pamiętać, że mamy do czynienia ze szczególną kategorią danych – tzw. danymi sensytywnymi (wrażliwymi).
T.K.: Dane sensytywne, czyli jakie? Jakie dane zaliczyć do tej kategorii? I dlaczego zostały one wyróżnione?
D.W.: Zostały one wymienione w art. 27 ustawy o ochronie danych osobowych, jest to katalog zamknięty. Zaliczyć do nich należy między innymi informacje o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym. Szczególna ochrona tego rodzaju danych wynika z faktu, iż ich ujawnienie rodzić może bardzo poważne konsekwencje dla osoby, której dotyczą. Na przykład ujawnienie danych o nosicielstwie wirusa HIV może stać się przyczyną szykanowania nosiciela, wykluczenia społecznego, zwolnienia z pracy, co z kolei może doprowadzić taką osobę do depresji czy innych zaburzeń psychicznych, a nawet samobójstwa. Jest to szczególny rodzaj danych również ze względu na ich „wartość” – niestety, żyjemy w czasach, w których tego typu informacje mogą być przedmiotem handlu, krótko mówiąc, zawsze znajdą się tacy, którzy zapłaciliby niemałą sumę za dostęp do nich. Można powiedzieć, że dane medyczne są dzisiaj „na wagę złota”.
T.K.: A jak to się ma w odniesieniu do szpitali? Jak placówki medyczne powinny chronić dane pacjentów?
D.W.: To zależy przede wszystkim od tego, czy mamy do czynienia z tradycyjnym (w formie papierowej), czy też elektronicznym przetwarzaniem danych (w systemie informatycznym). Przepisy mówią o tym, że administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną. Z jednej strony będą to szafy zamykane na klucz, pomieszczenia zamykane na kod dostępu czy karty zbliżeniowe, a także zasada czystego biurka i czystego ekranu. Ponadto placówki często zapominają o instalowaniu czujek przeciwpożarowych w pomieszczeniach, gdzie przechowywana jest dokumentacja medyczna. Takie rozwiązanie również stanowi jeden ze środków ochrony danych przed utratą, na co zwraca uwagę Generalny Inspektor Ochrony Danych Osobowych w decyzjach wydawanych po kontrolach w szpitalach. Z drugiej strony będą to: odpowiednie oprogramowanie, programy antywirusowe, zapory sieciowe, systemy wykrywania włamań i zapobiegania im czy inne rozwiązania mające na celu ochronę przed cyberprzestępcami.
T.K.: Zasada czystego biurka i czystego ekranu – na czym polegają?
D.W.: Chodzi tu przede wszystkim o zabezpieczenie danych przed ich ujawnieniem osobom nieuprawnionym. Oczywiste jest, że z dokumentów, które są np. pozostawione na biurku czy położone na półce w pokoju, do którego każdy może mieć dostęp, o wiele łatwiej uzyskać dane w nich zawarte niż np. z dokumentacji, która przechowywana jest w zamykanych szafach. Chodzi przede wszystkim o to, aby po skończonej pracy, jak również na wypadek dłuższej nieobecności (np. opuszczenie pokoju podczas przerwy w pracy) chować wszelkie dokumenty zawierające dane osobowe do miejsc niedostępnych dla osób nieupoważnionych. To samo dotyczy ekranów komputerów – w przypadku nieobecności przy stanowisku pracy pracownik powinien wylogować się, zaś sam dostęp do komputera powinien być zabezpieczony hasłem. Ważna jest również polityka dotycząca haseł – każda osoba przetwarzająca dane powinna mieć nadane indywidualne hasło, do którego tylko ona będzie miała dostęp i które tylko ona będzie znała. W żadnym wypadku hasła te nie mogą być umieszczane w widocznym miejscu (np. naklejenie hasła na monitorze komputera). Natomiast w sytuacji, gdy pracownik zapomni hasła, powinien istnieć system samodzielnego odzyskiwania/zmiany hasła. Ważne jest również położenie samych komputerów – ich monitory należy ustawić w taki sposób, aby osoba nieupoważniona nie miała wglądu w dane na nich wyświetlane. Dotyczyć to będzie przede wszystkim rejestracji, ale również gabinetów lekarskich.
T.K.: Kto w przypadku podmiotu leczniczego będzie administratorem danych? Czy będzie to kierownik jednostki?
D.W.: Administratorem danych jest – w uproszczeniu – podmiot decydujący o celach i środkach przetwarzania danych osobowych. W dużych placówkach medycznych administratorem będzie podmiot leczniczy (np. ZOZ czy spółka prowadząca przychodnię lekarską) – będzie to zatem jednostka, a nie kierująca nim osoba fizyczna. Natomiast osoba fizyczna będzie administratorem danych w przypadku, gdy przetwarza je we własnym imieniu (np. lekarz prowadzący indywidualną praktykę lekarską).
T.K.: Jakie błędy popełniają zazwyczaj placówki medyczne? Z czym mają największy problem?
D.W.: Jest kilka problematycznych obszarów, jednym z nich niewątpliwie jest outsourcing, czyli korzystanie z usług podmiotów zewnętrznych (np. laboratorium, serwis aparatury medycznej, utylizacja dokumentacji medycznej, ale także lekarz, z którym szpital zawiera umowę cywilnoprawną, a który pracuje przy użyciu własnego sprzętu i wykonuje badania pacjentom). Gdy jakaś placówka „wydziela” dane usługi na zewnątrz, zaś podmiot zewnętrzny może mieć dostęp do informacji przetwarzanych przez administratora, wówczas należy podpisać umowę powierzenia przetwarzania danych osobowych. Umowa taka powinna być zawarta na piśmie oraz określać cel i zakres przetwarzania danych. Ponadto szpital powinien zapewnić sobie prawo kontroli prawidłowego wykonywania umowy, a przede wszystkim – o czym powinnam była powiedzieć na początku – jeszcze przed podpisaniem umowy upewnić się, czy podmiot, któremu chcemy powierzyć przetwarzanie danych osobowych, zapewni właściwą ochronę tych danych, tzn. jakie środki techniczne i organizacyjne stosuje w tym celu.
Kolejną kwestią są upoważnienia do przetwarzania danych osobowych. Zdarza się, iż niektóre placówki wydają upoważnienia całemu personelowi zatrudnionemu w szpitalu. Nie należy jednak popadać w paranoję i upoważniać „na zapas”, tzn. na wypadek kontroli GIODO nadawać upoważnienie wszystkim pracownikom, nawet tym niezaangażowanym w proces udzielania świadczeń medycznych czy zarządzanie placówką medyczną (np. personelowi sprzątającemu). Nie tędy droga. Upoważnienia nadajemy tylko tym osobom, które biorą udział w przetwarzaniu danych osobowych i tylko w takim zakresie, jaki jest niezbędny do realizacji obowiązków danej osoby, a także na określony przedział czasu. Inny zatem zakres upoważnienia otrzyma rejestratorka medyczna, ordynator oddziału, pracownik działu kadr czy osoba przygotowująca dokumentację przetargową. Nowo zatrudniony pracownik powinien mieć nadane upoważnienie (co należy odnotować w ww. ewidencji). To, o czym często zapominają placówki to cofnięcie upoważnienia w przypadku ustania zatrudnienia. Pracownik, z którym rozwiązano stosunek pracy powinien mieć zablokowany dostęp do danych osobowych.
T.K.: A jakie konsekwencje może ponieść placówka, która nie zabezpieczy właściwie danych czy też w inny sposób naruszy przepisy ustawy o ochronie danych osobowych?
D.W.: Konsekwencje mogą być bardzo szerokie i niejednokrotnie dotkliwe dla placówki medycznej. Za naruszenia przepisów o ochronie danych osobowych administrator danych może ponieść odpowiedzialność administracyjną, cywilną, finansową, a nawet karną. Przetwarzanie przez placówki medyczne szczególnej kategorii danych, tj. danych wrażliwych, wpływa na wymiar odpowiedzialności karnej. Art. 49 ust. 2 ustawy o ochronie danych osobowych przewiduje kwalifikowany typ przestępstwa przetwarzania danych osobowych poza trybem przewidzianym w ustawie zagrożony karą grzywny, ograniczenia wolności albo pozbawienia wolności do lat 3.
Coraz częściej zdarzają się również procesy odszkodowawcze, w szczególności w przypadku ujawnienia danych osobowych nieuprawnionym podmiotom. Ochrona dokumentacji medycznej jest ważna również z uwagi na rozliczenia z Narodowym Funduszem Zdrowia, których stanowi podstawę. Spojrzeć na to należy nie tylko od strony prawnej, ale również biznesowej czy marketingowej – wyciek danych to ogromny „cios” w wizerunek placówki medycznej, grożący utratą reputacji i zaufania nie tylko pacjentów, ale również podmiotów współpracujących.