Gotowi na EDM?

Aleksandra Kurowska

Wprowadzenie elektronicznej dokumentacji medycznej (EDM) jako standardu prowadzenia dokumentacji medycznej jest jednym z kluczowych założeń aktualnie wdrażanego systemu cyfryzacji ochrony zdrowia. Czego brakuje placówkom, by wprowadzić e-dokumentację, a jakie rozwiązania w tym zakresie planuje MZ?

Na razie jednak proces ten przebiega opornie i termin 1 stycznia 2018 r. – od którego e-dokumentacja miała obowiązywać, stoi pod znakiem zapytania. I to pomimo kilkukrotnego przedłużania terminu wejścia w życie obligatoryjności nowych rozwiązań.
Na brak przygotowania placówek medycznych wskazuje m.in. raport NIK (Nr ewid. 199/2015/P/15/061/KZD). – Dotychczasowy niski stopień zaawansowania przygotowań świadczeniodawców do uczestnictwa w Systemie Informacji Medycznej stwarza ryzyko niezapewnienia u wszystkich świadczeniodawców pełnej realizacji obowiązku prowadzenia dokumentacji medycznej w formie elektronicznej – stwierdzają inspektorzy. Powstaje więc pytanie, czy rzeczywiście jest tak źle i jak można wspomóc proces informatyzacji w ochronie zdrowia w Polsce.

Wdrażanie EDM w Polsce

– Znowelizowane przepisy w zakresie ochrony zdrowia, w tym w szczególności ustawy o systemie informacji w ochronie zdrowia, docelowo przewidują, iż w zasadzie całość dokumentacji medycznej prowadzona będzie w postaci elektronicznej – mówi Piotr Najbuk z kancelarii Domański Zakrzewski Palinka. Przypomina też, że zgodnie z nowelizacją ustawy prawo farmaceutyczne z grudnia 2015 r., również recepty mają być co do zasady wystawione w postaci elektronicznej i to już od początku przyszłego roku. – Zasadnicze przepisy rangi ustawowej dotyczące prowadzenia EDM zostały już zatem przyjęte, choć w dalszym ciągu duże luki i nieścisłości występują, jeśli chodzi o rozporządzenia wykonawcze – zwraca uwagę Najbuk. Zdaniem ekspertów w związku z klęską platformy P1 pod znakiem zapytania stoi gotowość techniczna władz publicznych do obsługi recept elektronicznych oraz pośredniczenia w przekazywaniu dokumentacji medycznej między placówkami medycznymi.

Niestety, mimo że termin na wdrożenie EDM przez placówki medyczne upływa za 1,5 roku, raport NIK wskazuje na wysokie prawdopodobieństwo, że wiele placówek nie zdąży z przygotowaniem. Wymaga ono bowiem znacznych nakładów organizacyjnych oraz finansowych. Wśród 24 placówek kontrolowanych przez NIK tylko dwie prowadziły dokumentację w postaci elektronicznej – jako uzupełnienie dokumentacji papierowej. A żadna w okresie objętym kontrolą nie zdała się wyłącznie na e-dokumentację, rezygnując z papieru. – Jako przyczyny tej sytuacji wskazano m.in. niejasności na poziomie regulacyjnym, np. brak jednoznacznych zasad wymiany danych z Systemem Informacji Medycznej SIM, nierozstrzygnięcie w rozporządzeniu dot. dokumentacji medycznej kwestii dokumentacji wymagającej podpisu pacjenta oraz wysokie koszty, związane z wprowadzeniem i zabezpieczeniem danych EDM, przy jednoczesnym braku wskazania źródeł ich finansowania – wyjaśnia Najbuk.

Zatem, w związku z istniejącymi barierami, wiele podmiotów leczniczych na chwilę obecną nie podejmuje wysiłku elektronizacji procesu dokumentacji medycznej, zwłaszcza że „kij” w postaci ustawowego wymogu może nie wydawać się taki straszny, skoro ustawodawca od kilku lat odkłada wejście w życie tego wymogu.

– Nie miejmy jednak złudzeń: nie ma odwrotu od EDM – mówi Marta Jaśkiewicz z kancelarii DZP. Co ciekawe ostatnio Ministerstwo Zdrowia zaproponowało również „marchewkę” – w opublikowanym ostatnio projekcie rozporządzenia w sprawie szczegółowych kryteriów wyboru ofert w postępowaniu w sprawie zawarcia umów o udzielanie świadczeń opieki zdrowotnej, który ukazał się 6 maja 2016 r., zaproponowano premiowanie świadczeniodawców, którzy przez ustawowym terminem wdrożą e-dokumentację.

Ze względu na ogromną ilość danych oraz względy bezpieczeństwa, wprowadzenie e-dokumentacji wymaga zastosowania odpowiedniej infrastruktury technicznej, m.in. serwerów, pomieszczeń, w których będą one przechowywane, adekwatnych zabezpieczeń fizycznych, jak również na poziomie software. Tymczasem nie wskazano źródeł finansowania tego przedsięwzięcia. – Modernizacja posiadanej infrastruktury informatycznej w zakresie okablowania platformy serwerowej, sprzętu peryferyjnego, jak i samego oprogramowania dziedzinowego, przekracza możliwości finansowe świadczeniodawców – alarmuje NIK. Świadczeniodawcy w ostatnich latach, inwestując w IT, posiłkowali się środkami unijnymi, ale w najbliższym czasie to źródło finansowania nie będzie już tak łatwo dostępne, a infrastruktura teleinformatyczna szybko się starzeje.

Bujając w chmurach

Znając możliwości finansowe szpitali, przychodni i gabinetów prawodawca zezwolił na outsourcing przetwarzania danych medycznych zawartych w dokumentacji medycznej. – Przepisy w tym zakresie weszły w życie w grudniu 2015 r. W myśl art. 24 ust. 4 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta świadczeniodawca może zawrzeć umowę powierzenia przetwarzania danych pod warunkiem spełnienia wymogów wskazanych w tym artykule oraz wynikających z ogólnych przepisów o ochronie danych osobowych – wyjaśnia Najbuk. Chodzi m.in. o zapewnienie bezpieczeństwa danych na poziomie wysokim. – Istnieją różne modele outsourcingu i różne techniczne rozwiązania w tym zakresie. Ze względu na oczywiste korzyści technologiczne i finansowe podmioty publiczne, np. Komisja Europejska, jak również dostawcy rozwiązań IT oraz użytkownicy zwracają coraz większą uwagę na rozwiązania chmurowe, czyli cloud computing – dodaje Najbuk.

– Technologia cloud computing pozwala zminimalizować koszty związane z zakupem infrastruktury i oprogramowania. – Obecnie w przepisach nie występują przeszkody prawne w stosowaniu chmury publicznej, jednakże technologia ta w dalszym ciągu budzi emocje i obawy w związku z przetwarzaniem danych w wielu miejscach, poza siedzibą podmiotu leczniczego – mówi Jaśkiewicz.

MZ za, ale radzi ostrożność

Resort zdrowia zaznacza, że choć obowiązujące przepisy prawa dają możliwość wykorzystania potencjału technologicznego chmury obliczeniowej, to obok korzyści trzeba brać pod uwagę niebezpieczeństwa związane z tego rodzaju usługami. – Dlatego rozważając korzystanie z oferowanych przez dostawcę usług w chmurze obliczeniowej, należy dokładnie ocenić szereg zagrożeń, które wiążą się z taką decyzją, czyli w jaki sposób, gdzie i przez kogo będą przetwarzane dane – mówi Milena Kruszewska, rzeczniczka resortu. Przypomina, podobnie jak eksperci, że w przypadku informacji o zdarzeniach medycznych mamy do czynienia z przetwarzaniem wrażliwych danych osobowych, które zgodnie z obowiązującymi przepisami prawa muszą być szczególnie chronione, przy zachowaniu najwyższego poziomu bezpieczeństwa.

– Biorąc pod uwagę powyższe, a jednocześnie mając na uwadze konieczność długoterminowego przechowywania dokumentacji medycznej, która zawiera wrażliwe dane osobowe, rekomendowanym rozwiązaniem jest przechowywanie danych w elektronicznym archiwum wieczystym, którego prototyp właśnie powstaje – zapowiada resort zdrowia. Prototyp ARCHI – CLARIN z założenia ma zapewniać wiarygodność, autentyczność, integralność, poufność i dostępność informacji. – Dla zapewnienia autentyczności, integralności i dostępności informacji niezbędne jest oczywiście jej przechowywanie w sposób pewny, czyli trwały i dający się zweryfikować – mówi Kruszewska. Na stronie internetowej CSIOZ w zakładce EDM dostępne jest opracowanie „Wytyczne, zasady i rekomendacje dla usługodawców dot. bezpiecznego przetwarzania EDM”. Resort zdrowia przypomina również, że na zasady postępowania w przypadku powierzenia przetwarzania danych należy też spojrzeć szerzej w kontekście ustawy o ochronie danych osobowych oraz dyrektywy Parlamentu Europejskiego w sprawie środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji w obrębie Unii (tzw. dyrektywa NIS). Warunki techniczne – jakie muszą spełniać systemy informatyczne, w których przetwarzane są dane osobowe – opisane zostały w ustawie o ochronie danych osobowych oraz w Rozporządzeniu Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych.

– Ze względu na charakter i rodzaj przetwarzanych danych osobowych oraz postęp technologiczny, jak i zmieniające się uwarunkowania prawne zarówno na poziomie europejskim, jak i krajowym oraz mając na uwadze klasyfikację informacji i analizy ryzyka związanego z ich przetwarzaniem, brak jest możliwości stworzenia uniwersalnej listy kontrolnej obejmującej wszystkie systemy. Do każdego przypadku należy podejść indywidualnie, poprzedzając powierzenie przetwarzania danych odpowiednią analizą ryzyka – wyjaśnia ministerstwo.