Praca zbiorowa pod redakcją Mariusza Jendry Ochrona danych medycznych w 2015 r. Prawo, praktyka, wzory dokumentów według najnowszych przepisów Profesjonalne publikacje dla KADRY ZARZĄDZAJĄCEJ PODMIOTAMI LECZNICZYMI
Ochrona danych medycznych w 2015 r. Prawo, praktyka, wzory dokumentów według najnowszych przepisów
Publikacja Ochrona danych medycznych w 2015 r. Prawo, praktyka, wzory dokumentów według najnowszych przepisów została opracowana na podstawie nowych przepisów obowiązujących od 1 stycznia 2015 r. Zawiera zbiór najbardziej aktualnych odpowiedzi na problemy pojawiające się przy przetwarzaniu danych osobowych pacjentów w szpitalach i innych placówkach medycznych. W systemach ochrony danych w każdej jednostce, w związku z uruchomieniem od 1 sierpnia 2017 r. elektronicznej wymiany dokumentów medycznych, będą musiały zostać uwzględnione nowe, specjalne procedury. Muszą one zabezpieczać placówki przed masowym wyciekiem danych, przetwarzanych w ich wewnętrznych systemach informatycznych. Sektor zdrowia będzie musiał przygotować się na nieznane dotychczas zagrożenia związane z atakami hakerskimi. Książka zawiera też rady dla jednostek przetwarzających dane osobowe w formie papierowej. Publikacja zawiera 15 obszernych porad prawnych, 35 odpowiedzi na najczęściej zadawane pytania oraz 8 wzorów dokumentów związanych z ochroną danych medycznych. Wydawca Alina Sulgostowska Redaktor prowadzący Mariusz Jendra Korekta Zespół Koordynator produkcji Magdalena Huta Skład i łamanie Dariusz Ziach Projekt okładki Piotr Fedorczyk Druk Miller Źródła foto: okładka www.fotolia.pl ISBN 978-83-269-3759-0 Copyright by Wydawnictwo Wiedza i Praktyka sp. z o.o. Warszawa 2015 Wydawnictwo Wiedza i Praktyka sp. z o.o. ul. Łotewska 9a, 03-918 Warszawa tel. 22 518 29 29, faks 22 617 60 10, e -mail: cok@wip.pl NIP: 526 19 92 256, KRS: 0000098264 Sąd Rejonowy dla m.st. Warszawy w Warszawie, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego, Wysokość kapitału zakładowego 200.000 zł
Spis treści Spis treści I.. ZMIANY PRAWNE W OCHRONIE DANYCH OSOBOWYCH OBOWIĄZUJĄCE OD 1 STYCZNIA 2015 R... 7 II..KONTROLA BEZPIECZEŃSTWA DANYCH MEDYCZNYCH... 15 1. Jak wygląda kontrola Generalnego Inspektora Ochrony Danych Osobowych... 15 2. 13 obszarów ochrony danych podlegających kontroli inspektorów GIODO... 23 3. Jak przygotować się do kontroli inspektorów ochrony danych osobowych... 31 4. Procedura na wypadek naruszenia bezpieczeństwa danych... 33 III. PORADY PRAWNE ZWIĄZANE Z OCHRONĄ DANYCH OSOBOWYCH W PLACÓWCE MEDYCZNEJ... 37 1. Jak zabezpieczyć placówkę przed wyciekiem danych medycznych... 37 2. Ochrona serwerów placówki przed atakiem hakerów... 40 3. Czy można gromadzić dane osobowe bez zgody pacjenta... 46 4. Jak nie naruszać intymności pacjenta... 47 5. Czy upoważniony może usunąć swoje dane z dokumentacji medycznej... 50 6. Czy upoważnienie może dotyczyć tylko części dokumentacji medycznej... 53 7. Czy placówki mogą zbierać dane na zapas... 56 8. Jakość wpisów w dokumentacji medycznej niemy świadek procesu leczenia... 58 9. Kary za zgubienie dokumentacji medycznej... 60 10. Ubezpieczyciel może żądać dokumentacji zmarłego pacjenta... 63 11. Zawartość umowy o powierzenie danych podmiotowi trzeciemu (firmie przechowującej dane)... 67 IV...PRAKTYKA OCHRONY DANYCH ODPOWIEDZI NA NAJCZĘŚCIEJ ZADAWANE PYTANIA... 73 1. Upoważnienie do przetwarzania danych... 73 Czy informatyk może mieć dostęp do dokumentacji medycznej Jak się zabezpieczyć przed nieoczekiwaną nieobecnością głównego informatyka... 74 Czy upoważnienie do przetwarzania danych osobowych może być wydane w formie służbowego e-maila, który byłby następnie zachowany w celach dowodowych... 74 3
Ochrona danych medycznych w 2015 roku Czy recepcjonistka lub asystentka wydająca lub wypisująca wyniki badań musi mieć upoważnienie do przetwarzania danych osobowych... 76 Czy serwisant z firmy zewnętrznej mający dostęp do sprzętu medycznego, np. tomografu lub aparatów usg, ma mieć upoważnienie do przetwarzania danych... 76 Czy wolontariusze to osoby upoważnione do przetwarzania danych, czy nadaje się im upoważnienia do przetwarzania danych osobowych... 77 Czy osoba, która zajmuje się przetargami i przygotowuje różne oferty, powinna mieć nadane upoważnienie do przetwarzania danych... 77 Czy szkolenia z zakresu ochrony danych dla personelu są obowiązkowe... 78 Czy każdy pracownik placówki ochrony zdrowia musi posiadać upoważnienie do przetwarzania danych osobowych i czy to musi być osobny, szczegółowy dokument... 78 2. Potwierdzenie tożsamości... 79 Jak zidentyfikować i potwierdzić tożsamość osoby dzwoniącej do placówki ochrony zdrowia, która pyta o wyniki swoich badań... 79 Pracuję w Zakładzie Lecznictwa Odwykowego. Bardzo często dzwonią do nas kuratorzy sądowi, policja, sąd czy też rodziny pacjentów z pytaniem, czy wymieniony z nazwiska Pan/Pani u nas przebywa. Czy odpowiedź na zasadzie tak/nie bez podania jakichkolwiek innych danych o leczeniu jest naruszeniem ustawy... 80 3. Ochrona danych lekarzy... 80 Czy na stronie internetowej przychodni można zamieścić zdjęcia zatrudnionych lekarzy... 80 Czy miesięczne wynagrodzenie dyrektora szpitala to informacja publiczna... 81 4. Przenoszenie i wydawanie dokumentacji... 81 Czy zakład opieki zdrowotnej może odmówić mężowi wydania dokumentacji medycznej dotyczącej żony... 81 Pacjent, w związku ze zmianą miejsca zamieszkania, chce przenieść się do innej przychodni. Zażądał, aby nasza placówka przekazała jego dotychczasową dokumentację medyczną do nowej przychodni. Dodam, że nasz podmiot jeszcze nie wdrożył elektronicznej dokumentacji medycznej, więc wszystkie dane przechowywane są w formie papierowej. Czy jego roszczenie jest zasadne... 82 5. Zgoda pacjenta... 84 Czy pacjent może wyrazić zgodę na leczenie, jednocześnie nie wyrażając zgody na przetwarzanie jego danych... 84 4
Spis treści Czy osoba rejestrująca się w przychodni może odmówić podania numeru PESEL... 85 Czy na wysłanie maila lub sms-a z przypomnieniem o zaplanowanej wizycie u lekarza potrzebna jest pisemna zgoda pacjenta... 85 6. Prawo do informowania... 86 Czy osoba żyjąca w konkubinacie lub związku nieformalnym np. homoseksualnym, może być poinformowana o stanie zdrowia osoby jej bliskiej przebywającej w szpitalu... 86 7. Rejestracja zbiorów danych osobowych...87 Czy podmioty udzielające świadczeń zdrowotnych mają obowiązek rejestracji zbiorów danych osobowych swoich pacjentów u Generalnego Inspektora Ochrony Danych Osobowych... 87 8. Powierzenie przetwarzania danych... 88 Lekarz prowadzący własną praktykę na podstawie umowy zlecenia wykonuje badania genetyczne pacjentom szpitala. Używa w tym celu własnego komputera i programu. Wyniki badań są zapisywane na jego twardym dysku. Jak to uregulować formalnie i zgodnie z przepisami związanymi z ochroną danych osobowych i prawami pacjenta... 88 Czy dyrektor szpitala może przekazać dane osobowe pacjentów do przyszpitalnej szkoły... 89 Czy z zewnętrznym laboratorium lub inną specjalistyczną placówką medyczną wykonującą usługi dla administratora danych potrzebna jest umowa powierzenia... 90 9. Polityka haseł... 91 Czy dyrektor szpitala lub inny administrator danych może mieć u siebie zdeponowane hasła użytkowników, na wypadek gdy pracownik zapomni swojego... 91 Czy polityka haseł opisana w Instrukcji zarządzania systemem informatycznym administratora danych może narzucać obowiązek zmiany hasła co 60 lub 90 dni... 91 Czy w przypadku umowy o serwis oprogramowania lub urządzeń medycznych pracownicy serwisujący mogą korzystać z haseł naszych pracowników w ich obecności... 92 10. Naruszenie ochrony danych... 93 Czy naruszenie ochrony danych w placówce leczniczej trzeba zgłaszać do Generalnego Inspektora Ochrony Danych Osobowych lub innego organu... 93 5
Ochrona danych medycznych w 2015 roku 11. Udostępnienie informacji... 93 Czy zakład pracy może zwrócić się do ZOZ-u z prośbą o udostępnienie informacji dotyczącej stanu zdrowia pracownika na potrzeby prowadzonego postępowania powypadkowego...93 12. Rola ABI... 94 Czy ABI to wyodrębniony etat i samodzielne stanowisko pracy... 94 13. Ochrona wizerunku (monitoring)... 95 Czy w przypadku stosowania monitoringu wizyjnego w sali dzieci młodszych oddziału dziecięcego lub na oddziale porodowym należy uzyskać zgodę rodziców na przetwarzanie wizerunku ich dzieci... 95 14. Przechowywanie i zabezpieczenie dokumentacji... 96 Z czego wynika i w jakim celu narzucony jest obowiązek inwentaryzacji sprzętu i oprogramowania służącego do przetwarzania danych osobowych i medycznych... 96 Czy papierową dokumentację medyczną należy przechowywać w metalowych szafach... 96 Jakie przepisy prawa mówią o tym, że papierowa dokumentacja medyczna musi być przechowywana w zamkniętych metalowych szafach... 97 15. Przetwarzanie danych... 97 Czy dopuszczalne jest umieszczanie przed gabinetami lekarskimi list z nazwiskami pacjentów zapisanych na dany dzień na wizytę lekarską... 97 Czy w dokumentacji medycznej można przechowywać ksero dowodu osobistego lub paszportu pacjenta... 99 V..WZORY FORMULARZY... 101 Upoważnienie do przetwarzania danych osobowych... 101 Ewidencja osób upoważnionych do przetwarzania danych... 102 Oświadczenie o upoważnieniu osoby bliskiej do zasięgania informacji o stanie zdrowia... 103 Oświadczenie o braku upoważnienia do zasięgania informacji o stanie zdrowia... 104 Upoważnienie do dostępu do dokumentacji medycznej... 105 Jawny wykaz zbiorów danych osobowych... 106 Roczny program sprawdzenia zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych... 107 VI. PODSTAWA PRAWNA... 113 6
I. ZMIANY PRAWNE W OCHRONIE DANYCH OSOBOWYCH OBOWIĄZUJĄCE OD 1 STYCZNIA 2015 R. Od 1 stycznia 2015 r. obowiązuje ustawa z 7 listopada 2014 r. o ułatwieniu wykonywania działalności gospodarczej, przyjęta w ramach tzw. IV pakietu deregulacyjnego, która wprowadziła zmiany w ustawie z 29 sierpnia 1997 r. o ochronie danych osobowych. Nowe zasady ochrony danych osobowych dotyczą przede wszystkim: zmiany statusu administratorów bezpieczeństwa informacji (ABI), którzy staną się wewnętrznymi inspektorami ochrony danych i będą nadzorować proces przetwarzania danych w firmie, zwolnienia z obowiązku zgłaszania zbiorów danych do GIODO w określonych przypadkach i ułatwienia transferu danych do państw trzecich. Najważniejsze zmiany praktyczne dotyczą jednak roli ABI oraz jego nowych zadań w organizacji. Powołanie i zgłoszenie administratora bezpieczeństwa informacji Artykuł 36a ustawy o ochronie danych osobowych mówi, że administrator danych, np. kierownik placówki medycznej, może powołać administratora bezpieczeństwa informacji. Oznacza to, że nie ma 7
Ochrona danych medycznych w 2015 roku już bezpośredniego obowiązku jego powoływania. Jednak zgodnie z brzmieniem art. 36b w przypadku niepowołania administratora bezpieczeństwa informacji zadania ABI wykonuje administrator danych. W obu przypadkach musi więc w organizacji być ktoś, kto zapewni przestrzeganie przepisów o ochronie danych osobowych. Natomiast powołując administratora bezpieczeństwa informacji i zgłaszając taką osobę do Generalnego Inspektora Ochrony Danych Osobowych (GIODO), administrator danych będzie zwolniony z niektórych obowiązków. Pamiętaj! ABI powołany przed 1 stycznia 2015 r. powinien zostać zgłoszony do rejestru GIODO do 30 czerwca. Jeżeli nie zostanie zgłoszony to jego zadania przejmuje administrator danych osobowych czyli szef (właściciel, dyrektor) placówki. Administrator danych jest zobowiązany zgłosić do rejestracji Generalnemu Inspektorowi powołanie i odwołanie administratora bezpieczeństwa informacji w terminie 30 dni od dnia jego powołania lub odwołania. Generalny Inspektor prowadzi ogólnokrajowy, jawny rejestr administratorów bezpieczeństwa informacji. Wykreślenie ABI z rejestru następuje po powiadomieniu GIODO przez administratora danych o odwołaniu. Generalny Inspektor może również z urzędu wydać administratorowi danych decyzję o wykreśleniu administratora bezpieczeństwa informacji z rejestru, jeżeli dany ABI nie spełnia określonych warunków lub nie wykonuje swoich zadań. Sprawdzanie zgodności przetwarzania danych osobowych Do zadań administratora bezpieczeństwa informacji należą m.in.: sprawdzanie zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych oraz opracowanie w tym zakresie 8