W gabinecie lekarskim przetwarzane są dane szczególnej kategorii (dane o zdrowiu). W praktyce ryzyko najczęściej nie wynika z braku rozbudowanych dokumentów, tylko z braku kilku podstawowych zasad, tj. kontroli dostępu, uporządkowania upoważnień, spójnej współpracy z dostawcami IT oraz procedury działania, gdy dojdzie do incydentu.

Poniżej znajdziesz 10 wdrożeń „minimum”, które można wdrożyć w małym gabinecie i w niewielkiej placówce. Każde z nich jest proste, możliwe do udokumentowania i ma bezpośredni wpływ na redukcję ryzyka.

Zasada ogólna: dokumenty mają wspierać praktykę, nie odwrotnie

RODO wymaga zabezpieczeń adekwatnych do ryzyka oraz zdolności wykazania, że gabinet działa w sposób uporządkowany. W praktyce oznacza to połączenie dwóch elementów: (1) realnych środków technicznych i organizacyjnych oraz (2) krótkiej dokumentacji, która potwierdza, że te środki funkcjonują w zespole.

10 prostych wdrożeń

Mapa danych w gabinecie

Zacznij od mapy. Odpowiedz jakie dane przetwarzasz, w jakich narzędziach i kto ma do nich dostęp. Nie chodzi o audyt „na kilkanaście stron”, tylko o uporządkowanie faktów.

• Kanały: EDM, dokumentacja papierowa, e-mail, telefon, SMS, komunikatory, formularze www, newsletter, webinary.
• Cele: udzielanie świadczeń, rozliczenia, kontakt z pacjentem, marketing (newsletter), rekrutacja/HR.
• Dostawcy: system EDM, hosting, poczta, platforma newsletterowa, platforma webinarowa, księgowość, serwis IT.

Rejestr czynności przetwarzania – wersja praktyczna

Rejestr czynności przetwarzania w ochronie zdrowia zwykle jest zasadny, ponieważ przetwarzane są dane o zdrowiu. W praktyce rejestr ma pełnić funkcję spisu treści, czyli co przetwarzamy i na jakich zasadach.

• Dla każdego procesu: kategorie danych, kategorie osób, cel, podstawa, odbiorcy, retencja, środki bezpieczeństwa.
• Ustal jedną osobę odpowiedzialną za aktualizację (np. właściciel gabinetu / kierownik rejestracji).

Klauzule informacyjne i polityka prywatności – krótkie i spójne

Klauzule informacyjne powinny być czytelne i dopasowane do tego, jak faktycznie działa gabinet. Najczęstszy błąd to kopiowanie wzorów niespójnych z praktyką.

• Oddziel informację dla pacjenta (świadczenia) od informacji dla marketingu (newsletter).
• Wskaż kategorie odbiorców danych (np. dostawcy IT, księgowość, operator płatności).
• Zapewnij dostęp: wersja na stronie www + wersja w gabinecie (wydruk lub kod QR).

Upoważnienia i role – „tyle dostępu, ile potrzeba”

W małych podmiotach ryzyko często wynika z kont współdzielonych, nadmiernych uprawnień i braku ewidencji upoważnień. To obszar, który można uporządkować szybko.

• Każda osoba ma własne konto w systemie (bez kont współdzielonych).
• Ustal role i minimalne uprawnienia: lekarz / pielęgniarka / rejestracja / rozliczenia.
• Prowadź ewidencję upoważnień (kto, od kiedy, do jakich kategorii danych).

Standard weryfikacji tożsamości i udostępniania dokumentacji

Udostępnianie dokumentacji i informacji to jeden z częstych powodów skarg. Zespół powinien działać według jednego standardu.

• Ustal kanały przyjmowania wniosków i sposób potwierdzenia tożsamości w każdym z nich.
• Wprowadź prostą checklistę: pacjent / pełnomocnik / przedstawiciel ustawowy / osoba upoważniona.
• Prowadź rejestr udostępnień: komu, kiedy, jaki zakres, w jakiej formie.

Umowy powierzenia z dostawcami

Jeżeli dostawca ma dostęp do danych (np. EDM, hosting, helpdesk IT, newsletter, platforma webinarowa), co do zasady trzeba uporządkować relację.

• Sprawdź, czy umowa wskazuje przedmiot, czas, charakter i cel przetwarzania oraz obowiązki i prawa administratora.
• Zweryfikuj podwykonawców (subprocesorów) i miejsce przetwarzania danych (w tym transfery poza EOG, jeżeli występują).
• Ustal sposób obsługi incydentów i zgłoszeń (czas reakcji, kanał kontaktu, zakres wsparcia).

Zabezpieczenie kont i urządzeń: MFA, aktualizacje, szyfrowanie

W praktyce incydenty często zaczynają się od poczty elektronicznej albo telefonu służbowego. Proste zabezpieczenia znacząco ograniczają ryzyko.

• Włącz uwierzytelnianie wieloskładnikowe (MFA) dla poczty i paneli administracyjnych.
• Wymuś politykę haseł, blokadę ekranu i automatyczne aktualizacje.
• Szyfruj urządzenia mobilne; włącz możliwość zdalnego usunięcia danych (w razie utraty).

Kopie zapasowe i test odtwarzania – bezpieczeństwo to także dostępność

RODO wymaga zapewnienia poufności, integralności i dostępności. Kopie zapasowe bez testu odtwarzania nie spełniają swojej funkcji w sytuacji kryzysowej.

• Zasada 3–2–1: trzy kopie, dwa różne nośniki, jedna kopia poza lokalizacją.
• Test odtworzenia co najmniej raz na kwartał (z krótką notatką/protokołem).
• Ustal docelowy czas przywrócenia działania (RTO) i osobę odpowiedzialną.

Retencja i bezpieczne niszczenie: przechowuj tyle, ile trzeba

Mniej danych to mniejsze ryzyko. Retencja powinna wynikać z przepisów oraz uzasadnionych potrzeb gabinetu. Dotyczy to zarówno dokumentacji medycznej, jak i korespondencji czy materiałów marketingowych.

• Ustal okresy przechowywania dla kluczowych kategorii danych i dokumentów.
• Wprowadź zasady niszczenia papieru i bezpiecznego usuwania danych z nośników.
• Zapisz, kto zatwierdza niszczenie/usunięcie oraz jak to dokumentujesz.

Procedura naruszeń danych (0–72 godziny): jedna karta działania

Najwięcej ryzyk powstaje wtedy, gdy po incydencie nie ma uporządkowanych działań: brak faktów, brak oceny ryzyka, brak decyzji co do zgłoszenia. Wystarczy procedura na jednej stronie, używana w praktyce.

• Zabezpieczenie: ogranicz skutki (blokada kont, zmiana haseł, odłączenie urządzenia, kontakt z dostawcą IT).
• Fakty: co się stało, jakie dane, ilu pacjentów, czy doszło do ujawnienia lub utraty danych.
• Ocena ryzyka: czy incydent może powodować ryzyko naruszenia praw i wolności osób fizycznych.
• Decyzja o zgłoszeniu: w razie potrzeby zgłoszenie do Prezesa Urzedu Ochrony Danych Osobowych w terminie 72 godzin od stwierdzenia naruszenia.
• Komunikacja z osobami, których dane dotyczą, gdy ryzyko jest wysokie rozważ zawiadomienie bez zbędnej zwłoki.
• Dokumentacja i wnioski: opisz działania i wdrożenie środków zapobiegawczych.

DPIA i IOD: kiedy „minimum” przestaje wystarczać

DPIA (ocena skutków dla ochrony danych) to narzędzie stosowane wtedy, gdy dany sposób przetwarzania prawdopodobnie wiąże się z wysokim ryzykiem dla praw i wolności osób. IOD (inspektor ochrony danych) jest wymagany w określonych przypadkach, a w innych może być decyzją organizacyjną.

Sygnały, że warto rozważyć DPIA

• Wdrożenie nowych technologii lub procesów, które istotnie zmieniają sposób przetwarzania danych (np. narzędzia AI).
• Systematyczne i rozbudowane przetwarzanie danych o zdrowiu w większej skali lub w złożonych integracjach systemów.
• Rozwiązania o charakterze monitoringu lub stałej obserwacji w określonej przestrzeni (jeżeli są planowane).

Sygnały, że trzeba przeanalizować obowiązek IOD

• Główna działalność obejmuje przetwarzanie danych szczególnej kategorii na dużą skalę lub regularne monitorowanie.
• Podmiot ma wiele lokalizacji, duży wolumen pacjentów lub scentralizowane, złożone systemy IT.

Kiedy to już konsultacja 1:1

Konsultacja zwykle jest zasadna, jeżeli:

• doszło do incydentu lub naruszenia danych i trzeba ocenić obowiązki zgłoszeniowe oraz komunikację,
• wdrażasz nowe narzędzia (telemedycyna, monitoring, AI, rozbudowane EDM) i chcesz ocenić ryzyka oraz ewentualną DPIA,
• korzystasz z wielu dostawców chmurowych i chcesz uporządkować powierzenia oraz transfery danych,
• zespół nie ma spójnego standardu udostępniania dokumentacji i weryfikacji uprawnień.

Disclaimer

Niniejszy artykuł ma charakter edukacyjny i informacyjny. Nie stanowi porady prawnej ani opinii prawnej w indywidualnej sprawie. W przypadku konkretnych sytuacji prawnych rekomendujemy konsultację z prawnikiem.