Dostęp do danych pacjentów powinien wynikać z roli

W placówce medycznej wiele osób potrzebuje dostępu do danych pacjentów. Lekarz potrzebuje dokumentacji medycznej. Rejestracja potrzebuje danych kontaktowych, terminów wizyt i podstawowych informacji organizacyjnych. Księgowość potrzebuje danych rozliczeniowych. Informatyk może potrzebować dostępu technicznego do systemu.

Problem pojawia się wtedy, gdy każdy ma dostęp do wszystkiego.

Przy danych pacjentów uprawnienia powinny wynikać z realnych obowiązków danej osoby. Innego zakresu potrzebuje lekarz prowadzący, innego recepcja, a jeszcze innego osoba wystawiająca faktury.

W praktyce warto sprawdzić:

• kto ma dostęp do systemu medycznego,
• czy każdy użytkownik ma własne konto,
• jakie dane widzi rejestracja,
• jakie dane widzi lekarz,
• czy administracja widzi dokumentację medyczną,
• czy księgowość ma dostęp tylko do danych rozliczeniowych,
• kto ma konto administratora,
• czy dostęp został odebrany osobom, które już nie pracują w placówce.

To jeden z podstawowych elementów bezpieczeństwa danych pacjentów. Jeżeli placówka nie kontroluje dostępów, trudno wykazać, kto, kiedy i w jakim celu przetwarzał dane.

Dlaczego dane pacjentów wymagają szczególnej ostrożności?

Dane pacjentów zwykle obejmują nie tylko imię, nazwisko, PESEL i dane kontaktowe. Bardzo często dotyczą też zdrowia, leczenia, wyników badań, rozpoznań, leków, skierowań albo historii wizyt.

RODO traktuje dane dotyczące zdrowia jako szczególną kategorię danych. To oznacza, że dostęp do takich danych powinien być ograniczony do osób, które faktycznie potrzebują ich do wykonania swoich zadań.

W codziennej pracy placówki łatwo o nadużycia albo przypadkowe ujawnienia. Przykłady:

• rejestracja widzi pełną dokumentację medyczną, choć potrzebuje tylko danych organizacyjnych,
• pracownicy korzystają ze wspólnego loginu,
• były pracownik nadal ma aktywne konto,
• księgowość ma dostęp do historii leczenia zamiast tylko do danych rozliczeniowych,
• lekarz widzi dane pacjentów, których nie prowadzi,
• firma IT ma stały dostęp administracyjny bez jasnych zasad.

Każda z tych sytuacji zwiększa ryzyko naruszenia ochrony danych.

Co mówią przepisy o kontroli dostępu?

RODO wymaga, aby administrator miał kontrolę nad tym, kto i w jakim zakresie ma dostęp do danych osobowych. UODO wskazuje, że art. 29 oraz art. 32 ust. 4 RODO zobowiązują administratora do kontroli nad tym, kto ma dostęp do danych, w jakim zakresie i na jakich zasadach je przetwarza.

UODO podkreśla też, że środki bezpieczeństwa powinny zapobiegać nieuprawnionemu wprowadzaniu, oglądaniu, zmienianiu lub usuwaniu danych oraz zapewniać, że osoby korzystające z systemu mają dostęp wyłącznie do danych objętych posiadanym uprawnieniem.

Dla placówki medycznej oznacza to, że same konta w systemie nie wystarczą. Trzeba jeszcze wiedzieć:

• komu założono konto,
• dlaczego ta osoba potrzebuje dostępu,
• jaki ma zakres uprawnień,
• kto zatwierdził ten dostęp,
• kiedy dostęp był ostatnio sprawdzany,
• czy konto zostało odebrane po zakończeniu współpracy.

Takie informacje powinny być możliwe do wykazania w dokumentacji, procedurze albo ewidencji uprawnień.

Lekarz, pielęgniarka, stomatolog – czy potrzebują osobnego upoważnienia?

Przy osobach wykonujących zawód medyczny temat bywa mylący. Lekarz, pielęgniarka, położna, fizjoterapeuta czy stomatolog mogą mieć ustawowe podstawy dostępu do danych medycznych w związku z udzielaniem świadczeń zdrowotnych.

UODO wskazuje, że osoby wykonujące zawód medyczny są uprawnione do przetwarzania danych zawartych w dokumentacji medycznej w celu ochrony zdrowia, udzielania świadczeń zdrowotnych, zarządzania udzielaniem świadczeń, utrzymania systemu teleinformatycznego i zapewnienia bezpieczeństwa tego systemu.

Nie oznacza to pełnej dowolności. Administrator nadal musi mieć kontrolę nad tym, kto ma dostęp do danych i w jakim zakresie. UODO wyjaśnia, że nadawanie upoważnień może być jednym ze środków organizacyjnych służących kontroli nad przetwarzaniem danych.

W praktyce są dwa podejścia.

Pierwsze: placówka nadaje formalne upoważnienia również osobom wykonującym zawód medyczny. Wtedy dokument jasno określa zakres dostępu i zasady przetwarzania danych.

Drugie: placówka nie nadaje osobnego upoważnienia lekarzowi lub pielęgniarce, ale ma inny skuteczny sposób wykazania kontroli. Może to być na przykład umowa, zakres obowiązków, regulamin, indywidualne konto w systemie, przypisane role, logi i procedura nadawania dostępów.

Najbezpieczniejsze podejście jest proste: każda osoba z dostępem do danych powinna mieć jasno opisany zakres uprawnień. Forma może być różna, ale brak kontroli nad dostępem jest ryzykowny.

Rejestracja nie powinna widzieć więcej, niż potrzebuje

Rejestracja jest jednym z najbardziej wrażliwych miejsc w placówce. To tam pacjenci podają dane, umawiają wizyty, odbierają informacje, przekazują wyniki albo pytają o dokumentację.

Personel rejestracji zwykle potrzebuje dostępu do:

• imienia i nazwiska pacjenta,
• numeru PESEL lub innego identyfikatora,
• danych kontaktowych,
• terminów wizyt,
• informacji o lekarzu lub gabinecie,
• statusu płatności, jeżeli placówka prowadzi rozliczenia prywatne,
• podstawowych informacji potrzebnych do obsługi wizyty.

W wielu przypadkach rejestracja nie potrzebuje pełnego wglądu w historię choroby, rozpoznania, opisy konsultacji czy szczegółowe wyniki badań.

Oczywiście zakres dostępu zależy od organizacji pracy. W małym gabinecie ta sama osoba może obsługiwać rejestrację, dokumenty i kontakt z pacjentem. W większej przychodni role są zwykle bardziej rozdzielone. Ważne, żeby uprawnienia odpowiadały realnym zadaniom, a nie były ustawione „na wszelki wypadek”.

Przykład: pracownik rejestracji może potrzebować informacji, że pacjent ma zaplanowaną wizytę kontrolną u konkretnego lekarza. Nie musi automatycznie widzieć pełnego opisu leczenia, jeżeli nie jest to potrzebne do obsługi pacjenta.

Gabinet powinien mieć dostęp do danych potrzebnych do leczenia

Lekarz lub inna osoba wykonująca zawód medyczny potrzebuje szerszego dostępu niż rejestracja. W gabinecie dostęp do dokumentacji jest potrzebny do udzielenia świadczenia, oceny stanu pacjenta, kontynuacji leczenia i prawidłowego prowadzenia dokumentacji.

Elektroniczna dokumentacja medyczna obejmuje między innymi wypisy ze szpitala, wyniki badań diagnostycznych i laboratoryjnych oraz informacje o diagnozie i leczeniu od lekarza specjalisty.

Centrum e-Zdrowia jako jedną z zalet EDM wskazuje zwiększenie bezpieczeństwa pacjentów przez możliwość dostępu personelu medycznego do dokumentacji medycznej pacjenta oraz poprawę koordynacji procesu leczenia.

Dostęp w gabinecie nadal powinien mieć granice. Lekarz powinien korzystać z danych w związku z leczeniem pacjenta, a nie z ciekawości albo poza zakresem swoich obowiązków. Dlatego ważne są indywidualne konta, logi i możliwość sprawdzenia historii dostępu.

EDM i dokumentacja z innych placówek

Elektroniczna dokumentacja medyczna może być dostępna także przez Internetowe Konto Pacjenta. Pacjent ma dostęp do swojej dokumentacji, a w określonych sytuacjach dostęp mogą mieć również osoby upoważnione i pracownicy medyczni.

Gov.pl wskazuje, że dostęp do elektronicznej dokumentacji medycznej może mieć między innymi pacjent, przedstawiciel ustawowy, osoba upoważniona przez pacjenta, pracownik medyczny, który wytworzył dokumentację, pracownik medyczny pracujący w podmiocie, w którym dokumentacja została wytworzona, a w sytuacji zagrożenia życia pacjenta – każdy pracownik medyczny.

Dla placówki ważne są dwie rzeczy.

Po pierwsze, dostęp do EDM powinien być używany w związku z udzielaniem świadczeń zdrowotnych. Po drugie, personel powinien rozumieć, że techniczna możliwość wejścia do dokumentacji nie oznacza swobodnego przeglądania danych.

Warto uregulować to w instrukcji dla personelu. Krótko i praktycznie: kiedy można sprawdzić dokumentację, kto może to zrobić, w jakim celu i jak dokumentować nietypowe sytuacje.

Administracja i właściciel placówki

Administracja placówki często potrzebuje danych do organizacji pracy, kontaktu z pacjentami, obsługi skarg, rozliczeń, raportów albo zarządzania personelem.

Zakres dostępu powinien zależeć od zadań. Osoba zarządzająca placówką może potrzebować szerszego wglądu w procesy, ale nie zawsze potrzebuje pełnej dokumentacji medycznej każdego pacjenta.

Dla administracji można rozważyć dostęp do:

• danych kontaktowych pacjentów,
• historii wizyt,
• statusu zgód i upoważnień,
• informacji organizacyjnych,
• danych potrzebnych do obsługi reklamacji lub wniosku pacjenta,
• raportów zarządczych.

Pełna dokumentacja medyczna powinna być dostępna administracji tylko wtedy, gdy wynika to z konkretnego celu. Przykład: obsługa wniosku pacjenta o kopię dokumentacji, wyjaśnienie skargi albo przygotowanie danych wymaganych przez przepisy.

Księgowość i rozliczenia

Księgowość zwykle nie potrzebuje dostępu do historii leczenia. Potrzebuje danych potrzebnych do wystawienia faktury, rozliczenia płatności albo obsługi dokumentów finansowych.

Zakres dostępu dla księgowości powinien obejmować przede wszystkim:

• dane identyfikacyjne pacjenta lub płatnika,
• dane do faktury,
• informacje o płatności,
• nazwę lub ogólny opis usługi, jeżeli jest wymagany,
• dokumenty rozliczeniowe.

Warto ograniczyć dostęp do szczegółowej dokumentacji medycznej, wyników badań i opisów leczenia. Jeżeli księgowość jest zewnętrzna, trzeba dodatkowo sprawdzić podstawę współpracy, umowę powierzenia, zakres przekazywanych danych i sposób ich zabezpieczenia.

Firma IT i konto administratora

Firma IT często ma szerokie możliwości techniczne. Może zarządzać systemem, serwerem, kontami, backupem, pocztą albo stacjami roboczymi.

Taki dostęp powinien być jasno opisany i kontrolowany.

Warto ustalić:

• czy firma IT ma stały dostęp, czy dostęp na żądanie,
• kto zatwierdza dostęp administracyjny,
• czy działania administratora są logowane,
• czy stosowane jest MFA,
• czy konta administracyjne są imienne,
• czy dostęp jest odbierany po zakończeniu współpracy,
• czy firma IT ma umowę powierzenia przetwarzania danych,
• czy pracownicy firmy IT widzą dane pacjentów, czy tylko obsługują system technicznie.

Dostęp techniczny też może być dostępem do danych osobowych. Jeżeli informatyk może wejść do systemu, bazy danych, backupu albo poczty zawierającej dane pacjentów, placówka powinna traktować ten dostęp poważnie.

Wspólne loginy są dużym problemem

Wspólne konto typu „rejestracja”, „gabinet” albo „lekarz” utrudnia kontrolę nad danymi. Jeżeli kilka osób korzysta z jednego loginu, placówka może nie wiedzieć, kto faktycznie przeglądał, zmieniał albo pobierał dane pacjenta.

Przy danych medycznych to szczególnie ryzykowne.

Indywidualne konta pomagają ustalić:

• kto uzyskał dostęp do danych,
• kiedy to zrobił,
• z jakiego stanowiska,
• jakie czynności wykonał,
• czy dostęp był zgodny z zakresem obowiązków.

UODO wskazuje, że administrator powinien mieć kontrolę nad tym, kto i w jakim zakresie ma dostęp do danych, oraz zapewnić, żeby osoby uprawnione miały dostęp wyłącznie do danych objętych posiadanym uprawnieniem.

Dlatego w placówce warto przyjąć zasadę: jedna osoba – jedno konto. Wspólne loginy powinny być wyjątkiem technicznym, a nie codziennym standardem.

Uprawnienia trzeba regularnie przeglądać

Uprawnienia nadane raz często zostają w systemie na lata. Pracownik zmienia stanowisko, lekarz kończy współpracę, recepcjonistka przechodzi do administracji, firma IT przestaje obsługiwać placówkę – a konta nadal działają.

Przegląd uprawnień powinien sprawdzić:

• czy użytkownik nadal pracuje dla placówki,
• czy jego rola się zmieniła,
• czy zakres dostępu nadal jest potrzebny,
• czy nie ma kont nieaktywnych,
• czy konta administracyjne są ograniczone,
• czy były pracownik nie ma aktywnego dostępu,
• czy zewnętrzni dostawcy mają dostęp tylko w uzasadnionym zakresie.

Taki przegląd warto robić cyklicznie, na przykład raz na kwartał lub raz na pół roku, oraz zawsze po zmianach kadrowych.

Ważne, żeby został po nim ślad: data przeglądu, osoba odpowiedzialna, lista sprawdzonych kont i decyzje, które podjęto.

Jak może wyglądać prosta tabela uprawnień?

Tabela uprawnień nie musi być skomplikowana. Ma pomóc placówce zrozumieć, kto ma dostęp do jakich danych i dlaczego.

Rola	Zakres danych	Przykładowy dostęp	Uwagi
Rejestracja	Dane identyfikacyjne, kontaktowe, terminy wizyt	Umawianie, zmiana, odwołanie wizyty	Bez pełnej historii leczenia, jeżeli nie jest potrzebna
Lekarz / stomatolog	Dokumentacja medyczna pacjenta, wyniki, historia leczenia	Odczyt i wpisy w dokumentacji	Dostęp w związku z udzielaniem świadczenia
Pielęgniarka / personel medyczny	Dane potrzebne do świadczenia zdrowotnego	Odczyt i wpisy w wyznaczonym zakresie	Zakres zależny od obowiązków
Administracja	Dane organizacyjne, kontaktowe, statusy spraw	Obsługa wniosków, reklamacji, dokumentów	Pełna dokumentacja tylko przy konkretnym celu
Księgowość	Dane rozliczeniowe, faktury, płatności	Rozliczenia i dokumenty finansowe	Bez dostępu do szczegółów leczenia
Firma IT	Dostęp techniczny do systemu	Administracja, serwis, backup	Dostęp kontrolowany, najlepiej imienny i logowany
Właściciel / kierownik	Dane potrzebne do zarządzania placówką	Nadzór, wyjaśnianie incydentów, organizacja pracy	Zakres powinien wynikać z realnych zadań

Taka tabela może być częścią procedury nadawania uprawnień albo załącznikiem do dokumentacji RODO.

Co powinno zostać po uporządkowaniu dostępów?

Po uporządkowaniu dostępów placówka powinna mieć jasny obraz tego, kto i dlaczego korzysta z danych pacjentów.

Warto mieć:

• listę użytkowników systemu,
• opis ról i zakresów dostępu,
• zasady nadawania i odbierania uprawnień,
• potwierdzenia upoważnień albo inne dokumenty wskazujące zakres dostępu,
• informację o kontach administracyjnych,
• procedurę zakładania kont dla nowych osób,
• procedurę blokowania kont po zakończeniu współpracy,
• potwierdzenia okresowych przeglądów uprawnień,
• zasady dostępu dla firmy IT i innych dostawców,
• instrukcję korzystania z EDM i dokumentacji pacjenta.

Taki zestaw pomaga przy audycie, kontroli, incydencie i zwykłej organizacji pracy. Jeżeli pojawi się pytanie, dlaczego dana osoba miała dostęp do danych pacjenta, placówka powinna umieć odpowiedzieć bez szukania informacji po całym systemie.

Najczęstsze błędy w dostępie do danych pacjentów

W placówkach medycznych często powtarzają się te same problemy.

Wszyscy mają zbyt szeroki dostęp. System jest ustawiony wygodnie, ale bez podziału na role.

Rejestracja widzi pełną dokumentację medyczną. Czasem wynika to z ustawień systemu, czasem z braku przeglądu uprawnień.

Używane są wspólne konta. Po czasie nie da się ustalić, kto faktycznie pracował na danych.

Nie odbiera się dostępów po zakończeniu współpracy. Byli pracownicy, lekarze kontraktowi albo dostawcy nadal mają aktywne konta.

Konto administratora jest używane do codziennej pracy. Podnosi to ryzyko błędu i utrudnia kontrolę.

Brakuje przeglądów uprawnień. Placówka nie wie, czy obecne dostępy nadal odpowiadają rzeczywistym obowiązkom.

Nie ma jasnych zasad dla firmy IT. Dostęp techniczny istnieje, ale nie wiadomo, kto, kiedy i w jakim zakresie z niego korzysta.

Podsumowanie

Dostęp do danych pacjentów powinien być dopasowany do roli danej osoby w placówce. Rejestracja, lekarz, administracja, księgowość i firma IT nie potrzebują tego samego zakresu informacji.

Najważniejsze są trzy elementy: indywidualne konta, jasne role i regularny przegląd uprawnień. Placówka powinna wiedzieć, kto ma dostęp do danych pacjentów, dlaczego go ma i kiedy ostatnio sprawdzono, czy ten dostęp nadal jest potrzebny.

Przy danych medycznych nie chodzi o utrudnianie pracy personelowi. Chodzi o uporządkowanie dostępu tak, żeby pacjent był obsłużony sprawnie, a placówka mogła wykazać, że dane są przetwarzane w kontrolowany sposób.

Źródła

1. UODO – Czy lekarzom należy nadawać upoważnienia? – https://uodo.gov.pl/pl/676/4269
2. EUR-Lex – Rozporządzenie RODO, art. 9, art. 29 i art. 32 – https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
3. Pacjent.gov.pl – Elektroniczna dokumentacja medyczna – https://pacjent.gov.pl/elektroniczna-dokumentacja-medyczna
4. Gov.pl – Uzyskaj dostęp do elektronicznej dokumentacji medycznej – https://www.gov.pl/web/gov/uzyskaj-dostep-do-elektronicznej-dokumentacji-medycznej
5. Centrum e-Zdrowia – Zalety prowadzenia EDM i wymiany między usługodawcami – https://ezdrowie.gov.pl/portal/artykul/zalety-prowadzenia-edm-w-tym-mozliwosci-jej-wymiany-miedzy-uslugodawcami
6. Centrum e-Zdrowia – Jak przebiega wymiana elektronicznej dokumentacji medycznej – https://www.cez.gov.pl/pl/page/o-nas/aktualnosci/e-dokumentacja-medyczna-jak-przebiega-wymiana-elektronicznej-dokumentacji