Bezpieczne przechowywanie e-dokumentacji

Centrum Systemów Informatycznych opracowało bardzo szczegółowe: wytyczne, zasady i rekomendacje dla usługodawców w zakresie budowy i stosowania systemu bezpiecznego przetwarzania elektronicznej dokumentacji medycznej. Zostały przedstawione wszystkie możliwe rozwiązania w zakresie cyfrowego przechowywania dokumentacji medycznej.

Przechowywanie e-dokumentacji. Przepisy prawne

W marcu 2017 roku Sejm przyjął nowelizację ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta. W art. 24 ust. 2 czytamy, że: „do przetwarzania danych zawartych w dokumentacji medycznej, w celu ochrony zdrowia, udzielania oraz zarządzania udzielaniem świadczeń zdrowotnych, utrzymania systemu teleinformatycznego, w którym przetwarzana jest dokumentacja medyczna, i zapewnienia bezpieczeństwa tego systemu, uprawnione są: osoby wykonujące zawód medyczny oraz inne osoby wykonujące czynności pomocnicze przy udzielaniu świadczeń zdrowotnych, a także czynności związane z utrzymaniem systemu teleinformatycznego, w którym przetwarzana jest dokumentacja medyczna, i zapewnieniem bezpieczeństwa tego systemu, na podstawie upoważnienia administratora danych.

Z tego przepisu wynika, że administrator danych może udzielić upoważnienia do przetwarzania danych zawartych w dokumentacji osobie, która nie wykonuje zawodu medycznego. Czyli możliwe jest przekazanie zarządzania e-dokumentacją informatykowi lub firmie informatycznej. Oczywiście wszystkie te osoby, są obowiązane do zachowania w tajemnicy informacji związanych z pacjentem uzyskanych w związku z wykonywaniem zadań.

Podział odpowiedzialności

TABELA: Podział odpowiedzialności pomiędzy placówką medyczną a dostawca oprogramowania w poszczególnych modelach przechowywania elektronicznej dokumentacji medycznej

W tabeli dotyczącej rodzaju odpowiedzialności wymieniliśmy wszystkie dopuszczalne modele informatyczne oraz niezbędne do prawidłowego funkcjonowania części systemu informatycznego. W zależności od wybranego rozwiązania różnie przedstawia się zakres odpowiedzialności placówki medycznej i dostawcy oprogramowania.

Serwer to jest twardy dysk, na którym przechowywana jest dokumentacja medyczna. Sieć to system umożliwiający łączność pomiędzy serwerem a komputerami w gabinetach lekarskich i na recepcji. Tzw. środowisko wykonywalne to oprogramowanie potrzebne do uruchomienia programu do EDM. W skład środowiska wykonywalnego nie wchodzi przeglądarka internetowa czy system operacyjny stacji końcowej użytkownika. Za te elementy w każdym z modeli odpowiedzialna jest placówka medyczna.

Model klasyczny

W modelu klasycznym, zwanym też pulpitowym lub z angielska – desktopowym, placówka medyczna musi mieć własną infrastrukturę informatyczną. Dlatego ponosi koszt zakupu i instalacji serwerów, infrastruktury sieciowej, oprogramowania, zapewnienia pomieszczenia odpowiednio przygotowanego do pracy serwera, zatrudnienia administratora zajmującego się konserwacją sprzętu i usuwaniem awarii.

W ramach tego modelu są dwa rozwiązania. Dane mogą być przechowywane lokalnie na komputerze użytkownika w systemie typu: klient-serwer. Wszystkie dane przechowywane są na jednym serwerze, a komputery z poszczególnych gabinetów łączą się z tym serwerem. Z punktu wiedzenia polskiego prawodawstwa, ten pierwszy model, w którym wszystkie dane są na jednym komputerze jest nie do przyjęcia. Wymogi GIODO są bardzo restrykcyjne i nakazują, aby dane były przechowywane na serwerze, który jest zainstalowany w pomieszczeniu z systemem z ograniczonym dostępem osób trzecich. Zatem z modelu klasycznego pozostaje nam system: klient-serwer

Outsourcing

Outsourcing, ostatnio bardzo modne pojęcie, polega na wydzieleniu ze struktury organizacyjnej placówki medycznej realizowanych przez nie funkcji i przekazaniu ich do innym podmiotom.

Wysoki koszt infrastruktury teleinformatycznej i zabezpieczeń wymaganych w przypadku elektronicznego archiwum dokumentacji medycznej może stanowić barierę samodzielnego prowadzenia tego archiwum przez placówkę medyczną. Dlatego rozważono możliwość korzystania z zewnętrznych centrów przetwarzania danych. Jednakże, decydując się na wybór tego modelu, należy również wziąć pod uwagę ryzyko większego uzależnienia od dostawcy zewnętrznego niż w przypadku modelu klasycznego. Rozwiązania możliwe do zastosowania w ramach outsourcingu to kolokacja oraz hosting.

Kolokacja polega na przekazaniu firmie zewnętrznej serwerów, które są własnością placówki medycznej do pomieszczeń zwanych serwerowniami. Zapewnia ona optymalne warunki klimatyczne (temperaturę, wilgotność), bezpieczeństwo danych (ochronę fizyczną, sprzętową, zabezpieczenia przeciwpożarowe, monitoring, podtrzymanie zasilania w przypadku awarii prądu, dublowanie łącz, tak by w przypadku awarii obciążenie przejęło łącze zapasowe) oraz szybkie łącza. Istotne jest zapewnienie łącza o wysokiej przepustowości wysyłania i pobierania danych. W usłudze kolokacji serwer jest formalnie własnością podmiotu medycznego (choć znajduje się poza jego siedzibą), zaś outsourcing polega na powierzeniu zarządzania nim w specjalistycznym ośrodku przetwarzania danych.

Z kolei hosting to usługa polegająca na dzierżawie serwera (tzw. serwer dedykowany) lub części przestrzeni dyskowej (serwer VPS). Serwer dedykowany to oddzielny komputer przeznaczony tylko dla danego klienta. Jest to rozwiązanie wygodne, jednak kosztowne, co może stanowić barierę jego wykorzystania dla części jednostek medycznych.

Serwer VPS to dzierżawie części, a nie całego serwera. Jest to rozwiązanie korzystne dla mniejszych jednostek, które nie mają możliwości zakupienia własnego serwera lub nie mają miejsca na magazynowanie sprzętu. W przypadku serwera VPS świadczeniodawca płaci tylko za faktycznie wykorzystane zasoby, które określane są po wykonaniu analizy potrzeb.

Unormowania prawne

Przepisy krajowe i unijne dopuszczają zlecanie przetwarzania danych osobowych podmiotowi zewnętrznemu zajmującemu się profesjonalnym przetwarzaniem danych zgodnie z art. 17 ust. 3 dyrektywy 95/46/We Parlamentu Europejskiego i Rady z 24 października 1995 r. Jednak przetwarzanie tych danych musi być uregulowane w formie umowy lub aktu prawnego. Z dokumentu tego musi wynikać, że przetwarzający działa wyłącznie na polecenie administratora danych oraz że ma obowiązek wprowadzić środki techniczne i organizacyjne wymagane do zapewnienia ochrony danych. Polskie prawodawstwo (ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych) nakazuje, aby umowa określała cel oraz czynności związane z przetwarzaniem danych, które są powierzane. Art. 27 ust. 2 tej ustawy stwierdza, że przetwarzanie tych danych jest dopuszczalne w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych, gdy są stworzone pełne gwarancje ochrony danych osobowych.

Możliwość stosowania outsourcingu przetwarzania danych medycznych przewiduje art. 72 ust. 1 Rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania. Zgodnie z tym przepisem, dokumentacja wewnętrzna powinna być przechowywana przez podmiot, który ją sporządził. Nie oznacza to jednak, że miejsce położenia podmiotu oraz miejsce składowania dokumentacji muszą być tożsame. Zapis ten wyraźnie zmienił się w stosunku do poprzednio obowiązującego zapisu z dnia 21 grudnia 2006 r., które określało, że „dokumentacja medyczna jest przechowywana w zakładzie, w którym została sporządzona”, co oznaczało, że dokumentacja medyczna nie mogła być archiwizowana poza terenem placówki medycznej.

Z kolei w art. 58 Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 18 maja 2011 r. w sprawie rodzaju i zakresu oraz sposobu przetwarzania dokumentacji medycznej w zakładach opieki zdrowotnej utworzonych przez ministra właściwego do spraw wewnętrznych,  pozostawiono wcześniej obowiązujący zapis mówiący, iż „Dokumentacja wewnętrzna jest przechowywana w zakładzie, w którym została sporządzona”, jednak zapis ten uzupełniono stwierdzeniem o dopuszczalności archiwizacji dokumentacji przez inny podmiot, pod warunkiem zabezpieczenia jej przed zniszczeniem, uszkodzeniem lub utratą i dostępem osób nieupoważnionych. Zgodnie z art. 74 Rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania miejsce przechowywania bieżącej dokumentacji wewnętrznej określa placówka medyczna. W związku z tym w przypadku zlecenia przetwarzania i archiwizowania elektronicznej dokumentacji medycznej wymagana jest jednoznaczna identyfikacja miejsca przetwarzania danych medycznych. Zatem przy podpisywaniu umowy outsourcingu bardzo wyraźnie musi być określony system (aplikacja, baza danych, itp.) oraz urządzenie (serwer, dysk, macierz dyskowa, taśma do backupu, itp.) na którym będą przetwarzane, przechowywane i archiwizowane dane medyczne.

Zabezpieczenie dokumentacji

Zgodnie z art. 73 Rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. za bezpieczeństwo dokumentacji medycznej odpowiada podmiot, który tę dokumentację sporządził. Placówka medyczna musi zapewnić odpowiednie warunki zabezpieczające dokumentację przed zniszczeniem, uszkodzeniem lub utratą i dostępem osób nieupoważnionych.

Zabezpieczenie dokumentacji medycznej prowadzonej w formie elektronicznej zgodnie z art. 86 tego rozporządzenia ma miejsce wtedy, gdy spełnione są następujące warunki: jest zapewniona jej dostępność wyłącznie dla osób uprawnionych, jest chroniona przed przypadkowym lub nieuprawnionym zniszczeniem, są zastosowane metody i środki ochrony dokumentacji, których skuteczność w czasie ich zastosowania jest powszechnie uznawana.

Wydaje się, że najlepszym rozwiązaniem dostosowanym do obowiązujących przepisów jest system backupów w czasie rzeczywistym, polegający na automatycznym tworzeniu kopii bezpieczeństwa w momencie zapisywania danych. Dzięki temu dane kopii bezpieczeństwa są na bieżąco aktualizowane i w przypadku utraty danych możliwe jest ich odzyskanie.

Chmura obliczeniowa

Przetwarzanie danych w chmurze obliczeniowej to obecnie jedna z najszybciej rozwijających się usług informatycznych. Placówka medyczna nie ponosi nakładów na infrastrukturę informatyczną, lecz korzystają z wynajętej infrastruktury. Komputery są wyłącznie terminalami do prezentacji wyników.

Chmurę stanowi więc cały zbiór serwerów, oprogramowania, światłowodów itd., do którego dostęp uzyskuje się za pośrednictwem Internetu. Jest kilka rozwiązań działających w tym systemie : Infrastructure as a Service – IaaS (Infrastruktura jako usługa), Platform as a Service – PaaS (Platforma jako usługa) oraz Software as a Service – SaaS (Oprogramowanie jako usługa).

Uwarunkowania prawne oprogramowania w chmurze

W przypadku dopuszczenia przez prawodawcę możliwości wykorzystania rozwiązań bazujących na chmurze obliczeniowej do przetwarzania danych medycznych kluczowe znaczenie mają ograniczenia wynikające z przepisów prawa, na które należy zwrócić szczególną uwagę:

Świadczeniodawca ma obowiązek posiadania wiedzy, na którym serwerze będą archiwizowane jego dane medyczne - zgodnie z art. 74 Rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania „Miejsce przechowywania bieżącej dokumentacji wewnętrznej określa podmiot”.

Świadczeniodawca powinien wskazać miejsca przetwarzania danych – Ustawa z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne nakłada na podmioty publiczne, w tym samodzielne publiczne zakłady opieki zdrowotnej, obowiązek wdrożenia polityki bezpieczeństwa, zaś Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych określa, że polityka bezpieczeństwa powinna zawierać wykaz pomieszczeń, w których przetwarzane są dane osobowe.

Przechowywanie e-dokumentacji. Zalecenia GIODO

W przypadku wyboru rozwiązań opartych o model chmury obliczeniowej należy wziąć pod uwagę zalecenia Generalnego Inspektora Ochrony Danych Osobowych przedstawione w dokumencie „Dziesięć zasad stosowania usług chmurowych przez administrację publiczną”. Do najważniejszych zaleceń należy to, aby podmiot decydujący się na przekazanie swoich zasobów do chmury obliczeniowej zobowiązał dostawcę tej usługi do przekazania pełnej informacji o wszystkich fizycznych lokalizacjach serwerów, na których są przetwarzane lub mogą być przetwarzane dane. Dostawca usługi powinien także umożliwić temu podmiotowi pełny dostęp do dokumentacji dotyczącej zasad bezpieczeństwa oraz środków technicznych przyjmowanych w poszczególnych centrach przetwarzania danych. Ponadto dostawca usługi powinien przekazać pełną informację dotyczącą podwykonawców i podmiotów współpracujących, mających udział w dostarczaniu usługi chmury obliczeniowej. Każdy z podwykonawców powinien być traktowany również jako przetwarzający dane osobowe i być związany takimi samymi klauzulami umownymi jak dostawca usługi. Odbiorca usługi powinien pozostać wyłącznym administratorem danych osobowych przekazanych do chmury. Dostawca usługi powinien również poinformować odbiorcę usługi o wszelkich zobowiązaniach publicznych wobec organów ścigania, służb specjalnych w zakresie przekazywania i dostępu do danych zamieszczanych w chmurze obliczeniowej.

Przechowywanie e-dokumentacji. Podsumowanie

Każdy podmiot medyczny ma możliwość wyboru dowolnego rozwiązania opisanego w tym artykule, który powstał na bazie wytycznych rządowego Centrum Systemów Informatycznych. Decydując się na wybór określonego modelu przetwarzania danych kierownik lub właściciel placówki medycznej określa podział odpowiedzialności pomiędzy siebie a dostawcę oprogramowania nad wykorzystywanymi zasobami IT w zakresie zapewnienia bezpieczeństwa.

UWAGA: artykuł przygotowany na podstawie wytycznych rządowego Centrum Systemów Informatycznych

Autor: mgr inż Piotr Szymański

Absolwent Politechniki Warszawskiej. Dziennikarz. Redaktor naczelny magazynu Nowy Gabinet Stomatologiczny.

Artykuł opublikowany w numerze 5/2017 magazynu Nowy Gabinet Stomatologiczny. Zobacz pełny spis treści.

---

Dowiedz się więcej - Przechowywanie e-dokumentacji. Nowy Gabinet Stomatologiczny.

Więcej ciekawych artykułów w "Nowy Gabinet Stomatologiczny" -zamów prenumeratę lub kup prenumeratę w naszym sklepie.