Jak przygotować placówkę medyczną do wymogów unijnego rozporządzenia o ochronie danych

Rok 2018 będzie przełomowy pod względem zmian dla placówek medycznych. Oprócz obowiązku wprowadzenia elektronicznej dokumentacji medycznej będą one zobowiązane do stosowania przepisów ogólnego rozporządzenia w sprawie ochrony danych osobowych. Co jeszcze się zmieni?

Rewolucja, która nastąpi w najbliższym czasie, będzie wymagała od kadry zarządzającej placówek medycznych zaangażowania wszelkich dostępnych środków techniczno–organizacyjnych. Wszystko po to, aby sprostać wymaganiom stawianym przez nową regulację. Elementem mobilizującym do działania mogą być wysokie kary pieniężne sięgające do 20 mln euro za niewłaściwe traktowanie danych medycznych i sposobów ich zabezpieczenia.

Żeby - zgodnie z art. 32 unijnego rozporządzenia - zapewnić realizację zasady bezpieczeństwa przetwarzania danych medycznych, pracownicy ochrony zdrowia będą musieli podjąć wiele działań.

Są to między innymi:

1. Stosowanie pseudonimizacji i szyfrowania danych osobowych.
2. Zapewnienie poufności, integralności, dostępności i odporności systemów i usług przetwarzania danych medycznych.
3. Zapewnienie szybkiego przywrócenia dostępności do danych osobowych i dostępu do nich w razie wystąpienia incydentu. 

Regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych, które zapewniają bezpieczeństwo przetwarzania danych – w tym przypadku kluczowa może okazać się rola inspektora ochrony danych osobowych (obecnie administrator bezpieczeństwa informacji). To on zgodnie z rozporządzeniem będzie monitorować przestrzeganie przepisów przez przeprowadzanie audytów powiązanych z oceną zgodności systemów informatycznych. Należy zauważyć, że wymóg permanentnego monitorowania i aktualizacji zastosowanych środków bezpieczeństwa będzie się wiązać z koniecznością stosowania zatwierdzonych kodeksów postępowania bądź poddawania się przez placówki medycznej certyfikacji.

Placówka medyczna jako administrator danych będzie zobowiązana do przygotowania i wdrożenia polityk ochrony danych. Rozporządzenie nie wskazuje na elementy składowe tych dokumentów.

Dobrym rozwiązaniem jest włączenie do polityki ochrony danych procedur dotyczących przeprowadzania przeglądów i aktualizacji stosowanych środków techniczno–organizacyjnych, które zapewniają bezpieczeństwo przetwarzanych danych.