ELEKTRONICZNA DOKUMENTACJA MEDYCZNA A OCHRONA DANYCH OSOBOWYCH

1. ELEKTRONICZNA DOKUMENTACJA MEDYCZNA A OCHRONA DANYCH OSOBOWYCH Agnieszka Łukasik – Bućko

2. DOKUMENTACJA MEDYCZNA ?

3. RAMY PRAWNE

4. ustawa z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej • ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI z dnia 25 października 2007 r. w sprawie rodzaju i zakresu oraz sposobu przetwarzania dokumentacji medycznej w zakładach opieki zdrowotnej utworzonych przez ministra właściwego do spraw wewnętrznych • ROZPORZĄDZENIE MINISTRA SPRAWIEDLIWOŚCI z dnia 19 września 2007 r. w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej dla osób pozbawionych wolności oraz sposobu jej przetwarzania • ROZPORZĄDZENIE MINISTRA ZDROWIA z dnia 21 grudnia 2006 r. w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania

5. Ustawa z dnia 5 grudnia 1996 r. o zawodzie lekarza • ROZPORZĄDZENIE MINISTRA ZDROWIA z dnia 30 lipca 2001 r. w sprawie rodzajów indywidualnej dokumentacji medycznej, sposobu jej prowadzenia oraz szczegółowych warunków jej udostępniania

6. ustawa z dnia 5 lipca 1996 r. o zawodach pielęgniarki i położnej • ROZPORZĄDZENIE MINISTRA ZDROWIA z dnia 1 sierpnia 2003 r. w sprawie rodzajów indywidualnej dokumentacji medycznej pacjenta, sposobu jej prowadzenia i przechowywania oraz szczegółowych warunków jej udostępniania przez pielęgniarkę, położną udzielającą świadczeń zdrowotnych

7. Elektroniczna dokumentacja zdrowotna (EHR) • Elektroniczna dokumentacja medyczna (EMR) • Elektroniczna dokumentacja pacjenta (EPR) • Komputerowa dokumentacja pacjenta (CPR)

8. OCHRONA DANYCH MIĘDZYNARODOWE RAMY PRAWNE

9. art.8 Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności • art. 8Karty Praw Podstawowych UE • Dyrektywa 95/46/WE o ochronie danych • Dyrektywa 2002/58/WE o prywatności i łączności elektronicznej

10. Postanowienia Konwencji Rady Europy o ochronie osób w związku z automatycznym przekazywaniem danych osobowych ( ETS nr 108) oraz postanowienia dodatkowego protokołu do Konwencji ETS nr 108 dotyczącym organów nadzoru i transgranicznego przepływu danych (ETS nr 181) • Zalecenia Rady Europy nr R(97)5 w sprawie ochrony danych medycznych z 13 lutego 1997 r. • Zalecenia zawarte w treści „ Dokumentu roboczego w sprawie dostępności elektronicznej dokumentacji zdrowotnej w sieci” przyjętego przez Międzynarodową Grupę Roboczą ds.Ochrony Danych w Telekomunikacji ( Waszyngton 6-7 kwietnia 2006 r. )

11. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych dane osobowe - wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. art.6 ustawy o ochronie danych osobowych • przetwarzanie danych - jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. art. 7 pkt 2 ustawy o ochronie danych osobowych

12. Art. 27. 1. Zabrania się przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym. • 2. Przetwarzanie danych, o których mowa w ust. 1, jest jednak dopuszczalne, jeżeli: • 1) osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych, • 2) przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony, • 3) przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora, • […] • 7) przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych, • 8) przetwarzanie dotyczy danych, które zostały podane do wiadomości publicznej przez osobę, której dane dotyczą, • 9) jest to niezbędne do prowadzenia badań naukowych, w tym do przygotowania rozprawy wymaganej do uzyskania dyplomu ukończenia szkoły wyższej lub stopnia naukowego; publikowanie wyników badań naukowych nie może następować w sposób umożliwiający identyfikację osób, których dane zostały przetworzone,

13. Dokumentacja medyczna indywidualna - odnoszącą się do poszczególnych pacjentów korzystających ze świadczeń zdrowotnych zakładu opieki zdrowotnej, zwanego dalej "zakładem"; zbiorcza - odnoszącą się do ogółu pacjentów korzystających ze świadczeń zdrowotnych zakładu lub określonych grup tych pacjentów. rozporządzenie Ministra Zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania

14. dokumentacja indywidualna wewnętrzna ( dokumentacja przeznaczona na potrzeby zakładu) historia zdrowia i choroby historia choroby dokumentacja indywidualna zewnętrzna ( dokumentacja przeznaczona na potrzeby pacjenta korzystającego ze świadczeń zdrowotnych udzielanych w zakładzie) skierowania do szpitala, innego zakładu lub innej osoby udzielającej świadczeń zdrowotnych poza zakładem, a także inne skierowania na badania diagnostyczne i konsultacje, zaświadczenia, orzeczenia, opinie lekarskie, karta przebiegu ciąży oraz karty informacyjne z leczenia szpitalnego Dokumentacja indywidualna

15. Dokumentacja medyczna prowadzona w formie elektronicznej • Zbiory informacji objętych dokumentacją mogą być sporządzane w postaci elektronicznej pod warunkiem: • 1) zachowania selektywności dostępu do zbioru informacji; • 2) zabezpieczenia zbioru informacji przed dostępem osób nieuprawnionych; • 3) zabezpieczenia zbioru informacji przed zniszczeniem, uszkodzeniem lub utratą; • 4) rejestrowania historii zmian i ich autorów. §54. rozporządzenia Ministra Zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania

16. Zabezpieczenie dokumentacji medycznej  Dokumentację prowadzoną w postaci elektronicznej uważa się za zabezpieczoną, jeżeli w sposób ciągły są spełnione łącznie następujące warunki: • 1) zapewniona jest jej dostępność wyłącznie dla osób uprawnionych; • 2) jest chroniona przed przypadkowym lub nieuprawnionym zniszczeniem; • 3) są zastosowane metody i środki ochrony dokumentacji, których skuteczność w czasie ich zastosowania jest powszechnie uznawana. § 60  rozporządzenia Ministra Zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania

17. Formy zabezpieczenia dokumentacji medycznej Zabezpieczenie dokumentacji prowadzonej w postaci elektronicznej wymaga w szczególności: • 1) systematycznego dokonywania analizy zagrożeń; • 2) opracowania i stosowania procedur zabezpieczania dokumentacji i systemów ich przetwarzania, w tym procedur dostępu oraz przechowywania; • 3) stosowania środków bezpieczeństwa adekwatnych do zagrożeń; • 4) bieżącego kontrolowania funkcjonowania wszystkich organizacyjnych i techniczno-informatycznych sposobów zabezpieczenia, a także okresowego dokonywania oceny skuteczności tych sposobów. § 60 rozporządzenia Ministra Zdrowia w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania

18. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 3 czerwca 1998 r. w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. nr 80 poz. 521 z późn. zm.)

19. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji w sprawie określenia podstawowych warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych • polityka bezpieczeństwa • instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych

20. Polityka bezpieczeństwa • Polityka bezpieczeństwa to dokument zawierający: • wykaz budynków, pomieszczeń lub części pomieszczeń, tworzących obszar, w którym przetwarzane są dane osobowe; • wykaz zbiorów danych osobowych wraz ze wskazaniem programów zastosowanych do przetwarzania tych danych; • opis struktury zbiorów danych wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi; • sposób przepływu danych pomiędzy poszczególnymi systemami; • określenie środków technicznych i organizacyjnych niezbędnych dla zapewnienia poufności, integralności i rozliczalności przetwarzanych danych.

21. instrukcja zarządzania systemem informatycznym służącym do przetwarzania danych osobowych • Instrukcja powinna zawierać w szczególności: • procedury nadawania uprawnień do przetwarzania danych i rejestrowania tych uprawnień w systemie informatycznym oraz wskazanie osoby odpowiedzialnej za te czynności; • stosowane metody i środki uwierzytelnienia oraz procedury związane z ich zarządzaniem i użytkowaniem; • procedury rozpoczęcia, zawieszenia i zakończenia pracy przeznaczone dla użytkowników systemu; • procedury tworzenia kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania; • sposób, miejsce i okres przechowywania: - elektronicznych nośników informacji zawierających dane osobowe, • kopii zapasowych zbiorów danych oraz programów i narzędzi programowych służących do ich przetwarzania • sposób zabezpieczenia systemu informatycznego przed działalnością „ szkodliwego” oprogramowania • sposób realizacji informacji o odbiorcach,, którym dane osobowe zostały udostępnione, dacie i zakresie tego udostępnienia, chyba że system informatyczny używany jest do przetwarzania danych zawartych w zbiorach jawnych; • procedury wykonywania przeglądów i konserwacji systemów oraz nośników informacji służących do przetwarzania danych.