NIK sprawdził RODO w szpitalach

14 Listopada 2019, 8:50 DOKUMENTACJA

Zmiana w podejściu do ochrony danych osobowych i prywatności pacjentów w szpitalach jest nie tylko konieczna, ale i pilna - wskazuje NIK po kontroli, która wykazała, że rutyna i utarte schematy działania gubią personel szpitali, zobowiązany do dbałości o bezpieczeństwo danych osobowych i medycznych pacjentów. 

NiK podkreśla, że tylko pojedyncze ze skontrolowanych szpitali wprowadziły rozwiązania, które stwarzały warunki do odpowiedniego przechowywania papierowej dokumentacji medycznej oraz gwarantowały prawo pacjentów do prywatności w trakcie rejestracji lub na salach szpitalnych. W pozostałych placówkach nie zapewniono skutecznej ochrony danych osobowych i medycznych przed ujawnieniem osobom nieupoważnionym.

W ponad połowie skontrolowanych szpitali doszło do naruszeń ochrony danych osobowych, z czego w sześciu sytuacja była na tyle poważna, że konieczne było powiadomienie Prezesa Urzędu Ochrony Danych Osobowych. W Szpitalu Specjalistycznym im. Ludwika Rydygiera w Krakowie Sp. z o.o. jeden z pacjentów niechcący zabrał dokumentację medyczną innego pacjenta jednej z poradni, a w Wojewódzkim Specjalistycznym Szpitalu Dziecięcym im. Św. Ludwika w Krakowie mężczyzna z zaburzeniami psychicznymi ukradł z pomieszczenia rejestracji trzy kartoteki pacjentów - dwóch z nich nie odnaleziono. 

W 9 z 24 skontrolowanych szpitali papierowa dokumentacja pacjentów na oddziałach szpitalnych przechowywana była w niezamykanych szafkach lub na półkach. W ocenie NIK niewłaściwe zabezpieczenie i przechowywanie dokumentacji medycznej przez personel medyczny wynika z rutyny.

Udostępnianie dokumentacji medycznej

Z dokumentacją medyczną pacjentów związane jest również zagadnienie udostępniania jej innym osobom niż pacjent, np. członkom rodziny. 

W dwóch skontrolowanych szpitalach kopie dokumentacji zostały udostępnione osobom, których pacjent nie upoważnił. W Białostockim Centrum Onkologii im. M. Skłodowskiej-Curie w Białymstoku dokumentację medyczną pełnoletniego pacjenta udostępniono na podstawie listu otrzymanego przez szpital od osoby podającej się za matkę pacjenta, a w SP ZOZ w Augustowie w trzech przypadkach dokumentacja medyczna została udostępniona osobom, które nie były upoważnione przez pacjentów do odbioru tych dokumentów. W tym też szpitalu dokumentacja medyczna została przesłana pocztą elektroniczną na wniosek złożony tą samą drogą, podczas gdy - zgodnie z obowiązującą w szpitalu procedurą - warunkiem wydania dokumentacji powinno być okazanie dokumentu tożsamości.

W siedmiu skontrolowanych szpitalach do przetwarzania danych osobowych, w tym medycznych, upoważnieni byli pracownicy obsługi, np. salowe i sanitariusze. W ocenie NIK osoby te nie udzielają pacjentom świadczeń medycznych i nie powinny mieć dostępu do danych dotyczących np. historii choroby czy przebiegu leczenia pacjenta.

Co z zachowaniem prywatności przy rejestracji?

Zabezpieczenie dokumentów zawierających dane medyczne to nie jedyny element ochrony danych osobowych pacjentów. Ważna jest również kwestia prawa pacjenta do zachowania prywatności w newralgicznych momentach pobytu w szpitalu, tj.: podczas rejestracji do poradni, oczekiwania na wizytę i wezwania do gabinetu, w trakcie pobytu na oddziale szpitalnym. W 9 z 24 skontrolowanych szpitali pacjentom nie zagwarantowano prawa do prywatności w trakcie rejestracji. Odległość pomiędzy okienkami rejestracji była zbyt mała lub nie wyznaczono strefy oddzielającej pacjentów obsługiwanych od oczekujących w kolejce. W tych sytuacjach osoby postronne mogły usłyszeć treści rozmów pomiędzy pacjentem a personelem szpitala, dotyczących np. stanu zdrowia pacjenta, w tym szczegóły związane z dolegliwościami i procesem leczenia.

Dużo bardziej dyskretnie wzywano pacjentów do gabinetów lekarskich. Najczęściej posługiwano  się komunikatem: „proszę kolejną osobę” lub podawano imię pacjenta i godzinę wizyty, ewentualnie numer, który pacjent otrzymał podczas rejestracji. Tylko w jednym szpitalu (SP ZOZ w Radzyniu Podlaskim) w jednej z trzech zbadanych poradni wywieszona była lista pacjentów, na której podana była godzina planowanej wizyty oraz pierwsze trzy litery imienia i pierwsze cztery litery nazwiska. Stosowanie takiego rozwiązania w przypadku pacjentów o krótkich imionach i nazwiskach może doprowadzić do ujawnienia ich danych.

Opaski identyfikacyjne w szpitalach

We wszystkich objętych kontrolą szpitalach pacjentom umieszczano na nadgarstkach opaski ze znakami identyfikacyjnymi. Zgodnie z obowiązującymi przepisami, umieszczane na opaskach informacje muszą być zapisane w sposób uniemożliwiający identyfikację pacjenta przez osoby postronne. Nie powinny zatem zawierać nr PESEL, imienia, ani nazwiska. Jednak - jak wykazali kontrolerzy NIK - prawie połowa skontrolowanych szpitali (11 z 24) nie stosowała się do tych zasad.

W trzech skontrolowanych szpitalach (13 proc.) dane osobowe pacjentów umieszczone były na szpitalnych łóżkach, w sposób widoczny dla osób postronnych, np. odwiedzających innego chorego. Co ciekawe, w tych samych szpitalach, na innych oddziałach, funkcjonowały rozwiązania chroniące dane osobowe pacjentów. Stosowano tam karty przyłóżkowe z ramkami zasłaniającymi personalia.

Dane pacjentów w systemie informatycznym

Innym niepokojącym zjawiskiem było przekazywanie danych osobowych pacjentów firmom informatycznym serwisującym szpitalne systemy podczas zgłaszania usterek oprogramowania. Taka sytuacja miała miejsce aż w 11 skontrolowanych szpitalach w odniesieniu do danych osobowych 41 pacjentów, w tym danych medycznych 31 z nich. NIK nie miała zastrzeżeń do samych zabezpieczeń systemów informatycznych, czy nawet potencjalnego dostępu serwisantów do danych wrażliwych pacjentów. Chodziło o to, że zgłoszenia serwisowe zawierały informacje o pacjencie i jego historii leczenia, mimo że dane te nie były konieczne do usunięcia usterki.  NIK zauważa, że przy tego typu zgłoszeniach wystarczy unikalny numer ID pacjenta, jednoznacznie wskazujący osobę, której zgłoszenie dotyczyło.

W ¾ szpitali nie wdrożono odpowiednich środków zabezpieczających dane osobowe i medyczne pacjentów przechowywane w postaci elektronicznej. Były to informacje dotyczące pacjenta, jego chorób, badań, zabiegów i innych procedur leczniczych wykonanych podczas jego pobytu w szpitalu. NIK podkreśla, że takie dane wymagają szczególnej ochrony. Elektroniczna dokumentacja medyczna nie jest jeszcze powszechnie stosowana we wszystkich szpitalach. Jednak obecnie każdy szpital ma obowiązek składania sprawozdań zawierających dane osobowe i medyczne w formie elektronicznej do Narodowego Funduszu Zdrowia.

Zgodnie z przepisami RODO, pracownicy szpitala powinni otrzymać stosowne upoważnienia do przetwarzania danych. Tymczasem kontrolerzy NIK stwierdzili błędy w tym zakresie w 5 szpitalach. W jednym z nich część lekarzy i pielęgniarek miała dostęp do danych osobowych pomimo braku uprawnień do ich przetwarzania. W trakcie kontroli NIK braki zostały uzupełnione. W innym zaś uprawnienia zostały nadane przez informatyków bez wcześniejszej zgody dyrektora szpitala.

NIK wskazał ponadto, że w niektórych placówkach byli już pracownicy nie mieli zablokowanego dostępu do danych, uprawnienia administratora mieli pracownicy nie będący informatykami lub nie zajmujący się administrowaniem danych, część komputerów nie miała zainstalowanego lub zaktualizowanego programu antywirusowego, zaś w połowie skontrolowanych szpitali poszczególni pracownicy nie otrzymali zindywidualizowanych danych do autoryzacji w systemach operacyjnych komputerów i z tych samych loginów i haseł korzystały grupy pracowników, najczęściej zatrudnionych na tym samym oddziale.

- Zawiódł też system szkoleń - podkreśla NIK. Tylko w 9 szpitalach szkoleniami z zakresu ochrony danych osobowych objęto prawie cały personel (co najmniej 95 proc.). Były jednak także takie podmioty lecznicze, w których przeszkolony był niespełna co dziesiąty pracownik.

Jak przypomina Izba, RODO miało ponad 2-letnie vacatio legis (okres od uchwalenia do wejścia w życie). Ten czas nie został jednak według NIK odpowiednio wykorzystany. Nie przeszkolono pracowników, nie zmienił się sposób funkcjonowania szpitali ani podejście personelu do zagadnień związanych z ochroną danych osobowych pacjentów.

Źródło: NIK

BPO

Dziękujemy! Twój komentarz został pomyślnie dodany i oczekuje na moderację.

Dodaj komentarz