Każda jednostka medyczna gromadzi dane pacjentów, w tym te wrażliwe. W związku z tym powinna stosować się do przepisów ustawy z 29 sierpnia 1997 roku o ochronie danych osobowych. W praktyce bywa jednak różnie. W szczególności pracownicy, niezależnie od wielkości placówek, często nie przykładają wystarczającej uwagi do przestrzegania wewnętrznych regulacji z zakresu ochrony danych w tym bezpieczeństwa informacji. Może to wynikać z ogromu, pracy jaką mają na co dzień, nie powinni o tym elemencie jednak zapominać. Oprócz tego wiele placówek nie ma w ogóle lub ma nieodpowiednie procedury ochrony danych .

Najczęstszą przyczyną zagrożeń dla danych pacjentów jest brak wiedzy i przyjęcia odpowiednich procedur – przechowywanie dokumentacji medycznych w miejscach ogólnie dostępnych, pozostawienie otwartego gabinetu lekarskiego bez nadzoru, czy też włączonego komputera z otwartym programem do obsługi pacjentów. Nierzadko pacjenci nie są informowani o przetwarzaniu informacji o nich.

Dzięki wprowadzeniu RODO sektor ochrony zdrowia otworzy się na nowe technologie w przetwarzaniu informacji i podniesie poziom bezpieczeństwa danych. Podmioty medyczne, które przetwarzają dane dotyczące stanu zdrowia swoich pacjentów na dużą skalę będą musiały obligatoryjnie wyznaczyć kogoś na to stanowisko Inspektora Ochrony Danych (IOD), który będzie miał więcej obowiązków niż dotychczasowy administrator bezpieczeństwa informacji (ABI). Dzięki temu branża medyczna zyska dobrze wykwalifikowaną osobę, która będzie monitorowała przestrzeganie przepisów RODO i innych przepisów. Osoba, która będzie chciała skorzystać z usług szpitala lub przychodni będzie musiała zostać uświadomiona w sposób przejrzysty, zrozumiały i przystępny dlaczego i w jakim celu będą przetwarzane jej dane osobowe, jakie posiada prawa, czy jak długo te dane będą przetwarzane przez podmiot medyczny.

Czytaj także: RODO puka do drzwi. Akredytowany kurs inspektora ochrony danych (IOD). Recenzja oraz sprawdź zapisy na najbliższe akredytowane kursy IOD >>

Niezbędny stanie się opis planowanych operacji i celów przetwarzania, ze wskazaniem czy są one niezbędne i proporcjonalne w stosunku do zamiarów, a także oszacowania ryzyka naruszenia praw lub wolności osób, których one dotyczą. Zostanie ponadto utworzony rejestr czynności przetwarzania. Prowadzenie go stanie się obligatoryjne. Administrator będzie musiał zamieścić w nim takie informacje jak imię, nazwisko lub nazwę i dane kontaktowe administratora oraz inspektora ochrony danych, cele przetwarzania, opis kategorii osób, których dane dotyczą, jak również kategorii danych osobowych, a jeżeli jest to możliwe planowane terminy usunięcia poszczególnych kategorii danych oraz ogólny opis technicznych i organizacyjnych środków bezpieczeństwa.

Autor: Marcin Zadrożny, Fundacja Wiedza To Bezpieczeństwo