Placówka medyczna to jedyny rodzaj firmy, w której awaria systemu ma twarz. Nie da się przesunąć pracy na jutro, bo w poczekalni siedzą ludzie z wyznaczoną godziną, a lekarz nie może wpisać do dokumentacji czegoś, czego system nie przyjął. Do tego dochodzą dwa zestawy przepisów, których żadna inna branża nie ma naraz: ochrona danych o zdrowiu i wymogi dla sektora kluczowego.
Obsługujemy przychodnie, centra medyczne i gabinety. Poniżej opisujemy, co w tej branży wygląda inaczej niż w zwykłej firmie i za co odpowiadamy.
Dlaczego informatyka w placówce medycznej rządzi się innymi prawami
- Dane o zdrowiu to szczególna kategoria danych. Art. 9 ust. 1 RODO stawia je obok danych genetycznych i biometrycznych. Przetwarzanie jest dopuszczalne na osobnej podstawie — dla placówki jest nią art. 9 ust. 2 lit. h, czyli profilaktyka zdrowotna, diagnoza, leczenie i zarządzanie usługami opieki zdrowotnej.
- Dokumentacja medyczna żyje dwadzieścia lat. Zasada z art. 29 ust. 1 ustawy o prawach pacjenta to 20 lat od końca roku ostatniego wpisu. Dla dokumentacji dzieci do drugiego roku życia — 22 lata. Przy zgonie wskutek uszkodzenia ciała lub zatrucia — 30 lat. To znaczy, że kopia zapasowa musi przetrwać dwie, trzy wymiany sprzętu i co najmniej jedną zmianę oprogramowania.
- Przerwa w pracy systemu kosztuje inaczej. W firmie handlowej godzina przestoju to opóźnione zamówienia. W przychodni to odwołane wizyty, przesunięte terminy i pacjenci, którzy przyszli na darmo.
- Ochrona zdrowia jest sektorem kluczowym. Wymieniona w załączniku nr 1 do ustawy o krajowym systemie cyberbezpieczeństwa. Podmiot, który spełnia przesłanki, ma sześć miesięcy na wpis do wykazu (art. 7c ust. 1) i dwanaście miesięcy na wdrożenie obowiązków (art. 16 pkt 1).
RODO w placówce medycznej — co musi być udokumentowane
Najczęstsze nieporozumienie brzmi: „mamy trzy osoby, więc nas to nie dotyczy”. Art. 30 ust. 5 RODO rzeczywiście zwalnia podmioty zatrudniające mniej niż 250 osób z obowiązku prowadzenia rejestru czynności przetwarzania — ale wyłączenie nie działa, gdy przetwarzanie obejmuje szczególne kategorie danych.
Placówka medyczna przetwarza dane o zdrowiu zawsze. Rejestr jest więc obowiązkowy niezależnie od tego, ilu pracowników zatrudnia — także w praktyce jednoosobowej. To samo dotyczy gabinetu stomatologicznego i gabinetu lekarza rodzinnego.
Trzy dokumenty, które placówka powinna mieć przygotowane, zanim ktokolwiek o nie zapyta:
- Rejestr czynności przetwarzania — z osobnymi pozycjami dla dokumentacji medycznej, rejestracji pacjentów i badań profilaktycznych pracowników, każda z podstawą z art. 9 ust. 2 lit. h i własnym terminem przechowywania.
- Polityka bezpieczeństwa informacji — zasady dostępu, kopii zapasowych, pracy zdalnej i postępowania ze sprzętem, spisane tak, żeby dało się je wskazać przy kontroli.
- Procedura zgłoszenia incydentu — z terminami liczonymi od momentu wykrycia, a nie od chwili, w której ktoś się zorientował, że trzeba coś zgłosić.
Wszystkie trzy przygotujecie sami, bezpłatnie, naszymi generatorami. Jeśli wolicie, żeby zrobił to ktoś, kto robi to co tydzień — od tego jesteśmy.
Za co odpowiadamy w placówce
- Kopia zapasowa i plan odtworzenia — z testem odtworzenia, bo kopia niesprawdzona jest założeniem, nie kopią. Przy dokumentacji medycznej test jest jedynym dowodem, że dwudziestoletni obowiązek da się wykonać.
- Audyt bezpieczeństwa — sprawdzenie, czy stan faktyczny odpowiada temu, co placówka deklaruje w dokumentach.
- Ochrona stacji roboczych i zabezpieczenie przed ransomware — rejestracja i gabinety pracują na tych samych komputerach, na których czyta się pocztę.
- Stała opieka informatyczna i helpdesk — z czasem reakcji ustalonym pod godziny przyjęć, nie pod godziny biurowe.
- Monitoring infrastruktury — awaria wykryta w nocy to awaria naprawiona przed pierwszym pacjentem.
- Przygotowanie do NIS2 — ustalenie, czy placówka podlega ustawie, i wdrożenie obowiązków w terminie.
- Szkolenia dla personelu — obowiązek z art. 8 ust. 1 pkt 2 lit. i ustawy o KSC, a w praktyce najtańsze zabezpieczenie, jakie można kupić.
Wymiana systemu, który nie może przestać działać
Najtrudniejsza praca w tej branży to modernizacja czegoś, co nie ma kiedy stanąć. Migrację systemu, wymianę serwera i przebudowę kopii zapasowych planujemy tak, żeby przyjmowanie pacjentów nie zostało przerwane: przygotowanie i testy na środowisku równoległym, przełączenie poza godzinami przyjęć, przygotowany wariant odwrotu na wypadek, gdyby coś nie zadziałało.
Zanim cokolwiek ruszymy, ustalamy dwie liczby i zapisujemy je w dokumencie: ile godzin placówka może działać bez systemu i ile danych wolno stracić w najgorszym przypadku. Bez nich każdy plan migracji jest życzeniem, a nie planem.
Do poczytania, zanim się odezwiecie
- Obsługa IT przychodni i gabinetów — pełne omówienie zakresu, kosztów i wymogów, z kalkulatorem.
- Backup i ciągłość działania systemów medycznych — jak zaplanować kopie, żeby przetrwały wymianę sprzętu i spełniły obowiązek dwudziestoletni.
- Oprogramowanie dla stomatologii — na co patrzeć przy wyborze programu do gabinetu.
- Test NIS2 — dwa kroki, sprawdza, czy placówka podlega ustawie.
Rozmowa bez zobowiązań
Powiedzcie, na czym pracujecie i co Was uwiera. Odpowiemy, co da się poprawić od razu, co wymaga projektu, a co spokojnie może poczekać. Napiszcie do nas — odpowiadamy tego samego dnia roboczego.
