Nowe przepisy o danych cyfrowych w ochronie zdrowia. Wymogów nie brakuje, gorzej z pieniędzmi na ich spełnianie?
123RF
Rozporządzenie w sprawie europejskiej przestrzeni danych dotyczących zdrowia – European Health Data Space (EHDS) ustanawia wspólne ramy wykorzystywania i wymiany elektronicznych danych w całej UE. Wdrażane będzie etapami. Najbliższy ważny termin to marze 2027 r. Jak te zmiany w unijnym prawie mogą przełożyć się na sytuację polskich pacjentów i placówek ochrony zdrowia?
Prawo.pl przypomina, że zgodnie z założeniami, nowe unijne prawo ma z jednej strony ułatwić pacjentom dostęp do ich danych osobowych, ale również wzmocnić kontrolę nad nimi.
Wprowadza też jednolite podstawy wykorzystywania danych zdrowotnych m.in. w ramach badań naukowych, dając jednocześnie możliwość odmowy ich przekazywania (klauzula opt-out). Uporządkuje przy tym ramy prawne i techniczne systemów elektronicznej dokumentacji medycznej w całej UE. To również dzięki tym przepisom w Europie ma zostać umożliwiona transgraniczna wymiana danych, która pomoże m.in. w realizacji e-recept za granicą.
Portal wskazuje na przełomowy charakter nowej legislacji. Nowe prawo ma być wdrażane etapami. – Najbliższym istotnym terminem w tym kontekście jest marzec przyszłego roku, który jest ostateczną datą przyjęcia na szczeblu unijnym istotnych aktów wykonawczych (niedawno zostały zaprezentowane projekty w tym zakresie). Może być ono stosowane bezpośrednio, niewątpliwie jednak polskie przepisy będą wymagały dostosowania – czytamy.
Dr Anna Banaszewska, radca prawny, prowadząca indywidualną praktykę prawną, wyjaśnia, że na poziomie krajowym konieczne będzie przede wszystkim wyznaczenie organów odpowiedzialnych za zdrowie cyfrowe oraz dostęp do danych zdrowotnych w celu ich wtórnego wykorzystania. – Organy te będą odpowiadały m.in. za rozpatrywanie wniosków o udostępnienie danych, wydawanie zezwoleń oraz nadzór nad przestrzeganiem warunków ich wykorzystania. Nie jest to wyłącznie kwestia techniczna – mówi.
Początek stosowania pierwszych regulacji wyznaczono na marzec 2029 r., jednak w całości rozporządzenie będzie stosowane dopiero w 2035 r. To oznacza, że certyfikacji dostawców możemy się spodziewać w perspektywie dziewięciu lat. Prawo.pl zwraca uwagę, że te terminy rodzą pytania o to, czy powierzanie tak wrażliwych danych niemal w całości prywatnym firmom, które w większości przypadków dostarczają oprogramowania do obsługi elektronicznej dokumentacji medycznej przychodniom i szpitalom, rzeczywiście jest bezpieczne i odpowiednio nadzorowane przez państwo. Zwłaszcza w kontekście bezpieczeństwa danych i ostatnich cyberataków na sektor ochrony zdrowia.
Ekspert: większa liczba regulacji nie przekłada się na wzrosy cyberbezpieczeństwa
Dr Paweł Kaźmierczyk, radca prawny, senior associate w departamencie korporacyjnym kancelarii Rymarz Zdort Maruta oraz członek praktyki Life Sciences, zwraca jednak uwagę, że problem polega na tym, iż Polska nie nadąża z wdrażaniem już obowiązujących wymagań prawnych związanych z cyberbezpieczeństwem. Przypomina, że unijna dyrektywa NIS 2, czyli regulacja mająca na celu zwiększenie poziomu cyberbezpieczeństwa w Unii Europejskiej, powinna zostać wdrożona już dwa lata temu, dokładnie 17 października 2024 r.
Przypomina też o jeszcze jednej, ważnej kwestii: – Zwiększa się liczba regulacji, co jednak wcale nie przekłada się na szybki wzrost cyberbezpieczeństwa w ochronie zdrowia. Za nowymi obowiązkami nie idą bowiem odpowiednie pieniądze. Wystarczy przejrzeć wyniki prowadzonych corocznie przez Centrum e-Zdrowia badań stopnia informatyzacji podmiotów wykonujących działalność leczniczą. Przez ostatnie lata główną barierą w obszarze cyfryzacji był brak wystarczających środków finansowych na inwestycje w zakresie IT – mówi.
Przeczytaj także: „Dane medyczne będą lepiej chronione”
