Nowe zasady ochrony danych medycznych – projekt Ministerstwa Cyfryzacji
Przetwarzanie danych w dokumentacji medycznej będzie powiązane z wymogiem certyfikacji realizowanej w ramach krajowego systemu certyfikacji cyberbezpieczeństwa – przewidują założenia projektu ustawy Ministerstwa Cyfryzacji.
10 listopada w wykazie prac legislacyjnych rządu pojawił się projekt ustawy o zmianie niektórych ustaw w celu wzmocnienia ochrony danych i cyberbezpieczeństwa przygotowywany przez resort cyfryzacji.
Impulsem do przygotowania dokumentu było naruszenie bezpieczeństwa systemów podmiotu przetwarzającego, które dotyczyło danych osobowych 19 mln osób, w tym informacji o zdrowiu.
Celem projektu jest zwiększenie odporności systemu ochrony danych osobowych na zagrożenia związane z powierzaniem przetwarzania danych podmiotom zewnętrznym, zwłaszcza gdy jeden usługodawca obsługuje wielu administratorów. Proponowane środki obejmują zarówno wzmocnienie przejrzystości i bezpieczeństwa takiego przetwarzania, jak i ułatwienie osobom fizycznym reagowania na nieuprawnione ujawnienie ich danych osobowych.
Projektowane zmiany zakładają, że podmioty przetwarzające dane na rzecz więcej niż 100 administratorów albo dane osobowe dotyczące więcej niż 100 tys. osób będą zobowiązane do przekazywania administratorom – nie rzadziej niż raz na dwa lata, a o istotnych zmianach warunków przetwarzania – bez zbędnej zwłoki, szczegółowych informacji o stosowanych zabezpieczeniach, ew. dalszych podmiotach przetwarzających, miejscu przetwarzania, audytach i wynikach już przeprowadzonych testów, pomiarów oraz ocen.
Proponowane przepisy zakładają m.in., że „powierzenie przetwarzania danych zawartych w dokumentacji medycznej będzie powiązane z wymogiem certyfikacji właściwych procesów zarządzania cyberbezpieczeństwem podmiotu, któremu powierzane są dane”.
Wyjaśniono, że certyfikacja będzie realizowana w ramach krajowego systemu certyfikacji cyberbezpieczeństwa. Nie oznacza to jednak „certyfikacji całego przedsiębiorstwa ani tworzenia odrębnego systemu certyfikacji dla sektora ochrony zdrowia”.
W przypadku dokumentacji medycznej pacjent nie zawsze otrzymuje informacje pozwalające ustalić, który konkretnie usługodawca przetwarza jego dane na zlecenie świadczeniodawcy. Ogólne komunikaty o kategoriach odbiorców lub możliwych podmiotach współpracujących nie zapewniają pełnej wiedzy o rzeczywistym powierzeniu przetwarzania i zmianach w tym zakresie. Zasadne jest zatem określenie bardziej jednoznacznego obowiązku informowania pacjenta o tożsamości podmiotu przetwarzającego dokumentację medyczną, zakresie powierzonych czynności, danych kontaktowych oraz zmianach tych informacji – czytamy w założeniach projektu.
Zgodnie z założeniami do projektu przewidziane jest „przekazywanie do CSIRT NASK niezbędnych danych identyfikujących osoby, których dane zostały pozyskane lub ujawnione w sposób nieuprawniony w związku z incydentem lub cyberzagrożeniem tak, aby możliwe było ich wykorzystanie w usłudze Bezpieczne Dane”.
Obowiązek ma obejmować podmioty kluczowe, podmioty ważne oraz określone w projekcie podmioty przetwarzające dane na dużą skalę.
Projektowane zmiany zakładają także uruchomienie powiadomień o zarejestrowaniu zdarzenia medycznego z wykorzystaniem mObywatela i mojeIKP.
Doprecyzowano, że komunikat ma sygnalizować zdarzenie odnoszące się do pacjenta, np. wystawienie recepty lub udzielenie świadczenia, bez prezentowania w powiadomieniu szczegółowych informacji o zdrowiu. Wyjaśniono, że „ich sprawdzenie będzie wymagało uwierzytelnienia w odpowiedniej usłudze”.
Zmiany przepisów uwzględniają m.in. śmierć lekarza prowadzącego indywidualną praktykę lekarską lub indywidualną specjalistyczną praktykę lekarską. Zgodnie z założeniami powinna zostać wcześniej wyznaczona osoba albo podmiot odpowiedzialny za zabezpieczenie i przekazanie dokumentacji.
Projekt przewiduje także zawiadomienie właściwej okręgowej izby lekarskiej o wyznaczeniu oraz o zmianach tych informacji.
