Najwięcej problemów z ochroną danych w placówce nie zaczyna się od spektakularnego wycieku, ale od drobnych zaniedbań. Otwarty ekran rejestracji, źle nadane uprawnienia w systemie, zbyt szeroki dostęp do historii choroby, dokument zostawiony na ladzie. Właśnie tak wygląda w praktyce RODO w dokumentacji medycznej – nie jako teoria, ale jako codzienny test organizacji pracy.
Dla podmiotu leczniczego stawka jest wysoka. Chodzi nie tylko o ryzyko kary administracyjnej, ale też o odpowiedzialność wobec pacjenta, problemy podczas kontroli i osłabienie zaufania do placówki. Dlatego warto patrzeć na ten obszar nie jak na kolejny obowiązek formalny, tylko jak na element zarządzania ryzykiem.
RODO w dokumentacji medycznej to nie sama zgoda pacjenta
To jeden z najczęstszych błędów w myśleniu. W dokumentacji medycznej przetwarzane są dane szczególnej kategorii, ale podstawą ich przetwarzania najczęściej nie jest zgoda pacjenta. Podmiot leczniczy prowadzi dokumentację, bo wynika to z przepisów prawa i z obowiązków związanych z udzielaniem świadczeń zdrowotnych.
To rozróżnienie ma znaczenie praktyczne. Jeżeli placówka opiera swoje działania na błędnie rozumianej zgodzie, łatwo buduje procedury, które nie odpowiadają rzeczywistym obowiązkom. Pacjent nie „pozwala” prowadzić dokumentacji medycznej – placówka ma obowiązek ją prowadzić zgodnie z przepisami, a następnie właściwie chronić.
Zgoda może być potrzebna w innych obszarach, na przykład marketingowych, ale nie powinna być automatycznie mieszana z zasadami przetwarzania dokumentacji medycznej. To właśnie takie mieszanie porządków najczęściej wychodzi w audytach i kontrolach.
Jakie ryzyka najczęściej dotyczą dokumentacji medycznej
W praktyce problemy rzadko wynikają z braku jednego dokumentu. Znacznie częściej źródłem ryzyka jest rozdźwięk między procedurą a codziennym działaniem personelu.
Pierwszy obszar to dostęp. Nie każdy pracownik musi widzieć całość dokumentacji każdego pacjenta. Uprawnienia powinny odpowiadać rzeczywistym zadaniom. Lekarz prowadzący, rejestratorka, personel pomocniczy i podmiot zewnętrzny obsługujący system informatyczny nie funkcjonują na tym samym poziomie dostępu. Jeżeli system lub organizacja pracy tego nie rozróżnia, ryzyko rośnie natychmiast.
Drugi obszar to udostępnianie dokumentacji. Błędy pojawiają się przy wydawaniu kopii, weryfikacji tożsamości osoby uprawnionej, obsłudze pełnomocników i realizacji wniosków rodzin pacjentów. Tu nie wystarczy dobra wola pracownika. Potrzebna jest procedura, która daje jasną odpowiedź, komu, kiedy i na jakiej podstawie wolno wydać dokumentację.
Trzeci problem dotyczy retencji i archiwizacji. Dokumentacja medyczna nie może być przechowywana ani krócej, ani dłużej w sposób przypadkowy. Wiele placówek ma uporządkowane tworzenie dokumentacji, ale dużo słabiej wypada przy jej zamykaniu, przenoszeniu do archiwum i niszczeniu po upływie okresu przechowywania.
Czwarty obszar to bezpieczeństwo techniczne. Hasła współdzielone przez personel, brak blokady ekranu, logowanie na wspólnym koncie albo swobodne wynoszenie dokumentów poza miejsce udzielania świadczeń – to nadal spotykane praktyki. Nawet dobra polityka ochrony danych nie zadziała, jeśli rozwiązania techniczne i zachowania personelu są z nią sprzeczne.
Co naprawdę trzeba wdrożyć w placówce
Właściciele klinik i kierownicy podmiotów leczniczych często pytają, czy wystarczy komplet dokumentów od inspektora albo zewnętrznego dostawcy. Odpowiedź brzmi: nie. Same wzory nie chronią placówki, jeśli nie przekładają się na sposób pracy.
W pierwszej kolejności trzeba ustalić mapę przetwarzania danych w dokumentacji medycznej. Kto wprowadza dane, kto je modyfikuje, kto je udostępnia, kto archiwizuje, kto ma dostęp zdalny, a kto tylko pomocniczy. Bez tego nie da się sensownie nadać uprawnień ani ocenić ryzyk.
Następnie trzeba uporządkować podstawowe dokumenty i role. Chodzi o upoważnienia do przetwarzania danych, zasady nadawania i odbierania dostępów, procedury udostępniania dokumentacji, reguły korzystania z systemów informatycznych, sposób reagowania na incydenty i zasady współpracy z podmiotami przetwarzającymi. Jeśli placówka korzysta z zewnętrznego oprogramowania, hostingu, archiwizacji lub call center, umowy powinny odpowiadać realnemu przepływowi danych, a nie być tylko formalnym załącznikiem.
Kolejny krok to szkolenie personelu. Nie chodzi o jednorazową prezentację podpisaną na liście obecności. W placówce medycznej szkolenie musi dotyczyć konkretnych sytuacji: jak zweryfikować osobę odbierającą dokumentację, co zrobić przy pomyłce mailowej, jak postąpić, gdy pacjent żąda informacji przez telefon, jak zabezpieczyć wydruk, jak reagować na dostęp osoby nieuprawnionej. Im bardziej szkolenie jest osadzone w realiach pracy, tym większa szansa, że procedura zadziała pod presją czasu.
Dokumentacja papierowa i elektroniczna – różne narzędzia, ten sam obowiązek
Część placówek skupia się wyłącznie na systemie EDM, zakładając, że cyfryzacja sama rozwiązuje problem zgodności. To zbyt optymistyczne podejście. Dokumentacja elektroniczna daje lepsze możliwości kontroli dostępu, historii logowań i ograniczeń uprawnień, ale tylko wtedy, gdy system jest dobrze skonfigurowany i nadzorowany.
Z kolei dokumentacja papierowa bywa traktowana jak starszy, mniej ryzykowny format. Tymczasem właśnie tam często występują najbardziej podstawowe uchybienia: pozostawianie teczek w ogólnodostępnych miejscach, brak kontroli nad kopiami, nieczytelne rejestry wypożyczeń, swobodne wynoszenie dokumentów między gabinetami.
To nie jest spór o to, która forma jest bezpieczniejsza. Bezpieczniejsza jest ta, którą placówka umie realnie kontrolować. W wielu przypadkach największym problemem nie jest sam nośnik, ale brak spójnych zasad dla obu modeli jednocześnie.
RODO w dokumentacji medycznej a personel i podwykonawcy
Placówka odpowiada nie tylko za własne procedury, ale też za to, jak dane traktują osoby działające w jej strukturze i partnerzy zewnętrzni. Dotyczy to lekarzy kontraktowych, rejestracji, pielęgniarek, informatyków, firm serwisujących oprogramowanie czy podmiotów prowadzących archiwizację.
Tu pojawia się bardzo praktyczny problem: nie każda osoba współpracująca z placówką ma ten sam status prawny, ale każda może realnie dotknąć dokumentacji medycznej. Dlatego trzeba precyzyjnie rozdzielić, kto działa w ramach organizacji, kto jako odrębny administrator w określonym zakresie, a kto jako podmiot przetwarzający. Błąd na tym etapie zwykle pociąga za sobą błędy w upoważnieniach, umowach i odpowiedzialności za incydenty.
Szczególnie ostrożnie warto podejść do nowych podmiotów leczniczych. Na etapie organizacji działalności łatwo skupić się na rejestracji, lokalowych wymaganiach i umowach z personelem, a zbyt późno uporządkować obieg dokumentacji i ochronę danych. Tymczasem właśnie start placówki jest momentem, w którym najłatwiej wdrożyć dobre reguły od początku, zamiast później naprawiać chaos. To ważny element także przy zakładaniu NZOZ, gdzie kwestie organizacyjne i prawne powinny być projektowane równolegle.
Co sprawdzić, zanim zrobi to pacjent albo organ kontrolny
Najrozsądniej zacząć od kilku pytań, które szybko pokazują stan faktyczny. Czy każdy dostęp do dokumentacji medycznej da się uzasadnić zakresem obowiązków? Czy wiadomo, kto i kiedy wydał dokumentację pacjentowi? Czy po odejściu pracownika dostęp jest odbierany od razu? Czy personel wie, jak zgłosić incydent? Czy placówka ma jednolitą praktykę dla maili, telefonów i wniosków składanych osobiście?
Jeżeli odpowiedzi są niepewne, nie trzeba od razu zakładać najgorszego scenariusza. Trzeba natomiast przyjąć, że ryzyko już istnieje. W takim momencie najbardziej opłacalne jest nie tworzenie kolejnych ogólnych instrukcji, tylko sprawdzenie rzeczywistego obiegu dokumentacji i poprawienie punktów, w których procedura nie działa.
Właśnie dlatego dobrze przeprowadzony audyt w obszarze dokumentacji medycznej ma wartość operacyjną. Nie chodzi w nim o produkcję papieru, ale o wskazanie, gdzie placówka może stracić kontrolę nad danymi pacjenta i jak tę kontrolę odzyskać bez paraliżowania pracy zespołu.
Prawo w tym obszarze nie ma utrudniać leczenia. Ma chronić pacjenta, lekarza i podmiot leczniczy przed skutkami chaosu, który zwykle zaczyna się od jednego pozornie drobnego skrótu myślowego.