RODO w gabinecie: jak zabezpieczyć dane pacjentów od strony IT

RODO w gabinecie w Jeleniej Górze: hasła, szyfrowanie dysków, backup i sieć dla gości. Lista rzeczy IT do sprawdzenia, bez porad prawnych.

Dane pacjentów to dane o zdrowiu, a wyciek takich danych grozi karą. Ten artykuł nie jest poradą prawną: nie napiszemy, jakie dokumenty musisz mieć. Opisujemy, co sprawdzamy w komputerach i w sieci gabinetu, żeby dokumentacja medyczna w komputerze nie wyciekła ani nie zniknęła. Obowiązki formalne skonsultuj z prawnikiem albo inspektorem ochrony danych.

Hasła i konta: jedno konto na osobę

Typowy obraz w gabinecie: jedno konto w systemie gabinetowym, hasło na karteczce przy monitorze, a zna je też asystentka i osoba, która pracowała tu dwa lata temu. Naprawa to trzy zasady: każda osoba ma własne konto, hasło ma co najmniej 12 znaków, a konto osoby, która odeszła, wyłączasz w dniu odejścia. Dzięki temu w razie incydentu wiadomo, kto otworzył kartotekę.

Uprawnienia: rejestracja bez wglądu w historię leczenia

Rejestracja potrzebuje terminarza i danych kontaktowych, ale nie historii leczenia. Większość programów gabinetowych pozwala to rozdzielić. Sprawdź, czy z tego korzystasz i czy konto administratora systemu nie służy na co dzień do przyjmowania pacjentów.

Szyfrowanie dysków

Laptop zgubiony w samochodzie albo skradziony z gabinetu to w małej praktyce realny wyciek danych. Przy zaszyfrowanym dysku (BitLocker w Windows Pro, FileVault w macOS) złodziej dostaje sprzęt bez kartoteki. Włączenie szyfrowania zajmuje kilkadziesiąt minut na stanowisko. Zaszyfruj też pendrive’y i dyski z kopiami zdjęć RTG.

Backup i kopie EDM

Utrata dokumentacji to też naruszenie ochrony danych. Kopie robisz codziennie i szyfrujesz. Jedną z nich trzymasz poza gabinetem, a odtworzenie danych testujesz. Dotyczy to także elektronicznej dokumentacji medycznej (EDM) i zdjęć diagnostycznych, które ważą więcej niż kartoteka. Zasadę 3-2-1 opisujemy w artykule o backupie danych w małej firmie, a o zdjęciach RTG piszemy też na stronie IT dla gabinetów lekarskich i stomatologicznych.

Sieć dla gości oddzielona od sieci gabinetu

Poczekalnia z otwartym wifi na tym samym routerze co komputer z kartoteką to luka, którą widzimy w gabinetach. Pacjent z zainfekowanym telefonem siedzi wtedy w tej samej sieci, w której leżą dane innych pacjentów. Wydziel sieć dla gości z osobnym SSID i osobną podsiecią, bez dostępu do komputerów i drukarek gabinetu. Część tańszych routerów tego nie potrafi i wtedy trzeba je wymienić.

Aktualizacje i ochrona przed ransomware

Ransomware wchodzi do gabinetu przez stary Windows bez aktualizacji albo przez komputer, na którym obok programu gabinetowego ktoś ogląda filmy, i szyfruje całą kartotekę. Aktualizacje ustawiamy na stałe, antywirus ma działać, a konto, na którym pracuje recepcja, nie może mieć uprawnień administratora.

Czego nie robimy

Nie przygotowujemy dokumentacji RODO, rejestrów ani zgód, i nie oceniamy zgodności z przepisami. Od tego jest prawnik albo inspektor ochrony danych. Nie wdrażamy też systemów klasy szpitalnej dla gabinetu z dwoma stanowiskami. Zabezpieczenia dobieramy do wielkości gabinetu.

Ile to kosztuje

Koszt zależy od liczby stanowisk, od tego, ile z powyższego już działa, i od tego, czy potrzebna jest wymiana routera lub dysku na kopie. Gabinet z zaszyfrowanymi dyskami i sprawdzonym backupem, ale ze wspólnym hasłem, to inny zakres niż gabinet, w którym nic z tej listy nie działa. Wycenę podajemy po oględzinach, bo bez nich zgadywalibyśmy.

Jak zacząć

Zaczynamy od oględzin gabinetu: kto ma jakie konto, gdzie leżą dane i kopie, co jest w sieci i czy dyski są zaszyfrowane. Z oględzin robimy listę braków, a na jej początku stawiamy ten, który najbardziej zagraża danym. Pełny zakres opisaliśmy na stronie IT dla gabinetów lekarskich.

Umów bezpłatną konsultację, a sprawdzimy, czy dane Twoich pacjentów są zabezpieczone od strony IT. Oględziny obejmują Jelenię Górę i całą Kotlinę Jeleniogórską.