Utrudnianie dostępu do bazy danych to naruszenie prawa? – prawnik wyjaśnia

 

W pierwszej kolejności konieczne jest ustalenie, czym jest baza danych. Zgodnie z przyjętą definicją, pod pojęciem bazy danych należy rozumieć: zbiór danych zapisanych zgodnie z określonymi regułami. W węższym znaczeniu obejmuje dane cyfrowe gromadzone zgodnie z zasadami przyjętymi dla danego programu komputerowego specjalizowanego do gromadzenia i przetwarzania tych danych. W zależności od rodzaju oprogramowania, placówka medyczna może tworzyć różne bazy danych w ramach jednego systemu. Mogą one być również generowane na potrzeby indywidualnego użytkownika. Bazy danych w ramach programu mogą zatem obejmować różne informacje. Wśród najczęściej stosowanych możemy wyróżnić bazę danych pacjentów (obejmującą listę pacjentów, ich dane osobowe). Baza może także obejmować historię wizyt, terminarz przyjęć pacjentów. Zakres bazy danych jest de facto uzależniony od możliwości systemowych poszczególnego oprogramowania, w zasadzie od producenta, który określa możliwość generowania poszczególnych baz danych, a następnie ich ewentualnego wykorzystania w tym eksportu. Niektóre bazy danych, mogą być tworzone na bieżąco podczas pracy z Systemem (np. raporty dłużników – generowane na potrzeby indywidualnego użytkownika).

 

 

Właścicielem bazy danych jest osoba, która pozyskała dane osobowe, celem udzielania świadczenia zdrowotnego. Będzie nim zatem placówka medyczna, do której zgłasza się pacjent celem jego leczenia. Dane pacjenta po zapisaniu powiększają (tworzą bazę danych), która następnie może być przechowywana na serwerach administratora danych lub przekazywana podmiotowi przetwarzającemu (w ramach umowy outsourcingu, lub w związku z metodą działania systemu – system chmurowy).

 

 

Właściciel placówki medycznej powinien zgodnie z Rozporządzeniem Ministra Zdrowia z dnia 6 kwietnia 2020 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania [Dz.U.2020.666], stosować taki System do prowadzenia dokumentacji medycznej, który gwarantuje:

 

1. Integralność treści dokumentacji i metadanych polegającą na zabezpieczeniu przed wprowadzaniem zmian, z wyjątkiem zmian wprowadzanych w ramach udokumentowanych procedur;

2. Stały dostęp do dokumentacji dla osób uprawnionych oraz zabezpieczenie przed dostępem osób nieuprawnionych;

3. Wymagalność identyfikacji osoby sporządzającej dokumentację oraz dokonującej wpisu lub innej zmiany i zakresu dokonanych zmian w dokumentacji lub metadanych;

4. Informację o czasie sporządzenia dokumentacji oraz dokonania wpisu lub innej zmiany;

5. Przyporządkowanie cech informacyjnych dla odpowiednich rodzajów dokumentacji, zgodnie z § 10 pkt 3;

6. Możliwość prowadzenia i udostępniania dokumentacji w formatach i standardach wydanych na podstawie art. 11 ust. 1a i 1b ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz.U. z 2019 r. poz. 408, 730, 1590 i 1905), a w przypadku ich braku - możliwość prowadzenia i udostępniania dokumentacji w standardach HL7 oraz DICOM lub innych standardach i formatach;

7. Możliwość wydruku dokumentacji;

8. Możliwość eksportu całości danych w standardach i formatach, o których mowa w pkt 6, w sposób umożliwiający odtworzenie ich w innym systemie teleinformatycznym.

 

 

Producent oprogramowania powinien zatem zapewnić możliwość eksportu danych, na dowolnym etapie tworzenia dokumentacji medycznej. Format eksportu, powinien być tak zorganizowany, aby móc odtworzyć historię leczenia pacjenta w innym Systemie. Należy mieć na uwadze, że historia wizyt pacjenta, w tym rodzaj udzielanych świadczeń, rozpoznania, były widoczne w innym systemie, tak aby móc kontynuować prowadzenie dokumentacji medycznej w tym samym Systemie (w związku z reinstalacją Systemu) ale też w ramach innego Systemu.

 

 

Przepisy prawne nie regulują kwestii czy uzyskanie bazy danych powinno być odpłatne. Sytuację tą winna regulować umową pomiędzy dostawcą oprogramowania, a placówką medyczną. W zależności od rodzaju Systemu i jego możliwości, eksport może być dokonywany samodzielnie przez użytkownika (najczęściej stosowane w ramach wykonywania kopii bazy danych, która może stanowić podstawę do odtworzenia Systemu), pracownika dostawcy oprogramowania. Umowa pomiędzy dostawcą oprogramowania, a placówką medyczną powinna określać takie informacje jak:

 

 

W przypadku rozwiązania umowy na korzystanie z dotychczasowego producenta oprogramowania, należy pamiętać, o zapisach Rozporządzenia unijnego 2016/679 w szczególności o art. 28 ust. 3 lit. g. W sytuacji rozwiązania umowy, dostawca oprogramowania winien, przekazać placówce medycznej, wszystkie dane, które posiadał w związku z jej realizacją. Jeżeli przepisy prawne nie przewidują obowiązku przechowywania tychże danych, winny one być także usunięte z dysków dostawcy oprogramowania.

 

Utrudnianie dostępu do bazy danych stanowi naruszenie przepisów związanych z RODO, w związku z powyższym praktyka ta, może być uznana jako naruszenie przetwarzania danych osobowych i być przedmiotem skargi do Prezesa Urzędu Ochrony Danych. 

 

________________________________________________________

Opinię przygotował mec. Maciej Gibiński.

 

Dr n. praw. Adwokat Maciej Gibiński specjalizuje się w zakresie prawnych aspektów zawodu lekarza, prawa i odpowiedzialności personelu medycznego oraz prawa pacjenta. Od 2008 prowadzi kursy z zakresu prawa medycznego, również na zlecenie PTO, brał udział w wielu konferencjach i zjazdach naukowych, od 2013 wykłada na Wydziale Zdrowia i Nauk Medycznych Krakowskiej Akademii im. Andrzeja Frycza Modrzewskiego. Autor i współautor książek: „Dokumentacja medyczna w praktyce lekarza dentysty”, „Dokumentacja medyczna w praktyce pielęgniarki i położnej”, „Dokumentowanie terapii logopedycznej”, „Kontrola i nadzór w gabinecie medycznym”, „Prawa Lekarza”.

________________________________________________________