Bezpieczeństwo danych pacjentów to nasz priorytet

Tak, i pokazujemy to dokumentami, a nie deklaracją na stronie. Umowa powierzenia opisuje zakres i cel przetwarzania, ocena skutków dla ochrony danych nazywa ryzyka, a rejestr czynności przetwarzania generuje się z bazy w stanie na dziś. Wszystkie trzy dostajesz do wglądu przed decyzją.

Środki techniczne z art. 32 RODO da się tu sprawdzić po kolei: dwuskładnikowe logowanie, rozdzielone role, izolacja danych na poziomie bazy, TLS 1.3 i AES-256, niezmienny dziennik audytu, odtwarzanie kopii ćwiczone na prawdziwym archiwum.

Warto wiedzieć jedno. Żaden certyfikat nie zdejmuje z placówki odpowiedzialności za wybór dostawcy, bo administratorem danych pozostaje ona (art. 24 RODO), a rolą dostawcy jest dać jej środki i dowody. Dlatego zamiast pieczątki dajemy listę mechanizmów, którą można przejść punkt po punkcie.

Placówka jest administratorem danych, my podmiotem przetwarzającym. Cele i zakres przetwarzania ustalasz Ty, a my przetwarzamy dane wyłącznie na Twoje udokumentowane polecenie i w granicach umowy powierzenia (art. 28 RODO).

Ten podział nie jest formalnością. Za własne uchybienia odpowiadamy sami, a gdybyśmy wyszli poza Twoje polecenie, stalibyśmy się administratorem tego przetwarzania z całą odpowiedzialnością, jaka za tym idzie (art. 28 ust. 10 RODO). Dlatego dostęp po naszej stronie jest wąski, wiąże nas tajemnica, a każde otwarcie kartoteki zostaje w tym samym dzienniku audytu co Twoje.

Praktyczny wniosek jest taki, że obowiązek informacyjny wobec pacjenta i decyzje o zakresie dokumentacji zostają u Ciebie, a od nas masz wymagać środków bezpieczeństwa i dowodów, że działają.

Baza i pliki stoją w Polsce, a dane medyczne, także w kopiach zapasowych, nie opuszczają Unii Europejskiej. W transmisji chroni je TLS 1.3, a bazę na dysku AES-256. Kopie są zaszyfrowane i przed upływem terminu przechowywania nie da się ich skasować ani nadpisać.

Jeden podmiot spoza Unii wymieniamy sami, zanim zapytasz. Przed aplikacją stoi Cloudflare, który filtruje ruch, ale danych nie przechowuje. Pełna lista podwykonawców jest załącznikiem do umowy powierzenia, a o każdej zmianie na niej uprzedzamy Cię na 30 dni i możesz się jej sprzeciwić.

Po naszej stronie dostęp mają wyłącznie osoby zobowiązane do zachowania poufności, a przetwarzanie odbywa się na Twoje udokumentowane polecenie. Każdy odczyt kartoteki zostawia wpis w dzienniku audytu z czasem, użytkownikiem i adresem IP.

Bo placówki rozdziela baza danych, a nie kod aplikacji. Każda tabela z danymi pacjentów ma własną politykę dostępu, a rola, z której korzysta aplikacja, nie ma uprawnienia do jej ominięcia. Nawet błąd w kodzie nie pokaże Ci cudzej kartoteki, bo zapytanie po prostu jej nie zwróci.

Większość systemów dla gabinetów robi to inaczej: jedna aplikacja podzielona na subdomeny, dane wszystkich w tych samych tabelach, a rozdziela je warunek w zapytaniu. Wtedy każdy pominięty warunek jest wyciekiem.

Drugi skutek tej decyzji widać z zewnątrz. Nie dajemy placówce własnej subdomeny, więc z nazw hostów nie da się odczytać, kto z nami pracuje. Tam, gdzie subdomena jest, wystarczy do tego publiczny rejestr certyfikatów.

Zawiadamiamy Cię bez zbędnej zwłoki i dajemy dane, których potrzebujesz do zgłoszenia. Ten obowiązek stoi po stronie podmiotu przetwarzającego wprost w art. 33 ust. 2 RODO, a 72 godziny na zgłoszenie do Prezesa UODO liczą się placówce od chwili, w której stwierdzi naruszenie.

Zakres naruszenia odtwarzasz z dziennika audytu: kto otwierał kartoteki, kiedy, z jakiego adresu i co eksportował. To dokładnie te informacje, o które pyta formularz zgłoszenia naruszenia.

Dlatego dziennik jest niezmienny i dlatego czytasz go w panelu, a nie na prośbę. Zgłoszenie do organu i ewentualne powiadomienie pacjentów robi placówka jako administrator, bo to jej obowiązek z art. 33 i 34 RODO, ale nie zostaje z tym sama.

Tak, i nie potrzebujesz do tego naszej zgody, tylko zapowiedzi. Umowa powierzenia daje administratorowi prawo do audytu zgodności z jej postanowieniami, samodzielnie albo przez wyznaczonego audytora zewnętrznego, po powiadomieniu nas z wyprzedzeniem co najmniej 14 dni.

Udostępniamy przy tym dokumentację bezpieczeństwa i inne dowody zgodności na uzasadniony wniosek. Koszty audytu ponosi administrator, chyba że audyt wykaże naruszenie postanowień umowy powierzenia, wtedy ponosimy je my.

Sporej części tego, o co zwykle pyta audytor, nie musisz jednak od nas prosić. Dziennik audytu przeglądasz sam, z filtrowaniem po pracowniku, pacjencie i dacie, a rejestr czynności przetwarzania pobierasz z systemu w dowolnym momencie i w stanie na ten dzień.

Dostajesz eksport wszystkich danych w formacie JSON i CSV w ciągu 30 dni od rozwiązania umowy. Po potwierdzeniu odbioru eksportu usuwamy dane w ciągu kolejnych 60 dni i wystawiamy pisemne potwierdzenie usunięcia.

Wyjątkiem są dane, których przechowywania wymaga od nas prawo. Obowiązek retencji dokumentacji medycznej spoczywa na placówce jako administratorze i wynosi co do zasady 20 lat, więc eksport odbierz przed przełączeniem na inny system, a nie po nim.

Trzydzieści dni liczymy od rozwiązania umowy, a nie od dnia, w którym o eksport poprosisz. Nie wiążemy Cię też z nami długim okresem wypowiedzenia, a formaty JSON i CSV wybraliśmy dlatego, że czyta je każdy inny system, nie tylko nasz.