NIK alarmuje, szpitale nie dbają o dane osobowe pacjentów

NIK alarmuje, szpitale nie dbają o dane osobowe pacjentów
Fot. Adminstrator

Zmiana w podejściu do ochrony danych osobowych i prywatności pacjentów w szpitalach jest nie tylko konieczna, ale i pilna. Jak wykazała bowiem kontrola NIK rutyna i utarte schematy działania gubią personel szpitali, zobowiązany do dbałości o bezpieczeństwo danych osobowych i medycznych pacjentów. Tylko pojedyncze ze skontrolowanych szpitali wprowadziły rozwiązania, które stwarzały warunki do odpowiedniego przechowywania papierowej dokumentacji medycznej oraz gwarantowały prawo pacjentów do prywatności w trakcie rejestracji lub na salach szpitalnych. W pozostałych placówkach nie zapewniono skutecznej ochrony danych osobowych i medycznych przed ujawnieniem osobom nieupoważnionym.

Delegatury Najwyższej Izby Kontroli w Białymstoku, Krakowie, Lublinie, Poznaniu, Szczecinie i Zielonej Górze przeprowadziły kontrolę w 24 szpitalach w sześciu województwach. Jak wynika z opublikowanego raportu, w ponad połowie skontrolowanych placówkach doszło do naruszeń ochrony danych osobowych, z czego w sześciu sytuacja była na tyle poważna, że konieczne było powiadomienie Prezesa Urzędu Ochrony Danych Osobowych.

Zgodnie z przepisami RODO, punktem wyjścia do właściwej ochrony danych osobowych powinna być analiza ryzyka procesów przetwarzania danych. Jednak szpitale nie przygotowały się na wejście w życie nowych przepisów. RODO miało ponad 2-letnie vacatio legis (okres od uchwalenia do wejścia w życie). Ten czas nie został jednak odpowiednio wykorzystany. Nie przeszkolono pracowników, nie zmienił się sposób funkcjonowania szpitali ani podejście personelu do zagadnień związanych z ochroną danych osobowych pacjentów.

W ocenie NIK niewłaściwe zabezpieczenie i przechowywanie dokumentacji medycznej przez personel medyczny wynika z rutyny. Dokumentacja ta w wielu przypadkach przechowywana była w niezamykanych szafkach lub na półkach. Stwierdzono m.in. przypadki kradzieży kart, czy udostępnianie papierowej dokumentacji pacjenta niezgodnie z procedurami oraz osobom nieupoważnionym np. członkom rodziny a także osobom nieupoważnionym przez pacjenta.

” W jednym przypadku dokumentację medyczną pełnoletniego pacjenta udostępniono na podstawie listu otrzymanego przez szpital od osoby podającej się za matkę pacjenta, a w drugim – dokumentacja medyczna została udostępniona osobom, które nie były upoważnione przez pacjentów do odbioru tych dokumentów. W tym też szpitalu dokumentacja medyczna została przesłana pocztą elektroniczną na wniosek złożony tą samą drogą, podczas gdy – zgodnie z obowiązującą w szpitalu procedurą – warunkiem wydania dokumentacji powinno być okazanie dokumentu tożsamości” – czytamy w raporcie.

W siedmiu skontrolowanych szpitalach do przetwarzania danych osobowych, w tym medycznych, upoważnieni byli pracownicy obsługi, np. salowe i sanitariusze. W ocenie NIK osoby te nie udzielają pacjentom świadczeń medycznych i nie powinny mieć dostępu do danych dotyczących np. historii choroby czy przebiegu leczenia pacjenta.

Prawo do prywatności – pusty slogan?

Zabezpieczenie dokumentów zawierających dane medyczne to nie jedyny element ochrony danych osobowych pacjentów. Ważna jest również kwestia prawa pacjenta do zachowania prywatności w newralgicznych momentach pobytu w szpitalu, tj.: podczas rejestracji do poradni, oczekiwania na wizytę i wezwania do gabinetu, w trakcie pobytu na oddziale szpitalnym. W tej materii wykryto uchybienia polegające na zbyt małej odległości pomiędzy okienkami rejestracji lub nie wyznaczono strefy oddzielającej pacjentów obsługiwanych od oczekujących w kolejce. W tych sytuacjach osoby postronne mogły usłyszeć treści rozmów pomiędzy pacjentem a personelem szpitala, dotyczących np. stanu zdrowia pacjenta, w tym szczegóły związane z dolegliwościami i procesem leczenia.

We wszystkich objętych kontrolą szpitalach pacjentom umieszczano na nadgarstkach opaski ze znakami identyfikacyjnymi. Zgodnie z obowiązującymi przepisami, umieszczane na opaskach informacje muszą być zapisane w sposób uniemożliwiający identyfikację pacjenta przez osoby postronne. Nie powinny zatem zawierać nr PESEL, imienia, ani nazwiska. Jednak – jak wykazali kontrolerzy NIK – prawie połowa skontrolowanych szpitali (11 z 24) nie stosowała się do tych zasad. W części szpitali dane te umieszczone były na szpitalnych łóżkach, w sposób widoczny dla osób postronnych, np. odwiedzających innego chorego. Co ciekawe, w tych samych szpitalach, na innych oddziałach, funkcjonowały rozwiązania chroniące dane osobowe pacjentów. Stosowano tam karty przyłóżkowe z ramkami zasłaniającymi personalia.

Brak zabezpieczeń, konta administratora oraz brak blokad

W toku kontroli ujawniono również brak stosownych zabezpieczeń dla danych dotyczących pacjentów przechowywanych w formie elektronicznej. NIK podkreśla, że takie dane wymagają szczególnej ochrony. NIK zauważa, że w związku z zagrożeniem wycieku danych zgłoszenia serwisowe nie powinny zawierać danych osobowych i medycznych pacjentów szpitali. Przy tego typu zgłoszeniach wystarczy unikalny numer ID pacjenta, jednoznacznie wskazujący osobę, której zgłoszenie dotyczyło.

W połowie skontrolowanych szpitali kontrolerzy NIK stwierdzili zaniechania, które w sposób szczególny wpływały na obniżenie bezpieczeństwa danych przechowywanych w formie elektronicznej. Poszczególni pracownicy tych podmiotów leczniczych nie otrzymali zindywidualizowanych danych do autoryzacji w systemach operacyjnych komputerów. W konsekwencji z tych samych loginów i haseł korzystały grupy pracowników, najczęściej zatrudnionych na tym samym oddziale. Takie podejście stanowiło naruszenie obowiązujących norm, a także uniemożliwiało odbieranie uprawnień w systemach operacyjnych komputerów byłym pracownikom. Nie można bowiem odebrać takiego uprawnienia poprzez zablokowanie określonego użytkownika w systemie, gdyż loguje się na niego kilka lub kilkanaście osób. W tej sytuacji nie można było ustalić, który z pracowników wykonał w systemie określone operacje. Jest to szczególnie istotne w przypadku incydentów związanych z ochroną danych, np. „wycieków” informacji poza szpital. Szczególnie naganne są w ocenie NIK sytuacje, w których uzyskanie dostępu do systemu operacyjnego komputera nie wymagało podania żadnych danych autoryzacyjnych (loginu i hasła).

Innym problemem jest fakt, że zdarzały się przypadki, że osobom kończącym pracę w danej placówce nie odbierano uprawnień dostępowych do systemów informatycznych. Część pracowników kontrolowanych jednostek miała też na sprzęcie komputerowym, na którym pracowała, uprawnienia administratora. Osoby te nie były informatykami i nie zajmowały się administrowaniem systemami informatycznymi w skontrolowanych podmiotach leczniczych. Dzięki nadanym uprawnieniom pracownicy ci mogli instalować na komputerach dowolne oprogramowanie, a także wyłączać ochronę antywirusową. To z kolei zwiększało ryzyko, że przetwarzane dane nie będą odpowiednio chronione, a także że na komputerze może zostać zainstalowane złośliwe oprogramowanie.

Część pracowników kontrolowanych jednostek miała też na sprzęcie komputerowym, na którym pracowała, uprawnienia administratora. Osoby te nie były informatykami i nie zajmowały się administrowaniem systemami informatycznymi w skontrolowanych podmiotach leczniczych. Dzięki nadanym uprawnieniom pracownicy ci mogli instalować na komputerach dowolne oprogramowanie, a także wyłączać ochronę antywirusową. To z kolei zwiększało ryzyko, że przetwarzane dane nie będą odpowiednio chronione, a także że na komputerze może zostać zainstalowane złośliwe oprogramowanie.

Poza wymienionymi nieprawidłowościami kontrolerzy NIK stwierdzili inne sytuacje stwarzające zagrożenie dla bezpieczeństwa danych, w tym danych medycznych, przechowywanych w postaci elektronicznej m.in.: stosowanie haseł uwierzytelniających , które nie spełniały przyjętych przez szpital wymogów złożoności; brak zmian hasła po 30 dniach; korzystanie z systemów operacyjnych, dla których producent zakończył wsparcie techniczne; złe zabezpieczenie serwerowni; przechowywanie kopii bezpieczeństwa baz danych w niewłaściwy sposób, tj. w tym samym miejscu, co dane źródłowe.

Więcej informacji oraz pełny raport znaleźć można TUTAJ

Print Friendly, PDF & Email