GDPR, ZZLP i ZZPL u privatnoj ordinaciji: šta zakon traži od softvera

Većina privatnih ordinacija u Bosni i Hercegovini i Srbiji zna da „GDPR postoji“, ali ne zna šta od njih konkretno traži, a pogotovo ne zna šta od toga treba da radi softver, a šta ustanova sama. Ovaj tekst razdvaja te dvije stvari, bez citiranja članova zakona, jer se propisi mijenjaju i tumače od slučaja do slučaja. Nije pravni savjet.

Tri propisa, ista načela

U Bosni i Hercegovini važi Zakon o zaštiti ličnih podataka (ZZLP), u Srbiji Zakon o zaštiti podataka o ličnosti (ZZPL) koji je pisan po uzoru na GDPR, a GDPR se primjenjuje i na ustanove iz regiona kad obrađuju podatke građana Evropske unije. Sva tri dijele ista načela: podaci se obrađuju po zakonitom osnovu, prikuplja se samo ono što je potrebno, pristup je ograničen na one kojima treba, obrada se evidentira, a lice na koje se podaci odnose ima prava uvida, ispravke, izvoza i brisanja.

Zdravstveni podaci su u sva tri propisa posebna kategorija, sa strožim pravilima od, recimo, adrese ili broja telefona. To znači da privatna ordinacija ne može reći „mi smo mali, to se nas ne tiče“.

Ko je rukovalac, a ko obrađivač

Ustanova je rukovalac: ona odlučuje koje podatke prikuplja, zašto i ko od osoblja im pristupa. Proizvođač softvera koji te podatke čuva na svojim serverima je obrađivač: obrađuje ih isključivo po nalogu ustanove. Zakon traži da taj odnos bude uređen pisanim ugovorom o obradi podataka, u kome obrađivač preuzima obaveze zaštite, povjerljivosti i brisanja po prestanku saradnje. Ako vam proizvođač softvera takav ugovor ne nudi, to je odgovor sam po sebi.

Šta ustanova mora sama

• Odrediti osnov obrade za svaku vrstu podataka i obavijestiti pacijente o tome (obavještenje o privatnosti).
• Voditi evidenciju radnji obrade: koje podatke, zašto, koliko dugo, ko im pristupa, kome se prosljeđuju.
• Imati interna pravila: ko ima koju ulogu, šta se radi kad radnik ode, kako se postupa po zahtjevu pacijenta.
• Prijaviti incident nadzornom organu u zakonskom roku kad do njega dođe.
• Sklopiti ugovore sa obrađivačima: softver, hosting, knjigovođa, eksterna laboratorija.

Šta mora softver

Ustanova te obaveze ne može ispuniti ako joj alat to ne omogućava. Evo šta softver mora imati da bi ustanova mogla dokazati da radi po zakonu:

• Ograničen pristup po ulozi. Recepcija vidi termine i naplatu, ne nalaze; ljekar vidi svoje pacijente; uprava vidi izvještaje. Dozvole moraju biti dovoljno fine da to omoguće i podesive po ustanovi.
• Evidencija pristupa (audit log). Ko je kada otvorio koji karton, šta je izmijenio, šta obrisao. Bez toga nema odgovora na najčešće pitanje nadzornog organa i pacijenta.
• Saglasnosti pacijenata. Šabloni saglasnosti i obavještenja, evidencija datih i povučenih saglasnosti po pacijentu, sa datumom.
• Evidencija radnji obrade i podobrađivača. Ugrađen obrazac koji ustanova dopunjava i izvozi, umjesto Word dokumenta koji niko ne ažurira.
• Prava pacijenata u praksi. Izvoz kartona na zahtjev, ispravka, anonimizacija ili brisanje uz evidenciju zahtjeva, poštujući rokove čuvanja medicinske dokumentacije koje propisuju zdravstveni propisi.
• Tehničke mjere. Šifrovana veza, dvofaktorska prijava, automatska odjava, rezervne kopije, odvojeni podaci ustanova na zajedničkoj platformi.
• Lokacija podataka. Serveri u Evropskoj uniji rješavaju pitanje prenosa podataka u treće zemlje za sva tri propisa.

Papir nije izuzetak

Česta zabluda je da papirni karton „ne potpada“ pod zakon. Potpada, samo se nad njim obaveze ne mogu dokazati: niko ne zna ko je fasciklu otvorio, kopirao ili odnio kući. Prelazak na sistem sa evidencijom pristupa nije samo pitanje efikasnosti nego i prvi korak ka usklađenosti koju možete pokazati.

Pomoćni AI alati i zdravstveni podaci

Ako softver ima alate zasnovane na vještačkoj inteligenciji, pitajte dvije stvari: da li se podaci pacijenata koriste za treniranje modela (ne bi smjeli bez posebnog osnova) i da li alat donosi kliničke odluke (softver koji postavlja dijagnoze je medicinsko sredstvo sa posebnom regulativom). U MediDent Cloud sistemu podaci se ne koriste za treniranje, a pomoćni alati služe organizaciji i poređenju; odluku donosi ljekar.

Lista za provjeru

1. Imamo li ugovor o obradi podataka sa proizvođačem softvera i hosting provajderom?
2. Znamo li u kojoj državi su serveri?
3. Može li sistem pokazati ko je otvorio karton određenog pacijenta prošlog mjeseca?
4. Vidi li recepcija nalaze? Treba li da ih vidi?
5. Gdje su saglasnosti pacijenata i kako ih nalazimo?
6. Ko ažurira evidenciju radnji obrade i kada je zadnji put ažurirana?
7. Šta radimo kad pacijent traži kopiju kartona ili brisanje?
8. Koga zovemo kad se desi incident i u kom roku?

Kako MediDent Cloud sprovodi svaku od ovih stavki opisano je na stranici Sigurnost i GDPR. Nadzorni organi su Agencija za zaštitu ličnih podataka u BiH i Poverenik za informacije od javnog značaja i zaštitu podataka o ličnosti u Srbiji; za tumačenje propisa u konkretnom slučaju obratite se njima ili pravniku.