Informatyzacja ochrony zdrowia i bezpieczeństwo danych pacjentów

Już raz zastanawiałem się nad zasadami gromadzenia dokumentacji medycznej w tekście Informatyzacja, akty wykonawcze, delegacje i ich konstytucyjność. Po wyroku Trybunału Konstytucyjnego przyjęto nowe rozporządzenie "w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania". Z punktu widzenia "neutralności technologicznej" wiele się nie zmieniło w stosunku do projektu. Próba analizy przepisów w kontekście innych, które dotyczą informatyzacji, powoduje migotanie przedsionków... Tym razem jednak warto zwrócić uwagę na inne aspekty przechowywania danych o pacjentach. Czy dane medyczne ważnych w naszym państwie osób zostały przejęte przez obce wywiady, dzięki zmodyfikowanemu na zlecenie WSI oprogramowaniu?

Gazeta Polska w tekście Medyczne "haki" WSI przedstawia mrożącą krew w żyłach historię wycieku danych medycznych dotyczących ważnych osób w państwie ze szpitala MSWiA. "Według materiałów, do których dotarła "GP", Wojskowe Służby Informacyjne miały od 1999 r. dostęp do bazy danych najważniejszych osób w państwie, leczonych w szpitalu Ministerstwa Spraw Wewnętrznych i Administracji przy ul. Wołoskiej w Warszawie oraz w zlikwidowanej klinice rządowej przy ul. Karowej. Dzięki temu mogły wpływać na sposób leczenia VIP-ów, szantażować ich, a nawet "eliminować" z negocjacji polityczno-gospodarczych. Według naszych informatorów system zbudowany na bazie nielegalnego modułu działa do dziś, a bazy danych mogą być zdeponowane w szwajcarskim banku. Niewykluczone, że już znalazły się w rękach obcych wywiadów" - pisze Gazeta Polska.

Wspomniane wyżej rozporządzenie Ministra Zdrowia z dnia 21 grudnia 2006 r. w sprawie rodzajów i zakresu dokumentacji medycznej w zakładach opieki zdrowotnej oraz sposobu jej przetwarzania zawiera w sobie rozdział 7, zatytułowany "Dokumentacja prowadzona w postaci elektronicznej". Rozdział ten wejdzie w życie 6 miesięcy po publikacji rozporządzenia, czyli 28 czerwca 2007 roku. Można tam np. przeczytać, iż zbiory informacji objętych dokumentacją mogą być sporządzane w postaci elektronicznej pod warunkiem: 1) zachowania selektywności dostępu do zbioru informacji; 2) zabezpieczenia zbioru informacji przed dostępem osób nieuprawnionych; 3) zabezpieczenia zbioru informacji przed zniszczeniem, uszkodzeniem lub utratą; 4) rejestrowania historii zmian i ich autorów...

Czytając to rozporządzenie mam niezwykle mieszane uczucia. Wydawać by się mogło, że przecież mamy już ustawę z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, więc wystarczyłoby się do niej odwołać, i tak też się stało, ale już w samym odwołaniu mamy problem. Rozporządzenie stanowi, iż "Dokumentacja, o której mowa w ust. 1, jest prowadzona w postaci pisemnej lub elektronicznej w rozumieniu ustawy z dnia 17 lutego 2005 r. o informatyzacji...", no a w przywołanej ustawie próżno szukać "rozumienia" terminu "postać elektroniczna" albo "dokumentacja w postaci elektronicznej". Jest - owszem - artykuł 61 ust. 1 pkt. 2: "Ilekroć w przepisach dotyczących informatyzacji zawartych w odrębnych ustawach jest mowa o (...) danych elektronicznych, danych w postaci elektronicznej, danych w formie elektronicznej, danych informatycznych, informacjach w postaci elektronicznej albo informacjach w formie elektronicznej - należy przez to rozumieć, w przypadku wątpliwości interpretacyjnych, dokument elektroniczny, o którym mowa w art. 3 pkt 2 niniejszej ustawy." To jak? Ja się czepiam, czy ustawodawca jest racjonalny?

Jaki jest wzajemny stosunek przepisów ustawy o informatyzacji i ustawy z dnia 30 sierpnia 1991 r. o zakładach opieki zdrowotnej i przepisów rozporządzeń wydanych na gruncie jednej i drugiej ustawy? Jak się ma ustawa o ZOZ do ustawy o podpisie elektronicznym, ustawy o ochronie danych osobowych? Jak się mają do siebie przepisy aktów wykonawczych wydane na gruncie tych ustaw? Ciarki przechodzą...

W rozporządzeniu nt. dokumentacji medycznej czytam: "W celu zachowania czytelności i standaryzacji zapisu danych dokumentacja, o której mowa w ust. 1, powinna być sporządzona w formacie XML, z zastrzeżeniem ust. 4.". Czy dokumentacja może być "w formacie XML" stworzona? Czy jest w ogóle "format XML"? Chyba raczej nie ma. Dodatkowo - jest generalna zasada i od razu odstępstwo od niej - "W przypadku gdy do dokumentacji konieczne jest załączenie innych dokumentów, w tym wyników badań, zdjęć radiologicznych oraz dokumentów podpisanych odręcznie, osoba wskazana przez kierownika zakładu przenosi te dokumenty na informatyczny nośnik danych, potwierdza zgodność z oryginałem materiałów przetworzonych do postaci elektronicznej, opatrując je własnym podpisem elektronicznym, a następnie umieszcza w elektronicznych zbiorach danych w sposób zapewniający dostęp i powiązanie pomiędzy dokumentami". A to wszystko w nawiasie odstępstwa od przepisów ogólnych dotyczących informatyzacji?

Rozporządzenie stwierdza: "W sprawach nieuregulowanych stosuje się przepisy wydane na podstawie art. 18 pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne". A ja się zastanawiam, czy w kwestiach uregulowanych rozporządzeniem ustawa i akty wykonawcze do niej nie mają zastosowania? Przecież rozporządzenie nie może zmienić ustawy, a system prawa jest spójny. Czy trzeba było odwoływać się pośrednio do Rozporządzenia Rady Ministrów z dnia 11 października 2005 r. w sprawie minimalnych wymagań dla systemów teleinformatycznych (bo to są właśnie przepisy wydane na podstawie art. 18 pkt 1 ustawy o informatyzacji), by to rozporządzenie obowiązywało? Czy wobec tego, że w rozporządzeniu nie odwołano się (chociażby pośrednio) do aktu wydanego na podstawie art. 18 pkt 2, czyli Rozporządzenia Rady Ministrów z dnia 11 października 2005 r. w sprawie minimalnych wymagań dla rejestrów publicznych i wymiany informacji w formie elektronicznej to to rozporządzenie nie ma zastosowania do dokumentacji medycznych? Przypomnijmy Art. 3. ustawy o informatyzacji...: "Użyte w ustawie określenia oznaczają: (...) 5) rejestr publiczny - rejestr, ewidencję, wykaz, listę, spis albo inną formę ewidencji, służące do realizacji zadań publicznych, prowadzone przez podmiot publiczny na podstawie odrębnych przepisów ustawowych"...

Ehhh. No i ten wyciek danych. Rozdział 7 rozporządzenia nie obowiązuje jeszcze, ale czy to znaczy, że nie obowiązują przepisy ustawy o ochronie danych osobowych i rozporządzenia wydane na jej podstawie?

A może te wszystkie dywagacje na temat niespójnych przepisów nie mają większego znaczenia? Gazeta Polska cytuje Dr Marka Durlika, do niedawna dyrektora szpitala MSWiA: "Mnie nic na ten temat nie było wiadomo, poza tym w ogóle nie znam się na komputerach".