Jak sprawdzić, kto miał dostęp do Twojej dokumentacji medycznej online

Informacja o tym, że ktoś wystawił receptę, otworzył dokumentację albo zrealizował świadczenie, którego pacjent nie rozpoznaje, może budzić uzasadniony niepokój. Trudność polega na tym, że historia dostępu do dokumentacji medycznej nie zawsze jest widoczna w tym samym miejscu co e-recepty, e-skierowania czy wyniki badań. Inaczej wygląda kontrola w Internetowym Koncie Pacjenta, inaczej w portalu prywatnej sieci medycznej, a jeszcze inaczej w szpitalnym systemie HIS. ^[1]

Trzeba też odróżnić kilka zdarzeń: utworzenie dokumentu, przekazanie go do systemu centralnego, otwarcie dokumentu przez uprawnionego pracownika, wydruk, eksport danych oraz techniczne przetworzenie informacji przez system. Każde z nich może pojawić się w innych rejestrach i podlegać odrębnym zasadom udostępniania.

Najbezpieczniejsza droga zależy od konkretnej sytuacji. Przy zwykłej kontroli wystarczą ustawienia dostępu i przejrzenie informacji w IKP. Gdy istnieje konkretny sygnał nadużycia, sens ma formalny wniosek do placówki, a w razie braku wyjaśnienia lub podejrzenia naruszenia także kontakt z Inspektorem Ochrony Danych, Rzecznikiem Praw Pacjenta albo Prezesem Urzędu Ochrony Danych Osobowych.

Ścieżki weryfikacji historii dostępu: systemy publiczne a portale prywatne

Internetowe Konto Pacjenta i centralne informacje o zdarzeniach

Internetowe Konto Pacjenta pozwala pacjentowi sprawdzać informacje zgromadzone w publicznym systemie e-zdrowia. W zależności od rodzaju danych i sposobu ich przekazania przez placówkę mogą być tam widoczne między innymi e-recepty, e-skierowania, informacje o udzielonych świadczeniach, dokumenty elektroniczne oraz zdarzenia medyczne zgłoszone przez podmioty lecznicze.

Widoczność zdarzenia w IKP nie oznacza jednak automatycznie, że pacjent otrzymuje pełny techniczny dziennik operacji na dokumentacji. Fakt, że placówka zaraportowała wizytę lub świadczenie, to nie to samo co informacja, kto otworzył konkretny wynik badania. Centralny system może przechowywać dane o zdarzeniu, ale interfejs pacjenta nie musi pokazywać identyfikatora każdej osoby, czasu każdego odczytu i modułu, z którego korzystano.

W praktyce należy rozpocząć od zalogowania się do IKP przez oficjalny kanał, a następnie sprawdzić sekcje dotyczące recept, skierowań, historii leczenia, dokumentów oraz upoważnień. Nazwy zakładek i zakres widocznych funkcji mogą się zmieniać wraz z rozwojem systemu. Jeżeli celem jest ustalenie, kto miał dostęp do konkretnego pliku lub wpisu, samo przejrzenie IKP może okazać się niewystarczające. ^[3]

Uprawnienia placówek, lekarzy i personelu pomocniczego

Elektroniczna dokumentacja medyczna jest udostępniana w ramach określonych relacji i uprawnień. Inny zakres może mieć lekarz podstawowej opieki zdrowotnej, inny specjalista prowadzący konsultację, a jeszcze inny personel pielęgniarski, położna, diagnosta laboratoryjny lub pracownik administracyjny wykonujący zadania rozliczeniowe. ^[2]

Nie należy zakładać, że każdy pracownik placówki widzi całą dokumentację pacjenta. Systemy informatyczne zwykle opierają dostęp na rolach, miejscu pracy, zakresie obowiązków i kontekście konkretnego świadczenia. Jednocześnie sama obecność ograniczeń nie gwarantuje, że do nadużycia nie dojdzie. Uprawniony technicznie użytkownik może czasem otworzyć dane, których nie potrzebuje do realizacji zadania, dlatego znaczenie mają również logi, procedury wewnętrzne i późniejsza kontrola.

Uprawnienia mogą być nadawane na poziomie:

• konkretnego podmiotu leczniczego lub jednostki organizacyjnej;
• roli zawodowej, na przykład lekarza, pielęgniarki, rejestratorki albo diagnosty;
• konkretnego pacjenta i jego epizodu leczenia;
• rodzaju dokumentu, takiego jak wynik laboratoryjny, wypis, recepta lub skierowanie;
• operacji, czyli odczytu, edycji, wydruku, pobrania albo eksportu.

Jeżeli wątpliwość dotyczy dostępu konkretnej osoby, na przykład krewnego zatrudnionego w przychodni, trzeba wskazać placówkę, okres oraz możliwy dokument. Ogólne pytanie „kto widział moje dane?” może skutkować ogólną odpowiedzią. Precyzyjny wniosek o operacje na dokumentacji z określonego przedziału czasu ułatwia administratorowi danych odnalezienie właściwych wpisów.

Dlaczego IKP nie zawsze pokaże pełny log odczytu

Log dostępowy to techniczny zapis operacji wykonanej w systemie. Może zawierać datę i godzinę, konto użytkownika, identyfikator pracownika, jednostkę organizacyjną, rodzaj operacji oraz nazwę modułu. Taki log powstaje zazwyczaj w systemie, w którym znajduje się dokument, a niekoniecznie w aplikacji widocznej dla pacjenta.

Przykładowo: szpital przesyła informację o hospitalizacji do systemu centralnego. Pacjent widzi zdarzenie medyczne, ale nie musi widzieć wszystkich wejść lekarzy dyżurnych do karty, wydruków wykonanych na oddziale czy technicznego pobrania dokumentu przez moduł integracyjny. Odpowiedzi należy wtedy szukać u administratora konkretnej placówki, a nie wyłącznie w IKP.

Nie oznacza to, że pacjent jest pozbawiony kontroli. Oznacza jedynie, że trzeba rozdzielić dwa poziomy:

Portale prywatnych sieci medycznych i aplikacje pacjenta

Sieci komercyjne, takie jak Medicover, Lux Med czy Enel-Med, mogą udostępniać pacjentom własne portale i aplikacje. Zwykle można w nich sprawdzić wizyty, wyniki, zalecenia, e-recepty oraz dokumenty udostępnione pacjentowi. Zakres funkcji zależy od operatora i nie należy utożsamiać widoku pacjenta z pełnym audytem systemu.

Portal może rejestrować logowanie pacjenta, pobranie dokumentu albo zmianę danych kontaktowych, ale niekoniecznie pokazuje, który pracownik otworzył kartę podczas obsługi wizyty. Taki zapis może znajdować się w systemie HIS, systemie elektronicznej dokumentacji, narzędziu do obsługi rejestracji lub archiwum dokumentów.

Przed wysłaniem wniosku sprawdź regulamin portalu i politykę prywatności, ale nie ograniczaj się do formularza kontaktowego. Jeżeli sprawa dotyczy dostępu do dokumentacji medycznej, pismo powinno trafić do administratora danych placówki albo do wyznaczonego Inspektora Ochrony Danych. Zwykłe zgłoszenie techniczne może zostać potraktowane jako problem z aplikacją, choć faktycznie chodzi o ochronę danych osobowych.

Szpitalny system HIS i dokumentacja papierowa

HIS, czyli szpitalny system informacyjny, może obejmować kartę pacjenta, zlecenia, wyniki, historię pobytu, rozliczenia, dokumenty wypisowe i komunikację między oddziałami. W zależności od konfiguracji rejestrowane są otwarcia dokumentów, zmiany treści, wydruki, eksporty i przekazywanie danych do innych modułów.

Warto przeczytać również powiązany artykuł: Predykcyjna analityka zdrowotna: jak przewidzieć zawał zanim wystąpi.

Nie każdy ślad techniczny będzie opisany językiem zrozumiałym dla pacjenta. W logu może pojawić się identyfikator konta, numer terminala, nazwa modułu albo kod operacji. Placówka powinna jednak móc wyjaśnić, jak te dane rozumieć oraz czy dana osoba rzeczywiście miała dostęp do dokumentacji.

Jeśli część dokumentacji istnieje w papierze, kontrola wygląda inaczej. Można zapytać o rejestr udostępnień, kopie, wydania dokumentacji, historię wypożyczenia teczki oraz osoby upoważnione do wglądu. Papierowa karta może nie mieć tak szczegółowego automatycznego audytu jak system elektroniczny, ale jej obieg również powinien być objęty procedurami organizacyjnymi.

Kiedy pełny audyt dostępów ma sens, a kiedy może być zbędny

Sygnały uzasadniające formalną weryfikację

Pełny audyt dostępów ma największy sens, gdy istnieje konkretny powód, by sądzić, że dane zostały otwarte przez osobę nieuprawnioną albo wykorzystane niezgodnie z celem. Nie musi to oznaczać pewności. Wystarczy spójna przesłanka, którą można opisać i zweryfikować.

Typowe sygnały alarmowe to:

• powiadomienie o wizycie, recepcie lub skierowaniu, którego pacjent nie rozpoznaje;
• informacja od bliskiej osoby, która zna szczegóły leczenia nieprzekazane jej przez pacjenta;
• podejrzenie, że znajomy pracujący w placówce przeglądał dokumentację bez związku z leczeniem;
• nieoczekiwany telefon placówki dotyczący sprawy, o której pacjent nie informował;
• zmiana danych, upoważnień albo ustawień konta bez wiedzy pacjenta;
• wykorzystanie poufnych informacji zdrowotnych w sporze rodzinnym, pracowniczym lub majątkowym;
• wiadomość o zrealizowanym świadczeniu, którego pacjent nie odbył.

W takim przypadku nie warto poprzestawać na pytaniu zadanym ustnie w rejestracji. Formalny wniosek tworzy ślad korespondencji, wskazuje zakres żądania i ułatwia późniejsze wykazanie, że placówka została poinformowana o podejrzeniu naruszenia.

Przykład: recepta albo świadczenie, którego pacjent nie zamawiał

Jeżeli w IKP pojawia się e-recepta wystawiona przez lekarza, z którym pacjent się nie kontaktował, najpierw trzeba sprawdzić, czy nie doszło do teleporady, wizyty zastępczej albo wystawienia recepty w ramach kontynuacji leczenia. Można skontaktować się z placówką i poprosić o wyjaśnienie podstawy wystawienia dokumentu.

Gdy placówka nie potrafi wyjaśnić zdarzenia, należy zachować zrzuty ekranu, datę pojawienia się informacji i numer dokumentu, o ile jest widoczny. Następnie warto poprosić o ustalenie, kto utworzył dokument, z jakiego konta oraz na podstawie jakiego świadczenia. Sam fakt pojawienia się recepty nie dowodzi jeszcze nieuprawnionego odczytu całej dokumentacji, ale jest wystarczającym powodem do sprawdzenia poprawności operacji.

Kiedy naturalnie wiele osób ma dostęp do karty pacjenta

Wielodyscyplinarna hospitalizacja może wiązać się z dostępem większej liczby osób niż pojedyncza wizyta ambulatoryjna. W leczeniu pacjenta mogą uczestniczyć lekarze dyżurni, lekarz prowadzący, konsultanci, pielęgniarki, położne, diagności, farmaceuci, rehabilitanci, rezydenci oraz personel wykonujący czynności organizacyjne lub rozliczeniowe.

Po ustaleniu, że w sprawie może być potrzebna kontrola, wybierz narzędzie odpowiadające celowi. Nie każda wątpliwość wymaga od razu formalnego postępowania. Czasem wystarczy sprawdzenie informacji dostępnych na koncie pacjenta, a czasem potrzebne jest precyzyjne żądanie skierowane do administratora danych.

Narzędzia kontroli: porównanie IKP, wniosku z art. 15 RODO i skargi do organów nadzorczych

IKP jako pierwszy, szybki etap sprawdzenia

IKP jest dobrym punktem wyjścia, gdy chcesz ustalić, czy w systemie pojawiło się określone świadczenie, recepta, skierowanie, dokument albo informacja o leczeniu. Zalogowanie się do konta pozwala samodzielnie zweryfikować podstawowe dane i może pomóc zawęzić okres, placówkę lub rodzaj zdarzenia.

To rozwiązanie ma sens, gdy:

• nie wiesz jeszcze, czego dokładnie dotyczy niepokojąca informacja;
• chcesz sprawdzić, czy zdarzenie rzeczywiście zostało zapisane w systemie;
• potrzebujesz ustalić datę, nazwę podmiotu albo numer dokumentu;
• podejrzewasz pomyłkę administracyjną i chcesz najpierw zebrać podstawowe informacje.

IKP nie będzie natomiast wystarczającym narzędziem, jeżeli pytanie brzmi: „które konto pracownika otworzyło dokument, kiedy to nastąpiło i czy wykonano wydruk?”. Wtedy należy przejść do kontaktu z administratorem danych placówki.

Wniosek z art. 15 RODO: gdy potrzebne są informacje od administratora

Na podstawie art. 15 RODO osoba, której dane dotyczą, może zwrócić się do administratora o potwierdzenie, czy jej dane są przetwarzane, oraz o dostęp do tych danych i określonych informacji o ich przetwarzaniu. Wniosek może obejmować między innymi cele przetwarzania, kategorie danych, odbiorców lub kategorie odbiorców, okres przechowywania oraz źródło danych, jeżeli nie zostały zebrane bezpośrednio od pacjenta.

W kontekście dokumentacji medycznej warto wyraźnie wskazać, że chodzi także o informacje pozwalające ustalić operacje wykonane na określonych danych. Można poprosić o:

• wskazanie, czy w podanym okresie odnotowano odczyt, zmianę, wydruk, pobranie lub eksport konkretnego dokumentu;
• daty i godziny zarejestrowanych operacji;
• nazwy jednostek organizacyjnych lub podmiotów, z których nastąpił dostęp;
• role, identyfikatory służbowe albo inne oznaczenia kont użytkowników;
• informację, czy operacja była związana z udzielaniem świadczenia, rozliczeniem, integracją systemów lub innym celem;
• informację o udostępnieniu dokumentacji innemu podmiotowi, jeżeli takie udostępnienie miało miejsce.

Wniosek powinien być możliwie konkretny. Zamiast żądania „pełnego audytu wszystkich dostępów do moich danych” lepiej wskazać placówkę, zakres dat, rodzaj dokumentu i oczekiwane operacje. Jeżeli sprawa dotyczy pobytu w szpitalu, można podać daty hospitalizacji, oddział i nazwę dokumentu, na przykład kartę informacyjną, wyniki badań lub historię zleceń.

Dobrym uzupełnieniem tego tematu jest także poradnik: Dlaczego przyszłość badań klinicznych należy do analiz wielkich zbiorów danych z realne….

Administrator co do zasady powinien odpowiedzieć bez zbędnej zwłoki, nie później niż w ciągu miesiąca od otrzymania żądania. Jeżeli sprawa jest skomplikowana, termin może zostać przedłużony, ale administrator powinien poinformować o tym w pierwszym miesiącu i wskazać przyczynę opóźnienia.

Czego można oczekiwać, a czego nie należy zakładać

Prawo dostępu do danych nie oznacza automatycznie prawa do otrzymania każdej technicznej informacji w dokładnie żądanej formie. Administrator może wyjaśnić, że określony zapis nie jest przechowywany, został usunięty zgodnie z zasadami retencji albo znajduje się u innego podmiotu. Powinien jednak odnieść się do zakresu wniosku, a nie poprzestać na ogólnym stwierdzeniu, że „dokumentacja jest chroniona”.

Problemem może być również żądanie imion i nazwisk wszystkich pracowników, którzy otwierali kartę. Dane te mogą dotyczyć także innych osób, dlatego administrator powinien uwzględnić ich prawa i wolności. W praktyce warto najpierw żądać informacji o dacie, jednostce, roli, identyfikatorze konta i celu operacji oraz poprosić o wyjaśnienie, czy dostęp był związany z leczeniem. Nie wyklucza to przekazania dalszych danych, ale ogranicza ryzyko, że zbyt szerokie żądanie utrudni sprawne rozpatrzenie sprawy.

Jeżeli placówka odmawia udostępnienia części informacji, powinna wskazać podstawę i zakres odmowy. Warto poprosić o udostępnienie pozostałej części danych, która nie jest objęta ograniczeniem, zamiast akceptować odmowę dotyczącą całego wniosku.

Skarga do UODO lub kontakt z innym właściwym organem

Jeżeli administrator nie odpowiada, przekracza termin, udziela odpowiedzi pozornej albo bez wystarczającego uzasadnienia odmawia realizacji praw wynikających z RODO, można rozważyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Skarga nie służy do uzyskania natychmiastowego podglądu systemu, ale może doprowadzić do zbadania, czy administrator prawidłowo realizuje obowiązki dotyczące dostępu do danych, bezpieczeństwa i obsługi żądań pacjenta.

Przed złożeniem skargi dobrze jest wysłać do placówki jasny wniosek i zachować:

• jego treść oraz datę wysłania;
• potwierdzenie doręczenia lub numer sprawy;
• otrzymaną odpowiedź albo dowód jej braku;
• zrzuty ekranu i dokumenty wskazujące, czego dotyczy wątpliwość;
• informację, dlaczego odpowiedź jest niepełna lub niewystarczająca.

Do skargi należy dołączyć korespondencję z administratorem i opisać konkretny problem. Ogólne stwierdzenie, że „ktoś mógł zaglądać do dokumentacji”, będzie mniej użyteczne niż wskazanie: jakiego dokumentu dotyczy sprawa, w jakim okresie mogło dojść do dostępu, kiedy złożono wniosek i jakiej odpowiedzi udzieliła placówka.

Jeżeli problem dotyczy nie tylko ochrony danych, lecz także naruszenia praw pacjenta, można niezależnie skontaktować się z Rzecznikiem Praw Pacjenta. Zakres tych instytucji jest jednak różny: UODO zajmuje się zgodnością przetwarzania danych osobowych z przepisami o ochronie danych, a Rzecznik Praw Pacjenta sprawami związanymi z prawami pacjenta i organizacją udzielania świadczeń.

Kiedy wybrać konkretne narzędzie

Praktyczny sposób sformułowania żądania

W piśmie warto podać swoje dane identyfikacyjne, dane placówki, przybliżony okres oraz opis dokumentacji. Możesz napisać na przykład:

„Proszę o potwierdzenie, czy w okresie od … do … dokonywano operacji odczytu, modyfikacji, wydruku, pobrania lub eksportu dokumentacji dotyczącej mojego leczenia w Państwa placówce, w szczególności dokumentu … . Proszę o wskazanie dat i godzin operacji, jednostek organizacyjnych, ról lub identyfikatorów kont użytkowników, celu dostępu oraz informacji, czy dane były udostępniane innym podmiotom.”

Jeżeli podejrzewasz udział konkretnej osoby, możesz wskazać jej funkcję lub miejsce pracy, ale nie formułuj zarzutu jako ustalonego faktu, jeśli nie masz na to dowodów. Bezpieczniejsze będzie stwierdzenie, że prosisz o zweryfikowanie, czy dana osoba albo konto miały dostęp do wskazanego dokumentu w określonym czasie.

Końcowa rekomendacja: działaj stopniowo, ale nie rezygnuj z formalnej ścieżki

Najrozsądniejsza decyzja zwykle polega na stopniowaniu działań. Najpierw sprawdź informacje w IKP lub portalu placówki i zabezpiecz widoczne dane. Następnie, gdy potrzebujesz ustalenia operacji na dokumentacji, złóż precyzyjny wniosek do administratora na podstawie art. 15 RODO. Dopiero gdy odpowiedź jest niewystarczająca, odmowna albo nie nadchodzi w terminie, rozważ skargę do UODO lub kontakt z innym właściwym organem.

Pełny audyt ma sens wtedy, gdy potrafisz wskazać dokument, okres i konkretną wątpliwość. Jeżeli nie ma żadnego sygnału nieprawidłowości, wystarczy regularna kontrola informacji dostępnych na koncie i zachowanie ostrożności przy udostępnianiu danych logowania. Takie podejście pozwala nie traktować każdego technicznego śladu jako naruszenia, a jednocześnie zachować możliwość skutecznej reakcji, gdy pojawią się rzeczywiste podstawy do kontroli.

Źródła

• [1] pacjent.gov.pl / Centrum e-Zdrowia – Twoja e-dokumentacja medyczna
• [2] pacjent.gov.pl / Centrum e-Zdrowia – Poznaj elektroniczną dokumentację medyczną
• [3] pacjent.gov.pl / Centrum e-Zdrowia – Twoje dane medyczne to Twoja własność