Serwis RTG łączy się zdalnie przez TeamViewer. Czy potrzebna umowa powierzenia

Kiedy serwis ma dostęp do danych?

Serwis przetwarza dane w Twoim imieniu wtedy, gdy podczas naprawy, aktualizacji albo konfiguracji serwis może zobaczyć, skopiować lub zmienić dane pacjentów. Przykłady:

• aparat RTG lub tomograf zapisuje zdjęcia z nazwiskiem i numerem PESEL, a serwis łączy się z komputerem, na którym je widać,
• serwisant otwiera bazę lub program gabinetowy, żeby naprawić błąd,
• zdalne połączenie obejmuje cały pulpit, na którym otwarta jest dokumentacja.

Nie ma znaczenia, że dostęp trwa kilka minut. Serwis jest podmiotem przetwarzającym, gdy zakres usługi obejmuje przetwarzanie danych pacjentów w Twoim imieniu, także gdy dostęp do nich jest nieuniknionym elementem usługi. Sama możliwość dostępu ani czysto incydentalny, bardzo ograniczony kontakt z danymi nie przesądzają o powierzeniu, ale wymagają zabezpieczeń z art. 32 RODO.

Co musi zawierać umowa powierzenia?

Art. 28 ust. 3 RODO wymaga umowy (forma pisemna, także elektroniczna, art. 28 ust. 9), która określa przedmiot, czas trwania, charakter i cel przetwarzania, rodzaj danych i kategorie osób. Musi też przewidywać, że podmiot przetwarzający:

• przetwarza dane tylko na Twoje udokumentowane polecenie i informuje Cię, jeśli uważa polecenie za naruszające prawo,
• zapewnia zobowiązanie do poufności osób, które dane przetwarzają,
• stosuje środki bezpieczeństwa (art. 32),
• korzysta z innych podmiotów przetwarzających (podwykonawców) tylko za Twoją uprzednią zgodą, szczegółową lub ogólną,
• pomaga Ci wywiązywać się z obowiązków wobec pacjentów i z obowiązków z art. 32 do 36, w tym zgłaszać naruszenia,
• po zakończeniu usługi usuwa lub zwraca dane według Twojej decyzji, chyba że przepisy nakazują ich przechowywanie. Przy dokumentacji medycznej zadbaj, żeby gabinet nie został bez swojej dokumentacji,
• udostępnia informacje potrzebne do wykazania zgodności i umożliwia audyty.

Dla serwisu, który łączy się tylko okazjonalnie, umowa może być krótka. Najważniejsze, żeby nie brakowało elementów z art. 28 ust. 3 i 4. Umowa powinna też określać Twoje prawa i obowiązki jako administratora.

Jakie zasady połączeń zdalnych przyjąć do czasu podpisania umowy?

Jeśli usługa wymaga powierzenia danych, zawrzyj umowę przed udostępnieniem dostępu. Do czasu podpisania dopuszczaj wyłącznie prace bez wglądu w dane pacjentów. Ryzyko ograniczają też proste zasady, które warto stosować zawsze (to przykłady zalecane, nie przepisy, dobierz je do swojego gabinetu):

1. Połączenie inicjuje gabinet. Serwis nie loguje się sam i nie ma stałego dostępu.
2. Jednorazowe hasło lub kod sesji dla każdego połączenia.
3. Obecność pracownika przy komputerze przez cały czas połączenia.
4. Zamknij otwarte dokumenty pacjentów, zanim serwis się połączy.
5. Wpis w ewidencji: data, kto się łączył, w jakim celu i kto był obecny.
6. Rozłącz sesję po zakończeniu i nie zostawiaj programu do zdalnego dostępu w trybie ciągłego nasłuchu.

Te zasady nie zastępują umowy. Odpowiadają obowiązkowi zapewnienia bezpieczeństwa odpowiedniego do ryzyka (art. 32 RODO).

Kogo jeszcze dotyczy art. 28?

To samo dotyczy każdego, kto w Twoim imieniu przetwarza dane pacjentów:

• informatyk administrujący komputerami i serwerem,
• pracownia protetyczna lub laboratorium, jeśli przetwarza dane pacjenta w Twoim imieniu. Laboratorium wykonujące własne świadczenie zdrowotne może być odrębnym administratorem, więc sprawdź jego rolę,
• biuro rachunkowe, jeśli ma dostęp do danych pacjentów w fakturach lub dokumentach,
• dostawca programu gabinetowego i usług chmurowych,
• firma niszcząca dokumenty lub archiwizująca papier.

Nie jest podmiotem przetwarzającym ten, kto sam decyduje o celach przetwarzania, na przykład inny lekarz, któremu kierujesz pacjenta. O potrzebie umowy decyduje rola odbiorcy i charakter przetwarzania. Samo zastąpienie nazwiska numerem zlecenia nie wyłącza RODO.

Co z serwisantem z zagranicy?

Ustal, kto ma dostęp do danych i z jakiego państwa. Przy przekazaniu danych poza Europejski Obszar Gospodarczy potrzebna jest podstawa z rozdziału V RODO, na przykład decyzja o adekwatności albo odpowiednie zabezpieczenia. Sama umowa powierzenia nie wystarcza.

Co zrobić od razu?

1. Zrób listę firm, które mają dostęp do danych pacjentów: serwisy, informatyk, laboratoria, biuro rachunkowe.
2. Sprawdź, z którymi masz umowę. Brakujące uzupełnij.
3. Ustal zasady zdalnych połączeń i prowadź ewidencję.

Możemy to przygotować za Ciebie

Komplet dokumentacji RODO dla gabinetu, 999 zł. Umowy powierzenia, ewidencja podmiotów, zasady dostępu zdalnego i pozostałe dokumenty pod Twój gabinet. Szczegóły w cenniku.

Zadzwoń: 880 133 640, Roman Jońca.

Zobacz też: RODO w gabinecie stomatologicznym i dokumentacja RODO gabinetu lekarskiego.

Najczęstsze pytania

Czy umowa powierzenia jest potrzebna, jeśli serwis łączy się tylko raz w roku? Tak, jeśli wtedy przetwarza dane pacjentów w Twoim imieniu. Częstotliwość nie ma znaczenia.

Czy serwis może łączyć się przez TeamViewer? Tak, jeśli konfiguracja i zasady dostępu zapewniają bezpieczeństwo odpowiednie do ryzyka. Dobrze, żeby połączenie inicjował gabinet, z jednorazowym hasłem i w obecności pracownika.

Czy pracownia protetyczna potrzebuje umowy powierzenia? Jeśli przetwarza dane pacjenta w Twoim imieniu, tak. Laboratorium wykonujące własne świadczenie może być odrębnym administratorem.

Czy umowa może być elektroniczna? Tak. Art. 28 ust. 9 RODO dopuszcza formę pisemną, także elektroniczną.

Co jeśli serwis odmawia podpisania umowy? Zmień dostawcę albo ogranicz dostęp tak, żeby serwis nie widział danych pacjentów.