PDF w ochronie zdrowia: dokumentacja kliniczna a prywatność pacjenta

Pacjent przesyła klinice e-mailem zeskanowany plik PDF starej karty wypisowej. Recepcjonistka musi połączyć go z dwoma innymi raportami, zanim zobaczy je lekarz. Otwiera więc pierwsze darmowe narzędzie PDF, które się wyświetli, wrzuca trzy pliki pełne diagnoz, list leków i numeru ubezpieczenia zdrowotnego, i klika „połącz”.

Nic nie wygląda na nie tak. Połączony plik się pobiera, lekarz go czyta, dzień toczy się dalej. Ale te trzy dokumenty właśnie opuściły klinikę i wylądowały na serwerze obcej osoby, a nie były to zwykłe dokumenty.

To nie jest porada prawna ani medyczna. Nie jestem twoim inspektorem ochrony danych i każda klinika ma własne zasady, których musi przestrzegać. Ale dane o zdrowiu mieszczą się w osobnym, surowszym pudełku w świetle RODO, i to zmienia sposób, w jaki powinieneś traktować każdy plik PDF, który je niesie.

Dlaczego dane o zdrowiu traktuje się inaczej

Większość danych osobowych w świetle RODO jest już chroniona. Dane o zdrowiu dostają dodatkową warstwę. Rozporządzenie nazywa je szczególną kategorią i stawia obok takich rzeczy jak przekonania religijne, orientacja seksualna czy dane biometryczne. Podstawowa zasada dla szczególnej kategorii danych jest taka, że ich przetwarzanie jest zabronione, chyba że spełnisz jeden z krótkiej listy konkretnych warunków, takich jak wyraźna zgoda pacjenta lub sprawowanie opieki przez pracownika służby zdrowia.

To słowo „przetwarzanie” jest szerokie. Obejmuje czytanie pliku, jego przechowywanie, zmienianie i udostępnianie. Łączenie dwóch raportów się liczy. Podzielenie dokumentacji w celu wysłania jednej strony się liczy. Kompresja skanu, by wysłać go e-mailem, się liczy. Więc w chwili, gdy w grę wchodzi zdrowotny plik PDF, obsługujesz najbardziej wrażliwą klasę danych, jaką uznaje prawo, a poprzeczka dla beztroskiego działania jest znacznie wyżej.

Dokumentacja kliniczna zazwyczaj niesie też więcej niż samą diagnozę. Zwykle jest tam imię i nazwisko, data urodzenia, adres, identyfikator pacjenta, czasem numer ubezpieczenia. Każdy z nich sam w sobie pozwala zidentyfikować osobę. Połączone ze schorzeniem malują pełny obraz człowieka w jednym z jego najbardziej prywatnych momentów.

Co strona do wgrywania naprawdę robi z plikiem

Gdy wysyłasz ten plik PDF do narzędzia online, plik wymyka się spod twojej kontroli. Wędruje na serwer, którego nie prowadzisz, zostaje tam przetworzony i może zostać zbuforowany, ustawiony w kolejce lub skopiowany, zanim cokolwiek wróci. W świetle RODO ta firma staje się podmiotem przetwarzającym działającym w twoim imieniu, a ty — klinika lub praktyk — pozostajesz administratorem odpowiedzialnym za dane.

Administrator przyjmuje realne obowiązki w sekundzie, w której pojawia się podmiot przetwarzający. Potrzebujesz pisemnej umowy z tą firmą, która określa, co może robić z danymi i kiedy je usuwa. Dla danych o zdrowiu należących do szczególnej kategorii musisz też mieć pewność, że cała konfiguracja ma odpowiednie zabezpieczenia. Darmowe narzędzie znalezione przez wyszukiwarkę rzadko daje ci cokolwiek z tego. Nie masz z nimi umowy, nie wiesz, gdzie stoją ich serwery, i nie umiesz powiedzieć, kto jeszcze może dotknąć pliku.

Dla danych o zdrowiu jest też ostrzejsza krawędź. Jeśli serwer znajduje się poza UE, dokonałeś międzynarodowego transferu danych szczególnej kategorii — czyli czegoś, wokół czego RODO stawia najwięcej oporu. Dla wakacyjnego zdjęcia nie miałoby to znaczenia. Dla raportu onkologicznego pacjenta po cichu stworzyłeś problem, którego nie umiesz udokumentować.

Naruszenie, które trzeba by zgłosić

Dokumentacja zdrowotna to dokładnie to, czego chcą atakujący i brokerzy danych. Wyciekłej historii medycznej nie da się zresetować jak hasła. Jeśli wrażliwe dane pacjenta zostaną ujawnione przez usługę, za którą nie mogłeś ręczyć, może to być naruszenie ochrony danych osobowych, a naruszenia dotyczące danych o zdrowiu to te, które organy nadzoru traktują najpoważniej. Obowiązki zgłoszeniowe, powiadomienia pacjentów i cios w reputację kliniki — wszystko to wynika z jednego beztroskiego wgrania.

Frustrujące jest to, że samo zadanie — połączenie lub skompresowanie kilku plików — nigdy nie musiało opuszczać firmy.

Zostaw plik na własnej maszynie

Oto rozwiązanie, lżejsze niż problem. Jeśli PDF nigdy nie opuszcza twojego urządzenia, żaden zewnętrzny podmiot przetwarzający go nie dotyka. Żadnej umowy do ścigania, żadnego transferu do uzasadnienia, żadnej osoby trzeciej, która mogłaby go ujawnić. Nadal jesteś administratorem i nadal jesteś winien pacjentowi zwykłą staranność, ale cała warstwa ryzyka po prostu nie istnieje, bo dane zostały tam, gdzie były.

To jest idea stojąca za narzędziami, które działają w całości w twojej przeglądarce. Kod wykonuje pracę lokalnie, w pamięci twojego komputera, a plik zostaje na miejscu. Tak zbudowaliśmy reader.me. Gdy łączysz, dzielisz lub kompresujesz kliniczny plik PDF, jest on przetwarzany w twojej przeglądarce i nigdy nie dociera do żadnego naszego serwera. Jeśli chcesz dowodu, otwórz narzędzia deweloperskie przeglądarki, obserwuj kartę Network podczas pracy, a nie zobaczysz, by cokolwiek z twoim dokumentem wychodziło na zewnątrz.

Dwa codzienne zadania mają największe znaczenie dla plików zdrowotnych:

• Gdy dokumentacja przychodzi z hasłem, które znasz, możesz usunąć to hasło lokalnie, aby z plikiem łatwiej się pracowało, bez wysyłania go gdziekolwiek.
• Gdy musisz przekazać dokumentację dalej i chcesz ją wcześniej zabezpieczyć, możesz zaszyfrować PDF hasłem wprost na swojej maszynie, a potem udostępnić go kanałem, którego pacjent się spodziewa.

Nawyki dla klinik, lekarzy i pacjentów

Kilka prostych zasad trzyma zdrowotne pliki PDF z dala od kłopotów:

• Traktuj każdy dokument kliniczny jak dane szczególnej kategorii. Karty wypisowe, wyniki badań, recepty, skierowania i formularze zgody — wszystkie się kwalifikują, nawet pojedyncza zeskanowana strona.
• Nigdy nie przeciągaj dokumentacji pacjenta do przypadkowego narzędzia online. Brak umowy i brak jasnej lokalizacji serwera oznacza, że nie dostaje ono danych twoich pacjentów, kropka.
• Domyślnie wybieraj narzędzia działające w przeglądarce do rutynowych zadań, takich jak łączenie, dzielenie czy kompresja. Jeśli działa lokalnie, nie ma podmiotu przetwarzającego do sprawdzenia i nic nie przekracza granicy.
• Zabezpieczaj pliki, zanim je wyślesz. Hasło na pliku PDF i rozsądny kanał dostarczenia biją otwarty załącznik.
• Jeśli jesteś pacjentem, zapytaj, jak twoja klinika obchodzi się z twoimi plikami. Masz do tego prawo.

Zasady dotyczące danych o zdrowiu brzmią ciężko i takie są, bo dane są ciężkie. Ale codzienne rozwiązanie jest niewielkie. Zostaw plik na swojej maszynie, używaj narzędzi, które nie wgrywają, a najcięższa część problemu nigdy do ciebie nie dotrze. Jeśli chcesz dłuższej wersji o tym, jak wgrywanie uruchamia te obowiązki, napisałam osobno o RODO i wgrywaniu plików PDF.