RODO i wyzwania z nim związane. Dyrektorze, za naruszenie możesz odpowiedzieć osobiście

Od wejścia RODO minęło już kilka lat. Wiele podmiotów medycznych wdrożyło podstawowe elementy – powstały regulaminy, klauzule informacyjne, audyty. Problem w tym, że od tamtej pory niewiele się zmieniło. A prawo – i praktyka jego egzekwowania – bardzo się zmieniły.

Dziś prezes UODO nie patrzy na dobre chęci. Liczy się dokumentacja, analiza ryzyka, procedury reagowania na incydenty, szkolenia. A jeśli coś pójdzie nie tak – np. wycieknie dokumentacja pacjenta albo dane zostaną wysłane pod zły adres e-mail – problem trafia do gabinetu dyrektora, nie informatyka.

Co dokładnie może się wydarzyć, jeśli „coś pójdzie nie tak”?

Kary finansowe – i to spore. W sektorze ochrony zdrowia UODO potrafi nałożyć karę nawet za pojedynczy błąd – np. ujawnienie danych jednej pacjentki osobie nieuprawnionej.

Straty wizerunkowe. Wyciek danych medycznych to jeden z najgorszych scenariuszy PR-owych. Zaufanie pacjentów buduje się latami – a można je stracić jednym błędem.

Utrata kontraktów lub punkty karne w procesach konkursowych. Niektóre oddziały NFZ już teraz pytają o politykę bezpieczeństwa informacji i zarządzanie ryzykiem w trakcie oceny ofert. Brak procedur może oznaczać niższą ocenę – lub całkowite wykluczenie z konkursu.

Najczęstsze błędy

• Nieaktualna dokumentacja RODO – często z internetu, sprzed 5 lat.

• Brak szkoleń personelu – mimo że większość incydentów wynika z błędów ludzkich.

• Brak rejestru naruszeń – albo zapisywane w nim są tylko duże incydenty, co jest błędem.

• Brak analizy ryzyka dla systemów IT – wymaganej także przez przepisy o cyberbezpieczeństwie.

• Brak umów powierzenia z zewnętrznymi dostawcami – np. IT, call center.

Dlaczego to wszystko wraca teraz ze zdwojoną siłą?

Bo do gry wchodzi więcej organów – nie tylko UODO. Bo cyfryzacja przyspiesza. I wreszcie – bo kończy się czas tolerancji. Placówki, które nie zaktualizowały systemu ochrony danych, są dziś na celowniku.

Co powinien zrobić każdy dyrektor?

• Zażądać od IOD-a aktualnej analizy ryzyka – z uwzględnieniem systemów IT i podmiotów zewnętrznych.

• Zweryfikować, czy procedury reagowania na incydenty są znane personelowi – i czy naprawdę działają.

• Sprawdzić aktualność dokumentacji RODO – i czy uwzględnia np. ustawę o sygnalistach.

• Upewnić się, że wszystkie umowy powierzenia zostały podpisane z podmiotami przetwarzającymi dane pacjentów.

RODO to dziś temat strategiczny – nie tylko dla IOD-a, ale przede wszystkim dla dyrektora. Lepiej sprawdzić to dziś, niż tłumaczyć się jutro przed prezesem UODO.

WARTO WIEDZIEĆ

Już 26 czerwca odbędą się jednodniowe praktyczne warsztaty dla inspektorów ochrony danych (IOD) oraz osób odpowiedzialnych za ochronę danych osobowych i bezpieczeństwo informacji w placówkach medycznych, firmach farmaceutycznych i organizacjach prowadzących badania kliniczne.

Uczestnicy zdobędą aktualną wiedzę na temat stosowania przepisów RODO w sektorze ochrony zdrowia, ze szczególnym uwzględnieniem nowych regulacji prawnych, takich jak rozporządzenie o europejskiej przestrzeni danych dotyczących zdrowia, Akt o Sztucznej Inteligencji czy ustawa o ochronie sygnalistów.

SPRAWDŹ szczegóły: