Внедряването на GDPR изисква експертна помощ

С JOYSTICK работим по проект за дигитализация на медицинската документация, казва Боян Георгиев

- Както знаете заведения, които са регистрирани по закона за лечебните заведения обработват и чувствителни данни по смисъла на Регламент (ЕС) 2016/679. Допълнителна причина, за да се подходи сериозно по това отношение. Внедряването на GDPR е екипна работа, в която задължително трябва да участват Юрист, IT – специалист(с достатъчна компетентност по информационна сигурност) и администратори, който изключително добре познава процесите и дейностите в това число и спецификата на медицинската практика по отношение на събиране, обработване и съхраняване на медицинската информация + документация. При нас процеса е разделен на три:

Първоначален анализ и одит на мястоИзготвяне на документацията + внедряване на технически и организационни мерки.Последващ анализ (проверка) също с одит на мястоЮридическа помощ във връзка с прилагане на Регламент (ЕС) 2016/679, включително и правна помощ пред съда

- Можем ли да разчитаме само на он-лайн продуктите, които са предлагат?

- Категорично - не, би било изключително несериозно. Тъй като там липсва индивидуалната преценка, която може да се види и оцени само на място. Няколко бланки не правят GDPR необходимо е по-задълбочено познаване на материята и процесите.

- Кои са длъжни да назначат Защитник на личните данни (ДПО)?

- Регламентът предвижда длъжностно лице по защита на личните данни да имат само определени категории администратори, а именно:

Публични органи или структури, освен когато става въпрос за съдилища при изпълнение на съдебните им функции;

Администратори, чиято дейност, поради своето естество, обхват и цели, изискват редовно и систематично мащабно наблюдение на субектите на данни;

Администратори, чиито основни дейности се състоят в мащабно обработване на специалните категории данни и на лични данни, свързани с присъди и нарушения.

- Необходимо ли е попълването на изрични декларации от страна на пациента?

- Няма такава необходимост това е на законово основание Необходимо е да се направи преценка дали е законосъобразно и целесъобразно обработването на лични данни. Лечебните заведения обработва лични данни на пациентите на законово основание съгласно: Закона за здравето, Закона за лечебните заведения, включително и техните подзаконови нормативни уредби, най-вече различните Наредби, които са издадени на основание на тези два закона. Във всички останали случаи събирането и изработването на лични данни трябва да е на основание единствено съгласието на лицето.

- Кои са най-честите пропуски, да ги речем слаби места?

- Определено хартията, както знаете в болниците се води изключително много хартиена документация. Истинско предизвикателство е да се създадат и внедрят алгоритми, които да гарантират съответствието. Точно по този проблем с колегите от JOYSTICK работим по проект за дигитализация на медицинската документация, като техническата реализация е готова, но търсим нормативна издържаност за изцяло електронните документи.

Неструктурираните данни (word, excel, pdf файлове с лични данни) – по думи на колегите IT специалисти от екипа това е много сериозен проблем със сигурността. Практически няма как такива документи да се защитят в нормална Windows среда, за съжаление такива данни остават „живи" дори, когато компютъра се повреди стига хард диска да е здрав.

Потребителите: трябва да се подобри потребителската култура, често явление са слаби пароли и използване на чужди профили в процеса на работа. Отваряне на лични пощи по време на работа, влизане в Facebook, теглене и инсталиране на разни приложение и програми.

- Колко струва изпълнението на един такъв проект?

- Ние работим съвместно с екипа на JOYSTICK (Smart Software Systems) и не съм пряко ангажиран с това, но нашите цени са публикувани и може да ги намерите на www.smart-ss.org в секцията GDPR.

- Какви препоръки бихте дали на потребителите?

- Подходете сериозно към проблема: Опредете служители или екип, които да отговарят за привеждане на дейността на лечебното заведение – администратор на лични данни, в съответствие с новите нормативни изисквания в областта на защитата на личните данни. Трябва да се познава: Регламент 2016/679 (Общ регламент относно защитата на данните), Закон за защита на личните данни (ЗЗЛД) и подзаконовите актове по прилагането му, ръководствата и насоките на Работната група по чл. 29 (след 25.05.2018 г. – на Европейския комитет по защита на данните) и на Комисията за защита на личните данни (КЗЛД). Създаване и редовно актуализиране на вътрешни регистри на дейностите по обработване на лични данни в лечебното заведение.

Наемете външна фирма, за да има обективност, много е важно да се изготви:

- обективна оценка на риска на основата на: 1. естеството, обхвата, контекста и целите на обработването; 2. възможните рискове за правата и свободите на физическите лица и тяхната вероятност и тежест; 3. последиците за правата и свободите на физическите лица.;

- вътрешни инструкции/правила/процедури/ - политика за защита на личните данни в съответното лечебно заведение.

Допълнителна информация можете да намерите на нашия сайт: https://smart-ss.org