2.5. Dokumentowanie procedur i zgoda świadoma pacjenta (formularze, ryzyka, oczekiwane efekty): Przechowywanie dokumentacji zgodnie z RODO — procedury operacyjne, bezpieczeństwo i polityka retencji danych

7. Przechowywanie dokumentacji zgodnie z RODO — procedury operacyjne, bezpieczeństwo i polityka retencji danych

Zasady podstawowe (RODO w praktyce)

Dane osobowe i dane medyczne należy przechowywać zgodnie z zasadą storage limitation – „przechowywać w formie umożliwiającej identyfikację osób przez nie dłużej, niż jest to niezbędne do celów, w których są przetwarzane”. To oznacza konieczność zdefiniowania celu przechowywania i automatycznego/planowanego usuwania danych po jego osiągnięciu. White & Case.
Należy dokumentować podstawę prawną przetwarzania (np. zgoda pacjenta, obowiązek prawny, niezbędność do świadczenia opieki zdrowotnej) oraz okres przechowywania przypisany do każdej kategorii dokumentów. White & Case.

1. Klasyfikacja dokumentów i tabela retencji (przykładowa struktura)

Przygotuj katalog dokumentów i dla każdej pozycji wyznacz: typ dokumentu, podstawa prawna, okres przechowywania, sposób przechowywania (fiz./elektr.), sposób utylizacji. Przykładowe wpisy:

Karta badań/nota terapeutyczna (zabiegi suche/mokre) — podstawa: świadczenie usług medycznych; sugerowany okres: zgodnie z krajowymi przepisami dot. dokumentacji medycznej — typowo wieloletni (konieczność sprawdzenia wymogów krajowych). (Przykłady krajowych reguł zawierają omówienia okresów przechowywania w publikacjach prawniczych / poradnikach dla placówek medycznych). Prawo.pl+1.
Formularze zgody (surowe zgody) — przechowywać przez okres zgodny z dokumentacją kliniczną + okres przedawnienia roszczeń.
Rejestr powikłań / incydentów — dłuższy okres z uwagi na możliwość roszczeń (okresy zależne od prawa krajowego).

Ćwiczenie praktyczne 1 (tworzenie tabeli retencji)
Na warsztatach: w grupach przygotujcie tabelę retencji dla 15 typów dokumentów z kursu (karta zabiegu, zgoda, zdjęcia medyczne, e-mail, faktury). Dla każdej pozycji wpiszcie proponowany okres przechowywania, uzasadnienie prawne i sposób utylizacji. Grupy przedstawiają i uzasadniają wybór.

2. Przechowywanie fizyczne — procedury i zabezpieczenia

Miejsca: szafy zamykane na klucz w gabinecie administratora, pomieszczenia archiwalne z kontrolowanym dostępem.
Dostęp: tylko upoważniony personel (lista uprawnień, podpisy). Rejestr wejść/wyjść do pomieszczenia z dokumentacją jeżeli to możliwe.
Ochrona przed zniszczeniem: ochrona przeciwpożarowa, kontrola wilgotności, regały z odległością od ścian.
Utylizacja: niszczenie mechaniczne/fragmentacja dokumentów papierowych przez autoryzowaną firmę lub dokumentowanie niszczenia (protokół z datą, podpisem).

Przykład procedury: Kartoteka pacjentów papierowa: zamykana szafa, dostęp dla terapeuty i menedżera; co 12 miesięcy audyt zgodności; po zakończeniu retencji dokumenty niszczone przez firmę z certyfikatem utylizacji.

Ćwiczenie praktyczne 2 (audit fizyczny)
Symulacja: w parach przeprowadźcie audyt gabinetu (lista kontrolna dostarczona przez prowadzącego) — sprawdźcie zabezpieczenia, dostęp, stan dokumentów. Sporządźcie raport z niezgodnościami i zaproponujcie działania naprawcze.

3. Przechowywanie elektroniczne — wymagania techniczne i organizacyjne

Katalog zasad technicznych:

Kontrola dostępu: indywidualne konta użytkowników, role i uprawnienia, obowiązkowe hasła z minimalną złożonością, okresowa zmiana haseł, dwuetapowa weryfikacja (2FA) dla kont z uprawnieniami administratorskimi.
Szyfrowanie danych w spoczynku i w tranzycie: stosować standardy silnego szyfrowania (np. AES-256 dla przechowywania). Dane przesyłane przez internet muszą być zabezpieczone protokołem TLS.
Backupy: regularne kopie zapasowe (np. codzienne pełne lub różnicowe + cotygodniowe pełne) z zachowaniem retencji backupów (np. 30 dni pełna rotacja + archiwum miesięczne/roczne, zgodnie z polityką retencji). Kopie przechowywać w bezpiecznej lokalizacji (off-site lub zaszyfrowany chmur/host z certyfikatami bezpieczeństwa).
Pseudonimizacja: tam, gdzie możliwe (np. do celów szkoleniowych/analiz) stosować pseudonimizację danych, by ograniczyć ryzyko identyfikacji.
Logowanie i audyt: rejestrowanie dostępu do rekordów (kto, kiedy, co zmienił). Logi muszą być przechowywane i chronione przed modyfikacją.
Umowy z podmiotami przetwarzającymi (DPA): jeśli korzystacie z zewnętrznych chmur, systemów e-Health czy firm archiwizacyjnych — podpisz umowy powierzenia przetwarzania zgodne z RODO. IT Governance.

Ćwiczenie praktyczne 3 (konfiguracja polityki backupu i dostępu)
Uczestnicy otrzymują scenariusz kliniki i tworzą plan IT: schemat kont użytkowników, politykę haseł, harmonogram backupów i opis sposobu szyfrowania. Plan przedstawiają i dyskutują ryzyka.

4. Retencja, archiwizacja i usuwanie danych (procedury operacyjne)

Procedura retencji powinna być zautomatyzowana tam, gdzie to możliwe: system e-dokumentacji powinien oznaczać dokumenty datą końca retencji i generować zadania do archiwizacji/usunięcia.
Przed usunięciem: sprawdź, czy nie toczy się postępowanie, nie istnieją roszczenia, wymagania prawne do przedłużenia okresu.
Usuwanie: dla danych elektronicznych — bezpieczne usuwanie zgodne z normami (nadpisanie, cryptographic erase), dla papierowych — niszczenie fizyczne i protokół utylizacji.
Archiwizacja długoterminowa: jeśli prawo dopuszcza przechowywanie dłużej w celach naukowych/historycznych — zastosuj środki minimalizujące identyfikację (pseudonimizacja) i zabezpieczenia dodatkowe. White & Case.

Ćwiczenie praktyczne 4 (scenariusze retencji)
Dostarczone są 4 scenariusze (np. pacjent z roszczeniem, badanie naukowe, pacjent zmarły, zapis faktury). Grupy decydują czy przedłużyć przechowywanie, jak to uzasadnić i jakie zabezpieczenia zastosować.

5. Zarządzanie zgodami, wnioski pacjenta i prawa osób, których dane dotyczą

W dokumentacji przechowuj wersję aktualnej zgody (skan papierowy + zapis elektroniczny) i historię zmian.
Procedury obsługi żądań pacjenta: dostęp do danych, sprostowanie, usunięcie (prawo do bycia „zapomnianym” — ale z zastrzeżeniami wynikającymi z prawnych obowiązków przechowywania), ograniczenie przetwarzania, przenoszalność. Zapisuj każde żądanie i podjęte działania. White & Case.

Ćwiczenie praktyczne 5 (symulacja wniosku pacjenta)
Każda para otrzymuje wniosek o dostęp/wymaz/przeniesienie. Zespół tworzy proces obsługi (formularz odpowiedzi, lista dokumentów wydawanych, terminy wykonania). Przedstawienie i ocena zgodności z RODO.

6. Incydenty bezpieczeństwa i procedury raportowania

Zdefiniuj procedurę reagowania na naruszenie danych (Data Breach Response): szybkie wykrycie, wstępna ocena ryzyka, notyfikacja organu nadzorczego i pacjentów jeśli konieczne, śledztwo i działania naprawcze. Dokumentuj każdy etap.
Przykładowy zapis incydentu: data/godzina wykrycia, opis incydentu, zakres danych, liczba osób, ocenione ryzyko, podjęte działania, termin zamknięcia, wnioski i zapobiegawcze działania.

Ćwiczenie praktyczne 6 (symulacja naruszenia danych)
Symulacja: w systemie e-dokumentacji nastąpiło wycieknięcie plików. Zespoły wcielają się w rolę zespołu reakcji: sporządzają wstępny raport, decydują o konieczności powiadomienia organu nadzorczego i pacjentów, przygotowują komunikat dla pacjentów.

7. Dokumentacja, audyt wewnętrzny i rejestry

Prowadź rejestr czynności przetwarzania (art. 30 RODO) dla procesów przetwarzania danych medycznych — kto, co, cele, kategorie danych, odbiorcy, okresy przechowywania, środki bezpieczeństwa. White & Case.
Plan audytów: co pół roku audyt zgodności (procedury, dostęp, logi, backupy, szkolenia personelu). Wyniki audytu dokumentować, planować działania naprawcze i monitorować ich realizację.
Szkolenia: obowiązkowe szkolenia personelu z zakresu RODO i procedur bezpieczeństwa co najmniej raz w roku oraz przy zatrudnieniu.

Ćwiczenie praktyczne 7 (audyt dokumentacyjny)
Przeprowadźcie 30-minutowy audyt rejestru czynności przetwarzania (przykładowy arkusz). Wskażcie luki, przygotujcie plan naprawczy.

8. Wzory i przykłady praktyczne (fragmenty do wdrożenia)

Wzór nazwy pliku elektronicznego:
YYYYMMDD_PacjentNazwisko_IDZabiegu_TypDokumentu.pdf — ułatwia sortowanie, audyt i retencję. (Przykład: 20250415_Kowalski_12345_kartaZabiegu.pdf).

Przykładowy wpis w rejestrze czynności przetwarzania:

Proces: prowadzenie karty zabiegowej
Administrator: [nazwa placówki]
Cel: świadczenie usług terapeutycznych
Kategorie danych: dane identyfikacyjne, dane medyczne, wyniki pomiarów
Okres przechowywania: X lat (zgodnie z prawem krajowym)
Środki: szyfrowanie AES-256, 2FA, backup codzienny, DPA z dostawcą systemu EHR. IT Governance+1

9. Kiedy wykonać DPIA (ocena skutków dla ochrony danych)

W przypadku przetwarzania szczególnych kategorii danych (dane zdrowotne) oraz gdy zastosowane technologie lub skala przetwarzania mogą rodzić wysokie ryzyko — przeprowadź DPIA. Dokument DPIA zawiera ocenę ryzyk i środki łagodzące. White & Case.

10. Umowy z podmiotami zewnętrznymi (powierzenie przetwarzania)

Każdy podmiot mający dostęp do danych (system e-zdrowie, chmura, firma archiwizująca) powinien mieć podpisaną umowę powierzenia przetwarzania, określającą cele, zakres, zabezpieczenia i obowiązki powiernika (np. prawo kontroli, zasady usuwania danych, obowiązek zgłaszania naruszeń). IT Governance.

Ćwiczenie praktyczne 8 (szablon umowy DPA)
Dostaniecie fragment umowy powierzenia: oceniacie kluczowe zapisy (np. zabezpieczenia techniczne, prawa kontroli, procedury usuwania) i wskazujecie braki krytyczne.

11. Checklisty do codziennego stosowania (do wydruku)

Czy każde konto użytkownika ma przypisaną rolę i ograniczone uprawnienia?
Czy logi dostępu są włączone i zabezpieczone?
Czy backupy działają i odbywają się zgodnie z harmonogramem?
Czy dokumentacja papierowa jest zamknięta i dostępna tylko dla uprawnionych?
Czy dla nowych usług podpisano DPA?
Czy okresy retencji są przypisane w systemie?
Czy przeprowadzono szkolenie personelu w ostatnich 12 miesiącach?