Praėjusią savaitę Valstybinė duomenų apsaugos inspekcija (toliau – VDAI), siekdama atkreipti sveikatos priežiūros įstaigų dėmesį į svarbiausius asmens duomenų apsaugos aspektus, parengė Rekomendacijas dėl asmens duomenų tvarkymo teikiant paslaugas nuotoliniu būdu, rašoma pranešime spaudai.
Kaip nustatyti asmens tapatybę?
Visų pirma, anot VDAI, ypatingai svarbu, jog sveikatos priežiūros įstaigos užtikrintų tinkamą nuotolinio konsultavimo priemonėmis besikreipiančio asmens tapatybės nustatymą. Tai būtina siekiant užtikrinti, kad nuotolinio sveikatos priežiūros paslaugų teikimo metu paciento sveikatos duomenys nebūtų neteisėtai atskleisti asmenims, neturintiems teisės tokius duomenis gauti. Sveikatos priežiūros įstaiga gali savarankiškai pasirinkti asmens tapatybę identifikuojantį būdą, įvertinusi šio būdo patikimumą, savo naudojamas technologijas, teikiamas paslaugas, pacientus ir galimas pasekmes pacientams netinkamai identifikavus jų tapatybę.
VDAI išskiria dažniausiai naudojamus tapatybės nustatymo būdus:
1. Asmens identifikavimas pagal asmens kodą. Pasak VDAI, asmens kodas nėra laikomas pakankamai patikimu būdu asmens tapatybei nustatyti, kadangi telefonu paciento asmens kodą gali padiktuoti ir svetimas žmogus, todėl rekomenduotina nesirinkti asmens kodo asmens tapatybei nuotoliniu būdu patvirtinti.
2. Asmens identifikavimas pagal sveikatos priežiūros įstaigos suteiktą unikalų kodą. Šis kodas turėtų būti suteikiamas kiekvienam asmeniui individualiai, jis turėtų būti konfidencialus ir skirtas tik pačiam asmeniui. Sveikatos priežiūros įstaiga turėtų organizacinėmis ir techninėmis saugumo priemonėmis užtikrinti šių kodų apsaugą.
3. Asmenį identifikuojantys klausimai. Rekomenduojama pasirinkti klausimus, atsižvelgiant į sveikatos priežiūros įstaigos teikiamas paslaugas, pacientų savybes (pvz. amžių, poreikius ir kt.), tvarkomų asmens duomenų kategoriją bei apimtį, kurių visuma galėtų leisti vienareikšmiškai identifikuoti asmenį. Pavyzdžiui, koks Jūsų gyvenamosios vietos adresas, kada paskutinį kartą lankėtės pas gydytoją, koks Jums buvo atliktas paskutinis tyrimas, koks Jūsų ligos istorijos numeris.
4. Asmens identifikavimas pagal telefono ryšio numerį. VDAI atkreipia dėmesį, kad telefono ryšio numeris neturėtų būti naudojamas kaip visiškai savarankiška ir vienintelė asmens identifikavimo priemonė, todėl rekomenduojama nustatyti kelis klausimus, siekiant įvertinti, kad sveikatos priežiūros paslauga būtų teikiama tinkamam asmeniui.
5. Asmens identifikavimas pagal vienkartinį prisijungimo kodą (nuorodą). Šis būdas gali būti taikytinas tais atvejais, kai sveikatos priežiūros paslaugą siekiama teikti naudojantis mobiliosiomis programomis, programine įranga ar kitokiais įrankiais, įskaitant ir turinčiais vaizdo duomenų, dokumentų perdavimo, susirašinėjimo funkcionalumus.
6. Tapatybės patvirtinimas mobiliuoju parašu. Sveikatos priežiūros įstaiga turėtų įvertinti, kokie asmens duomenys tokiu atveju būtų reikalingi, kurie iš jų sveikatos priežiūros įstaigai turėtų būti žinomi iš anksto ir kaip užtikrinti tokio tapatybės patvirtinimo būdo veikimą.
Advokatų profesinės bendrijos „JurisConsultus“ asocijuotos teisininkės Astos Kederytės vertinimu, lengviausiai įgyvendinamas ir asmens duomenų apsaugą užtikrinantis asmens tapatybės nustatymo būdas yra asmens identifikavimas pagal telefono ryšio numerį, kartu užduodant asmeniui kelis jį identifikuojančius klausimus. Atkreipiame dėmesį, jog sveikatos priežiūros specialistai neturėtų naudoti asmeninių mobiliųjų įrenginių teikdami pacientams sveikatos priežiūros paslaugas nuotoliniu būdu ar konsultuojantis tarpusavyje su kitais sveikatos priežiūros specialistais.
Sveikatos priežiūros paslaugų teikimo nuotoliniu būdu tvarkos nustatymas
LR sveikatos apsaugos ministro – valstybės lygio ekstremaliosios situacijos valstybės operacijų vadovo 2020 m. kovo 16 d. sprendimas Nr. V-387 „Dėl asmens sveikatos priežiūros paslaugų teikimo organizavimo paskelbus karantiną Lietuvos Respublikos teritorijoje“ įpareigoja visas nuotolines ambulatorines asmens sveikatos priežiūros paslaugas teikiančias įstaigas pasirengti nuotolinių sveikatos priežiūros paslaugų teikimo tvarką. Šioje tvarkoje turėtų būti aptarti šie aspektai:
1. Sveikatos priežiūros darbuotojų pareigos teikiant sveikatos priežiūros paslaugas nuotoliniu būdu;
2. Nuotolinio sveikatos priežiūros paslaugų teikimo priemonės ir naudojimosi jomis tvarka;
3. Pacientų registravimo sveikatos priežiūros paslaugų teikimui nuotoliniu būdu tvarką ir atsakingus asmenis;
4. Pacientų ar jų teisėtų atstovų tapatybės nustatymo būdai ir tvarka;
5. Nuotolinio sveikatos priežiūros paslaugų teikimo metu surinktos informacijos fiksavimo apimtis ir tvarka. Pavyzdžiui, ar teikiant sveikatos priežiūros paslaugas telefonu, pokalbis bus įrašomas.
Atkreipiame dėmesį, jog telefoninio pokalbio įrašymas, kurio metu yra atskleidžiami paciento asmens sveikatos duomenys, gali kelti nepagrįstą riziką paciento teisėms ir laisvėms. Atsižvelgiant į tai, rekomenduojame prieš telefoninių pokalbių su pacientais įrašymą atlikti poveikio duomenų apsaugai vertinimą bei nustatyti galimos rizikos paciento teisėms ir laisvėms grėsmę ir galimas pasekmes;
6. Sveikatos priežiūros specialisto papildomų veiksmų (registravimo pas kitą specialistą, vaistinių preparatų ar kitų medicinos priemonių skyrimo, tolesnės paciento stebėsenos vykdymo) tvarka;
7. Pacientų bei duomenų subjektų teisės ir kt.
Svarbu nepamiršti, jog dėl sveikatos priežiūros paslaugų teikimo nuotoliniu būdu pasikeičia tvarkomų asmens duomenų apimtis, naudojamos priemonės, atsakingi asmenys ir kiti aspektai, todėl svarbu atnaujinti sveikatos priežiūros įstaigos su asmens duomenų apsauga susijusius dokumentus, pavyzdžiui, asmens duomenų tvarkymo taisykles, privatumo politiką, duomenų tvarkymo veiklos įrašus ir kt. Taip pat, VDAI nurodo, jog įrankių ar priemonių, skirtų asmens identifikavimui, teikiant sveikatos priežiūros paslaugas, naudojimas įpareigoja sveikatos priežiūros įstaigą atlikti poveikio duomenų apsaugai vertinimą.