Dane medyczne w pracy lekarza - nowe regulacje i potrzebne zmiany.

Brak dokładnych wytycznych komu i w jaki sposób można przekazać dane polskich pacjentów powoduje, że lekarze i szpitale boją się przekazywać i udostępniać dane. A to z kolei blokuje rozwój innowacji w medycynie czy postęp w badaniach nad nowymi lekami. Jak zmienić tę sytuację, a jedocześnie zabezpieczyć dane pacjentów? O tym w najnowszym raporcie lekarzy innowatorów, zgromadzonych przy Naczelnej Izbie Lekarskiej.

Paweł Kaźmierczyk, ekspert z kancelarii DZP, jeden ze współautorów raportu „Dane medyczne w pracy lekarza - stan obecny i pożądane zmiany”, który został właśnie opublikowany i jest dostępny w załączniku do artykułu, zaznacza że uporządkowanie stanu prawnego danych medycznych w Polsce jest konieczne. Tym bardziej, że w Unii Europejskiej trwają obecnie prace nad ustawą, która będzie jasno określała co należy robić ze zgromadzonymi danymi medycznymi.

W Unii Europejskiej trwają prace nad projektem rozporządzenia ws. europejskiej przestrzeni danych, dotyczących zdrowia (European Health Data Space), które będzie kreować nowe ramy zarządzania danymi medycznymi, regulując m.in. zasady dostępu do danych osobowych dotyczących zdrowia na poziomie krajowym i w całej UE, przepływ danych i podstawowych dokumentów medycznych pomiędzy krajowymi systemami e-zdrowia (pierwotne wykorzystanie danych), a także możliwość wykorzystania danych dotyczących zdrowia na potrzeby badań naukowych, innowacji, kształtowania polityki i działań regulacyjnych (wtórne wykorzystanie danych). Planowana reforma ma przede wszystkim doprowadzić do uwolnienia wielkiego potencjału tkwiącego w danych medycznych.

Obszar danych medycznych będzie się w kolejnych latach dalej rozwijał, ale już teraz wymaga większego zainteresowania regulatora. Wielu lekarzy i innych osób pracujących w podmiotach leczniczych może mieć obawy związane z szybkim tempem zmian, za którym nie zawsze nadążają zmiany prawa i praktyka jego stosowania. Niejasne przepisy mogą być źródłem wątpliwości dotyczących zasad obiegu danych i elektronicznych dokumentów dotyczących stanu zdrowia pacjenta. Przykładem mogą być zasady dokonywania anonimizacji i pseudonimizacji danych o stanie zdrowia, czyli procesów, od których zależy uznanie określonych danych za danych osobowe, co ma kluczowe znaczenie pod kątem możliwości ich dalszego wykorzystania.

Ważne jest to, jak zabezpieczyć dane, nawet przed osobami uprawnionymi do ich posiadania. Tu przypadek byłego ministra zdrowia Adama Niedzielskiego, który ujawnił dane medyczne lekarza i można określić go jest skrajny. Trzeba doprecyzować w jakim celu osoba uprawniona może sięgać do danych medycznych.

W kontekście danych medycznych niezwykle ważna jest również kwestia bezpieczeństwa. Ostatnie doświadczenia wskazują, że oprócz zabezpieczeń przed zewnętrznymi zagrożeniami, należy też rozwijać mechanizmy kontroli wewnętrznej – pacjenci muszą mieć zaufanie, że wrażliwe dane o stanie ich zdrowia nie będą wykorzystywane przez nieuprawnione podmioty lub w innych celach, niż te wyraźnie wynikające z przepisów prawa.

Dostęp do dokumentacji medycznej mogą obecnie uzyskać osoby wykonujące zawód medyczny oraz inne osoby wykonujące czynności pomocnicze przy udzielaniu świadczeń zdrowotnych. Dostęp do dokumentacji medycznej może uzyskać także oczywiście sam pacjent lub jego przedstawiciel ustawowy, a także dowolna osoba upoważniona przez pacjenta. Bez wymogu uzyskania zgody pacjenta - dostęp do naszych danych ma szereg podmiotów, m.in.  sądy, prokuratora, Agencja Badań Medycznych itp.

Dostęp do jednostkowych danych medycznych i jest regulowany przez art. 35 ustawy o systemie informacji w ochronie zdrowia. Dotyczy on głównie danych cyfrowych, które stały się dostępne dzięki przeprowadzonym w ostatnich latach projektom z zakresu informatyzacji ochrony zdrowia. Dostęp do tych danych poza personelem medycznym odpowiedzialnym za leczenie pacjenta może uzyskać lekarz, pielęgniarka lub położna POZ, a także każdy pracownik medyczny w sytuacji zagrożenia życia pacjenta.

Niezależnie od powyższego, dostęp do danych gromadzonych w systemie centralnym przysługuje różnym podmiotom na zasadach i w celach wynikających z ustawy o systemie informacji w ochronie zdrowia.

Niewłaściwe postępowanie z danymi medycznymi, w tym w szczególności udostępnienie ich nieuprawnionym osobom, w zależności od sytuacji naraża lekarza na ryzyko prawne i odpowiedzialność karną, cywilną i zawodową. Naruszenie tajemnicy zawodowej zagrożone jest karą grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2. Tego typu działanie będzie stanowiło jednocześnie naruszenie praw pacjenta, pacjent będzie miał podstawy, by dochodzić zadośćuczynienia pieniężnego przed sądem cywilnym. Lekarz może też odpowiedzieć przed sądem lekarskim za naruszenie przepisów związanych z wykonywaniem zawodu i zachowanie sprzeczne z zasadami etyki zawodowej. W tym przypadku ustawodawca przewidział szeroki katalog kar, od upomnienia po pozbawienie prawa wykonywania zawodu. Działania związane z danymi medycznymi mogą stanowić wreszcie naruszenie zasad ochrony danych osobowych i wiązać się z odpowiedzialnością z RODO, w tym karą finansową – w Polsce były już nakładane takie kary na podmioty lecznicze w wysokości 10 tys. zł  (w tym przypadku ważne jest, kto pełni rolę administratora danych – lekarz czy podmiot leczniczy).

Wg NIL IN (Sieć Lekarzy Innowatorów Naczelnej Izby Lekarskiej) można w sposób dość prosty i szybki wprowadzić konkretne zmiany:

• Przygotować jasne i praktyczne wytyczne wspierające lekarzy poprzez doprecyzowanie obecnych wymogów i uwarunkowań regulacyjnych. Rekomendacje mogłyby obejmować zagadnienia takie jak m.in. dokładne wymogi z zakresu cyberbezpieczeństwa, możliwość stosowania różnych narzędzi i systemów (np. aplikacje, rozwiązania oparte o AI) do przetwarzania danych i związane
  z nimi wymogi, zawieranie umów powierzenia przetwarzania danych osobowych, postępowanie
  z danymi w badaniach klinicznych oraz w innych celach naukowych i badawczych. 

• Na poziomie ustawowym określić w sposób precyzyjny dopuszczalne cele i formę przetwarzania danych medycznych przez stronę publiczną w systemach państwowych oraz wprowadzić niezależny mechanizm kontroli w tym zakresie.

• Zapewnić spójność regulacji prawa medycznego z RODO oraz Data Governance Act, tak by stosowanie przepisów sektorowych nie budziło dodatkowych wątpliwości pod kątem innych uwarunkowań prawnych.

• Opracować standardy przeprowadzania anonimizacji i pseudonimizacji danych medycznych, które wskazywać będą w jasny sposób właściwe podstawy dla wykonywania tych operacji na danych oraz rekomendowane metody.

• Stworzyć spójne ramy prawne dotyczące przetwarzania danych osobowych w celach naukowych i badawczych na poziomie krajowym, tak by wykorzystać możliwość skorzystania z podstawy prawnej z art. 9 ust. 2 lit. j RODO, czyli niezbędności przetwarzania do celów badań naukowych na podstawie prawa państwa członkowskiego.

Raport zawiera też szereg rekomendacji o bardziej szczegółowym charakterze, które adresują takie tematy jak m.in.:

• zapewnienie kompletności danych przetwarzanych w systemie centralnym (Platforma P1) oraz zwiększenie zakresu dokumentacji medycznej prowadzonej w postaci elektronicznej. Lekarz powinien mieć zapewniony dostęp do tak gromadzonych danych medycznych pacjentów, którym udziela świadczeń zdrowotnych.
• Zwiększenie interoperacyjności danych medycznych oraz wypracowanie zasad postępowania
  z danymi generowanymi poza kontrolą lekarza, np. przez zdalne wyroby medyczne lub aplikacje lifestylowe. Możliwe jest przyjęcie wytycznych i rekomendacji w tym zakresie. Ułatwi to lekarzowi dostęp do danych oraz da jasne wskazówki, jak powinien z nimi postępować.
• Zapewnienie systemowego podejścia do rozwoju rejestrów medycznych poprzez powołanie specjalnej rady ds. rejestrów, która wyznaczy strategiczny plan rozwoju systemu rejestrów medycznych. Wysokiej jakości dane z rejestrów mogą służyć m.in. do optymalnego kształtowania polityki publicznej w ochronie zdrowia, co może się przełożyć m.in. na lepsze warunki pracy lekarzy. 
• Zapewnienie możliwości lub ułatwień wykorzystywania rozwiązań usprawniających codzienną pracę z danymi medycznymi, w tym w szczególności pracę z danymi w czasie rzeczywistym. Lekarz powinien mieć dostęp do narzędzi, które ułatwią mu pracę z danymi.
• Doprecyzowanie przesłanek udostępniania dokumentacji medycznej i danych medycznych
  w celach naukowych, badawczo-rozwojowych i analitycznych tak, by nie budziły one wątpliwości pod kątem RODO. Lekarze częstą są badaczami, który wykorzystują dane w powyższych celach.

Raport zawiera analizę obecnie obowiązujących regulacji prawnych oraz praktyki ich stosowania, przegląd projektowanych zmian oraz rekomendacje dalszych zmian i uzupełnień, które uwzględniać będą okoliczność, że jednym z głównych odbiorców danych medycznych jest lekarz, który wykorzystuje je w codziennej pracy z pacjentem. Dalsze prace w tym zakresie powinny uwzględniać pięć podstawowych wartości:

• Dostępność - lekarz powinien mieć łatwy i szybki dostęp do danych pacjentów.
• Funkcjonalność - lekarz powinien móc sprawnie korzystać z danych, a także aplikacji i programów, które pomogą mu łatwo zebrać w jednym miejscu, przeanalizować oraz wykorzystać dane
  w procesie opieki nad pacjentem.
• Bezpieczeństwo - lekarz powinien mieć zapewnione narzędzia, które zapewniają bezpieczeństwo korzystania z danych.
• Rozwój - lekarz powinien móc wykorzystać dane medyczne w celach naukowych i badawczych.
• Świadomość - lekarz powinien mieć świadomość, jakie możliwości stwarzają obecnie dane medyczne i jak można wykorzystać ich potencjał.