Jak chronimy dane o Twoim zdrowiu

Szyfrowanie w transporcie

Cały ruch między Twoją przeglądarką a serwisem idzie po HTTPS, z aktualnym protokołem TLS. Połączenie nieszyfrowane jest przekierowywane na szyfrowane, a przeglądarka dostaje nagłówek HSTS, więc kolejne wejścia od razu idą po HTTPS. Ciasteczko sesji jest oznaczone jako Secure i HttpOnly, więc nie da się go odczytać skryptem ani przechwycić po zwykłym HTTP. Ten sam standard obowiązuje panel pacjenta, panel lekarza i panel firmowy.

Szyfrowanie danych o zdrowiu w spoczynku

Dane wrażliwe nie leżą w bazie otwartym tekstem. Szyfrujemy w szczególności:

• PESEL i dane identyfikujące pacjenta w profilu pacjenta;
• czterocyfrowy kod e-recepty, który jest kluczem do realizacji recepty w aptece;
• treść wywiadu medycznego oraz zapis przebiegu i wyniku teleporady.

Klucze szyfrujące są trzymane poza bazą danych, w konfiguracji aplikacji, i nie są zapisane w repozytorium kodu. Kopie zapasowe podlegają tym samym zasadom dostępu, co dane produkcyjne: zrzut bazy bez klucza nie ujawnia danych medycznych. Hasła użytkowników nie są szyfrowane, tylko haszowane, więc nie da się ich odtworzyć nawet u nas.

Kontrola dostępu: lekarz widzi tylko swoją sprawę

Dostęp do dokumentacji nie jest kwestią kultury pracy, tylko uprawnień w kodzie. Lekarz widzi wyłącznie dokumentację pacjentów, którym udziela albo udzielał teleporady. Nie ma ekranu, na którym lekarz mógłby przeglądać cudzych pacjentów z ciekawości, ani wyszukiwarki po całej bazie. Zakres uprawnień jest sprawdzany przy każdym żądaniu, po stronie serwera, a nie ukrywaniem przycisków w interfejsie.

Dostęp administracyjny ma wyłącznie personel, któremu jest on niezbędny do utrzymania systemu, na zasadzie minimalnego uprawnienia i po podpisaniu zobowiązania do zachowania poufności. Konta osobowe są imienne, więc każdy dostęp da się przypisać do konkretnego człowieka.

Log dostępu do dokumentacji

Każde wejście do dokumentacji medycznej zostawia wpis w logu: kto zajrzał, do czyich danych, kiedy, z jakiego adresu IP i jaką czynność wykonał. Logu nie da się edytować z poziomu aplikacji, a jego treść jest przechowywana wraz z dokumentacją, do której się odnosi. Dzięki temu na pytanie „kto widział moje dane” umiemy odpowiedzieć konkretem, a nie zapewnieniem.

Retencja: 20 lat, także wtedy, gdy o to nie prosisz

Dokumentację medyczną przechowujemy 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu. Wymaga tego art. 29 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta i nie jest to nasza decyzja. Ma to jedną konsekwencję, o której mówimy uczciwie: usunięcia dokumentacji medycznej nie możemy wykonać na żądanie, dopóki nie minie ustawowy okres (art. 17 ust. 3 RODO). Wszystko, co dokumentacją nie jest, w tym konto i dane kontaktowe, usuwamy normalnie. Wywiady wypełnione anonimowo i nieopłacone kasuje automatyczne zadanie, bez naszego udziału.

Pracodawca nigdy nie widzi danych medycznych

To najważniejsze zdanie na tej stronie dla każdego, kto dostaje telemedycynę jako benefit w pracy.

Nawet w planie Firma, w którym rachunek płaci pracodawca, pracodawca nie widzi Twojej diagnozy, Twoich leków ani przebiegu rozmowy z lekarzem. Nigdy.

Panel HR pokazuje wyłącznie dane rozliczeniowe: ilu pracowników skorzystało z benefitu i ile teleporad zużyto w danym miesiącu. To wszystko. Dane o zdrowiu są danymi szczególnej kategorii z art. 9 RODO i pracodawca nie ma podstawy prawnej, żeby je oglądać. Nie jest to ustawienie do zmiany w konfiguracji, tylko granica wpisana w model danych.

Co robimy, gdy dojdzie do naruszenia

Mamy procedurę na wypadek naruszenia ochrony danych osobowych i wygląda ona tak:

1. Odcięcie i ocena. Zamykamy wektor, ustalamy zakres: czyje dane, jakie kategorie, jaka skala.
2. Zgłoszenie do Prezesa UODO w ciągu 72 godzin od stwierdzenia naruszenia, zgodnie z art. 33 RODO, chyba że jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla praw i wolności osób.
3. Powiadomienie osób, których dane dotyczą, bez zbędnej zwłoki, gdy ryzyko jest wysokie (art. 34 RODO). Piszemy wprost, co się stało i co konkretnie wyciekło. Nie stosujemy komunikatów w stylu „incydent bezpieczeństwa u dostawcy”.
4. Wpis do rejestru naruszeń i wnioski, żeby to samo nie powtórzyło się drugi raz.

Podejrzenie luki bezpieczeństwa albo naruszenia zgłoś na [email protected]. Zgłoszenia od badaczy bezpieczeństwa traktujemy poważnie i nie karzemy za rzetelne, zgłoszone w dobrej wierze znaleziska.

Kontakt z inspektorem ochrony danych

IOD jest dostępny pod adresem [email protected]. Wiadomość z dopiskiem RODO w tytule trafia bezpośrednio do niego. Nie prowadzimy formularza kontaktowego, bo zwykły e-mail zostawia Ci dowód wysłania i treści zgłoszenia.