Sektor ochrony zdrowia
Wsparcie regulacyjne i organizacyjne dla prywatnych szpitali, klinik, przychodni, zakładów opiekuńczo-leczniczych i laboratoriów analitycznych we Włoszech: pracujemy z dyrekcją medyczną, zarządzaniem ryzykiem, IOD, działem IT i zakupami nad akredytacją, bezpieczeństwem opieki, danymi dotyczącymi zdrowia, NIS2 i modelem 231.
Wyzwania sektora
Wymogi strukturalne, technologiczne i organizacyjne o podstawie krajowej (włoski D.P.R. z 14 stycznia 1997 r.), dodatkowe wymogi kwalifikacyjne ustalane przez regiony, okresowe kontrole oraz umowy o udzielanie świadczeń z wolumenami i taryfami: stawką nie jest tu wyłącznie kara, lecz sam tytuł, na podstawie którego podmiot działa, i jego relacja ekonomiczna z Servizio sanitario nazionale, czyli włoskim publicznym systemem ochrony zdrowia.
Zdarzenia niepożądane i zdarzenia sentinel, czyli te o najcięższych skutkach, wymagające wykrycia i przekazania, szkody do obsługi, ochrona ubezpieczeniowa do utrzymania, dokumentacja medyczna do wydania w terminach ustawowych: bezpieczeństwo opieki jest dziś obowiązkiem organizacyjnym, a nie fakultatywną dobrą praktyką.
Elektroniczna dokumentacja medyczna, dossier sanitario (kartoteka prowadzona przez podmiot), Fascicolo sanitario elettronico (krajowe elektroniczne konto zdrowotne), telemedycyna, udostępnianie wyników online i badania kliniczne mnożą punkty dostępu do szczególnych kategorii danych, z odrębnymi podstawami prawnymi dla leczenia, zdrowia publicznego i badań oraz z koniecznością odtworzenia, kto co przeglądał.
Atak ransomware na szpitalny system informatyczny nie zatrzymuje pracy jednego biura: blokuje plan zabiegów operacyjnych, laboratorium, diagnostykę obrazową i dostęp do historii choroby pacjenta. Słabo segmentowane sieci, podłączone wyroby medyczne o długich cyklach aktualizacji i nieprzetestowane kopie zapasowe sprawiają, że odtworzenie działania jest niepewne.
Rozliczanie świadczeń, dotacje i środki publiczne, zakupy leków i wyrobów medycznych, relacje z lekarzami wystawiającymi zlecenia: obszary, w których włoski D.Lgs. 231/2001 naraża podmiot na kary pieniężne i zakazowe, a te ostatnie mogą dotknąć samej działalności objętej zezwoleniem.
Ryzyko biologiczne, promieniowanie jonizujące, cytostatyki, przemieszczanie pacjentów, stres związany z pracą i agresja wobec personelu medycznego, a do tego odpady medyczne i kształcenie ustawiczne: obowiązki, które dotyczą każdego oddziału i wymagają udokumentowania, nie tylko zadeklarowania.
Obszary działania
Porównujemy wymogi mające zastosowanie, od krajowego minimum do dodatkowych wymogów właściwego regionu, z dokumentacją i faktyczną praktyką oddziałów, wskazujemy brakujące dowody i przygotowujemy podmiot do kontroli. Tam, gdzie systemy certyfikowane już istnieją albo są przydatne (ISO 9001, ISO 45001, ISO/IEC 27001), wykorzystujemy je jako szkielet, unikając równoległych podręczników.
Wspieramy dyrekcję medyczną i funkcję zarządzania ryzykiem w zgłaszaniu zdarzeń (incident reporting), analizie zdarzeń niepożądanych, audytach klinicznych, przepływach informacji do centrum regionalnego i obserwatorium krajowego oraz w stosowaniu zaleceń włoskiego ministerstwa zdrowia. Przeglądamy proces wydawania dokumentacji medycznej, aby terminy z art. 4 włoskiej ustawy 24/2017 były dotrzymywane w sposób możliwy do wykazania.
Porządkujemy rejestr czynności przetwarzania, klauzule informacyjne i zgody odrębne dla leczenia, badań naukowych i komunikacji oraz procedurę postępowania z naruszeniami. Dla dossier sanitario, czyli kartoteki prowadzonej przez podmiot, ustalamy profile dostępu według roli i oddziału, rejestrowanie dostępów oraz okresową weryfikację logów; u dostawców (producenci oprogramowania, laboratoria zewnętrzne, zewnętrzne usługi opisu badań) przeglądamy umowy i powierzenia przetwarzania. Rolę zewnętrznego IOD przyjmujemy wtedy, gdy podmiot nie dysponuje odpowiednim i niezależnym zasobem wewnętrznym.
Sprawdzamy, czy podmiot jest objęty włoskim D.Lgs. 138/2024 i z jaką klasyfikacją, zajmujemy się rejestracją w ACN (włoskiej agencji cyberbezpieczeństwa), środkami zarządzania ryzykiem i procedurą zgłaszania incydentów, a elektroniczną dokumentację medyczną, systemy PACS, systemy laboratoryjne, portale rejestracji i sieci wyrobów medycznych poddajemy ocenie podatności i testom penetracyjnym.
Budujemy albo aktualizujemy model dla procesów rzeczywiście narażonych (rozliczenia z regionem, zakupy medyczne, darowizny i sponsoring, bezpieczeństwo i higiena pracy, przestępstwa informatyczne i skarbowe) oraz organizujemy Organismo di Vigilanza (OdV, organ nadzorczy przewidziany we włoskim D.Lgs. 231/2001) z przepływami informacji od zarządzania ryzykiem, IOD i systemów zarządzania. Dla podmiotów objętych także włoską ustawą 190/2012 i obowiązkami publikacyjnymi z D.Lgs. 33/2013 koordynujemy oba systemy, zamiast je dublować.
Układamy jeden plan audytu obejmujący obszar kliniczny, administracyjny i informatyczny, z wyrywkowymi weryfikacjami dokumentacji medycznej, zgód, dostępów do systemów, zamówień i obowiązków BHP, a dyrekcji generalnej przekazujemy czytelne wskaźniki dotyczące zdarzeń niepożądanych, skarg, czasów odpowiedzi i stanu działań korygujących.
Dla podmiotu leczniczego przepisy nie dotyczą wyłącznie sposobu pracy: dotyczą samego tytułu, na którym ta praca się opiera. Zezwolenie na prowadzenie działalności, akredytacja instytucjonalna i umowy o udzielanie świadczeń opierają się na art. 8-ter, 8-quater i 8-quinquies włoskiego D.Lgs. 502/1992. Minimalne wymogi strukturalne, technologiczne i organizacyjne mają podstawę krajową (D.P.R. z 14 stycznia 1997 r.), lecz regiony uzupełniają je dodatkowymi wymogami kwalifikacyjnymi i okresowo weryfikują ich spełnianie: różnią się one w poszczególnych regionach i trzeba je czytać w wersji obowiązującej.
Bezpieczeństwo opieki jest częścią prawa do ochrony zdrowia od czasu, gdy włoska ustawa 24/2017 (Gelli-Bianco) określiła jego narzędzia: funkcję zarządzania ryzykiem medycznym, przepływ informacji o zdarzeniach niepożądanych do centrum regionalnego i do obserwatorium krajowego działającego przy AGENAS (włoskiej agencji ds. usług zdrowotnych), obowiązek posiadania ochrony ubezpieczeniowej albo analogicznych zabezpieczeń (art. 10), z minimalnymi wymogami określonymi w przepisach wykonawczych. Art. 4 wyznacza terminy wydania dokumentacji medycznej: siedem dni od wniosku, uzupełnienia w ciągu trzydziestu dni.
Dane i systemy to rozdział, który rośnie najszybciej. Dane dotyczące zdrowia należą do szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO, z odrębnymi podstawami prawnymi dla leczenia, zdrowia publicznego i badań naukowych; wyznaczenie inspektora ochrony danych jest obowiązkowe dla podmiotów publicznych oraz wtedy, gdy przetwarzanie tych danych na dużą skalę stanowi główną działalność (art. 37 RODO): to obszar zewnętrznego IOD. Włoski D.Lgs. 138/2024 zalicza ochronę zdrowia do sektorów o wysokiej krytyczności, a klasyfikacja zależy od wielkości i rodzaju działalności, więc trzeba ją badać indywidualnie (zgodność z NIS2). Niedostępność systemów klinicznych jest jednocześnie problemem ciągłości leczenia, bezpieczeństwa informatycznego i naruszenia ochrony danych dotyczących zdrowia: trzeba nią zarządzać jedną procedurą. Podłączone do sieci wyroby medyczne (rozporządzenie (UE) 2017/745) tworzą dodatkowy obszar techniczny, odrębny od IT administracyjnego.
Pozostają obowiązki samego podmiotu: model 231 w zakresie przestępstw przeciwko administracji publicznej, nienależnego pobrania środków publicznych, nieumyślnego spowodowania śmierci i ciężkiego uszczerbku na zdrowiu (art. 25-septies), a także bezpieczeństwa i higieny pracy (włoski D.Lgs. 81/2008). Dla podmiotów publicznych oraz, w granicach art. 2-bis włoskiego D.Lgs. 33/2013, dla podmiotów prawa prywatnego kontrolowanych przez sektor publiczny dochodzą jeszcze zapobieganie korupcji (włoska ustawa 190/2012) i przejrzystość, które należy skoordynować z modelem, a nie powielać.
Pracujemy wewnątrz procesów klinicznych i administracyjnych. Punktem wyjścia jest przegląd tego, co już istnieje: dowody spełnienia wymogów akredytacyjnych, procedury dyrekcji medycznej, zgłoszenia zdarzeń niepożądanych i otwarte sprawy odszkodowawcze, rejestr czynności przetwarzania, profile dostępu do aplikacji klinicznych. Z tego powstaje plan z priorytetami, osobami odpowiedzialnymi i terminami.
Zakres prac jest proporcjonalny do podmiotu: klinika z blokiem operacyjnym, zakład opiekuńczo-leczniczy i laboratorium analityczne mają odmienne ryzyka i odmienne obowiązki, a procedury przewymiarowane nie są stosowane na oddziale.
Rozmawiamy z dyrekcją generalną i medyczną, z zarządzaniem ryzykiem, z IOD, z działem informatycznym i z zakupami: jedna osoba kontaktowa łącząca wszystkie te funkcje zamiast czterech doradców, którzy ze sobą nie rozmawiają. Zakres ustalamy wspólnie: pojedynczy temat (wymóg akredytacyjny do odtworzenia, zdarzenie niepożądane do przeanalizowania, profile dostępu do aplikacji klinicznej), okresowy nadzór nad obowiązkami i wskaźnikami albo wsparcie w konkretnej fazie, takiej jak zapowiedziana kontrola akredytacyjna czy zmiana systemu informatycznego. Odpowiedzialność i terminy ustalamy na starcie.
Wartość polega na łącznym prowadzeniu tematów powierzanych zwykle różnym podmiotom. Elektroniczna dokumentacja medyczna jest wymogiem akredytacyjnym, zbiorem danych szczególnych kategorii, systemem krytycznym dla ciągłości usługi i źródłem dowodu w sporze: spojrzenie na nią ze wszystkich tych stron daje jedną procedurę, jeden rejestr dostępów, jeden plan weryfikacji. Decyzje pozostają przy dyrekcji.
Częste pytania
Włoski D.Lgs. 231/2001 co do zasady nie nakłada obowiązku przyjęcia modelu. W niektórych regionach przepisy o akredytacji i o umowach o udzielanie świadczeń odwołują się do modeli organizacyjnych i systemów kontroli wewnętrznej, a w postępowaniach o udzielenie zamówienia publicznego model pojawia się z reguły jako element premiowany w ofercie technicznej, a nie jako warunek udziału: są to kwestie do sprawdzenia w regulacjach właściwego regionu i w konkretnej dokumentacji przetargowej, a nie ustalenia, które można generalizować. Poza obowiązkiem formalnym pozostaje istota rzeczy: bez modelu przyjętego przed zdarzeniem, skutecznie wdrożonego i nadzorowanego przez samodzielny Organismo di Vigilanza podmiot nie ma narzędzia obrony wobec zarzutu, a dla podmiotu akredytowanego kary zakazowe ważą więcej niż pieniężne.
Dostęp należy ograniczyć do personelu uczestniczącego w procesie leczenia, na czas i w zakresie niezbędnym, z profilami zróżnicowanymi według roli i oddziału oraz z możliwością sprzeciwu pacjenta wobec umieszczenia poszczególnych epizodów leczenia. Wykazanie opiera się na trzech elementach: profile uprawnień odpowiadające rzeczywistej organizacji, rejestr dostępów przechowywany przez ustalony okres, okresowe weryfikacje wyrywkowe z udokumentowanymi wynikami i działaniami wobec przypadków nietypowych. Bez trzeciego elementu dwa pierwsze nie wystarczą w razie kontroli albo skargi.
Włoski D.Lgs. 138/2024 zalicza ochronę zdrowia do sektorów o wysokiej krytyczności i obejmuje podmioty świadczące opiekę zdrowotną, jednak kwalifikacja jako podmiot kluczowy albo ważny zależy od wielkości, charakteru działalności i szczegółowych kryteriów przewidzianych w dekrecie: odpowiedź nie jest jednakowa dla wszystkich podmiotów i trzeba ją badać indywidualnie. Jeżeli objęcie obowiązkami zostanie potwierdzone, dochodzą rejestracja na platformie ACN w przewidzianych terminach rocznych, proporcjonalne środki zarządzania ryzykiem oraz zgłaszanie istotnych incydentów według ustalonych etapów i terminów, począwszy od niezwłocznego pierwszego powiadomienia.
Trzema odrębnymi działaniami. Pierwsze jest techniczne: segmentacja sieci między obszarem administracyjnym, klinicznym i obszarem wyrobów medycznych, zarządzanie kontami uprzywilejowanymi, aktualizacje, kopie zapasowe oddzielone od sieci produkcyjnej oraz odtwarzanie sprawdzone w ćwiczeniach, a nie tylko opisane w procedurze. Drugie jest organizacyjne: procedury ciągłości w wersji papierowej dla triażu, leczenia, bloku operacyjnego i laboratorium, z określoną odpowiedzialnością i przeszkolonym personelem. Trzecie dotyczy obsługi samego zdarzenia: jedna procedura, która łączy zgłoszenie naruszenia ochrony danych dotyczących zdrowia do Garante (włoskiego organu ochrony danych), zgłoszenie incydentu do ACN, gdy jest wymagane, powiadomienie pacjentów i przepływy informacji do Organismo di Vigilanza.
Dla podmiotów publicznych wyznaczenie jest zawsze obowiązkowe. Dla podmiotów prywatnych obowiązek powstaje wtedy, gdy przetwarzanie danych dotyczących zdrowia na dużą skalę stanowi główną działalność (art. 37 RODO): dla szpitala, kliniki, zakładu opiekuńczo-leczniczego albo laboratorium analitycznego warunek ten jest z reguły spełniony, natomiast w bardzo niewielkich gabinetach ambulatoryjnych ocena wymaga zbadania skali i regularności przetwarzania. W każdym przypadku ocenę trzeba sporządzić na piśmie, także gdy prowadzi do rezygnacji z wyznaczenia, a dane kontaktowe wyznaczonego IOD należy zgłosić do Garante oraz podać w klauzulach informacyjnych i w rejestrze.
Powiązane usługi
Dostosowanie do rozporządzenia (UE) 2016/679 i włoskiego Kodeksu ochrony danych osobowych: audyt, rejestr czynności przetwarzania, DPIA, polityki i szkolenia.
Dowiedz się więcejInspektor ochrony danych w outsourcingu: niezależność, specjalistyczne kompetencje i stały nadzór nad obowiązkami w zakresie ochrony danych.
Dowiedz się więcejDostosowanie do dyrektywy (UE) 2022/2555 i włoskiego dekretu ustawodawczego 138/2024: zakres podmiotowy, analiza luk, środki bezpieczeństwa, ład korporacyjny i zgłaszanie incydentów.
Dowiedz się więcejTechniczne weryfikacje bezpieczeństwa sieci, aplikacji i infrastruktury: wykrywamy podatności, zanim zrobi to atakujący.
Dowiedz się więcejModele organizacji, zarządzania i kontroli zgodne z włoskim dekretem ustawodawczym 231/2001, ocena ryzyka przestępstw źródłowych i wsparcie dla Organismo di Vigilanza (OdV).
Dowiedz się więcejPorozmawiajmy
Prosimy opowiedzieć o priorytetach Państwa firmy: podczas pierwszego spotkania bez zobowiązań analizujemy sytuację i proponujemy konkretną ścieżkę, z terminami i mierzalnymi rezultatami.