Umowa o prowadzenie dokumentacji medycznej

Umowa o prowadzenie dokumentacji medycznej w Polsce to umowa B2B między podmiotem leczniczym (zlecającym) a zewnętrznym dostawcą systemu elektronicznej dokumentacji medycznej (EDM) lub firmą archiwizacyjną (wykonawcą), na mocy której wykonawca zobowiązuje się do prowadzenia, przechowywania, archiwizacji i udostępniania dokumentacji medycznej pacjentów zgodnie z wymogami ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz.U. 2009 nr 52 poz. 417 ze zm.) oraz rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO).

Obowiązek prowadzenia dokumentacji medycznej wynika z art. 24 ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta — podmiot leczniczy jest zobowiązany prowadzić, przechowywać i udostępniać dokumentację medyczną w sposób określony przepisami. Szczegółowe rodzaje i zakres dokumentacji medycznej, wzory dokumentów oraz sposób przetwarzania reguluje rozporządzenie Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej oraz sposobu jej przetwarzania.

Elektroniczna dokumentacja medyczna (EDM) w Polsce jest prowadzona od 2021 roku na zasadzie obligatoryjności — podmioty lecznicze były stopniowo zobowiązywane do wystawiania dokumentacji w postaci elektronicznej przez system P1 Centrum e-Zdrowia. EDM obejmuje m.in. e-recepty (od 2020 roku), e-skierowania (od 2021 roku), karty informacyjne leczenia szpitalnego (KILS), wyniki badań laboratoryjnych i opisów radiologicznych w systemach RIS/PACS.

Zlecenie prowadzenia EDM zewnętrznemu dostawcy systemu informatycznego powoduje, że dostawca ten staje się podmiotem przetwarzającym dane osobowe pacjentów w rozumieniu art. 4 pkt 8 i art. 28 RODO. Umowa o prowadzenie dokumentacji medycznej musi zawierać postanowienia wymagane przez art. 28 ust. 3 RODO — stanowi zatem jednocześnie umowę powierzenia przetwarzania danych osobowych. Dane zdrowotne pacjentów stanowią szczególną kategorię danych (art. 9 ust. 1 RODO) i wymagają podwyższonych środków bezpieczeństwa.

Podmiot leczniczy, który powierza prowadzenie dokumentacji zewnętrznemu podmiotowi, pozostaje administratorem danych i ponosi odpowiedzialność za zapewnienie pacjentom prawa dostępu do dokumentacji (art. 26-28 u.p.p.), wystawiania odpisów, wyciągów i kopii dokumentacji oraz dotrzymania obowiązkowego okresu przechowywania — co do zasady 20 lat od dokonania ostatniego wpisu (art. 29 ust. 1 u.p.p.), a w szczególnych przypadkach (dzieci, zgon pacjenta z powodu uszkodzenia ciała lub zatrucia) do 30 lat (art. 29 ust. 2 u.p.p.).

Umowa o prowadzenie dokumentacji medycznej w Polsce jest niezbędna w każdej sytuacji, gdy podmiot leczniczy korzysta z zewnętrznego systemu lub usługi do zarządzania dokumentacją pacjentów.

Wdrożenie systemu EDM u dostawcy SaaS. Podmioty lecznicze korzystające z oprogramowania EDM dostępnego w modelu SaaS (Software as a Service) — np. Medicomp, mMedica, Gabinet.pl, systemy dedykowane szpitalowe — muszą zawrzeć umowę z dostawcą systemu obejmującą zarówno licencję na oprogramowanie, jak i umowę powierzenia przetwarzania danych (art. 28 RODO).

Archiwizacja dokumentacji papierowej przez zewnętrzne archiwum. Podmioty lecznicze przekazujące dokumentację papierową do zewnętrznych archiwów (firm archiwizacyjnych) są zobowiązane do zawarcia umowy regulującej warunki przechowywania i dostępu do dokumentacji medycznej. Firma archiwizacyjna musi spełniać wymogi bezpieczeństwa dla danych zdrowotnych.

Migracja danych między systemami EDM. Przy zmianie dostawcy systemu EDM podmiot leczniczy potrzebuje umowy z nowym dostawcą na migrację danych ze starszego systemu. Kluczowe jest zapewnienie integralności i kompletności dokumentacji po migracji.

Skanowanie i digitalizacja dokumentacji papierowej. Duże podmioty lecznicze posiadające obszerne archiwa papierowe zlecają skanowanie i digitalizację zewnętrznym firmom. Umowa reguluje standardy skanowania (rozdzielczość, format pliku), indeksowanie dokumentów i bezpieczeństwo fizyczne i logiczne danych podczas digitalizacji.

Konsolidacja danych wielu podmiotów w grupie kapitałowej. Grupy medyczne skupiające wiele podmiotów leczniczych często centralizują dokumentację medyczną w jednym systemie — podmiot centralny (spółka matka lub serwis IT grupy) przetwarza dane jako podmiot przetwarzający dla każdego z podmiotów leczniczych. Każdy podmiot wymaga odrębnej umowy powierzenia.

Backup i disaster recovery. Podmioty zlecające przechowywanie kopii zapasowych danych medycznych w centrach danych lub chmurze obliczeniowej muszą zawrzeć umowę obejmującą wymogi bezpieczeństwa danych zdrowotnych (szyfrowanie w spoczynku i w transmisji, geolokalizacja danych w EOG) i warunki odtworzenia danych przy awarii systemowej.

Umowa o prowadzenie dokumentacji medycznej w Polsce, spełniająca wymogi art. 24-30 ustawy o prawach pacjenta i art. 28 RODO, powinna zawierać następujące kluczowe elementy.

Oznaczenie stron i ról RODO. Podmiot leczniczy jako administrator danych osobowych pacjentów, wykonawca (firma IT, firma archiwizacyjna) jako podmiot przetwarzający. Dane firmy (NIP, REGON, KRS lub CEIDG), dane osoby kontaktowej do kwestii RODO i bezpieczeństwa danych.

Zakres i rodzaje dokumentacji. Wykaz rodzajów dokumentacji medycznej objętych umową zgodnie z rozporządzeniem Ministra Zdrowia z 9 listopada 2015 r.: dokumentacja indywidualna ambulatoryjna, indywidualna szpitalna, zbiorcza. Wskazanie systemu EDM (nazwa, wersja) lub standardów archiwizacji papierowej.

Okres przechowywania danych. Wymagany okres przechowywania dokumentacji medycznej: 20 lat od ostatniego wpisu (art. 29 ust. 1 u.p.p.), z wyjątkami: 30 lat — gdy śmierć pacjenta nastąpiła na skutek uszkodzenia ciała lub zatrucia (art. 29 ust. 2 pkt 1 u.p.p.), dokumentacja dzieci poniżej 2. roku życia — 22 lata (art. 29 ust. 2 pkt 2 u.p.p.).

Wymogi bezpieczeństwa danych (art. 32 RODO). Szyfrowanie danych w spoczynku i w transmisji (TLS/SSL), pseudonimizacja, kontrola dostępu, uwierzytelnianie wieloskładnikowe dla administratorów systemu, regularne testy penetracyjne, logi audytu dostępu, plan ciągłości działania i disaster recovery.

Gwarantowany poziom dostępności (SLA). Dostępność systemu EDM co najmniej 99,5% miesięcznie, czas reakcji na awarię krytyczną (P1 — system niedostępny) nie dłuższy niż 4 godziny, kary umowne za naruszenie SLA, window maintenance.

Backup i lokalizacja danych. Częstotliwość kopii zapasowych (codziennie minimum), lokalizacja serwerów w Europejskim Obszarze Gospodarczym (EOG) — wymóg RODO przy braku decyzji o adekwatności dla krajów trzecich (art. 44-49 RODO). Procedura przywracania danych i testowania backupu.

Umowa powierzenia przetwarzania danych (art. 28 RODO). Klauzule wymagane przez art. 28 ust. 3 RODO: zakaz przetwarzania danych na własne potrzeby wykonawcy, przetwarzanie tylko na udokumentowane polecenia administratora, obowiązek zgłaszania naruszeń ochrony danych w ciągu 24 godzin, zakaz dalszego powierzania bez zgody administratora, pomoc w realizacji praw osób, których dane dotyczą, usunięcie lub zwrot danych po zakończeniu umowy. Na platformie forms-legal.com dostępne są kompletne wzory umów powierzenia RODO dla podmiotów medycznych.

Rozwiązanie i migracja danych. Obowiązki po rozwiązaniu umowy: migracja danych do innego systemu EDM na żądanie podmiotu leczniczego lub certyfikowane usunięcie danych, termin i format migracji, koszty migracji, ochrona danych w trakcie procesu migracji.

Umowa o prowadzenie dokumentacji medycznej w Polsce wypełniana jest krok po kroku, aby spełniała wymogi ustawy o prawach pacjenta i przepisów RODO.

Krok 1 — oznacz podmiot leczniczy (administratora). Wpisz pełną firmę podmiotu leczniczego, adres, NIP i numer RPWDL. Wskaż osobę odpowiedzialną za kwestie RODO (IOD lub administratora) i jej dane kontaktowe.

Krok 2 — oznacz wykonawcę (podmiot przetwarzający). Pełna firma wykonawcy (firma IT lub archiwizacyjna), adres, NIP, KRS lub CEIDG, dane przedstawiciela do spraw bezpieczeństwa IT i RODO.

Krok 3 — opisz zakres i system EDM. Wpisz nazwę systemu EDM lub opis usługi archiwizacyjnej. Określ rodzaje dokumentacji objętej umową (ambulatoryjna, szpitalna, zbiorcza). Wskaż lokalizację serwerów lub archiwum.

Krok 4 — ustal wynagrodzenie i SLA. Kwota miesięczna netto za utrzymanie systemu i licencję (PLN). Gwarantowany poziom dostępności systemu (np. 99,5%), czas reakcji na awarię krytyczną i kary umowne za naruszenie SLA.

Krok 5 — ustal backup i okres przechowywania. Częstotliwość backupów (minimum codziennie), wymagany ustawowy okres przechowywania (20 lub 30 lat w zależności od rodzaju dokumentacji).

Krok 6 — dodaj klauzule RODO (art. 28). Wpisz obligatoryjne postanowienia umowy powierzenia: zakaz przetwarzania na własne potrzeby, zgłoszenie naruszenia w 24h, zakaz dalszego powierzania bez zgody, migracja danych po zakończeniu umowy.

Krok 7 — podpisz umowę. Data i miejscowość, podpisy upoważnionych reprezentantów obu stron. Umowę sporządź w dwóch egzemplarzach.

Prowadzenie dokumentacji medycznej przez zewnętrzny podmiot w Polsce podlega kompleksowym wymogom prawnym.

Obowiązek prowadzenia dokumentacji medycznej (art. 24-30 u.p.p.). Podmiot leczniczy jest zobowiązany do prowadzenia dokumentacji medycznej na podstawie art. 24 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta. Dokumentacja może być prowadzona w postaci elektronicznej (EDM) lub papierowej. Warunki prowadzenia dokumentacji elektronicznej określa rozporządzenie Ministra Zdrowia z dnia 9 listopada 2015 r. w sprawie rodzajów, zakresu i wzorów dokumentacji medycznej.

Okres przechowywania. Art. 29 ust. 1 u.p.p.: dokumentacja medyczna przechowywana jest przez 20 lat od dnia sporządzenia ostatniego wpisu. Wyjątki: 30 lat — przy śmierci pacjenta na skutek uszkodzenia ciała lub zatrucia (art. 29 ust. 2 pkt 1); 22 lata — dokumentacja pediatryczna (wiek pacjenta poniżej 2 lat, art. 29 ust. 2 pkt 2). Naruszenie obowiązku przechowywania dokumentacji stanowi wykroczenie.

Umowa powierzenia przetwarzania danych (art. 28 RODO). Gdy podmiot leczniczy powierza prowadzenie dokumentacji zewnętrznemu podmiotowi, wymagana jest pisemna umowa powierzenia zawierająca elementy wskazane w art. 28 ust. 3 RODO. Brak umowy powierzenia stanowi naruszenie RODO, za które Prezes Urzędu Ochrony Danych Osobowych (PUODO) może nałożyć administracyjną karę pieniężną do 20 mln EUR lub 4% rocznego obrotu.

Ochrona danych zdrowotnych (art. 9 RODO). Dane zdrowotne pacjentów stanowią szczególną kategorię danych (art. 9 ust. 1 RODO) — podlegają podwyższonym wymogom bezpieczeństwa i ograniczonemu udostępnianiu. Podstawa przetwarzania przez wykonawcę: art. 9 ust. 2 lit. h RODO.

Wymogi bezpieczeństwa IT. Rozporządzenie Ministra Zdrowia z 9 listopada 2015 r. § 79 i nast. określają wymogi dla systemów elektronicznej dokumentacji medycznej: integralność danych (zabezpieczenie przed nieautoryzowaną zmianą), dostępność (backup, disaster recovery), poufność (szyfrowanie, kontrola dostępu), możliwość wydruku dokumentacji w postaci papierowej.

Lokalizacja danych w EOG. Przetwarzanie danych osobowych poza Europejskim Obszarem Gospodarczym (EOG) wymaga zapewnienia odpowiedniego poziomu ochrony: decyzja Komisji Europejskiej o adekwatności, standardowe klauzule umowne (SCC) lub wiążące reguły korporacyjne (BCR) na podstawie art. 44-49 RODO. Zlokalizowanie serwerów poza EOG bez spełnienia tych wymogów to naruszenie RODO.

Umowy o prowadzenie dokumentacji medycznej w Polsce często zawierają poważne luki prawne i techniczne.

Błąd 1 — brak umowy powierzenia przetwarzania danych jako integralnego elementu umowy. Wiele umów IT na systemy EDM nie zawiera wymaganych przez art. 28 ust. 3 RODO postanowień umowy powierzenia. Zalecenie: traktuj umowę o prowadzenie EDM i umowę powierzenia RODO jako jeden dokument — sprawdź, czy zawiera wszystkie elementy z art. 28 ust. 3 lit. a-h RODO.

Błąd 2 — lokalizacja serwerów poza Europejskim Obszarem Gospodarczym bez odpowiednich zabezpieczeń. Niektórzy dostawcy SaaS przechowują dane na serwerach w USA lub Azji bez standardowych klauzul umownych (SCC). Zalecenie: zażądaj potwierdzenia lokalizacji serwerów w EOG lub dołącz klauzule SCC zaakceptowane przez Komisję Europejską.

Błąd 3 — brak SLA z gwarancjami dostępności dla systemu EDM. Umowa bez gwarantowanego poziomu dostępności i kar umownych za niedotrzymanie SLA naraża podmiot leczniczy na ryzyko braku dostępu do dokumentacji medycznej pacjentów podczas awarii. Zalecenie: wpisz minimalny SLA 99,5% miesięcznie i karę za każdą godzinę niedostępności powyżej okna maintenance.

Błąd 4 — brak planu migracji danych po zakończeniu umowy. Umowy bez postanowień o migracji danych lub certyfikowanym usunięciu prowadzą do pata — dostawca przetrzymuje dane medyczne, a podmiot leczniczy nie może ich przenieść. Zalecenie: wpisz obowiązek migracji danych w standardowym formacie (np. HL7 FHIR) w ciągu 30 dni po zakończeniu umowy i na koszt dostawcy.

Błąd 5 — pominięcie wymogu zgłaszania naruszeń bezpieczeństwa w 24 godziny. Rozporządzenie (UE) 2016/679 wymaga zgłoszenia naruszenia ochrony danych do administratora (podmiotu leczniczego) niezwłocznie przez podmiot przetwarzający (art. 33 ust. 2 RODO), aby administrator mógł zgłosić je do PUODO w wymaganym terminie 72 godzin. Brak tej klauzuli uniemożliwia terminowe zgłoszenie naruszenia. Zalecenie: wpisz wprost obowiązek zgłaszania naruszeń w ciągu 24 godzin od ich wykrycia.

Błąd 6 — brak regulacji dotyczącej backupu i testowania kopii zapasowych. Umowa bez jasnych zasad backupu i testowania odtwarzania danych nie gwarantuje rzeczywistej ochrony przed utratą dokumentacji. Zalecenie: wpisz częstotliwość backupów (codziennie), lokalizację kopii zapasowych (inny center niż główny), harmonogram testowania odtwarzania (minimum kwartalnie) i termin przekazania raportu z testu administratorowi.