Odpowiedź:
Przesyłanie wyników badań pocztą elektroniczną jest dopuszczalne, pod warunkiem zachowania odpowiedniego poziomu zabezpieczeń danych.
Uzasadnienie:
Wyniki badań takich jak badania laboratoryjne, RTG i inne mają charakter dokumentów dodatkowych do dokumentacji medycznej, przechowywanych łącznie z tą dokumentacją, zgodnie z § 15 rozporządzenia Ministra Zdrowia z dnia 21 grudnia 2010 r. w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania (tekst jedn.: Dz. U. z 2014 r. poz. 177 z późn. zm.) - dalej r.d.m. Zasady ich udostępniania należy jednak oceniać w świetle przepisów dotyczących udostępniania dokumentacji medycznej, czyli w tym przypadku § 83 r.d.m. Przepis ten wymienia sposoby udostępniania dokumentacji medycznej prowadzonej w formie elektronicznej, poprzez przekazanie informatycznego nośnika danych z zapisaną dokumentacją oraz dokonanie elektronicznej transmisji dokumentacji. Przesyłanie wyników badań stanowi, zgodnie z nomenklaturą rozporządzenia, dokonanie elektronicznej transmisji dokumentacji. Przy czym o dokumentacji prowadzonej w wersji elektronicznej można mówić zarówno wtedy, gdy zasadą jest prowadzenie dokumentacji w formie papierowej, której towarzyszy konwersja na wersję elektroniczną jedynie na potrzeby danej sytuacji, np. w celu przesłania wyników badań mailem, jak również, gdy zasadą w placówce leczniczej jest prowadzenie wszelkiej dokumentacji w wersji elektronicznej.
Tym samym możliwość przesyłania danych z dokumentacji elektronicznej drogą mailową została przewidziana wprost w przepisach rozporządzenia w sprawie rodzajów i zakresu dokumentacji medycznej oraz sposobu jej przetwarzania. Należy jednak wziąć pod uwagę także inne przepisy, określające zasady bezpieczeństwa danych transmitowanych w ten sposób poprzez określenie poziomu zabezpieczeń, jaki przyjęte rozwiązania powinny reprezentować. Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024) wyróżnia trzy poziomy zabezpieczeń typu A, B, i C. Typ C, czyli wysoki poziom zabezpieczeń przewidziany jest dla danych przesyłanych w ramach sieci publicznej, a więc m.in. przesyłania danych mailem na zewnętrzny serwer, nie należący do sieci lokalnej podmiotu leczniczego. Poziom ten, poza koniecznością przestrzegania procedur przewidzianych dla poziomów A i B, dodatkowo charakteryzuje się koniecznością wdrożenia fizycznych lub logicznych zabezpieczeń chroniących przed nieuprawnionym dostępem osób nieuprawnionych. Sposób zabezpieczeń logicznych określony jest ogólnie i sprowadza się do osiągnięcia celu w postaci sprawowania kontroli przepływu informacji pomiędzy systemem informatycznym administratora danych (tu lekarza lub podmiotu leczniczego) a siecią publiczną oraz kontroli działań inicjowanych z sieci publicznej i systemu informatycznego administratora danych. Ponadto obowiązkiem administratora danych jest stosowanie środków kryptograficznej ochrony wobec danych wykorzystywanych do uwierzytelnienia, które są przesyłane w sieci publicznej. Decyzję o wyborze sposobu zabezpieczeń każdorazowo podejmuje administrator, przykładowo może być to korzystanie przy przesyłaniu wiadomości z połączenia szyfrowanego protokołem SSL lub też korzystanie z szyfrowania poczty elektronicznej i klucza publicznego odbiorcy.
Przepisy nie wypowiadają się na temat sposobu dokumentowania faktu zapoznania się przez pacjenta z treścią wyniku lub też fizycznego odbioru przez niego dokumentu zawierającego wynik. Jest to kwestia dowodowa, której zabezpieczenie leży w interesie lekarza (podmiotu leczniczego) nie tylko po to, by udokumentować wykonanie usługi odpłatnej, ale także by móc wykazać, że wynik został odebrany przez upoważnioną osobę.
Najlepszym sposobem na zapewnienie sobie takiego dowodu jest więc uzyskanie potwierdzenia odbioru wyniku przez pacjenta (osobę upoważnioną).
Iwona Kaczorowska-Kossowska, autorka współpracuje z Serwisem Prawo i Zdrowie
Odpowiedzi udzielono 3 marca 2015 r.